Systemd süsteemihalduri väljaanne 257

Pärast poole aastast arendust on välja antud süsteemihaldur systemd 257. Peamised muutused: uued utiliidid systemd-sbsign ja systemd-keyutil, MPTCP toe lisamine sokli aktiveerimise korral, algtugi Musli C-raamatukoguga koostamiseks, utiliit updatectl, et hallata uuenduste installimist läbi systemd-sysupdate, võimalus käivitada teenuseid eraldi PID namespace'is, kaitse juhusliku faili kustutamise eest, kasutades «systemd-tmpfiles --purge».

Uue väljaande muudatused:

• Lisatud on uus utiliit systemd-sbsign, et allkirjastada PE (Portable Executable) formaadis käivitatavaid faile digitaalsete allkirjadega, mis on mõeldud EFI Secure Boot režiimis käivitamiseks. Allkirja genereerimiseks võivad kasutada OpenSSL raamatukogu pakutavad mootorid ja teenusepakkujad. Systemd-sbsign võib töötada alternatiivina rakendustele sbsigntool ja pesign utiliidis ukify, kui luuakse universaalsed kernel'i pildid UKI (Unified Kernel Image), mis ühendavad ühte faili UEFI käivitaja (UEFI boot stub), Linux'i kernel'i pildi ja alglaadimiseks vajaliku keskkonna initrd.
• Lisatud on uus tööriist systemd-keyutil, mis võimaldab erinevaid toiminguid privaatsete võtmete ja X.509 sertifikaatidega. Näiteks saab systemd-keyutil'i kasutada privaatsete võtmete ja sertifikaatide laadimisvõimekuse kontrollimiseks ning avatud võtmete väljavõtmiseks PEM formaadis.
• Unit-e „.socket“, mida kasutatakse sokli aktiveerimise mehhanismi toetamiseks (protsesside käivitamine, kui püütakse seadistada võrguühendust), on rakendatud MPTCP (Multipath TCP) toemet, TCP protokolli laiendust, et korraldada TCP-ühenduse töö, edastades pakette samaaegselt mitme marsruudi kaudu erinevate võrgu liideste kaudu, mis on seotud erinevate. IP-aadressidega.
• Kompositsioon sisaldab muudatusi, mis on vajalikud standardse C-teegi Musl kasutamisega ehitamiseks.
• Systemd erinevates komponentides, mis kuvavad toimingute edenemise näitajaid (nt systemd-repart, systemd-sysupdate/updatectl ja importctl), on lisatud võimalus kasutada ANSI-jadasid edusammude animatsiooniks. Hetkel toetavad sellised jadad vaid Windows Terminalit (oodatakse, et tulevikus toodi see võimalus ka Linuxi terminaliemulaatoritesse).
• Systemd-sysupdate komponenti on laiendatud automaatseks värskenduste tuvastamiseks, allalaadimiseks ja installimiseks, kasutades aatomilist osade, failide või kataloogide asendamise mehhanismi (kasutatakse kahte sõltumatut osi/faili/katalooge, millest ühes on praegu töötav ressurss ja teises paigaldatakse järgmine värskendus, pärast mida vahetatakse osad/failid/kataloogid omavahel). Praktiliselt rakendatakse systemd-sysupdate juba GNOME OS-is.

