Systemd 249 süsteemihalduri väljaanne

Pärast kolme kuu arendust on esitatud süsteemi haldur systemd 249 väljalase. Uues väljaandes on tagatud kasutajate/rühmade määramine JSON-formaadis, stabiliseeritud Journal-protokoll, lihtsustatud järjepidevate kettasegmentide laadimise korraldamine, lisatud võimalus siduda BPF-programme teenustega, teostatud kasutajatunnuste kaardistamine paigaldatud sektsioonides, pakutud suur ports uusi võrgu seadeid ja võimalusi konteinerite käivitamiseks.

Peamised muudatused:

• Dokumendi Journal-protokoll, mida saab kasutada klientides syslog-protokolli asemel kohalike logikirjete edastamiseks, on dokumenteeritud. Journal-protokoll on juba üsna kaua rakendatud ja seda kasutatakse mõnedes klienditeekides, kuid ametlik tugi on nüüd alles välja kuulutatud.
• Userdb ja nss-systemd tagavad kasutajate täiendavate definitsioonide lugemise, mis on salvestatud kataloogidesse /etc/userdb/, /run/userdb/, /run/host/userdb/ ja /usr/lib/userdb/, kasutades JSON-formaati. Tuleb märkida, et antud võimalus pakub süsteemis lisamehhanismi kasutajate loomiseks, tagades nende täieliku integreerimise NSS-i ja /etc/shadow-iga. JSON-formaat kasutajate/rühmade kirjade jaoks võimaldab ka kasutajatele erinevaid ressursside haldamise parameetreid ja muid seadistusi, mida pam_systemd ja systemd-logind tunnevad ära.
• Nss-systemd tagab kasutaja/rühma kirjade sünteesi /etc/shadow-s, kasutades systemd-homed'i krüpteeritud paroole.
• On loodud mehhanism, mis lihtsustab uuenduste korraldamist, kasutades vahetatavaid kettaosa (üks osa aktiivne, teine varuosa — uuendus kopeeritakse varuosa juurde, pärast mida see muutub aktiivseks). Kui ketaspildil on kaks juuri- või /usr osa ja udev ei ole määranud parameetrit 'root=' või käivitatakse ketaspiltide töötlemine, mille on määranud valik '--image' utiliitides systemd-nspawn ja systemd-dissect, saab käivitamise osa arvutada GPT sildide võrdlemise kaudu (eeldatakse, et GPT sildil mainitakse osa sisu versiooninumbrit ja systemd valib osa, kus on tehtud värskendusi).
• Teenusefailidesse on lisatud seadistus BPFProgram, mille abil saab korraldada BPF-programmide laadimist ytuumasse ja nende haldamist, seostades need teatud systemd teenustega.
• systemd-fstab-generatorisse ja systemd-reparti on lisatud võimalus käivitada ketastelt, millel on ainult /usr osa ja ei ole juuriosa (juuriosa genereeritakse utiliidi systemd-repart poolt esimesel käivitamisel).
• Systemd-nspawnis on the option "—private-user-chown" has been replaced with a more universal variant "—private-user-ownership", which can accept values "chown" as the equivalent of "—private-user-chown", "off" to disable the old setting, "map" for mapping user IDs in mounted file systems, and "auto" to choose "map" if the necessary functionality is available in the kernel (5.12+) or fall back to recursive "chown" otherwise. By using mapping, files of one user on a mounted foreign partition can be mapped to another user in the current system, simplifying file sharing between different users. In the mechanism of portable home directories systemd-homed, mapping will allow users to move their home directories to external drives and use them on different computers where the user ID layout does not match.
• systemd-nspawnis on nüüd võimalik kasutada "identity" väärtust "--private-user" valikus, et otseselt peegeldada kasutaja ID-sid nimi ruumi seadistamisel. See tähendab, et UID 0 ja UID 1 konteineris peegelduvad UID 0 ja UID 1 hosti poolel, et vähendada rünnakute vektoreid (konteiner saab oma nime ruumis ainult protsessi õigusi).
