Systemmanager systemd 257 veröffentlicht

Nach einem halben Jahr Entwicklung wird die Version 257 des Systemmanagers systemd veröffentlicht. Wichtige Änderungen: neue Dienstprogramme systemd-sbsign und systemd-keyutil, Unterstützung von MPTCP bei der Aktivierung über Sockets, erste Unterstützung für den Build mit der C-Bibliothek Musl, das Dienstprogramm updatectl zur Verwaltung von Updates über systemd-sysupdate, die Möglichkeit, Dienste in separaten PID-Namensräumen zu starten, sowie Schutz vor versehentlichem Löschen von Dateien bei der Verwendung von „systemd-tmpfiles —purge“.

Zu den Änderungen in der neuen Version gehören:

• Ein neues Dienstprogramm systemd-sbsign wurde hinzugefügt, um digitale Signaturen für ausführbare Dateien im PE-Format (Portable Executable) zu erstellen, die bei der Verwendung im EFI Secure Boot-Modus erforderlich sind. Zum Erstellen von Signaturen können Engines und Provider der OpenSSL-Bibliothek verwendet werden. Systemd-sbsign kann als Alternative zu den Anwendungen sbsigntool und pesign im Dienstprogramm ukify beim Erstellen universeller Kernbilder (UKI, Unified Kernel Image) verwendet werden, die den Bootloader für UEFI (UEFI boot stub), das Linux-Kernel-Image und die initialisierte Systemumgebung initrd in einer Datei zusammenführen.
• Ein neues Tool namens systemd-keyutil wurde hinzugefügt, das verschiedene Operationen mit privaten Schlüsseln und X.509-Zertifikaten durchführt. Zum Beispiel kann systemd-keyutil verwendet werden, um die Möglichkeit zu überprüfen, private Schlüssel und Zertifikate zu laden, sowie öffentliche Schlüssel im PEM-Format daraus zu extrahieren.
• In den '.socket'-Units, die für die Aktivierung über Sockets (Start von Prozessen beim Versuch, eine Netzwerkverbindung herzustellen) verwendet werden, wurde MPTCP (Multipath TCP) unterstützt. Dabei handelt es sich um eine Erweiterung des TCP-Protokolls, die es ermöglicht, TCP-Verbindungen herzustellen, indem Pakete gleichzeitig über mehrere Routen über verschiedene Netzwerkschnittstellen gesendet werden, die an verschiedenen Orten gebunden sind. IP-Adressen.
• Es wurden Änderungen vorgenommen, die erforderlich sind, um mit der Standard-C-Bibliothek Musl zu bauen.
• In verschiedene Komponenten von systemd, die Fortschrittsanzeigen für Operationen ausgeben (wie systemd-repart, systemd-sysupdate/updatectl und importctl), wurde die Möglichkeit hinzugefügt, ANSI-Sequenzen zu verwenden, um die Anzeige des Fortschritts zu animieren. Diese Sequenzen werden derzeit nur im Windows Terminal unterstützt (es wird erwartet, dass diese Funktion auch irgendwann in Terminal-Emulatoren für Linux integriert wird).
• Die Funktionen des systemd-sysupdate-Komponenten, die zur automatischen Erkennung, dem Herunterladen und der Installation von Updates mit einem atomaren Mechanismus zum Ersetzen von Partitionen, Dateien oder Verzeichnissen verwendet wird, wurden erweitert (es werden zwei unabhängige Partitionen/Dateien/Verzeichnisse verwendet, von denen eines die aktuell laufende Ressource enthält und auf dem anderen das nächste Update installiert wird, bevor die Partitionen/Dateien/Verzeichnisse getauscht werden). In der Praxis wird systemd-sysupdate bereits in GNOME OS eingesetzt.

