Systemd 248 süsteemihalduri väljaanne

Pärast nelja kuu arendust on välja antud süsteemi manageri systemd 248 versioon. Uues väljaandes on tagatud toe olemasolu süsteemide kataloogide laiendamise piltide jaoks, konfigureerimisfaili /etc/veritytab, utiliidi systemd-cryptenroll, LUKS2 lukustamise TPM2 kiipide ja FIDO2 tokenite abil, üksuste käivitamine IPC identifikaatorite isoleeritud ruumis, B.A.T.M.A.N. protokoll mesh-võrkude jaoks, ning nftables tagumine süsteemile systemd-nspawn. Stabiliseeritud on systemd-oomd.

Peamised muudatused:

• On rakendatud süsteemi laiendamise piltide (System Extension) kontseptsioon, mida saab kasutada kataloogide hierarhia /usr/ ja /opt/ laiendamiseks ning lisafailide lisamiseks töö ajal, isegi kui nimetatud kataloogid on monteeritud ainult lugemisrežiimis. Kui süsteemi laiendamise pilt on ühendatud, overlay-ib selle sisu /usr/ ja /opt/ hierarhiale OverlayFS abil.

  Süsteemi laiendamise piltide ühendamiseks, lahtiühendamiseks, vaatamiseks ja värskendamiseks on pakutud uus utiliit systemd-sysext. Juba installitud piltide automaatseks ühendamiseks käivitamise ajal on lisatud teenus systemd-sysext.service. Faili os-release on lisatud parameeter "SYSEXT_LEVEL=" süsteemi toetavate laienduste taseme määramiseks.
• Üksustele on rakendatud seadistus ExtensionImages, mida saab kasutada süsteemi laiendamise piltide sidumiseks isolatsiooni all olevate teenuste FS nimetuste hierarhiasse.
• Lisatud on konfigureerimisfail /etc/veritytab, et seadistada andmete kontrollimist plokkide tasemel dm-verity mooduli abil. Faili formaat on sarnane /etc/crypttab-ga — "jaotus_nimi seade_andmete jaoks seade_häkkide jaoks juure_kontrolli_häkk valikud". Dm-verity käitumise seadistamiseks juureseadmest on lisatud parameeter kernel-command line systemd.verity.root_options.
• Systemd-cryptsetup-s on lisatud võimalus välja võtta URI token PKCS#11 ja krüpteeritud võtme LUKS2 metaandmete pealkirjast JSON vormingus, mis võimaldab integreerida krüpteeritud seadme avamise teavet seadme endasse ilma väliste failide kaasamiseta.
• Systemd-cryptsetup-s on tagatud LUKS2 krüpteeritud jaotuste lukustamise toetus TPM2 kiipide ja FIDO2 tokenite abil, lisaks eelnevalt toetatud tokenitele PKCS#11. Libfido2 laadimine toimub läbi dlopen(), st olemasolu kontrollitakse reaalajas, mitte jäigalt seotuna.
• Fail /etc/crypttab for systemd-cryptsetup on lisatud uued valikud «no-write-workqueue» ja «no-read-workqueue» sünkroonselt krüpteerimise ja dekodeerimisega seotud I/O töötlemiseks.
• Systemd-repart tööriistale on lisatud võimalus aktiveerida krüpteeritud jaotised TPM2 kiipide abil, näiteks krüpteeritud jaotise loomine /var esmakordsel käivitamisel.
• Lisatud on tool systemd-cryptenroll, mis võimaldab siduda TPM2, FIDO2 ja PKCS#11 tokeneid LUKS jaotistega, samuti nende vabastamist ja vaatamist, varuklahvide sidumist ja juurdepääsuks parooli määramist.
• Lisatud on PrivateIPC parameeter, mis võimaldab unit-failis seadistada protsesside käivitamise eraldi IPC ruumis oma identifikaatorite ja sõnumijärjekondadega. Unit-i ühendamiseks juba loodud IPC identifikaatoriruumiga on ette nähtud IPCNamespacePath valik.
• Lisatud on ExecPaths ja NoExecPaths seadistused, mis võimaldavad rakendada noexec lippu teatud failisüsteemi osadele.
