systemd Systemmanager Version 257

Nach sechs Monaten Entwicklungszeit wurde die Veröffentlichung des Systemmanagers systemd 257 vorgestellt. Wichtige Änderungen: neue Dienstprogramme systemd-sbsign und systemd-keyutil, Unterstützung für MPTCP bei Aktivierung über einen Socket, anfängliche Unterstützung für das Erstellen mit der Musl-C-Bibliothek updatectl-Dienstprogramm zur Verwaltung der Installation von Updates über systemd-sysupdate, die Möglichkeit, Dienste in separaten PID-Namespaces zu starten, Schutz vor versehentlichem Löschen von Dateien bei Verwendung von „systemd-tmpfiles – purge“.

Zu den Änderungen in der neuen Version gehören:

• Ein neues Hilfsprogramm, systemd-sbsign, wurde hinzugefügt, um ausführbare Dateien im PE-Format (Portable Executable) digital zu signieren. Diese Dateien sind für den Start im EFI Secure Boot-Modus vorgesehen. Zur Signaturerstellung können Engines und Provider der OpenSSL-Bibliothek verwendet werden. systemd-sbsign kann als Alternative zu den Anwendungen sbsigntool und pesign im ukify-Dienstprogramm beim Erstellen universeller Kernel-Images (UKIs) eingesetzt werden. UKIs kombinieren einen UEFI-Bootloader (UEFI-Boot-Stub) und ein Kernel-Image in einer einzigen Datei. Linux und die initrd-Systemumgebung in den Speicher geladen.
• Ein neues Dienstprogramm, systemd-keyutil, wurde hinzugefügt, das verschiedene Vorgänge für private Schlüssel und X.509-Zertifikate implementiert. Beispielsweise kann systemd-keyutil verwendet werden, um die Fähigkeit zu testen, private Schlüssel und Zertifikate zu laden und daraus öffentliche Schlüssel im PEM-Format zu extrahieren.
• In den ".socket"-Einheiten, die für die Funktion des Socket-Aktivierungsmechanismus (Starten von Prozessen beim Aufbau einer Netzwerkverbindung) zuständig sind, wird MPTCP (Multipath TCP) unterstützt. MPTCP ist eine Erweiterung des TCP-Protokolls, die den Betrieb einer TCP-Verbindung mit der gleichzeitigen Zustellung von Paketen über mehrere Routen durch verschiedene, an unterschiedliche Netzwerkschnittstellen gebundene Geräte organisiert. IP-Adressen.
• Enthält Änderungen, die zum Erstellen mit der Standard-Musl-C-Bibliothek erforderlich sind.
• Verschiedene systemd-Komponenten, die Fortschrittsanzeigen darstellen (z. B. systemd-repart, systemd-sysupdate/updatectl und importctl), unterstützen nun die Verwendung von ANSI-Sequenzen zur Animation der Fortschrittsanzeigen. Solche Sequenzen werden derzeit nur in unterstützt. Windows Terminal (es wird erwartet, dass im Laufe der Zeit eine ähnliche Funktion auf Terminalemulatoren übertragen wird für Linux).
• Die Funktionen der systemd-sysupdate-Komponente wurden erweitert und dienen zum automatischen Erkennen, Herunterladen und Installieren von Updates mithilfe eines atomaren Mechanismus zum Ersetzen von Partitionen, Dateien oder Verzeichnissen (es werden zwei unabhängige Partitionen/Dateien/Verzeichnisse verwendet, von denen eine die aktuelle Funktion enthält). Ressource, und der andere installiert das nächste) Update, nach dem die Abschnitte/Dateien/Verzeichnisse ausgetauscht werden. In der Praxis wird systemd-sysupdate bereits im GNOME-Betriebssystem verwendet.

