Süsteemihalduri systemd 250 väljalaskmine

Pärast viie kuu arendust on esitatud süsteemihalduri systemd 250 versioon. Uues väljaandes on lisatud võimalus salvestada sissetoomise andmeid krüpteeritud kujul, rakendatud automaatselt tuvastatud GPT-partitsioonide allkirjastamise verifitseerimist, parandatud teavitamist teenuste käivitamise viivituste põhjustest, lisatud valikud teenuse juurdepääsu piiramiseks teatud failisüsteemidele ja võrgu liideste jaoks, tagatud partitsioonide terviklikkuse kontrollimise tugi dm-integrity mooduli abil, lisatud sd-booti automaatuuendamise tugi.

Peamised muudatused:

• Lisandunud on krüpteeritud ja autentitud sissetoomise andmete tugi, mis võib olla kasulik konfidentsiaalsete materjalide, nagu SSL-võtmed ja pääsukoodid. Sissetoomise andmete dekrüpteerimine toimub ainult vajadusel ja seondub kohaliku installatsiooni või riistvaraga. Andmed krüpteeritakse automaatselt sümmeetriliste krüpteerimisalgoritmide abil, mille võtmed võivad asuda failisüsteemis, TPM2 kiibil või kasutada kombineeritud skeemi. Teenuse käivitamisel dekrüpteeritakse sissetoomise andmed automaatselt ja need on teenusele tavalisel kujul saadaval. Krüpteeritud andmete käitlemiseks on lisatud utiliit ‘systemd-creds’, ning teenustele on pakutud seadistused LoadCredentialEncrypted ja SetCredentialEncrypted.
• sd-stubis, mis on EFI käivitatav fail, mille abil EFI püsivara laadib Linuxi tuuma, on lisatud tugi tuuma laadimiseks LINUX_EFI_INITRD_MEDIA_GUID EFI protokolli abil. Samuti on sd-stubi lisatud võimalus pakkida sissetoomise andmeid ja sysext faile cpio arhiivi ning edastada see arhiiv tuumale koos initrd-ga (täiendavad failid asuvad kataloogis \.extra\/). Antud võimalus võimaldab kasutada verifitseeritavat muutumatut keskkonda initrd, mida täiendavad sysextid ja krüpteeritud andmed autentimiseks.
• Oluliselt on laiendatud avastatavate partitsioonide spetsifikatsiooni, mis pakub vahendeid süsteemide partitsioonide määramiseks, montaažiks ja aktiveerimiseks, mis kasutavad GPT (GUID partitsioonitabelid). Võrreldes varasemate väljaannetega on spetsifikatsioonis enamiku arhitektuuride jaoks rakendatud juurpartitsiooni ja partitsiooni /usr tugi, sealhulgas mitte-UEFI platvormide jaoks.

  Discoverable Partitionites on ka on lisatud tugi jagudele, mille terviklikkust kinnitab dm-verity moodul PKCS#7 digitaalsete allkirjade abil, mis lihtsustab täielikult autentitud kettapiltide loomist. Kinnitusmeetod on integreeritud erinevatesse utiliitidesse, mis manipuleerivad kettapiltidega, sealhulgas systemd-nspawn, systemd-sysext, systemd-dissect, RootImage teenused, systemd-tmpfiles ja systemd-sysusers.
• Pikaajaliste või peatatud unit-ite jaoks, lisaks toimingute animatsiooni näitamisele, on võimalik kuvada oleku teavet, mis võimaldab mõista, mis täpselt teenusega hetkel toimub ja millise teenuse lõpetamist süsteemi haldur praegu ootab.
• Faili /etc/systemd/system.conf ja /etc/systemd/user.conf on lisatud parameeter DefaultOOMScoreAdjust, mis võimaldab reguleerida OOM-killeri käivitamise läve mälupuuduse korral, rakendatav süsteemi ja kasutajate poolt systemd poolt käivitatavatele protsessidele. Vaikimisi on süsteemi teenuste kaal kõrgem kui kasutaja teenustel, see tähendab, et mälu puudujäägi korral on tõenäolisem, et kasutaja teenused lõpetatakse enne süsteemiteenuseid.
• On lisatud seadistus RestrictFileSystems, mis võimaldab piirata teenuste juurdepääsu teatud tüüpi failisüsteemidele. Saadaval olevate failisüsteemide tüüpide vaatamiseks võib kasutada käsku 'systemd-analyze filesystems'. Sarnane on võimalus RestrictNetworkInterfaces, mis võimaldab piirata juurdepääsu teatud võrguliidesetele. Teostus põhineb BPF-moodulil LSM, mis piirab protsesside rühma juurdepääsu kerneli objektidele.
• On lisatud uus konfiguratsioonifail /etc/integritytab ja utiliit systemd-integritysetup, mis seadistavad dm-integrity mooduli andmete terviklikkuse kontrollimiseks sektorite tasemel, näiteks krüpteeritud andmete muutumatuse tagamiseks (Authenticated Encryption, tagab, et andmeplokk ei ole muudetud) . Faili /etc/integritytab formaat on sarnane failide /etc/crypttab ja /etc/veritytab vorminguga, välja arvatud see, et dm-crypt ja dm-verity asemel kasutatakse dm-integrity.
• Uus unit-fail systemd-boot-update.service on nüüd lisatud, mis aktiveerimisel ja sd-booti olemasolul võimaldab systemd-l automaatselt värskendada sd-booti versiooni, hoides laadimiskoodi alati ajakohasena. Sd-boot koostatakse nüüd vaikimisi SBAT (UEFI Secure Boot Advanced Targeting) mehhanismi toega, lahendades UEFI Secure Booti sertifikaatide tagasikutsumise probleemid. Lisaks on sd-bootis tagatud Microsoft Windowsi käivitusseadete tõlgendamise võimalus, et õigesti luua Windowsi käivitusosade nimed ja kuvada Windowsi versioon.