• Systemd-networkd-sse on lisatud B.A.T.M.A.N. (Better Approach To Mobile Adhoc Networking) mesh-protokolli tugi, mis võimaldab luua detsentraliseeritud võrke, kus iga sõlm on seotud naabersõlmede kaudu. Seadistamiseks on ette nähtud [BatmanAdvanced] sektsioon .netdev-s, BatmanAdvanced parameeter .network failides ja uus seadme tüüp «batadv».
• Stabiliseeritud on varajase reageerimise mehhanismi rakendamine süsteemi mälu puudujäägi osas systemd-oomd. Lisatud on DefaultMemoryPressureDurationSec valik, et seadistada ressursi vabastamise ooteaega enne unit-ile mõju avaldamist. Systemd-oomd kasutab kerneli PSI (Pressure Stall Information) alam süsteemi ja võimaldab tuvastada ressursipuudusest tingitud viivituste tekkimist, lõpetades valikuliselt ressursimahukate protsesside töö faasis, kus süsteem ei ole veel kriitilises seisundis ja ei hakka intensiivselt vahemälu kärpima ega andmeid vahetusfaili suunama.
• Lisatud on kerneli käsurea parameeter — «root=tmpfs», mis võimaldab mountida juurjaotise ajutisse mällu, kasutades Tmpfs-i.
• Parameeter /etc/crypttab, mis määratleb võtme faili, võib nüüd viidata AF_UNIX ja SOCK_STREAM tüübi soketidele. Sellisel juhul peab võti olema antud soketiga ühendamisel, mida saab näiteks kasutada teenuste loomiseks, mis dünaamiliselt võtmeid edastavad.
• Varu hostinimi (fallback), mida kasutada süsteemihalduri ja systemd-hostnamed'i jaoks, saab nüüd seadistada kahel viisil: os-release'i DEFAULT_HOSTNAME parameetri kaudu ja keskkonnamuutuja $SYSTEMD_DEFAULT_HOSTNAME kaudu. Systemd-hostnamed'is on samuti rakendatud 'localhost' määratud hostinime töötlemine ning lisatud on võimalus eksportida hostinime, samuti 'HardwareVendor' ja 'HardwareModel' atribuute DBus'i kaudu.
• Keskkonnamuutujate plokk on nüüd seadistatav uue ManagerEnvironment valiku kaudu system.conf või user.conf failis, mitte ainult kerneli käsurea ja unit-faili seadistuste kaudu.
• Kompileerimise etapis on ette nähtud võimalus kasutada protsesside käivitamiseks süsteemikõnede fexecve() asemel execve(), et vähendada viivitust turvakonteksti kontrollimise ja rakendamise vahel.
• Unit-failide jaoks on lisatud uued tingimuslikud operatsioonid ConditionSecurity=tpm2 ja ConditionCPUFeature, et kontrollida TPM2 seadmete ja spetsiifiliste CPU omaduste olemasolu (näiteks ConditionCPUFeature=rdrand saab kasutada, et kontrollida, kas protsessor toetab RDRAND operatsiooni).
• Saadaval olevate kernelite jaoks on rakendatud automaatne süsteemikõnede tabelite genereerimine seccompi filtrite jaoks.
• Kasutajate teenuste olemasolevatesse mointimisruumidesse (mount namespace) on lisatud uute sidemete (bind mounts) asendamise võimalus, ilma et teenuseid uuesti käivitataks. Asendamine toimub käskudega 'systemctl bind ...' ja 'systemctl mount-image ...'.
• StandardOutput ja StandardError seadistustesse on lisatud tugi teed määramiseks vormis 'truncate:' enne kasutamist tühjendamiseks.
• Sd-bus'i on lisatud võimalus luua ühendus määratud kasutaja seansiga kohaliku konteineri sees. Näiteks 'systemctl —user -M lennart@ start quux'.
• Systemd.link failides on jaotises [Link] rakendatud parameetrid:
  • Promiscuous — võimaldab seadmel minna "promiscuous" režiimi, et töödelda kõiki võrgupakette, sealhulgas neid, mis ei ole suunatud antud süsteemile;