  Zusätzlich zum Systemdienst systemd-sysupdate wurde ein gleichnamiger Dienst eingeführt, der die Nutzung von D-Bus zur Verwaltung von Systemupdates durch unprivilegierte Benutzer ermöglicht. Um den Dienst zu steuern, wurde auch ein neues Tool namens updatectl hinzugefügt. Im systemd-sysupdate wurde das Flag „—offline“ hinzugefügt, um das Herunterladen von Metadaten über das Netzwerk zu verhindern und nur bereits auf dem lokalen System vorhandene Versionen zu verwenden. Für alle Befehle wurde die Unterstützung für die Ausgabe im JSON-Format implementiert.
• Für Dienste wurde eine neue Eigenschaft namens „PrivatePIDs“ implementiert, mit der die Ausführung von Prozessen mit PID 1 (Init-Prozess) in einem separaten PID-Namensraum organisiert werden kann. In der Umgebung des gestarteten Prozesses sind nur die Prozesse sichtbar, die in diesem speziellen Namensraum erstellt wurden.
• In die udev-Regeln wurde die Unterstützung für groß-/kleinschreibungfreie Zuordnungen aufgenommen (z.B. 'ATTR{foo}=="abcd"'). Über udev wird Benutzern ohne besondere Berechtigungen der Zugriff ('uaccess') auf das Gerät /dev/udmabuf gewährt, das für die Arbeit mit IPMI-Kameras über libcamera erforderlich ist. In udev wird das Erkennen verschiedener Hardware-Kryptowährungen mit USB-Schnittstelle ermöglicht, und das Attribut ID_HARDWARE_WALLET wird zugewiesen, was den Zugang für nicht privilegierte Benutzer im 'uaccess'-Modus erlaubt.
• In die Datei /etc/os-release wurden neue Felder RELEASE_TYPE, EXPERIMENT und EXPERIMENT_URL hinzugefügt. 'RELEASE_TYPE' kann die Werte 'experimental', 'development', 'stable' und 'lts' annehmen, um stabile Versionen von Entwicklungs- und Experimentversionen zu unterscheiden. Die Parameter EXPERIMENT und EXPERIMENT_URL dienen der Erläuterung des Inhalts der experimentellen Version.
• Im Utility run0, das als Ersatz für das sudo-Programm entwickelt wird, wurde die Option '--shell-prompt-prefix' hinzugefügt, die eine Zeichenfolge für das Präfix der Befehlseingabeaufforderung definiert. Standardmäßig wird als Präfix das Emoji '🦸' ausgegeben, um die Sitzung mit erhöhten Privilegien visuell hervorzuheben.
• In systemd-tmpfiles wird die Option „—purge“ nun nur noch auf Einstellungen in tmpfiles.d angewendet, die ausdrücklich mit dem Flag „$“ versehen sind, um versehentliches Löschen falscher Dateien zu vermeiden. Für die Ausführung der „—purge“-Operation muss nun ebenfalls mindestens eine Datei aus dem Verzeichnis tmpfiles.d angegeben werden. Für Zeilen vom Typ 'L' wurde das Flag '?' hinzugefügt, bei dessen Angabe die symbolische Verlinkung nur erstellt wird, wenn die Ziel-Datei vorhanden ist.
• Im Service-Manager und den zugehörigen Hilfsdiensten wird die Übertragung des Prozessverfolgungscodes auf die Verwendung von PIDFD statt PID fortgesetzt. Die PIDFD-Identifikation ist an einen bestimmten Prozess gebunden und ändert sich nicht, während die PID nach Beendigung des aktuellen Prozesses, der mit dieser PID verbunden ist, einem anderen Prozess zugeordnet werden kann.
• Für Dienste wurde die Möglichkeit implementiert, im Parameter „RestartMode“ den Wert „debug“ anzugeben, wobei der Neustart eines fehlerhaften Dienstes im Debugging-Modus erfolgt (die Umgebungsvariable DEBUG_INVOCATION=1 wird gesetzt) und der Wert LogLevelMax vorübergehend auf Debugging-Ebene angehoben wird.