  Zusätzlich zum systemd-sysupdate-Prozess wurde ein gleichnamiger Dienst hinzugefügt, der es einem unprivilegierten Benutzer ermöglicht, D-Bus zur Verwaltung von Systemaktualisierungen zu verwenden. Zur Verwaltung des Dienstes ist außerdem ein neues Dienstprogramm updatectl enthalten. „--offline“-Flag zu systemd-sysupdate hinzugefügt, um das Herunterladen von Metadaten über das Netzwerk zu deaktivieren und nur Versionen zu verwenden, die bereits auf das lokale System heruntergeladen wurden. Unterstützung für die Ausgabe im JSON-Format für alle Befehle hinzugefügt.
• Für Dienste wurde eine neue Eigenschaft „PrivatePIDs“ implementiert, mit der Sie den Start von Prozessen mit PID 1 (Init-Prozess) in einem separaten Prozess-Identifier-Raum (PID-Namespace) organisieren können. In der für den gestarteten Prozess erstellten Umgebung sind nur Prozesse aus dem dafür erstellten Namespace sichtbar.
• Unterstützung für Übereinstimmungen ohne Berücksichtigung der Groß- und Kleinschreibung bei udev-Regeln hinzugefügt (z. B. 'ATTR{foo}==i»abcd»'). Mit udev ist es möglich, unprivilegierten lokalen Benutzern Zugriff („uaccess“) auf das /dev/udmabuf-Gerät zu gewähren, der für die Arbeit mit IPMI-Kameras über libcamera notwendig ist. udev erkennt verschiedene Hardware-Krypto-Wallets mit USB-Schnittstelle und setzt für sie die Eigenschaft ID_HARDWARE_WALLET, die es Ihnen ermöglicht, den „uaccess“-Modus für den Zugriff durch nichtprivilegierte Benutzer auf sie anzuwenden.
• Der Datei /etc/os-release wurden neue Felder RELEASE_TYPE, EXPERIMENT und EXPERIMENT_URL hinzugefügt. „RELEASE_TYPE“ kann die Werte „experimental“, „development“, „stable“ und „lts“ annehmen, um stabile Versionen von Entwicklungs- und experimentellen Builds zu trennen. Die Parameter EXPERIMENT und EXPERIMENT_URL sollen das Wesentliche des experimentellen Builds erläutern.
• Das Dienstprogramm run0, das als Ersatz für das Programm sudo entwickelt wurde, hat die Option „--shell-prompt-prefix“ hinzugefügt, die die Präfixzeichenfolge für die Befehls-Shell-Eingabeaufforderung angibt. Standardmäßig wird das Emoji „🦸“ als Präfix angezeigt, um eine erhöhte Sitzung optisch hervorzuheben.
• Um zu verhindern, dass versehentlich die falschen Dateien gelöscht werden, gilt in systemd-tmpfiles die Option „--purge“ jetzt nur für Einstellungen in tmpfiles.d/, bei denen das Flag „$“ explizit gesetzt ist. Die Operation „--purge“ erfordert jetzt auch die Angabe mindestens einer Datei aus dem Verzeichnis tmpfiles.d/. Für Zeichenfolgen mit dem Typ „L“ wurde das Flag „?“ hinzugefügt. Bei Angabe wird ein symbolischer Link nur erstellt, wenn die Zieldatei vorhanden ist.
• Im Service Manager und zugehörigen Dienstprogrammen wird der Prozessverfolgungscode weiterhin so konvertiert, dass PIDFD anstelle von PID verwendet wird. Ein PIDFD ist einem bestimmten Prozess zugeordnet und ändert sich nicht, während eine PID einem anderen Prozess zugeordnet werden kann, nachdem der aktuelle Prozess, der dieser PID zugeordnet ist, beendet wird.
• Für Dienste ist es nun möglich, im Parameter „RestartMode“ den Wert „debug“ anzugeben, bei dem der ausgefallene Dienst mit aktiviertem Debug-Modus neu gestartet wird (die Umgebungsvariable DEBUG_INVOCATION=1 ist gesetzt) ​​und der LogLevelMax-Wert vorübergehend auf Debug-Level angehoben.
