systemd 261 ja liberated-systemd 261

Pärast kolme kuu arendustööd saadaval süsteemi haldurite väljalase systemd 261. Peamised muudatused: disain API toetamiseks vanuse verifitseerimiseks, toetamine Kexec Handover ja Live Update Orchestration alamsüsteemide jaoks, mis võimaldavad taaskäivitamist ilma olekut kaotamata, IMDS (Instantsi Metainfo Teenus), käivitusprotsessi kaitse funktsionaalsus süsteemides, kus ei ole füüsilist TPM (Usaldusväärne Platvormi Moodul), komponent systemd-sysinstall, mis rakendab installijat.

Sealhulgas muudatused uus väljaanne:

• Uus komponent systemd-sysinstall rakendab lihtsat operatsiooni installijat, mida saab hallata käsurealt või interaktiivse tekstipõhise liidese kaudu. systemd-sysinstall’i funktsionaalsus põhineb juba olemasolevatel systemd omadustel: kettaosade seadmiseks kasutatakse systemd-repart, tuumade paigaldamiseks ja käivitamise menüü genereerimiseks – käsk „bootctl link”, laadija paigaldamiseks systemd-boot – käsk „bootctl install”, paigaldatava süsteemi esialgseks konfigureerimiseks (nt keele ja klaviatuuripaigutuse valimiseks) – systemd-creds.
• Valmistumise raames nõuete rakendamiseks seadused operatsioonisüsteemi integreerimise API jaoks vanuse kontrollimiseks DB-s userdb lisatud sünnikuupäeva väljad, kus on kasutaja sünnikuupäev. Lisatud väli saab olema kasutatav arendatavas portaalis xdg-desktop-portal ja AccountsService teenuses, et anda rakendustele teavet kasutaja vanusekategooria kohta D-Bus liidese kaudu org.freedesktop.AgeVerification1 või org.freedesktop.ParentalControls. Vanuse määramiseks on homectl utiliidile lisatud valik —birth-date.
• PID1 töötleja sisse viidud Linuxi tuuma alamsüsteemide toetamine LUO Live Update Orchestration (KHO) ja Kexec Handover (), mis võimaldavad tuuma täiendõnnistust ning uuendust ilma, et süsteemi töö katkeks ja olek kaoks.pakub võimalusi uue tuuma käivitamiseks vanast ilma oleku kaotamata, ning Kexec Handover rakendab seadmete ja mäluseisundi säilitamist ja tagab jätkuva operatsioonide teostamise, sealhulgas DMA ja katkemiste töötlemise. Live Update Orchestration systemd-s on määratud süsteemide ja kasutaja unit'ide jaoks võimalus salvestada failide deskriptorid enne kexec'i kutsumist ja taastada need tuuma taaskäivitamise järel. Unit'ides on samuti võimalik luua oma seansse.
  Systemd-s on süsteemsete ja kasutajate unit'ite jaoks rakendatud võimalus salvestada failide deskriptorid enne kexec'i kutsumist ja nende taastamine pärast kerneli taaskäivitamist kexec'i kaudu. Unit'ites on samuti võimalik luua oma seansse. Live Update Orchestration, salvestatud ja taastatud kexeci täitmise käigus. Failide descriptorite salvestamise aktiveerimiseks tuleb kasutada seadistust FileDescriptorStorePreserve=yes.
• Rakendatud alamsüsteem systemd-imdsd, mis pakub Varlink IPC põhist API-d kohalike programmide juurdepääsuks IMDS (Instance Metadata Service) teenustele, mida pakuvad erinevad pilveteenuse pakkujad. IMDS võimaldab virtuaalmasinatel saada teavet pilvekeskkonna kohta, näiteks võivad nad saada teavet võrgukonfiguratsiooni, sõlme geograafilise asukoha, CPU tüübi ja salvestusmahu kohta. systemd-imdsd pakub nii madala taseme API-d, et pääseda juurde üksikutele väljadele, kui ka kõrge taseme liidest, et küsida tüüpilisi võtmeid, mis on seotud individuaalsete pilveplatvormide spetsiifiliste võtmetega. Interaktsiooniks systemd-imdsd-ga on lisatud utiliit systemd-imds, mis võimaldab importida väljad IMDS-st kohalikku kasutajaarvestusse.