• Im PID 1-Handler wurde die Möglichkeit implementiert, Regeln für das LSM-Modul IPE (Integrity Policy Enforcement) zu laden, die die Integritätspolitik für das gesamte System definieren (welche Operationen zulässig sind und wie die Echtheit der Komponenten verifiziert werden soll).
• In die Unit-Dateien „.timer“ wurde die Option „DeferReactivation“ eingefügt, die es ermöglicht, eine anstehende Aktivierung durch den Timer zu überspringen, wenn der Dienst seine Ausführung seit der letzten Aktivierung noch nicht abgeschlossen hat.
• Im Parameter der Unit-Dateien PrivateUsers wurde die Möglichkeit zur Angabe des Wertes „identity“ implementiert, um die Zuordnung von Benutzer-IDs bei der Erstellung eines Namensraums (user namespace) zu aktivieren.
• Im Parameter der Unit-Dateien PrivateTmp wurde die Unterstützung des Wertes „disconnected“ hinzugefügt, bei dem für die Verzeichnisse /tmp/ und /var/tmp/ separate Instanzen von tmpfs verwendet werden.
• Im Parameter der Unit-Dateien ProtectControlGroups wurde die Unterstützung für neue Modi „private“ und „strict“ hinzugefügt, bei denen für den Dienst ein neuer cgroup-Namensraum (cgroup namespace) erstellt und cgroupfs gemountet wird. Bei der Auswahl der Option „strict“ erfolgt das Mounten von cgroupfs im Nur-Lese-Modus.
• In den Parametern StateDirectory, RuntimeDirectory, CacheDirectory, LogsDirectory und ConfigurationDirectory gibt es nun die Möglichkeit, das Flag ‘:ro’ zu verwenden, um den Zugriff auf die entsprechenden Verzeichnisse im Nur-Lese-Modus einzuschränken.
• Der Kernelbefehl »systemd.machine_id« unterstützt jetzt den Wert »firmware«, bei dem die Maschinen-ID basierend auf der UUID aus SMBIOS/DeviceTree berechnet wird.
• Unterstützung für die Systemaufrufe mseal(), listmount() und statmount() wurde hinzugefügt, die in den neuesten Versionen des Linux-Kernels eingeführt wurden.
• Die Tools resolvectl, timedatectl und systemd-inhibit unterstützen jetzt die interaktive Genehmigung durch Polkit.
• Im Tool systemctl wurde die Möglichkeit hinzugefügt, das Flag »—now« beim Befehl »reenable« zu verwenden.
• Im Tool systemd-mount wurde die Option »—json« zur Ausgabe im JSON-Format hinzugefügt (zum Beispiel wird bei Angabe zusammen mit »—list-devices« eine Liste der Geräte im JSON-Format ausgegeben).
• Im Tool »localectl« wurden die Optionen »-l« und »—full« hinzugefügt, um das Kürzen langer Zeilen bei der Ausgabe zu deaktivieren.
• In sleep.conf wurde die Option HibernateOnACPower hinzugefügt, die es ermöglicht, den Wechsel in den Energiesparmodus bis zum Trennen des Geräts von der stationären Stromquelle zu verzögern.
• In systemd-sysusers wurde die Unterstützung für den Modifikator „!" in die Zeilen „u" hinzugefügt, mit dem vollständig gesperrte Benutzerkonten erstellt werden können. Zuvor wurde zur Sperrung eines Benutzers ein inkorrekter Passwort verwendet, was beispielsweise bei der Authentifizierung über SSH mit Schlüsseln nicht zur Sperrung führte.
• In systemd-coredump wurde die Option „EnterNamespace" hinzugefügt, die Zugriff auf den Mount-Namensraum beliebiger abgestürzter Prozesse bietet, um deren Debugging-Symbole abzurufen. Praktisch kann diese Option nützlich sein, um Backtraces von Core-Dateien von Anwendungen, die in isolierten Containern laufen, zu organisieren.