• Der PID 1-Handler hat die Möglichkeit, Regeln für das IPE-LSM-Modul (Integrity Policy Enforcement) zu laden, die die Integritätsrichtlinie für das gesamte System definieren (welche Vorgänge zulässig sind und wie die Authentizität von Komponenten überprüft werden soll).
• Den Unit-Dateien „.timer“ wurde die Option „DeferReactivation“ hinzugefügt, mit der Sie die nächste Timer-Aktivierung überspringen können, wenn der Dienst seine Ausführung seit der letzten Aktivierung noch nicht abgeschlossen hat.
• Im Unit-Dateiparameter PrivateUsers ist es nun möglich, den Wert „identity“ anzugeben, um die Zuordnung von Benutzer-IDs beim Erstellen eines Benutzernamensraums zu ermöglichen.
• Unterstützung für den Wert „disconnected“ zum Unit-Dateiparameter PrivateTmp hinzugefügt, der separate tmpfs-Instanzen für die Verzeichnisse /tmp/ und /var/tmp/ verwendet.
• Dem Unit-Dateiparameter ProtectControlGroups wurde Unterstützung für neue „private“ und „strenge“ Modi hinzugefügt. Wenn diese festgelegt sind, wird ein neuer cgroup-Namespace für den Dienst erstellt und cgroupfs gemountet. Wenn die Option „strict“ gesetzt ist, wird cgroupfs im schreibgeschützten Modus gemountet.
• Die Parameter StateDirectory, RuntimeDirectory, CacheDirectory, LogsDirectory und ConfigurationDirectory bieten die Möglichkeit, das Flag „:ro“ zu verwenden, um den Zugriff auf die entsprechenden Verzeichnisse auf den schreibgeschützten Modus zu beschränken.
• Unterstützung für den Wert „firmware“ zum Kernel-Befehlszeilenparameter „systemd.machine_id“ hinzugefügt, in dem die Systemkennung (Maschinen-ID) basierend auf der UUID von SMBIOS/DeviceTree berechnet wird.
• Unterstützung für die in den letzten Kernel-Versionen eingeführten Systemaufrufe mseal(), listmount() und statmount() hinzugefügt. Linux.
• Die Dienstprogramme „resolvectl“, „timedatectl“ und „systemd-inhibit“ unterstützen jetzt die interaktive Autorisierung mit Polkit.
• Es wurde die Möglichkeit hinzugefügt, das Flag „--now“ im Befehl „reenable“ zum Dienstprogramm „systemctl“ zu verwenden.
• Option „--json“ zum Dienstprogramm systemd-mount für die Ausgabe im JSON-Format hinzugefügt (wenn sie beispielsweise zusammen mit „--list-devices“ angegeben wird, wird eine Liste von Geräten im JSON-Format ausgegeben).
• Dem Dienstprogramm „localectl“ wurden die Optionen „-l“ und „--full“ hinzugefügt, um das Abschneiden langer Zeilen während der Ausgabe zu deaktivieren.
• In der Datei „sleep.conf“ wurde die Option „HibernateOnACPower“ hinzugefügt, mit der Sie den Wechsel in den Schlafmodus verzögern können, bis das Gerät von der stationären Stromquelle getrennt wird.
• In systemd-sysusers wurde den „u“-Zeilen Unterstützung für den Modifikator „!“ hinzugefügt, mit dem Sie vollständig gesperrte Benutzerkonten erstellen können (zuvor wurde das Festlegen eines falschen Passworts zum Blockieren eines Benutzers verwendet, was beispielsweise dazu führte, dass führte nicht zur Blockierung bei der Schlüsselauthentifizierung in SSH).
• Systemd-coredump fügt eine Option „EnterNamespace“ hinzu, die den Zugriff auf den Einhängepunktraum aller abgestürzten Prozesse ermöglicht, um deren Debugsymbole abzurufen. In der Praxis kann die Option nützlich sein, um die Rückverfolgung von Kerndateien von Anwendungen zu organisieren, die in isolierten Containern ausgeführt werden.