  Pilveteenuste tuvastamiseks SMBIOS teabe põhjal ja IMDS teenuste funktsioonide määratlemiseks antud sõlmes on lisatud uus andmebaas hwdb.d/40-imds.hwdb. Tuvastatud on pilveteenused Amazon EC2, Microsoft Azure, Google Compute Engine, Hetzner, Oracle Cloud, Scaleway, Tencent Cloud, Alibaba ECS ja Vultr. Saadaval on töötleja systemd-imds-generator, et automaatselt sisestada teenus IMDS andmete saamiseks, kui tuvastatakse, et töötab toetatud pilveplatvormil. Universaalsed pildid, mis toetavad IMDS-i kasutamist pilvekeskkondades, kuid suudavad töötada ka ilma IMDS-ita, on võimalikud.
• Uues systemd-stub on rakendatud boot secret funktsionaalsus, mis võimaldab luua võtme põhjal EFI-muutujast, mis on salvestatud operatsioonisüsteemi poolt ligipääsmatus piirkonnas ja algselt juhusliku väärtusega. Initrd-s edastatakse võti läbi faili /.extra/boot-secret. Esitatud võimalus võib olla vajalik süsteemis spetsiifilise juhusliku võtme saamiseks käivitamisprotsessi kontrollimiseks või krüpteerimiseks süsteemides, kus ei ole riistvaralist TPM (Trusted Platform Module).
• Lisatud teenus systemd-tpm2-swtpm.service TPM-kiipide emulaatori käivitamiseks swtpm (Software TPM Emulator), mida saab kasutada automaatseks tagasiveoks tarkvaralisele TPM-ile kaitstud käivitamiseks süsteemides, kus puudub riistvaraline TPM. Tarkvaraline TPM töötab kasutajaruumis ning ei suuda pakkuda riistvaralise TPM-i tasemel kaitset, kuid mõningates olukordades on selle kasutamine õigustatud võrreldes töötamisega ilma TPM-ita. Näiteks saab tarkvaraline TPM hankida jaotiste krüpteerimisse võti uue funktsionaalsuse „boot secret” kaudu ja kasutada oma oleku salvestamiseks jaotist ESP (EFI System Partition) kettal. Tarkvaralise TPM automaatseks sisse lülitamiseks on ette nähtud süsteemi käsurea parameeter systemd.tpm2_software_fallback.
• On kuulutatud stabiilseks ja paigutatud /usr/bin/ komponent systemd-sysupdate, mille eesmärk on automaatne uute värskenduste tuvastamine, allalaadimine ja installimine atomaarse asendamise mehhanismi abil jaotiste, failide või kataloogide vahel (kasutatakse kahte sõltumatut jaotist/faili/katalooge, milles ühes on praegu töötav ressurss ja teises paigaldatakse järjekordne värskendus, seejärel vahetatakse jaotised/failid/kataloogid omavahel).
• Uues systemd-resolved on rakendatud võimalus uute DNS-kirjete üle määramine või ülekirjutamine, paigutades JSON-formaadis faile kataloogidesse systemd/resolve/static.d/. Erinevalt /etc/hosts failidest saab uutes failides mitte ainult siduda IP-aadresse hostinimedele, vaid ka määrata ressursside DNS RR-kirjeid, mis erinevad 'A' ja 'AAAA' kirjedest. Lisaks on systemd-resolved lisatud DNS-vahemälu seadeid: DNSCacheSize, MulticastDNSCacheSize ja LLMNRCacheSize.
• On lisatud utiliit ‘storagectl’ salvestusseadmete kontrollimiseks ning plokkseadmete ja failisüsteemide ühenduse haldamiseks.
• Raames turvalisuse, privaatsuse ja laiendite efektiivsuse suurendamiseks (peamine eesmärk on lihtsustada turvaliste ja efektiivsete laiendite loomist ning raskendada ohtlike ja aeglaste laiendite loomist). sõltuvuste vähendamiseks on libsystemd-s rakendatud dünaamiline raamatukogude laadimine libgnutls, libmicrohttpd, libcurl, libcrypto, libssl, libfdisk ja libcryptsetup, kasutades dlopen() kutset olukordades, kui nende funktsioonid on tõeliselt vajalikud.
• Uues systemd-tmpfiles on lisatud lipp —inline, mis võimaldab käsureal direktiive seadistada ilma konfiguratsioonifailide loomise ilma tmpfiles.d/ ja seadete saatmiseta STDIN-i. Lisatud uus direktiivide tüüp k/K directiivide seadmiseks capabilities. Lisatud on konfiguratsioonifail tmpfiles.d/root.conf, mis seab juurekausta (/) juurdepääsuõiguseks 0555 (-r-xr-xr-x) selleks, et kaitsta valeõiguste määramise eest dünaamilise juurefs-i loomisel.
• Utiliit bootctl tagab systemd-booti laadija varukoopia salvestamise ning vanema versiooni registreerimise UEFIs varu käivitamisena.
