Systemd 249 süsteemi halduri väljaanne

Pärast kolme kuud kestnud arendustööd on välja antud süsteemihalduri systemd 249 versioon. Uues väljalaskes lisati kasutajate/rühmade määratlemise võimalus JSON-vormingus, stabiliseeriti Journali protokoll, lihtsustati teineteist asendavate kettapartitsioonide alglaadimise korraldust, lisati võimalus siduda BPF-programme teenustega, rakendati kasutajaidentifikaatorite vastendamine haagitud partitsioonides ning pakuti suur hulk uusi võrguseadeid ja võimalusi konteinerite käivitamiseks.

Peamised muudatused:

• Dokumenteeriti Journali protokoll, mida saab klientides kasutada syslogi protokolli asemel logikirjete kohalikuks edastamiseks. Journali protokoll on olemas olnud juba üsna kaua ja seda kasutatakse juba mõnes klienditeegis, kuid ametlik tugi kuulutati välja alles nüüd.
• Rakendustes userdb ja nss-systemd lisati tugi JSON-vormingus määratud täiendavate kasutajakirjelduste lugemiseks kataloogidest /etc/userdb/, /run/userdb/, /run/host/userdb/ ja /usr/lib/userdb/. Märgitakse, et see võimalus annab täiendava mehhanismi kasutajate loomiseks süsteemis, tagades sellele täieliku integratsiooni NSS-i ja /etc/shadow'ga. JSON-vormingu tugi kasutaja-/rühmakirjete jaoks võimaldab samuti siduda kasutajatega erinevaid ressursihalduse parameetreid ja muid seadeid, mida tunnevad ära pam_systemd ja systemd-logind.
• Rakenduses nss-systemd lisati kasutaja-/rühmakirjete sünteesimine failis /etc/shadow, kasutades systemd-homedist pärit räsidega paroole.
• Rakendati mehhanism, mis lihtsustab uuenduste korraldamist teineteist asendavate kettapartitsioonide abil (üks partitsioon on aktiivne ja teine varupartitsioon — uuendus kopeeritakse varupartitsioonile, misjärel see muutub aktiivseks). Kui kettatõmmises on kaks juur- või /usr-partitsiooni, kuid udev ei tuvasta parameetrit ‘root=’ või kui töödeldakse kettatõmmiseid, mis on määratud utiliitides systemd-nspawn ja systemd-dissect valikuga «—image», saab alglaadimiseks kasutatava partitsiooni määrata GPT siltide võrdlemise teel (eeldatakse, et GPT silt sisaldab viidet partitsiooni sisu versiooninumbrile ning systemd valib partitsiooni, mille muudatused on uuemad).
• Teenusefailidesse lisati seadistus BPFProgram, mille abil saab korraldada BPF-programmide laadimise kernelisse ja nende haldamise, sidudes need kindlate systemd teenustega.
• Rakendustesse systemd-fstab-generator ja systemd-repart lisati tugi käivitamiseks ketastelt, millel on ainult /usr-partitsioon ja puudub juurpartitsioon (juurpartitsiooni loob utiliit systemd-repart esimese käivitamise ajal).
• Rakenduses systemd-nspawn asendati valik «—private-user-chown» universaalsema variandiga «—private-user-ownership», mis võib võtta väärtused «chown» kui valiku «—private-user-chown» ekvivalendi, «off» vana seadistuse keelamiseks, «map» kasutajaidentifikaatorite vastendamiseks haagitud failisüsteemides ning «auto», et valida «map», kui kernelis on vajalik funktsionaalsus olemas (5.12+), või vastasel juhul lülituda tagasi rekursiivsele «chown» väljakutsele. Vastendamise abil saab haagitud võõral partitsioonil oleva ühe kasutaja failid siduda praeguses süsteemis teise kasutajaga, mis lihtsustab failide jagamist eri kasutajate vahel. Kaasaskantavate kodukataloogide mehhanismis systemd-homed võimaldab vastendamine kasutajatel teisaldada oma kodukatalooge välistele andmekandjatele ja kasutada neid eri arvutites, kus kasutajaidentifikaatorite jaotus ei lange kokku.
