System Manageri systemd 257 väljaandmine

Pärast kuue kuu arendust on välja antud System Manageri systemd 257. Peamised muudatused: uued utiliidid systemd-sbsign ja systemd-keyutil, MPTCP toe lisamine socketi aktiveerimise korral, algne tugi Musl C-raamatukoguga koostamiseks, utiliit updatectl uuenduste haldamiseks systemd-sysupdate kaudu, teenuste käivitamise võimalus eraldi PID namespace'is, kaitse juhusliku failide kustutamise vastu käsu „systemd-tmpfiles —purge” kasutamisel.

Among the changes in the new release:

• Lisatud uus utiliit systemd-sbsign, mis kinnitab digitaalset allkirja PE (Portable Executable) formaatides käivitatavatele failidele, mida kasutatakse EFI Secure Boot režiimis käivitamisel. Allkirja koostamiseks võivad kasutada OpenSSL raamatukogust saadud mootorid ja pakkujad. Systemd-sbsign saab kasutada alternatiivina rakendustele sbsigntool ja pesign utiliidi ukify käivitamise ajal, et luua UKI (Unified Kernel Image) universaalseid kernelipilte, mis ühendavad ühte faili UEFI (UEFI boot stub) käivitaja, Linuxi ядро ja initsialiseerimisringi (initrd).
• Lisatud uus utiliit systemd-keyutil, mis teostab erinevaid toiminguid privaatvõtmete ja X.509 sertifikaatidega. Näiteks võib systemd-keyutil'i kasutada privaatvõtmete ja sertifikaatide laadimise võimaluse kontrollimiseks ning nende hulgast avalike võtmete eraldamiseks PEM formaadis.
• Unit-ites „.socket”, mida kasutatakse socketi aktiveerimismehhanismi tagamiseks (protsesside käivitamine, kui püütakse luua võrguühendust), on rakendatud MPTCP (Multipath TCP) tugi, TCP protokolli laiendus, mis organiseerib TCP-ühenduse toimimise pakettide edastamise kaudu samaaegselt mitmete marsruutide kaudu, mis on seotud erinevate võrguinterfeissidega. IP-aadresside.
• Kompositsioon sisaldab muudatusi, mis on vajalikud koostamiseks standardse Musl C-raamatukogu kasutamisel.
• Erinevatesse systemd komponentidesse, mis näitavad toimingute edenemise indikaatoreid (nt systemd-repart, systemd-sysupdate/updatectl ja importctl), on lisatud võimalus kasutada ANSI-järjestusi, et animatsioon käitamise edenemist. Praegu toetatakse selliseid järjestusi ainult Windows Terminal'is (oodatakse, et selline võimalus kantakse ajaga üle ka Linuxi terminalsimuleerijatele).
• Systemd-sysupdate'i funktsioonid on laiendatud, mis võimaldavad automaatset tuvastamist, allalaadimist ja värskenduste installimist aatomarhistruktuuri abil, kasutades sõltumatuid jaotusi/faile/katalooge (ühes asub praegu töötav ressurss ja teises installitakse järgmine värskendus, mille järel jaotused/failid/kataloogid vahetatakse). Praktikas kasutatakse systemd-sysupdate'i juba GNOME OS-is.