  Lisaks systemd-sysupdate protsessile on lisatud samanimeline teenus, mis võimaldab D-Bus'i kaudu süsteemi uuendamise haldamist privileegideta kasutajale. Teenuse haldamiseks on lisatud ka uus utiliit updatectl. Systemd-sysupdate'isse on lisatud lipp „—offline“, et keelata andmete allalaadimine võrgust ja kasutada ainult juba kohalikke versioone. Kõikidele käskudele on lisatud toetus väljundi jaoks JSON formaadis.
• Teenuste jaoks on juurutatud uus omadus „PrivatePIDs“, mille abil saab korraldada protsesside käivitamist PID 1 (init-protsessi) eraldi protsesside identifikaatorite (PID namespace) ruumis. Käivitatava protsessi keskkonnas on nähtavad ainult protsessid, mis kuuluvad loodud nimede ruumi.
• Udev reeglitesse on lisatud juhtmete sidumise toetus, mis ei pööra tähelepanu tähemärkide registrile (nt 'ATTR{foo}=="abcd"'). Udev võimaldab privileegideta kohalikelt kasutajatelt ligipääsu seadmele /dev/udmabuf, mis on vajalik IPMI-kaamerate kasutamiseks libcamera kaudu. Udev'is on tagatud erinevate USB-liidese krüptokottide tuvastamine ning neile omistatakse ID_HARDWARE_WALLET atribuudi väärtus, mis võimaldab rakendada neile „uaccess” režiimi privileegideta kasutajate ligipääsuks.
• Failile /etc/os-release on lisatud uued väljad RELEASE_TYPE, EXPERIMENT ja EXPERIMENT_URL. „RELEASE_TYPE” võib omada väärtusi „experimental”, „development”, „stable” ja „lts”, et eristada stabiilseid versioone arenduses ja eksperimentaalseid kogusid. Parameetrid EXPERIMENT ja EXPERIMENT_URL on mõeldud eksperimentaalse kogumise olemuse selgitamiseks.
• Run0 utiliiti, mida arendatakse sudo programmi asendajana, on lisatud valik „—shell-prompt-prefix”, mis määrab käsurea tõukepreksi. Vaikimisi kuvatakse preksi jaoks emoji „🦸”, et visuaalselt eristada suurenenud privileegidega seanssi.
• Systemd-tmpfiles'i puhul, et vältida vale failide kustutamist, rakendatakse võimalust «—purge» nüüd ainult tmpfiles.d/ seadetele, millele on selgelt määratud lipp «$». «—purge» toimingu täitmiseks on nüüd samuti vajalik määrata vähemalt üks fail tmpfiles.d/ kaustast. Tüüpide 'L' ridadele on lisatud lipp '?', mille määramine võimaldab sümboolse lingi loomist ainult siis, kui sihtfail on olemas.
• Teenuste halduris ja seotud utiliitides jätkatakse protsesside jälgimise koodi tõlkimist PIDFD kasutamise suunas asendades PID. PIDFD identifikaator on seotud konkreetse protsessiga ja ei muutu, samas kui PID võib pärast praeguse PID-ga seotud protsessi lõpetamist olla seotud mõne teise protsessiga.
• Teenuste jaoks on rakendatud võimalus määrata parameetrisse «RestartMode» väärtus «debug», mille korral taaskäivitamine ebaõnnestunud teenusest toimub koos silumisrežiimi aktiveerimisega (seatud keskkonnamuutuja DEBUG_INVOCATION=1), ning LogLevelMax väärtus tõstetakse ajutiselt silumisrežiimi tasemele.
• PID 1 töötlejas on lisatud võimalus laadida LSM-mooduli IPE (Integrity Policy Enforcement) reegleid, mis määratlevad süsteemi terviklikkuse tagamise poliitika (millised toimingud on lubatud ja kuidas autentida komponente).
• Unit-failidesse ‘.timer’ on lisatud valik ‘DeferReactivation’, mis võimaldab mööda vaadata järgmise aktiveerimise ajast, kui teenus ei ole veel lõpetanud oma tööd alates eelmisest aktiveerimisest.
• Unit-failide parameetris PrivateUsers on lisatud võimalus määrata väärtus ‘identity’, et võimaldada kasutaja identifikaatorite kaardistamist nimede ruumi (user namespace) loomisel.
• Unit-failide parameetris PrivateTmp on lisatud tugi väärtusele ‘disconnected’, mille puhul kasutatakse kataloogide /tmp/ ja /var/tmp/ jaoks eraldatud tmpfs eksemplare.
• Unit-failide parameetris ProtectControlGroups on lisatud tugi uutele režiimidele ‘private’ ja ‘strict’, mille määramisel luuakse teenusele uus cgroup nimede ruum (cgroup namespace) ja mountitakse cgroupfs. Kui valitakse võimalus ‘strict’, siis mountitakse cgroupfs ainult lugemise režiimis.
• StateDirectory, RuntimeDirectory, CacheDirectory, LogsDirectory ja ConfigurationDirectory konfiguratsioonides on lisatud võimalus kasutada ':ro' lippu, et piirata juurdepääsu vastavatele kataloogidele ainult lugemisrežiimis.
• Kernikomandis 'systemd.machine_id' on lisatud tugi väärtusele 'firmware', mille puhul süsteemi identifikaator (machine ID) arvutatakse SMBIOS'i/DeviceTree’i UUID põhjal.