• Rakenduses systemd-nspawn saab valikus «—private-user» nüüd kasutada väärtust «identity», et peegeldada kasutajaidentifikaatoreid nimiruumide (user namespace) seadistamisel otse, st konteineri UID 0 ja UID 1 peegelduvad hosti poolel UID 0 ja UID 1-na, et vähendada ründevektoreid (konteiner saab protsessi õigused ainult oma nimiruumis).
• Rakendusse systemd-nspawn lisati valik «—bind-user», mis võimaldab edastada konteinerisse hostkeskkonnas olemasoleva kasutajakonto (konteinerisse haagitakse kodukataloog, lisatakse kasutaja-/grupikirje ning tehakse UID vastendus konteineri ja hostkeskkonna vahel).
• Teenustesse systemd-ask-password ja systemd-sysusers lisati tugi seadistatavate paroolide (passwd.hashed-password. ja passwd.plaintext-password.) küsimiseks, kasutades systemd 247 väljalaskes kasutusele võetud mehhanismi tundlike andmete turvaliseks edastamiseks eraldi kataloogis olevate vahefailide kaudu. Vaikimisi võetakse mandaadid vastu PID1 protsessilt, mis saab need näiteks konteinerihaldurilt, võimaldades seadistada kasutaja parooli esmakäivituse ajal.
• Teenusesse systemd-firstboot lisati tugi tundlike andmete turvalise edastamise mehhanismi kasutamiseks erinevate süsteemiparameetrite küsimisel. Seda saab kasutada süsteemiseadete lähtestamiseks konteineritõmmise esmakordsel käivitamisel, kui kataloogis /etc puuduvad vajalikud sätted.
• PID 1 protsessis tagati alglaadimise ajal ühiku nime ja kirjelduse samaaegne kuvamine. Väljundit saab muuta parameetriga «StatusUnitFormat=combined» failis system.conf või kerneli käsurea võtmega «systemd.status-unit-format=combined».
• Utiliitidele systemd-machine-id-setup ja systemd-repart lisati valik «—image», et edastada masina identifikaatoriga fail kettatõmmisesse või suurendada kettatõmmise mahtu.
• Utiliidi systemd-repart kasutatavasse partitsioonide seadistusfaili lisati parameeter MakeDirectories, mida saab kasutada suvaliste kataloogide loomiseks loodavas failisüsteemis enne partitsioonitabelis kajastamist (näiteks juurpartitsiooni haakepunktide kataloogide loomiseks, et partitsiooni saaks kohe ühendada kirjutuskaitstud režiimis). Loodavates partitsioonides GPT-lippude haldamiseks lisati vastavad parameetrid Flags, ReadOnly ja NoAuto. Parameetris CopyBlocks rakendati väärtus «auto», et valida plokkide kopeerimisel allikaks automaatselt aktiivne alglaadimispartitsioon (näiteks juhul, kui on vaja oma juurpartitsioon uuele andmekandjale üle viia).
• GPT-s on kasutusele võetud lipp «grow-file-system», mis sarnaneb ühendamisvalikule x-systemd.growfs ja laiendab failisüsteemi suuruse automaatselt plokkseadme piirideni, kui failisüsteemi maht on partitsioonist väiksem. Lippu saab kasutada Ext3-, XFS- ja Btrfs-failisüsteemidega ning seda saab rakendada automaatselt tuvastatud partitsioonidele. Vaikimisi lubatakse lipp kirjutatavatele partitsioonidele, mis luuakse automaatselt systemd-reparti kaudu. Lipu seadistamiseks on systemd-reparti lisatud valik GrowFileSystem.
• Failis /etc/os-release on lisatud tugi uutele muutujatele IMAGE_VERSION ja IMAGE_ID, et määrata aatomvärskendatavate tõmmiste versioon ja identifikaator. Nende väärtuste asendamiseks erinevates käskudes on kasutusele võetud spetsifikaatorid %M ja %A.
• Utiliiti portablectl on lisatud parameeter «—extension» süsteemilaienduste kaasaskantavate tõmmiste aktiveerimiseks (näiteks saab nende kaudu levitada täiendavate teenustega tõmmiseid, mis integreeritakse juurpartitsiooni).