  Sd-bootis on nüüd võimalik määrata värviskeem koostamise etapil. Käivitamise protsessis on lisatud tugi ekraanilahenduse muutmiseks klahvi «r» vajutamisega. Lisatud on kiirklahv «f» firmwaresätete liidesesse sisenemiseks. Lisatud on automaatse süsteemi käivitamise režiim, mis vastab menüüs valitud elemendile, mis valiti eelmise käivitamise ajal. Samuti on lisatud võimalus automaatselt käivitada EFI-draivereid, mis asuvad kaustas /EFI/systemd/drivers/ ESP jagus (EFI süsteemiosa).

• Paketti on lisatud uus unit-fail factory-reset.target, mida töödeldakse systemd-logindis analoogselt käivitamisoperatsioonidega, nagu reboot, poweroff, suspend ja hibernate, ja mis on mõeldud töötleja loomiseks tehasesätte taastamiseks.
• Systemd-resolvedi protsess loob nüüd täiendava kuulamissoketi aadressil 127.0.0.54, lisaks 127.0.0.53-le. Aadressile 127.0.0.54 saabuvad päringud suunatakse alati kõrgemal asuvale DNS-serverile ja neid ei töödeldä kohapeal.
• On pakutud võimalust koostada systemd-importd ja systemd-resolved OpenSSL teegiga, mitte libgcryptiga.
• On lisatud esialgne toetus arhitektuurile LoongArch, mida kasutatakse Loongsoni protsessorites.
• Systemd-gpt-auto-generatoris on rakendatud võimalus automaatmiseks süsteemi määratletud vahetuspartitsioonide seadistamisel, mida krüpteeritakse LUKS2 ala.
• Systemd-nspawnis, systemd-dissectis ja sarnastes utiliitides kasutatavas GPT-piltide tõlgendamise koodis on rakendatud võimalus dekodeerida pilte teistele arhitektuuridele, mis võimaldab systemd-nspawnil käivitada pilte teiste arhitektuuride emulaatorites.
• Systemd-dissectis kettapiltide järelevalvel kuvavad nüüd jaotuse määratluse üksikasjad, näiteks UEFI kaudu käivitamisvalmidus või konteineris käivitamine.
• System-extension.d/ failidesse on lisatud väli «SYSEXT_SCOPE», mis võimaldab määrata süsteemipildi rakenduse ulatuse — «initrd», «system» või «portable».
• Faili os-release on lisatud väli «PORTABLE_PREFIXES», mida saab kasutada kaasaskantavates piltides toetatavate unit-failide prefiksite määramiseks.
• Systemd-logindis on rakendatud uued seaded HandlePowerKeyLongPress, HandleRebootKeyLongPress, HandleSuspendKeyLongPress ja HandleHibernateKeyLongPress, mida saab kasutada tegevuste määramiseks, kui hoida teatavaid klahve kauem kui 5 sekundit (näiteks kiirel Suspend-klahvi vajutamisel saab seadistada une-režiimi, samas kui hoidmisel — unerežiimi).
• Unit-ide jaoks on rakendatud seaded StartupAllowedCPUs ja StartupAllowedMemoryNodes, mis erinevad sarnastest seadistustest ilma Startup-prefiksita, kuna neid kohaldatakse ainult käivitamise ja lõpetamise etapis, võimaldades määrata erinevaid ressursipiiranguid käivitamise ajal.
• Lisatud on kontrollid [Condition|Assert][Memory|CPU|IO]Pressure, mis võimaldavad vahele jätta või viia unit-i aktiveerimise vigade korral lõpetamise ajal, kui PSI mehhanismi kaudu määratakse suur mälu, CPU ja sisendi/väljundi koormus süsteemis.
• Vaikesätetena on suurenenud maksimum inode arvu piirang /dev jaos 64k kuni 1M ning /tmp jaos 400k kuni 1M.
• Teenuste jaoks on pakutud seadistus ExecSearchPath, mis võimaldab muuta teed käivitatavate failide otsimiseks, mis on seadistatud sarnaste kaudu nagu ExecStart.
