Después de tres meses y medio de desarrollo, se presentó el lanzamiento del administrador del sistema systemd 253.
Entre los cambios en la nueva versión:
- El paquete incluye la utilidad 'ukify', diseñada para construir, verificar y generar firmas para imágenes del kernel unificadas (UKI, Unified Kernel Image), combinando un controlador para cargar el kernel desde UEFI (UEFI boot stub), una imagen del kernel de Linux y un entorno del sistema cargado en la memoria initrd, utilizado para la inicialización inicial en la etapa anterior a montar el sistema de archivos raíz. La utilidad reemplaza la funcionalidad proporcionada anteriormente por el comando 'dracut -uefi' y la complementa con capacidades para calcular automáticamente compensaciones en archivos PE, fusionar initrds, firmar imágenes del kernel incrustadas, crear imágenes combinadas con sbsign, heurísticas para determinar uname del kernel, verificar el Imagen con pantalla de presentación y adición de políticas de PCR firmadas generadas por la utilidad systemd-measure.
- Se agregó soporte para entornos initrd no limitados por la ubicación de la memoria, en los que se usa overlayfs en lugar de tmpfs. Para tales entornos, systemd no elimina todos los archivos en initrd después de cambiar el sistema de archivos raíz.
- El parámetro "OpenFile" se ha agregado a los servicios para abrir archivos arbitrarios en el sistema de archivos (o conectarse a sockets Unix) y pasar los descriptores de archivos asociados al proceso iniciado (por ejemplo, cuando necesita organizar el acceso a un archivo para un servicio sin privilegios sin cambiar los derechos de acceso al archivo).
- En systemd-cryptenroll, al registrar nuevas claves, es posible desbloquear particiones cifradas utilizando tokens FIDO2 (--unlock-fido2-device) sin requerir una contraseña. Un código PIN especificado por el usuario se almacena con sal para complicar la detección por fuerza bruta.
- Se agregaron configuraciones de ReloadLimitIntervalSec y ReloadLimitBurst, así como opciones de línea de comando del kernel (systemd.reload_limit_interval_sec y /systemd.reload_limit_burst) para limitar la intensidad de los reinicios del proceso en segundo plano.
- Para unidades, se ha implementado la opción “MemoryZSwapMax” para configurar la propiedad Memory.zswap.max, que determina el tamaño máximo de zswap.
- Para las unidades, se ha implementado la opción "LogFilterPatterns", que le permite configurar expresiones regulares para filtrar la información enviada al registro (se puede usar para excluir ciertas salidas o guardar solo ciertos datos).
- Las unidades de alcance ahora admiten la configuración “OOMPolicy” para establecer el comportamiento al intentar adelantarse cuando la memoria es baja (las sesiones de inicio de sesión se configuran en OOMPolicy=continuar para que el asesino de OOM no las finalice por la fuerza).
- Se ha definido un nuevo tipo de servicio: "Tipo=notificar-recargar", que amplía el tipo "Tipo=notificar" con la capacidad de esperar a que la señal de reinicio complete el procesamiento (SIGHUP). Los servicios systemd-networkd.service, systemd-udevd.service y systemd-logind se han transferido al nuevo tipo.
- udev utiliza un nuevo esquema de nombres para dispositivos de red, la diferencia es que para dispositivos USB no conectados al bus PCI, ID_NET_NAME_PATH ahora está configurado para garantizar nombres más predecibles. Se ha implementado el operador '-=" para las variables SYMLINK, dejando los enlaces simbólicos sin configurar si previamente se definió una regla para agregarlos.
- En systemd-boot, se ha reelaborado la transmisión de semillas para generadores de números pseudoaleatorios en el kernel y para el backend del disco. Se agregó soporte para cargar el kernel no solo desde ESP (EFI System Partition), por ejemplo, desde el firmware o directamente para QEMU. Se proporciona análisis de los parámetros de SMBIOS para determinar el inicio en un entorno de virtualización. Se ha implementado un nuevo modo 'si es seguro' en el que el certificado para UEFI Secure Boot se carga desde el ESP solo si se considera seguro (se ejecuta en una máquina virtual).
- La utilidad bootctl implementa la generación de tokens del sistema en todos los sistemas EFI, excepto en los entornos de virtualización. Se agregaron los comandos 'kernel-identify' y 'kernel-inspect' para mostrar el tipo de imagen del kernel e información sobre las opciones de la línea de comando y la versión del kernel, 'desvincular' para eliminar el archivo asociado con el primer tipo de registros de arranque, 'limpiar' para eliminar todos archivos del directorio "entry-token" en ESP y XBOOTLDR, no asociados con el primer tipo de registros de arranque. Se ha proporcionado el procesamiento de la variable KERNEL_INSTALL_CONF_ROOT.
- El comando 'systemctl list-dependencies' ahora admite el procesamiento de las opciones '--type' y '--state', y el comando 'systemctl kexec' agrega soporte para entornos basados en el hipervisor Xen.
- En los archivos .network en la sección [DHCPv4], ahora se ha agregado compatibilidad con las opciones SocketPriority y QuickAck, RouteMetric=high|medium|low.
- Systemd-repart agregó las opciones “--include-partitions”, “--exclude-partitions” y “--defer-partitions” para filtrar particiones por tipo de UUID, lo que, por ejemplo, le permite crear imágenes en las que se encuentra una partición. construido en base al contenido de otra partición. También se agregó la opción "--sector-size" para especificar el tamaño del sector utilizado al crear la partición. Se agregó soporte para la generación de archivos erofs. La configuración Minimizar implementa el procesamiento del "mejor" valor para seleccionar el tamaño de imagen mínimo posible.
- systemd-journal-remote permite el uso de las configuraciones MaxUse, KeepFree, MaxFileSize y MaxFiles para limitar el consumo de espacio en disco.
- systemd-cryptsetup agrega soporte para enviar solicitudes proactivas a tokens FIDO2 para determinar su presencia antes de la autenticación.
- Se agregaron nuevos parámetros tpm2-measure-bank y tpm2-measure-pcr a crypttab.
- systemd-gpt-auto-generator implementa el montaje de particiones ESP y XBOOTLDR en los modos “noexec,nosuid,nodev” y también agrega contabilidad para los parámetros rootfstype y rootflags pasados a través de la línea de comando del kernel.
- systemd-resolved proporciona la capacidad de configurar los parámetros de resolución especificando las opciones de servidor de nombres, dominio, network.dns y network.search_domains en la línea de comando del kernel.
- El comando "systemd-analyze plot" ahora tiene la capacidad de generar resultados en formato JSON al especificar el indicador "-json". También se han agregado nuevas opciones "--table" y "-no-legend" para controlar la salida.
- En 2023, planeamos finalizar el soporte para cgroups v1 y dividir las jerarquías de directorios (donde /usr se monta por separado de la raíz, o /bin y /usr/bin, /lib y /usr/lib están separados).
Fuente: opennet.ru