• Utiliidis systemd-coredump on lisatud ELF-i build-id teabe väljavõtmine protsessi core-dump’i loomisel, mis võib olla kasulik selle määramisel, millise paketiga on kokkujooksnud protsess seotud, kui deb- või rpm-paketi nime ja versiooni teave on ELF-failidesse sisse ehitatud.
• udev-i on lisatud uus riistvaraandmebaas FireWire’i (IEEE 1394) seadmete jaoks.
• udev-i võrguliideste nimede valiku skeemi «net_id» on lisatud kolm tagasiühilduvust rikkuvat muudatust: vigased märgid liideste nimedes asendatakse nüüd sümboliga «_»; s390 süsteemide PCI hotplug-pesade nimesid töödeldakse nüüd kuueteistkümnendarvudena; lubatud on kasutada kuni 65535 sisseehitatud PCI-seadet (varem blokeeriti numbrid üle 16383).
• systemd-resolvedi NTA (Negative Trust Anchors) loendisse on lisatud domeen «home.arpa», mida soovitatakse kohalike koduvõrkude jaoks, kuid mida DNSSEC-is ei kasutata.
• Parameetris CPUAffinity on lisatud «%» spetsifikaatorite parsimise tugi.
• Failidesse «.network» on lisatud parameeter ManageForeignRoutingPolicyRules, mida saab kasutada väliste marsruutimispoliitikate töötlemise välistamiseks systemd-networkd-s.
• Failidesse «.network» on lisatud parameeter RequiredFamilyForOnline, millega saab määrata IPv4- või IPv6-aadressi olemasolu märgina sellest, et võrguliides on olekus «online». Utiliidis networkctl on tagatud oleku «online» kuvamine iga lingi jaoks.
• Failidesse «.network» on lisatud parameeter OutgoingInterface, millega saab võrgusildade seadistamisel määrata väljaminevad liidesed.
• Failidesse «.network» on lisatud parameeter Group, mis võimaldab seadistada sektsiooni «[NextHop]» kirjete jaoks Multipath-grupi.
• Rakendusele systemd-network-wait-online on lisatud võtmed «-4» ja «-6», et piirata ühenduse ootamist ainult IPv4 või IPv6 jaoks.
• DHCP-serveri seadistusse on lisatud parameeter RelayTarget, mis lülitab serveri DHCP Relay režiimi. DHCP-relee täpsemaks seadistamiseks on lisatud valikud RelayAgentCircuitId ja RelayAgentRemoteId.
• DHCP-serverisse on lisatud parameeter ServerAddress, mis võimaldab serveri IP-aadressi selgesõnaliselt määrata (vastasel juhul valitakse aadress automaatselt).
• DHCP-serveris on kasutusele võetud sektsioon [DHCPServerStaticLease], mis võimaldab seadistada staatilisi aadressisidumisi (DHCP leases), määrates püsivad IP-seosed MAC-aadressidega ja vastupidi.
• Sätte RestrictAddressFamilies puhul on lisatud väärtuse «none» tugi; selle määramisel ei ole teenusel ligipääsu ühegi aadressiperekonna soklitele.
• Failides «.network» on sektsioonides [Address], [DHCPv6PrefixDelegation] ja [IPv6Prefix] lisatud RouteMetricu seadistamise tugi, mis võimaldab määrata konkreetse aadressi jaoks loodud marsruudiprefiksi meetrika.
• Rakendustes nss-myhostname ja systemd-resolved on tagatud DNS-kirjete süntees aadressidega hostidele erinimega «_outbound», mille puhul tagastatakse alati kohalik IP, mis valitakse väljaminevate ühenduste jaoks kasutatavate vaikemarsruutide alusel.
• Failidesse .network on sektsiooni «[DHCPv4]» lisatud vaikimisi aktiivne säte RoutesToNTP, mis nõuab eraldi marsruudi lisamist praeguse võrguliidese kaudu, et pääseda ligi selle liidese jaoks DHCP abil saadud NTP-serveri aadressile (sarnaselt DNS-iga aitab see tagada, et liiklus NTP-serverisse suunatakse läbi sama liidese, mille kaudu see aadress saadi).