• Lisatud on seadistus RuntimeRandomizedExtraSec, mis võimaldab viia juhuslikke kõrvalekaldeid ajapiirangusse RuntimeMaxSec, mis piirab unit-i täitmise aega.
• Seadistuste RuntimeDirectory, StateDirectory, CacheDirectory ja LogsDirectory süntaksit on laiendatud, kus nüüd saab täiendava väärtuse, mida eraldab koolon, abil korraldada sümboolse lingi loomise määratud katalooge, et võimaldada juurdepääsu mitmest teest.
• Teenustele on pakutud seadeid TTYRows ja TTYColumns, et määrata TTY seadmes olevate ridade ja veergude arv.
• Lisatud on seadistus ExitType, mis võimaldab muuta teenuse lõpetamise määramise loogikat. Vaikesätetes jälgib systemd ainult peamise protsessi lõpetamist, kuid kui seadistada ExitType=cgroup, ootab süsteemihaldur viimase protsessi lõpetamist cgroupis.
• TPM2/FIDO2/PKCS11 toe toetamise rakendamine systemd-cryptsetupis koostatakse nüüd ka cryptsetupi plugina vormis, mis võimaldab kasutada tavalist cryptsetupi käsku krüpteeritud jaotuse avamiseks.
• TPM2 töötlejas systemd-cryptsetupis on lisatud RSA põhivõtmete tugi, lisaks ECC võtmetele, et parandada ühilduvust kiipidega, mis ei toeta ECC-d.
• Failis /etc/crypttab on lisatud parameeter token-timeout, mis võimaldab määrata maksimaalse ootetähtaega PKCS#11/FIDO2 märgise ühendamiseks, mille möödumisel kuvatakse parooli või taastamisvõtme sisestamise küsimus.
• Systemd-timesyncd'is on rakendatud seadistus SaveIntervalSec, mis võimaldab perioodiliselt salvestada praeguse süsteemi aja väärtuse kettale, näiteks monotoonsete kellade rakendamiseks süsteemides, kus RTC puudub.
• Systemd-analyze utiliiti on lisatud valikud: „—image“ ja „—root“ määratud pildis või juurkataloogis asuvate unit-failide kontrollimiseks, „—recursive-errors“ sõltuvate üksuste arvesse võtmine vea tuvastamisel, „—offline“ diskile salvestatud eraldi unit-failide kontrollimiseks, „—json“ väljundi saamiseks JSON formaadis, „—quiet“ ebaoluliste sõnumite väljalülitamiseks, „—profile“ ülekantava profiili seotuks tegemiseks. Samuti on lisatud käsk inspect-elf ELF formaadis core-failide analüüsimiseks ning võimalus kontrollida määratud nimeliste unit-failide staatust, sõltumata sellest, kas nimi on faili nimi.
• Systemd-networkdis on laiendatud CAN (Controller Area Network) toe. Lisa seadeid CAN režiimide haldamiseks: Loopback, OneShot, PresumeAck ja ClassicDataLengthCode. [CAN] sektsiooni .network failidesse on lisatud valikud TimeQuantaNSec, PropagationSegment, PhaseBufferSegment1, PhaseBufferSegment2, SyncJumpWidth, DataTimeQuantaNSec, DataPropagationSegment, DataPhaseBufferSegment1, DataPhaseBufferSegment2 ja DataSyncJumpWidth bitisünkroonimise haldamiseks CAN liidese jaoks.
• Systemd-networkdis on DHCPv4 kliendile lisatud valik Label, mis võimaldab määrata aadresside silti kasutatuna IPv4 aadresside konfigureerimisel.
• Systemd-udevd-s on ethtooli jaoks rakendatud eriliste väärtuste „max“ tugi, mis määravad puhver suuruse seadme toetatud maksimaalse suuruse.
• .link-failides systemd-udevd jaoks on nüüd võimalik seadistada erinevaid parameetreid võrguadapterite ühendamiseks ja riistvaraliste töötlejate (offload) ühendamiseks.
• Systemd-networkd pakub vaikimisi uusi .network-faile: 80-container-vb.network, et määrata võrgu sildu, mis on loodud systemd-nspawn käivitamisel „—network-bridge” või „—network-zone” valikutega; 80-6rd-tunnel.network, et määrata tunnelid, mis on automaatselt loodud DHCP vastuse saamisel 6RD valikuga.