• systemd-nspawnisse on lisatud "--bind-user" võimalus, et suunata konteinerisse kasutajakonto, mis on olemas hostkeskkonnas (konteinerisse mountitakse kodukaust, lisatakse kasutaja/grupi kirje ja UID-mapping hostkeskkonna ja konteineri vahel).
• systemd-ask-password ja systemd-sysusers on lisatud toega küsida seatud paroole (passwd.hashed-password.<user> ja passwd.plaintext-password.<user>) kasutades systemd 247 versioonis tutvustatud ohutut konfidentsiaalsete andmete edastamise mehhanismi, mis töötab ajutiste failide kaudu eraldi kataloogis. Vaikimisi aktsepteeritakse mandaate protsessilt PID1, mis saab need näiteks konteinerihalduse administraatorilt, võimaldades kasutaja parooli seadistamist esimesel käivitamisel.
• systemd-firstboot on lisanud toe konfidentsiaalsete andmete ohutuks edastamiseks erinevate süsteemi parameetrite pärimise jaoks, mida saab kasutada süsteemi seadistuste initsialiseerimiseks konteineripildi esmasel käivitamisel, kui kataloogis /etc ei ole vajalikke seadeid.
• Protsessis PID 1 käivitamise ajal on samaaegselt kuvatud üksuse nimi ja kirjeldus. Väljundi muutmiseks saab kasutada parameetrit „StatusUnitFormat=combined” failis system.conf või kernel'i käsurida „systemd.status-unit-format=combined”.
• Utiliitides systemd-machine-id-setup ja systemd-repart on lisatud võimalus „--image”, et edastada masinatuvastusfailid diskipiltidesse või suurendada diskipildi suurust.
• Systemd-repart utiliidi kasutatavasse sektsioonide konfigureerimisfaili on lisatud parameeter MakeDirectories, mida saab kasutada suvaliste kataloogide loomiseks loodavas failisüsteemis enne sektsioonide tabelisse peegeldamist (näiteks juursektsioonis montaažipunktide kataloogide loomiseks, et saaks kohe sektsiooni ainult lugemisrežiimis monteerida). GPT-lippude haldamiseks loodavates sektsioonides on lisatud vastavad parameetrid Flags, ReadOnly ja NoAuto. Parameetris CopyBlocks on rakendatud väärtus „auto”, et automaatselt valida praegune alglaadimissektsioon allikana blokki kopeerimiseks (näiteks olukordades, kus on vaja oma juursektsioon uuselle kandjale üle kanda).
• GPT-s on rakendatud lipp „grow-file-system“, mis sarnaneb x-systemd.growfs mountivaliku võimalustega ja tagab FS suuruse automaatse laiendamise plokkseadmestiku piiridesse, kui FS suurus on väiksem kui jaotus. Lipp on kohaldatav FS-i Ext3, XFS ja Btrfs jaoks ning seda saab rakendada automaatselt tuvastatavatele jaotustele. Lipp aktiveeritakse vaikimisi kirjutatavate jaotuste jaoks, mis luuakse automaatselt läbi systemd-repart. Lipp on systemd-repartis konfigureerimiseks lisatud valik GrowFileSystem.
• Failis /etc/os-release on rakendatud tugi uutele muutujaile IMAGE_VERSION ja IMAGE_ID, et määratleda aatomiliselt uuendatavate piltide versioon ja identifikaator. Märkide asendamiseks erinevates käskudes on pakutud spetsifikaatoreid %M ja %A.
• Tööriista portablectl on lisatud parameeter „—extension“, et aktiveerida ülekantavad süsteemi laienduspildid (näiteks nende kaudu saab levitada pilte koos lisateenustega, mis integreeritakse juurejaotusesse).