• Lisatud on sätted SocketBindAllow ja SocketBindDeny, millega saab hallata ligipääsu praeguse teenusega seotud soklitele.
• Unit-failide jaoks on lisatud tingimuslik säte ConditionFirmware, mis võimaldab luua kontrolle püsivara funktsioonide hindamiseks, näiteks töö UEFI- ja device.tree-süsteemides, ning kontrollida ühilduvust device-tree konkreetsete võimalustega.
• Rakendati valik ConditionOSRelease väljade kontrollimiseks failis /etc/os-release. Väljade väärtuste kontrollitingimuste määramisel on lubatud operaatorid «=», «!=», «<», «=», «>».
• Utiliidis hostnamectl eemaldati käskudelt kujul «get-xyz» ja «set-xyz» eesliited «get» ja «set». Näiteks käskude «hostnamectl get-hostname» ja «hostnamectl set-hostname» asemel saab kasutada käsku «hostnamectl hostname», kus väärtuse määramine toimub täiendava argumendi lisamisega («hostnamectl hostname value»). Vanade käskude tugi on ühilduvuse tagamiseks säilitatud.
• Utiliidis systemd-detect-virt ja seadistuses ConditionVirtualization tagati Amazon EC2 keskkondade korrektne tuvastamine.
• Seadistus LogLevelMax unit-failides rakendub nüüd mitte ainult teenuse loodud logisõnumitele, vaid ka PID 1 protsessi sõnumitele, milles teenust mainitakse.
• Lisati võimalus kaasata SBAT-andmed (UEFI Secure Boot Advanced Targeting) systemd-boot EFI PE failidesse.
• Failis /etc/crypttab rakendati uued valikud «headless» ja «password-echo» — esimene võimaldab vahele jätta kõik toimingud, mis on seotud kasutajalt parooli ja PIN-koodi interaktiivse küsimisega, teine aga võimaldab seadistada paroolisisestuse kuvamise viisi (mitte midagi näidata, kuvada sümbolid ükshaaval või näidata tärne). Utiliiti systemd-ask-password lisati samal eesmärgil valik «--echo».
• Rakendustes systemd-cryptenroll, systemd-cryptsetup ja systemd-homed laiendati LUKS2 krüptitud partitsioonide avamise tuge FIDO2 tokenite abil. Lisati uued valikud «--fido2-with-user-presence», «--fido2-with-user-verification» ja «--fido2-with-client-pin», et juhtida kasutaja füüsilise kohaloleku kontrolli, verifitseerimist ja PIN-koodi sisestamise vajadust.
• Süsteemi systemd-journal-gatewayd lisati valikud «--user», «--system», «--merge» ja «--file», mis on analoogsed journalctl samanimeliste valikutega.
• Lisaks unit-ite vahelistele otsestele sõltuvustele, mida määratakse parameetritega OnFailure ja Slice, lisati tugi kaudsetele pöördsõltuvustele OnFailureOf ja SliceOf, mis võivad olla kasulikud näiteks kõigi slice'i kuuluvate unit-ite määratlemisel.
• Lisati uued unit-itevahelised sõltuvustüübid: OnSuccess ja OnSuccessOf (OnFailure vastand, mis käivitatakse eduka lõpetamise korral); PropagatesStopTo ja StopPropagatedFrom (võimaldavad levitada unit-i peatamissündmust teisele unit-ile); Upholds ja UpheldBy (alternatiiv Restart-ile).
• Utiliidile systemd-ask-password lisati valik «—emoji», millega saab juhtida lukusümboli (🔐) kuvamist parooli sisestusreas.
• Lisatud on dokumentatsioon systemd lähtekoodipuu struktuuri kohta.
• Unit-idele lisati omadus MemoryAvailable, mis näitab, kui palju mälu on unit-il veel varuks enne parameetritega MemoryMax, MemoryHigh või MemoryAvailable määratud limiidi saavutamist.

Allikas: opennet.ru