• Systemd-networkd ja systemd-udevd on lisanud tugi IP edastamiseks InfiniBand liideste kaudu, mille jaoks on systemd.netdev failidesse lisatud jaotis „[IPoIB]” ja seadistuse Kind kaudu on teostatud „ipoib” väärtuse töötlemine.
• Systemd-networkd tagab automaatse marsruutimise seadistuse aadresside jaoks, mis on määratud parameetris AllowedIPs, mida saab seadistada parameetrite RouteTable ja RouteMetric kaudu jaotistes [WireGuard] ja [WireGuardPeer].
• Systemd-networkd tagab automaatse muutumatute MAC-aadresside genereerimise batadv ja bridge liidestele. Selle käitumise keelamiseks saab .netdev failidesse määrata väärtuse MACAddress=none.
• Faile .link on lisatud jaotisse „[Link]” seadistus WakeOnLanPassword, et määrata parool WoL töö režiimis „SecureOn”.
• Failide .network jaotisse „[CAKE]” on lisatud seadistused AutoRateIngress, CompensationMode, FlowIsolationMode, NAT, MPUBytes, PriorityQueueingPreset, FirewallMark, Wash, SplitGSO ja UseRawPacketSize CAKE (Common Applications Kept Enhanced) võrgu queue juhtimise mehhanismi parameetrite määramiseks.
• Failide .network jaotisse „[Network]” on lisatud seadistus IgnoreCarrierLoss, mis määrab, kui kaua tuleb oodata enne, kui reageeritakse kande signaali kadumisele.
• Systemd-nspawn, homectl, machinectl ja systemd-run on laiendanud parameetri „—setenv” süntaksit — kui näidatakse ainult muutuja nime (ilma „=“), võetakse väärtus vastavast keskkonnamuutujast (näiteks, kui näidata „—setenv=FOO”, võetakse väärtus keskkonnamuutujast $FOO ja kasutatakse konteineris samanimelise keskkonnamuutujana).
• Systemd-nspawn on lisanud valiku „—suppress-sync”, et keelata süsteemisüsteemide kutsed sync()/fsync()/fdatasync() konteineri loomisel (kasulik, kui kiirus on esmatähtis ja kogumise artefaktide salvestamine ebaõnnestumise korral ei ole oluline, kuna need võivad igal hetkel uuesti luua).
• Lisatud on uus andmebaas hwdb, kuhu on kaasatud erinevad signaalianalüsaatorite tüübid (multimeetrid, protokollianalüsaatorid, oskiloskoobid jne). Infot kaamerate kohta hwdb-s on laiendatud kaameratüübi (tavaline või infrapuna) ja objektiivi asukoha (ettepoole või tahapoole) välja lisamisega.
• Tagatud on muutumatute võrguinterfeiside nimede genereerimine netfront seadmetele, mida kasutatakse Xenis.
• Core-failide analüüs utiliidiga systemd-coredump põhineb libdw/libelf teekidel, mille nüüd viiakse läbi eraldi protsessis, mis on isoleeritud karantiinikeskkonnas.
• Systemd-importd-sse on lisatud keskkonnamuutujate toetus $SYSTEMD_IMPORT_BTRFS_SUBVOL, $SYSTEMD_IMPORT_BTRFS_QUOTA, $SYSTEMD_IMPORT_SYNC, mille abil saab keelata Btrfs jaotuste genereerimise, samuti seadistada kotid ja ketaste sünkroonimise.
• Systemd-journald's on failisüsteemide jaoks, mis toetavad copy-on-write režiimi, tagatud COW režiimi taaskäivitamine arhiveeritud päevikutes, mis võimaldab nende tihendamist Btrfs-i kaudu.
• Systemd-journald's on rakendatud samaväljade deduplikatsioon ühes sõnumis, mis toimub enne sõnumi päevikusse paigutamist.
• Shutdown käsule on lisatud valik "—show" planeeritud väljalülitamise kuvamiseks.

Allikas: opennet.ru