• Lisatud on tugi süsteemikutsete jaoks mseal(), listmount() ja statmount(), mis on ilmunud hiljuti Linuxi kernides.
• Tööriistades resolvectl, timedatectl ja systemd-inhibit on lisatud interaktiivse autoriseerimise tugi Polkit'i kaudu.
• Tööriista systemctl on lisatud võimalus kasutada lippu '—now' käsus 'reenable'.
• Tööriista systemd-mount on lisatud valik '—json', et väljund oleks JSON formaadis (nt, kui see on koos '—list-devices' varem määratud, siis on seadmete loetelu saadaval JSON formaadis).
• Tööriista 'localectl' on lisatud valikud '-l' ja '—full', et keelata pika ridade kärpimise väljundis.
• Failis sleep.conf on lisatud valik HibernateOnACPower, mis võimaldab edasi lükata sügavale särkudele vahetuse, kuni seade on lahti ühendatud statsionaarsetest toiteallikatest.
• systemd-sysusers-s on lisatud "u" ridadele toetust modifikaatorile "!", mille abil on võimalik luua täielikult blokeeritud kasutajakontosid (varem kasutati kasutaja blokeerimiseks valede paroolide seadmist, mis ei viinud näiteks SSH võtmega autentimisel blokeerimiseni).
• systemd-coredump-s on lisatud "EnterNamespace" suvand, mis annab juurdepääsu kõigi hädaolukordades lõpetatud protsesside montažipunktide ruumi, et hankida nende silumise sümboleid. Praktiliselt võib suvand olla kasulik rakenduste core-failide tagumise jälje (backtrace) korraldamiseks, kui neid käitatud isoleeritud konteinerites.
• systemd-logind'is on Activates Ctrl-Alt-Shift-Esc combination for signaling the user environment components with org.freedesktop.login1.SecureAttentionKey to request the secure login dialog. The 'DesignatedMaintenanceTime' setting has been implemented for automatic scheduling of shutdowns at specified times. Similar to DRM devices and evdev support, access configuration for unprivileged users to hidraw devices (game controllers and joysticks) has been added.
• systemd-machined has been extended to allow registration by unprivileged clients virtuaalmasinad and containers. Access to systemd-machined functionality is provided through the Varlink API, in addition to D-Bus.
• A new section '[IPv6AddressLabel]' has been added to the networkd.conf configuration file for setting labels and prefixes for IPv6 addresses.
• The command 'networkctl edit' has been enhanced with the '--stdin' option to read file contents from standard input. Support for editing and displaying .netdev files via the 'networkctl edit' and 'networkctl cat' commands has been introduced by specifying the network interface. The '--no-ask-password' option has been added to disable interactive authentication.
• Ukify utiliitidesse, bootctl, systemd-keyutil, systemd-measure, systemd-repart ja systemd-sbsign on lisatud võimalus „—certificate-source”, et laadida X.509 sertifikaat OpenSSL pakkuja kaudu, mitte otse failist.
• Systemd-bootis on lisatud helituunimise nuppude kasutamise võimalus, et liikuda üles ja alla käivitamismenüüs, mis on kasulik seadmetele nagu nutitelefonid. Bootctl utiliidis on lisatud tugi UEFI Secure Boot andmebaasi installimiseks ESL (db/dbx/…) formaadis systemd-boot jaoks.
• Journalctl-is on lisatud valik „—list-invocation”, et kuvada üksuste kutsumise nimekiri, ja valik „—invocation” („-I”), et kuvada logisid, mis on seotud ainult konkreetse kutsumisega.
• Systemd-nspawnis on lisatud privileegidevaba FUSE (Filesystem in Userspace) kasutamise tugi konteinerites. Valiku „—bind-user” kasutamisel tagatakse SSH-võtmete ülekandmine konteinerisse, mis on vajalik SSH-juurdepääsuks.
• Libsystemd-sse on lisatud uus rakendusliides „sd-json”, mis kasutab JSON-formaati, ja liides „sd-varlink”, mis kasutab IPC Varlinki.
• Soovitav põhituuma versioon on tõstetud 2019. aastal välja antud versioonini 5.4. Järgmise aasta plaanides on lõpetada vanemate tuumade toetamine ning määratleda versioon 5.4 minimaalselt toetatavaks põhiversiooniks.
• Cgroups v1 tugi on tunnistatud aegunuks ja vaikimisi keelatud (kui soovite seda käivitada, tuleb kernelikäsureas määrata SYSTEMD_CGROUP_ENABLE_LEGACY_FORCE=1, lisaks systemd seadete aktiveerimisele). Järgmise väljaande systemd 258 plaanib täielikult eemaldada koodi, mis on seotud cgroups v1-ga. Versioonis systemd 258 on samuti plaanis eemaldada System V teenuste skriptide tugi.

Allikas: opennet.ru