Süsteemi halduri systemd 246 väljaanne

Pärast viie kuu arendustööd esitati süsteemi haldurite väljalase systemd 246. Uues väljaandes on lisatud toetus unit-ide külmutamiseks, võimalus verifitseerida juurdiskipildi digitaalset allkirja, toetada logi tihendamist ja core-viipeid kasutades ZSTD algoritmi, kodukataloogide avamine FIDO2 tokenite abil ning Microsoft BitLockeri osade avamine /etc/crypttab kaudu. Samuti on toimunud BlackList'i ümbernimetamine DenyList-iks.

Peamised muudatused:

• Lisatud on toetus cgroups v2 põhjalisele resource freezer kontrollile, mille abil saab peatada protsesside töö ja ajutiselt vabastada teatud ressursse (CPU, sisend/väljund ja potentsiaalselt isegi mälu) muude ülesannete täitmiseks. Unit-ide külmutamist ja sulatamist saab teostada uue käsuga „systemctl freeze“ või D-Bus'i kaudu.
• Lisatud on toetus juurdiskipildi digitaalsete allkirjade verifitseerimiseks. Kontrollimine toimub uute seadete kaudu teenuse unit-des: RootHash (juurdiskipildi hash, mis on määratud RootImage valiku kaudu) ja RootHashSignature (PKCS#7 formaadis digitaalne allkiri juurdiskihile).
• PID 1 töötleja on rakendatud kompileeritud AppArmor reeglite automaatne laadimine ( /etc/apparmor/earlypolicy) süsteemi käivitamise varajases etapis.
• Unit-files on lisatud uued seadistused: ConditionPathIsEncrypted ja AssertPathIsEncrypted, et kontrollida määratud tee asukohta krüpteeritud blokiseadmes (dm-crypt/LUKS), ConditionEnvironment ja AssertEnvironment keskkonnamuutujate (nt PAM-i seadistustest või konteinerite seadistamisest) kontrollimiseks.
• Unit-idele *.mount on lisatud seade ReadWriteOnly, mis keelab jagu monteerida ainult lugemisrežiimis, kui selle lugemis- ja kirjutamisrežiimi monteerimine ebaõnnestub. /etc/fstab-is saab seda režiimi seadistada valiku „x-systemd.rw-only“ kaudu.
• Unit-idele *.socket on lisatud seade PassPacketInfo, mis hõlmab tuuma poolt lisatud täiendavate metaandmete lisamist igale socketist loetavale pakettile (kaasa arvatud IP_PKTINFO, IPV6_RECVPKTINFO ja NETLINK_PKTINFO režiimid socketi jaoks).
• Teenustele (unitid *.service) on pakkuda seadistusi CoredumpFilter (mälu sektsioonide määramine, mis peavad olema core-viipades) ja
  TimeoutStartFailureMode/TimeoutStopFailureMode (määrab käitumise (SIGTERM, SIGABRT või SIGKILL) taimeri ületamise korral teenuse käivitamisel või peatamisel).
• Enamikus valikutes on lisatud toetus kuuekümnendeliste väärtuste määramiseks, kasutades prefiksina «0x».
• Erinevates käsurea parameetrites ja konfiguratsioonifailides, mis on seotud võtmete või sertifikaatide seadistamisega, on rakendatud võimalus määrata tee unix-socket'itele (AF_UNIX), et edastada võtmeid ja sertifikaate IPC-teenuste kaudu, kui pole soovitav sertifikaate salvestada krüpteerimata kettaruumidesse.
• Lisatud toetus kuuele uuele spetsiifikaatorile, mida saab kasutada unit-ides, tmpfiles.d/, sysusers.d/ ja muudest konfiguratsioonifailidest: %a praeguse arhitektuuri sisestamiseks, %o/%w/%B/%W väljade tuvastamiseks failist /etc/os-release ja %l lühinime sisestamiseks.
• Unit-failides on lõpetatud kaasamine süntaksiga «.include», mis kuulutati aegunuks 6 aastat tagasi.
• StandardError ja StandardOutput seadetes on lõpetatud väärtuste «syslog» ja «syslog-console» toetus, mis konverteeritakse automaatselt väärtusteks «journal» ja «journal+console».
• Automatiseeritud mount-punktide loomisel, mis põhinevad tmpfs-l, (/_tmp, /run, /dev/shm jne) on tagatud suuruse ja inode'ide arvu piirangud, mis vastavad 50% RAM-i suurusest _tmp ja /dev/shm puhul ning 10% RAM-ist kõigi teiste puhul.
• Lisatud uusi käsurea parameetreid tuuma jaoks: systemd.hostname hostinime seadmiseks alglaadimise alguses, udev.blockdev_read_only, mis piirab kõiki füüsiliste talletusseadmete plokk-seadmeid lugemisseisundiga (valikuline tühistamine on võimalik käsuga «blockdev --setrw»), systemd.swap automaatse vahetusala aktiveerimise keelamiseks, systemd.clock-usec süsteemi kellade seadmiseks mikrosekundites, systemd.condition-needs-update ja systemd.condition-first-boot, et ületada ConditionNeedsUpdate ja ConditionFirstBoot kontrollimised.
• Oletatavasti on sysctl fs.suid_dumpable seadistus seatud väärtusele 2 («suidsafe»), mis võimaldab salvestada core-dumpe suid-lipuga protsesside jaoks.
• ChromiumOS-i riistvara andmebaasist on pärit fail /usr/lib/udev/hwdb.d/60-autosuspend.hwdb, mis sisaldab teavet PCI- ja USB-seadmete kohta, mis toetavad automaatset unerežiimi üleminekut.