• In systemd-logind ist die Verarbeitung der Kombination Ctrl-Alt-Shift-Esc aktiviert, um den Komponenten der Benutzerumgebung das Signal org.freedesktop.login1.SecureAttentionKey zu senden. Dies fordert die Anzeige des sicheren Anmeldedialogs an. Die Einstellung „DesignatedMaintenanceTime“ wurde implementiert, um eine automatische Planung des Herunterfahrens zu einem bestimmten Zeitpunkt zu ermöglichen. Ähnlich wie bei der Unterstützung von DRM-Geräten und evdev wurde die Unterstützung für den Zugriff unprivilegierter Benutzer auf hidraw-Geräte (Spielcontroller und Joysticks) hinzugefügt.
• In systemd-machined wurde die Unterstützung für die Registrierung unprivilegierter Clients virtuellen Maschinen und Container hinzugefügt. Der Zugriff auf die Funktionalität von systemd-machined ist jetzt über die Varlink-API möglich, zusätzlich zu D-Bus.
• In die Konfigurationsdatei networkd.conf wurde ein neuer Abschnitt „[IPv6AddressLabel]“ hinzugefügt, um Labels und Präfixe für IPv6-Adressen zu konfigurieren.
• Der Befehl ‘networkctl edit’ wurde um die Option „—stdin“ erweitert, um den Inhalt der Datei aus dem Standard-Stream zu beziehen. Zu den Befehlen ‘networkctl edit’ und ‘networkctl cat’ wurde die Unterstützung für das Bearbeiten und Anzeigen von .netdev-Dateien durch Angabe der Netzwerkschnittstelle hinzugefügt. Eine Option „—no-ask-password“ wurde hinzugefügt, um die interaktive Authentifizierung zu deaktivieren.
• In den Tools ukify, bootctl, systemd-keyutil, systemd-measure, systemd-repart und systemd-sbsign wurde die Option "—certificate-source" hinzugefügt, um das X.509-Zertifikat über den OpenSSL-Anbieter herunterzuladen, anstatt es direkt aus einer Datei zu laden.
• In systemd-boot wurde die Möglichkeit hinzugefügt, die Lautstärketasten zur Navigation im Boot-Menü zu verwenden, was auf Geräten wie Smartphones nützlich sein kann. Die bootctl-Anwendung unterstützt jetzt die Installation der UEFI Secure Boot-Datenbank im ESL-Format (db/dbx/...) für systemd-boot.
• In journalctl wurde die Option "—list-invocation" hinzugefügt, um eine Liste der Aufrufe von Einheiten anzuzeigen, sowie die Option "—invocation" ("-I"), um Protokolle anzuzeigen, die nur mit einem bestimmten Aufruf zusammenhängen.
• In systemd-nspawn wurde die Unterstützung für die nicht privilegierte Nutzung von FUSE (Filesystem in Userspace) in Containern hinzugefügt. Bei Verwendung der Option "—bind-user" wird der SSH-Schlüssel des Benutzers in den Container weitergeleitet, der für den SSH-Zugriff erforderlich ist.
• In libsystemd wurde eine neue Programmierschnittstelle "sd-json" eingeführt, die das JSON-Format verwendet, sowie die Schnittstelle "sd-varlink", die IPC Varlink nutzt.
• Die empfohlene Standardversion des Kernels wurde auf die Ausgabe 5.4 angehoben, die 2019 veröffentlicht wurde. Im kommenden Jahr wird die Unterstützung älterer Kernel eingestellt, und die Version 5.4 wird als minimal unterstützte Standardversion gekennzeichnet.
• Die Unterstützung von cgroups v1 wird als veraltet angesehen und ist standardmäßig deaktiviert (um sie zu aktivieren, muss in der Kernel-Befehlszeile SYSTEMD_CGROUP_ENABLE_LEGACY_FORCE=1 angegeben werden, zusätzlich zur Aktivierung in den systemd-Einstellungen). Im kommenden systemd 258 Release wird der Code, der mit cgroups v1 verbunden ist, vollständig entfernt. In der Version systemd 258 ist auch die Entfernung der Unterstützung für System V Service-Skripte geplant.

Quelle: opennet.ru