  • TransmitQueues ja ReceiveQueues TX ja RX järjekordade arvu seadistamiseks;
  • TransmitQueueLength TX järjekorra suuruse seadistamiseks; GenericSegmentOffloadMaxBytes ja GenericSegmentOffloadMaxSegment GRO (Generic Receive Offload) tehnoloogia rakendamise piirangute seadmiseks.
• Systemd.network failidesse on lisatud uued seadistused:
  • [Network] RouteTable marsruuditabeli valimiseks;
  • [RoutingPolicyRule] Type marsruutimisreegle tüübi jaoks ('blackhole', 'unreachable', 'prohibit');
  • [IPv6AcceptRA] RouteDenyList ja RouteAllowList lubatud ja keelatud marsruutide kuulutuste loetlemiseks;
  • [DHCPv6] UseAddres DHCP aadressi ignoreerimiseks;
  • [DHCPv6PrefixDelegation] ManageTemporaryAddress;
  • ActivationPolicy liidestuse aktiivsusreegli määramiseks (alati hoida UP või DOWN olekus või lubada kasutajal olekute muutmine käsuga „ip link set dev“).
• Failides systemd.netdev on lisatud valikud [VLAN] Protocol, IngressQOSMaps, EgressQOSMaps ja [MACVLAN] BroadcastMulticastQueueLength VLAN pakettide töötlemise seadistamiseks.
• Katalooge \/dev\/ enam ei monteerita noexec režiimis, kuna see põhjustab konflikti täidetava flagi kasutamisel failide \/dev\/sgx juures. Vanade käitumise taastamiseks saab kasutada seadistust NoExecPaths=\/dev.
• Faili \ /dev\/vsock õigused on muutunud 0o666-ks ning failid \/dev\/vhost-vsock ja \/dev\/vhost-net on viidud rühma. kvm.
• Riistvara identifikaatorite baas on laiendatud USB-seadmetega, mis toetavad sõrmejälgede lugemist ja korralikku ülesehitamist une olekusse.
• systemd-resolved on lisatud tugi DNSSEC päringute vastuste väljastamiseks stub-resolver kaudu. Kohalikud kliendid saavad ise teha DNSSEC-i valideerimist, samas kui välised päringud suunatakse muutumatul kujul vanem DNS-serverisse.
• resolved.conf failile on lisatud CacheFromLocalhost valik, mille aktiveerimisel kasutab systemd-resolved vahemälu isegi aadressil 127.0.0.1 tehtud päringute puhul (vahemälestamine on vaikimisi kehtestatud sarnaste päringute jaoks, et vältida topeltvahemälu).
• systemd-resolved on lisatud RFC-5001 NSID tugi kohalikus DNS-resolveris, mis võimaldab klientidel eristada kohaliku resolveri ja muu vahelise suhtluse. serverilt DNS.
• resolvectl utiliidis on rakendatud võimalus esitada teavet andmete allika (kohalik vahemälu, võrgupäring, kohaliku käsitleja vastus) ja andmete edastamise krüpteerimise rakendamise kohta. Nime määratlemise protsessi juhtimiseks on pakutud valikud —cache, —synthesize, —network, —zone, —trust-anchor ja —validate.
• systemd-nspawnis on lisatud tugi tulemüüride seadistamiseks nftablesi abi kaudu, lisaks olemasolevale toele iptablesile. systemd-networkd IPMasquerade seadistusse on lisatud võimalus kasutada nftables põhist tagasivoolu.
• systemd-localed on lisatud tugi locale-gen käsu väljakutsumiseks puuduvate locale'de genereerimiseks.
• Erinevates utiliitides on lisatud valikud —pager/—no-pager/—json= lehevaatamise režiimi lubamiseks või keelamiseks ning JSON formaadis väljundi saamiseks. Lisatud on võimalus seadistada terminalis kasutatavate värvide arvu keskkonnamuutujaga SYSTEMD_COLORS («16» või «256»).
• Käivitus on kuulutatud aegunuks, kui on eraldi kataloogihierarhiad (eraldi / ja /usr) ja cgroup v1 toetus.
• Git peaharu on ümber nimetatud ‘master’ nimeks ‘main’.

Allikas: opennet.ru