• Utiliit systemd-coredump võimaldab ELF-teabe build-id väljatõmbejate loomisel procesi core-dump'i koostamisel, mis aitab tuvastada, millisele paketile tõrke saanud protsess kuulub, kui teave deb- või rpm-pakettide nime ja versiooni kohta on ELF-failidesse sisestatud.
• Udevisse on lisatud uus seadme andmebaas FireWire (IEEE 1394) seadmetele.
• Udevisse on esquema net_id nimede valimiseks lisatud kolm muudatust, mis rikuvad tagasikäidavust: vigased sümbolid võetakse nimedes kasutusele '_' asemel; PCI hotplug slotide nimed s390 süsteemides töödeldakse kuueksandhälteses formaadis; lubatud on kasutada kuni 65535 sisseehitatud PCI-seadet (varem blokeeriti numbrid, mis ületasid 16383).
• Systemd-resolved on NTA (Negatiivsed Usaldusankrud) loendisse lisatud domeen «home.arpa», mis on soovitatav kohalike koduvõrkude jaoks, kuid ei rakendu DNSSEC-is.
• CPUAffinity parameetris on tagatud spetsifikaatorite '%' käsitlemine.
• Failidesse «.network» on lisatud parameeter ManageForeignRoutingPolicyRules, mida saab kasutada systemd-networkd-s väliste marsruutimise poliitikate töötlemise välistamiseks.
• Failides „.network“ on lisatud parameeter RequiredFamilyForOnline, mis määrab IPv4 või IPv6 aadressi olemasolu kui märgi selle võrgu liidese olekust „online“. Networkctl tagab igas linkis oleku „online“ kuvamise.
• Failides „.network“ on lisatud parameeter OutgoingInterface, mis määrab väljaminevad liidesed võrgu sildade seadistamisel.
• Failides „.network“ on lisatud parameeter Group, mis võimaldab seadistada Multipathi rühma „[NextHop]“ sektsiooni kirjade jaoks.
• Systemd-network-wait-online-sse on lisatud valikud „-4“ ja „-6“, et oodata ühendust ainult IPv4 või IPv6 jaoks.
• DHCP-serveri seadistustesse on lisatud parameeter RelayTarget, mis viib serveri DHCP Relay režiimi. DHCP-relay lisaseadistuseks on ette nähtud valikud RelayAgentCircuitId ja RelayAgentRemoteId.
• DHCP-serverisse on lisatud parameeter ServerAddress, mis võimaldab selgelt määrata serveri IP-aadressi (kui mitte, valitakse aadress automaatselt).
• DHCP-serveris on rakendatud sektsioon [DHCPServerStaticLease], mis võimaldab seadistada staatilisi aadressi kinnitusi (DHCP lease), määrates fikseeritud IP-de ja MAC-aadresside vahelised sidemed ning vastupidi.
• RestrictAddressFamilies seadist on implementeeritud tugi väärtusele "none", mille puhul ei saa teenus kasutada ühtegi aadressipere sokkleid.
• Failides ".network" sektsioonides [Address], [DHCPv6PrefixDelegation] ja [IPv6Prefix] on rakendatud RouteMetric seadistuse tugi, mis võimaldab määrata mõõdikud määratud aadressi jaoks loodud marsruudi prefiksile.
• Nss-myhostname'is ja systemd-resolved'is on tagatud DNSi rekordite süntees, millel on spetsiaalse nimega "_outbound" hostide aadressid, mille puhul antakse alati välja kohalik IP, mis valitakse vaikimisi kasutatavate marsruutide alusel väljuvate ühenduste jaoks.
• .network failidesse on lisatud sektsiooni "[DHCPv4]" vaikimisi aktiivne seadistus RoutesToNTP, mis ette nähtud eraldi marsruudi lisamiseks praeguse võrgu liidese kaudu NTP-serveri aadressile, mis on saadud selle liidese kaudu DHCP teemal (sarnaselt DNS seadistusele võimaldab see tagada, et NTP-serveri liiklus suunatakse läbi liidese, mille kaudu see aadress saadi).