• Uues systemd-vmspawn lisatud on toetamine tuuma otse laadimiseks ilma UEFI firmware'i kasutamiseta. Tehtud on valik —firmware-features, et valida üksikute firmware'i funktsioonide lubamine või keelamine. Lisatud on režiim —console=headless, et käivitada virtuaalmasin ilma konsooli ja ekraanita. Lisatud on valik —image-disk-type, et valida VM-ile rakendatav salvestustüüpi blokivalik (virtio-blk, virtio-scsi, nvme, scsi-cd). Lisatud on valik —coco (Confidential Computing), et lubada virtuaalmasinate mälu krüpteerimise režiim, kasutades AMD SEV-SNP tehnoloogiat.
• Uues systemd-hostnamed ja /etc/machine-info on lisatud tugi juhuslike etiketide kinnitamiseks praegusele süsteemile, kasutades parameetrit Tags. Määratud etiketid võivad seejärel olla valikuliselt rakendatud seadete jaoks, kontrollides ConditionMachineTag väljendusena.
• Lisatud on seadistused EventLoopRateLimitIntervalSec ja EventLoopRateLimitBurst, mis piiravad piduri tsükli intensiivsust PID1-s, et vabastada CPU ressursse lõpmatu tsükli korral.
• Teenusehalduris on rakendatud parameeter MinimumUptimeSec, et määrata süsteemi minimaalne tööaeg (vaikimisi 15 sekundi). Kui enne selle aja möödumist käivitatakse välja lülitamine või taaskäivitamine, lisatakse sulgemise etappidesse vastav viivitus.
• Yksuste jaoks on rakendatud uusi seadeid CPUSetPartition, et määrata cpuset'i jaotise tüüp cgroup'is (root, isolated, member), RestrictFileSystemAccess, et lubada ainult digitaalse allkirjaga verifitseeritud käivitatavate failide käivitamist dm-verity abil, ja CPUPressureWatch/CPUPressureThresholdSec/IOPressureWatch/IOPressureThresholdSec, et saada teateid kõrge CPU ja I/O koormuse kohta.
• Metrikate loetelu, mida utiliit systemd-report. Näiteks on lisatud teave füüsilise mälu suuruse ja aktiivsete CPU tuumade kohta, andmed SMBIOS välja sisu ja /etc/machine-info kohta, info Confidential Computing režiimi toe kohta ja TPM2 kiibifirma teave.
• Uues systemd-oomd on rakendatud võimalus määrata reeglid protsesside välja filtreerimiseks mälu puudumise korral süsteemis. Reeglid võivad olla määratud kataloogis /etc/systemd/oomd/rules.d/ või teenuse üksustes direktiivi OOMRule kaudu.
• Uues systemd-socket-proxy on lisatud PROXY protokolli toimetamine, mis vastab haproxy protokolli esimeses versioonis.
• Uues systemd-networkd on saavutatud uus sd-dhcp-relay taust, mis on mõeldud DHCP releedele. Seaded sektsioonis [DHCPServer] — BindToInterface, RelayTarget, RelayAgentCircuitId ja RelayAgentRemoteId on muudetud vananenuks, nende asemel tuleks kasutada DHCPRelay parameetrit sektsioonis [Network] ja seeriat uusi seadeid sektsioonis [DHCPRelay] ning failis networkd.conf. Lisatud on käsk networkctl dhcp-lease INTERFACE IP-aadresside sidumise (DHCP lease) teabe salvestamiseks.
• Tööriista systemd-nspawn on lisatud valik —restrict-address-families ning .nspawn failides seade RestrictAddressFamilies, et piirata konteineris kasutatavaid soklite aadressiperede. Tulevastes väljaannetes lubatakse vaikimisi ainult pered AF_INET, AF_INET6 ja AF_UNIX.
• Toetuse lõpetamine vana udev andmebaasi formaadi (0.x versioon) osas. Reaalajas uuendamine süsteemist systemd kuni väljaandeni 247 (opennet.ru) ei ole enam toetatud.
• Musl C-raamatukogu koostamisel on nüüd vajalik vähemalt musl 1.2.6 väljaanne.

Lisaks võib märkida vabastus projekti liberated-systemd 261, mis arendab systemd haru, mis on vabastatud koodist, mis võib kasutada kasutajate jälgimist. Pakutud väljaandes keskenduvad muudatused koodi eemaldamisele, mis lisas userdb-sse kasutaja sünnikuupäeva (birthDate) välja, ning tööriistas homectl lisandus valik —birth-date kasutaja vanuse määramiseks.

Allikas: linux.org.ru