• systemd-logind umfasst die Verarbeitung der Kombination Strg-Alt-Umschalt-Esc, um das Signal org.freedesktop.login1.SecureAttentionKey an die Komponenten der Benutzerumgebung mit der Aufforderung zu senden, einen sicheren Anmeldedialog anzuzeigen. Die Einstellung „DesignatedMaintenanceTime“ wurde implementiert, um die Arbeit automatisch so zu planen, dass sie zu einem bestimmten Zeitpunkt abgeschlossen wird. Analog zur Unterstützung für DRM- und evdev-Geräte wurde Unterstützung für die Konfiguration des Zugriffs für nichtprivilegierte Benutzer auf Hidraw-Geräte (Gamecontroller und Joysticks) hinzugefügt.
• systemd-machined unterstützt jetzt unprivilegierte Client-Logins. virtuelle Maschinen und Container. Der Zugriff auf systemd-basierte Funktionen erfolgt über die Varlink-API sowie über D-Bus.
• Der Konfigurationsdatei networkd.conf wurde ein neuer Abschnitt „[IPv6AddressLabel]“ hinzugefügt, um Bezeichnungen und Präfixe für IPv6-Adressen zu konfigurieren
• Option „--stdin“ zum Befehl „networkctl edit“ hinzugefügt, um Dateiinhalte aus dem Standard-Stream abzurufen. Unterstützung für das Bearbeiten und Anzeigen von .netdev-Dateien durch Angabe einer Netzwerkschnittstelle für die Befehle „networkctl edit“ und „networkctl cat“ hinzugefügt. Option „--no-ask-password“ hinzugefügt, um die interaktive Autorisierung zu deaktivieren.
• Den Dienstprogrammen ukify, bootctl, systemd-keyutil, systemd-measure, systemd-repart und systemd-sbsign wurde die Option „--certificate-source“ hinzugefügt, um ein X.509-Zertifikat über den OpenSSL-Anbieter zu laden, anstatt es direkt von einem zu laden Datei.
• systemd-boot bietet die Möglichkeit, mit den Lautstärketasten durch das Boot-Menü nach oben und unten zu navigieren, was auf Geräten wie Smartphones nützlich sein kann. Dem Dienstprogramm bootctl wurde Unterstützung für die Installation der UEFI Secure Boot-Datenbank im ESL-Format (db/dbx/…) für systemd-boot hinzugefügt.
• Option „--list-invocation“ zu „journalctl“ hinzugefügt, um eine Liste von Einheitenaufrufen anzuzeigen, und Option „--invocation“ („-I“), um Protokolle anzuzeigen, die nur einem bestimmten Aufruf zugeordnet sind.
• systemd-nspawn fügt Unterstützung für die unprivilegierte Verwendung von FUSE (Filesystem in Userspace) in Containern hinzu. Bei Verwendung der Option „--bind-user“ werden die für den Zugriff per SSH benötigten SSH-Schlüssel des Benutzers an den Container weitergeleitet.
• libsystemd hat eine neue Programmierschnittstelle „sd-json“ hinzugefügt, die das JSON-Format verwendet, sowie eine Schnittstelle „sd-varlink“, die IPC Varlink verwendet.
• Die empfohlene Basiskernelversion wurde auf Version 5.4 aus dem Jahr 2019 aktualisiert. Nächstes Jahr planen sie, die Unterstützung älterer Kernel einzustellen und die Version 5.4 als mindestens unterstützte Basisversion zu markieren.
• Die Unterstützung für cgroups v1 ist veraltet und standardmäßig deaktiviert (um sie zu aktivieren, müssen Sie zusätzlich zur Aktivierung in den Systemd-Einstellungen SYSTEMD_CGROUP_ENABLE_LEGACY_FORCE=1 in der Kernel-Befehlszeile angeben). Die nächste Version von systemd 258 sieht vor, den cgroups v1-bezogenen Code vollständig zu entfernen. Systemd Version 258 soll außerdem die Unterstützung für System V-Dienstskripte entfernen.

Source: opennet.ru