• Lisatud seadistused SocketBindAllow ja SocketBindDeny soklitele ligipääsu haldamiseks, mis on seotud praeguse teenusega.
• Unit-failide jaoks on rakendatud tingimuslik seadistus ConditionFirmware, mis võimaldab luua kontrollid, mis hindavad püsivara funktsioone, näiteks töötamist UEFI süsteemides ja device.tree, ning kontrollida ühilduvust teatud device-tree võimalustega.
• Rakendatud on valik ConditionOSRelease, et kontrollida väljade väärtusi failis /etc/os-release. Väärtuste kontrollimise tingimuste määramisel on lubatud operaatorid „=”, „!=”, „<”, „=”, „>”.
• Utilities hostnamectl käskude vormide „get-xyz” ja „set-xyz” eelised on eemaldatud, näiteks „hostnamectl get-hostname” ja „hostnamectl set-hostname” asemel saab kasutada käsku „hostnamectl hostname”, mille väärtuse määramine toimub täiendava argumendi näitamise kaudu („hostnamectl hostname value”). Vanade käskude tugi on säilitatud ühilduvuse tagamiseks.
• Utilities systemd-detect-virt ja seadistuse ConditionVirtualization tagavad Amazon EC2 keskkondade korrektse tuvastamise.
• Unit-failides rakendatud LogLevelMax seadistus kehtib nüüd mitte ainult teenuse genereeritud logisõnumitele vaid ka PID 1 protsessi sõnumitele, milles mainitakse teenust.
• Systemd-boot EFI PE failidesse on nüüd lisatud võimalus sealhulgas andmeid SBAT (UEFI Secure Boot Advanced Targeting).
• Faili /etc/crypttab on võimalikud uued valikud «headless» ja «password-echo» — esimene võimaldab vahele jätta kõik kasutaja interaktiivsete paroolide ja PIN-koodide küsimise toimingud, teine aga annab võimaluse seada parooli sisestamise meetodi (mitte näidata, näidata sümbol-sümbolilt ja kuvada tärne). Systemd-ask-passwordile on sarnaste eesmärkide jaoks lisatud valik «—echo».
• Systemd-cryptenrollis, systemd-cryptsetupis ja systemd-homedis on laiendatud LUKS2 krüpteeritud partitionide lukust avamise toetust FIDO2 tokenite abil. Uued valikud «—fido2-with-user-presence», «—fido2-with-user-verification» ja «—fido2-with-client-pin» on lisatud kasutaja füüsilise kohalolu, autentimise ja PIN-koodi sisestamise haldamiseks.
• Systemd-journal-gatewaydis on lisatud valikud «—user», «—system», «—merge» ja «—file», mis on sarnased journalctl-i sama nimega valikutele.
• Lisaks otsestele sõltuvustele üksuste vahel, mis on määratud parameetrite OnFailure ja Slice kaudu, on lisatud toetust kaudsetele tagasisuhtetele OnFailureOf ja SliceOf, mis võivad olla kasulikud näiteks kõigi unit-ide määratlemiseks, mis kuuluvad slice'i.
• Unit'ide vahel on lisatud uusi sõltuvustüüpe: OnSuccess ja OnSuccessOf (vastupidine OnFailure, mis aktiveerub edukal lõpetamisel); PropagatesStopTo ja StopPropagatedFrom (mis võimaldavad stop-sündmuse edastamist ühest unit'ist teise); Upholds ja UpheldBy (alternatiiv Restartile).
• Systemd-ask-password utiliidis on ilmunud valik „—emoji“, et hallata lukusümboli (🔐) kuvamist parooli sisestamise real.
• Lisatud on dokumentatsioon systemd algteksti puu struktuuri kohta.
• Unit'idele on lisatud omadus MemoryAvailable, mis näitab, kui palju mälu jääb unit'ile kasutamiseks enne määratud piiri saavutamist, mida on seadistatud MemoryMax, MemoryHigh või MemoryAvailable parameetrite kaudu.

Allikas: opennet.ru