• networkd.conf on lisatud seadistus ManageForeignRoutes, mille aktiveerimisel hakkab systemd-networkd haldama kõiki marsruute, mida on seadnud muud utiliidid.
• Failides .network on lisatud sektsioon „[SR-IOV]“ SR-IOV (Single Root I/O Virtualization) toe toetamiseks võrguseadmete seadistamiseks.
• systemd-networkd's on sektsiooni „[Network]“ lisatud seadistus IPv4AcceptLocal, et lubada kohalike lähteaadressidega paketide vastuvõtmist võrguühendusel.
• systemd-networkd's on lisatud võimalus seadistada liikluse prioriteedi distsipliine HTB läbi sektsioonide [HierarchyTokenBucket] ja
  [HierarchyTokenBucketClass], „pfifo“ sektsiooni kaudu [PFIFO], „GRED“ sektsiooni kaudu [GenericRandomEarlyDetection], „SFB“ sektsiooni kaudu [StochasticFairBlue], „cake“
  sektsiooni kaudu [CAKE], „PIE“ sektsiooni kaudu [PIE], „DRR“ sektsiooni kaudu [DeficitRoundRobinScheduler] ja
  [DeficitRoundRobinSchedulerClass], „BFIFO“ sektsiooni kaudu [BFIFO],
  „PFIFOHeadDrop“ sektsiooni kaudu [PFIFOHeadDrop], „PFIFOFast“ sektsiooni kaudu [PFIFOFast], „HHF“
  sektsiooni kaudu [HeavyHitterFilter], „ETS“ sektsiooni kaudu [EnhancedTransmissionSelection],
  „QFQ“ sektsiooni kaudu [QuickFairQueueing] ja [QuickFairQueueingClass].
• systemd-networkd's on sektsiooni [DHCPv4] lisatud seadistus UseGateway, et keelata DHCP kaudu saadud värava teabe rakendamine.
• systemd-networkd's on sektsioonides [DHCPv4] ja [DHCPServer] lisatud seadistus SendVendorOption tootja lisavalikute seadmiseks ja töötlemiseks.
• systemd-networkd's on sektsiooni [DHCPServer] rakendatud uus valikate kogum EmitPOP3/POP3, EmitSMTP/SMTP ja EmitLPR/LPR, et lisada teavet POP3, SMTP ja LPR serverite kohta.
• systemd-networkd's on .netdev failides sektsiooni [Bridge] lisatud seadistus VLANProtocol kasutatava VLAN protokolli valimiseks.
• systemd-networkd's on .network failides sektsiooni [Link] rakendatud seadistus Group linkide grupi haldamiseks.
• BlackList seadistused on ümber nimetatud DenyList'iks (tagasiside ühilduvuse tagamiseks on vanade nimede töötlemine säilinud).
• systemd-networkd's on lisatud suur hulk seadeid, mis on seotud IPv6 ja DHCPv6-ga.
• networkctl's on lisatud käsk „forcerenew“ kõigi aadresside (lease) sidemete sundvärskendamiseks.
• systemd-resolved's on DNS seadmises lisatud võimalus määrata pordi number ja hostinimi DNS-over-TLS sertifikaadi kontrollimiseks. DNS-over-TLS rakenduses on lisatud SNI kontrollimise toetus.
• systemd-resolved's on lisatud võimalus seadistada ühetäpse DNS-nimede (single-label) suunamist.
• systemd-journald's on tagatud zstd algoritmi toimetamine suurte väljade tihendamiseks logides. Teostatud on töö, et kaitsta hash-tabelite kolisioonide ilmumise eest, mida kasutatakse logides.
• journalctl's on logisõnumite väljundisse lisatud klikatavad URL-id viidatud dokumentatsioonile.
• Faili journald.conf on lisatud Audit seade, et hallata süsteemile systemd-journald käivitamisel auditi lubamist.
• Failis systemd-coredump on lisatud võimalus core-dumpide kokkusurumiseks zstd algoritmi abil.
• Failis systemd-repart on lisatud seade UUID, et määrata loodud jaotusele UUID.
• Teenuses systemd-homed, mis haldab kantavaid kodukatalooge, on lisatud võimalus kodukataloogide avamiseks FIDO2-tokenite abil. LUKS sektsioonide krüpteerimise tagant on lisatud tugi tühjade failisüsteemi blokki automaatseks tagasemaastamiseks seansi lõppedes. Rikkus on kaitstud kahekordse krüpteerimise eest, kui on kindlaks tehtud, et sektsioonile /home on süsteemis juba krüpteerimine rakendatud.
• Failis /etc/crypttab on lisatud seadistused: "keyfile-erase" võtme kustutamiseks pärast kasutamist ja "try-empty-password" jaotuse avamise katseks tühja parooliga enne parooli küsimist kasutajalt (kasulik krüpteeritud piltide installimiseks, mille parool määratakse pärast esimest käivitamist, mitte installimise ajal).
• Failis systemd-cryptsetup on laadimise ajal rakendatud tugi Microsoft BitLockeri jaotuste avamiseks failiga /etc/crypttab. Samuti on lisatud võimalus lugeda
  võtmeid automaatseks jaotuste avamiseks failidest /etc/cryptsetup-keys.d/.key ja /run/cryptsetup-keys.d/.key.
• On lisatud systemd-xdg-autostart-generator genereerimiseks, et luua unit-failid .desktop autostart failidest.
• Failis "bootctl" on lisatud käsk "reboot-to-firmware".
• Failis systemd-firstboot on lisatud valikud: "—image" kettapildi näitamiseks käivitamiseks, "—kernel-command-line" /etc/kernel/cmdline faili initsialiseerimiseks, "—root-password-hashed" root parooli räsi määramiseks ja "—delete-root-password" root parooli kustutamiseks.

Allikas: opennet.ru