  Lisaks systemd-sysupdate protsessile on lisatud sama nimekandva teenus, mis võimaldab D-Bus'i kasutamist süsteemi värskendamise haldamiseks privileegita kasutaja poolt. Teenuse haldamiseks on lisatud uus utiliit updatectl. Systemd-sysupdate'i on lisatud lipp „—offline”, et keelata andmete allalaadimine võrgu kaudu ja kasutada ainult juba kohalikule süsteemile laaditud versioone. Kõikidele käskudele on lisatud tugi JSON-formaadis väljundiks.
• Teenustele on loodud uus omadus „PrivatePIDs”, mille abil saab käivitada protsesse PID 1 (init-protsess) eraldatud protsesside identifikaatorite ruumis (PID namespace). Käivitatud protsessi keskkonnas on nähtavad ainult loodud identifikaatorite ruumi protsessid.
• Udev'i reeglatesse on lisatud tugi tähe suuruse tähelepanuta jätmiseks (nt ‘ATTR{foo}==i»abcd»‘). Udev'i kaudu on antud privileegita kohalikule kasutajale juurdepääs seadmele /dev/udmabuf, mis on vajalik IPMI-kaamerate haldamiseks libcamera kaudu. Udev tunnustab erinevaid riistvarakrypto rahakotte, mis kasutavad USB-liidest, ja määrab neile omaduse ID_HARDWARE_WALLET, mis võimaldab rakendada nende suhtes režiimi „uaccess” privileegita kasutajate juurdepääsuks.
• Faili /etc/os-release on lisatud uued väljad RELEASE_TYPE, EXPERIMENT ja EXPERIMENT_URL. „RELEASE_TYPE” võib võtta väärtusi „experimental”, „development”, „stable” ja „lts”, et eristada stabiilseid versioone arenduses ja eksperimentaalsetest koosseisudest. Parameetrid EXPERIMENT ja EXPERIMENT_URL on mõeldud eksperimentaalse koosseisu olemuse selgitamiseks.
• Run0 utiliidile, mis on välja töötatud sudo programmi asendamiseks, on lisatud valik "—shell-prompt-prefix", mis määratleb käskude tõukereale eelneva rea. Vaikimisi kuvatakse eelseisvana emoji "🦸", et visuaalselt eristada kõrgendatud õigustega seanssi.
• Systemd-tmpfilesis, et vältida valefailide kustutamist, rakendatakse valikut "—purge" nüüd ainult tmpfiles.d/ seadetele, millele on selgelt määratud lipp "$". "—purge" toimingu täitmiseks on nüüd samuti nõutav vähemalt ühe faili määramine tmpfiles.d/ kataloogist. Tüüpide 'L' ridadele on lisatud lipp '?', mille määramisel luuakse sümboolne link ainult sihtfaili olemasolul.
• Teenusehalduris ja sellega seotud utiliitides on jätkatud protsessi jälgimiskoodi tõlkimist PIDFD kasutamisele PID asemele. PIDFD identifikaator seondub konkreetselt protsessiga ja ei muutu, samas kui PID võib olla seotud teise protsessiga pärast praeguse protsessi lõppemist, mis on seotud antud PID-ga.
• Teenuste jaoks on realiseeritud võimalus määrata parameetris "RestartMode" väärtus "debug", mille puhul ebaõnnestunud teenuse taaskäivitamine toimub koos silumisrežiimi lubamisega (muutujatoodetakse keskkonnamuutujaks DEBUG_INVOCATION=1), ja LogLevelMax väärtus tõstetakse ajutiselt silumisastmeni.
• PID 1 töötlijas on realiseeritud võimalus laadida reeglid LSM-mooduli IPE (Integrity Policy Enforcement) jaoks, mis määratlevad terviklikkuse tagamise poliitika kogu süsteemis (millised toimingud on lubatud ja kuidas tuleb komponentide autentsust kontrollida).
• .timer unit-failidesse on lisatud valik "DeferReactivation", mis võimaldab vahele jätta järgmise aktiveerimise ajastust, kui teenus ei ole veel lõpetanud selle täitmist pärast eelmise aktiveerimise aega.
• Unit-failide parameetris PrivateUsers on realiseeritud võimalus määrata väärtus "identity" identifikaatorite kasutajate kaardistamise lubamiseks ruumi loomisel (user namespace).
• Unit-failide parameetrisse PrivateTmp on lisatud toe väärtusele "disconnected", mille korral kasutatakse katalooge /tmp/ ja /var/tmp/ jaoks eraldi tmpfs eksemplare.
• ProtectControlGroups'i unit-failidesse on lisatud toimetamisel "private" ja "strict" režiimidele tugi, mille puhul luuakse teenuse jaoks uus cgroup (cgroup namespace) ja mountitakse cgroupfs. "strict" valiku puhul mountitakse cgroupfs lugemiseks ainult.
• StateDirectory, RuntimeDirectory, CacheDirectory, LogsDirectory ja ConfigurationDirectory parameetrites on lisatud võimalus kasutada ':ro' lippu, et piirata juurdepääsu vastavatele kaustadele lugemisrežiimi.
• Kernikomandireale "systemd.machine_id" on lisatud tugi väärtusele "firmware", mille korral süsteemi identifikaator (machine ID) arvutatakse SMBIOS/DeviceTree UUID alusel.
• Lisatud on toetus süsteemi kõnedele mseal(), listmount() ja statmount(), mis on ilmunud hiljutistes Linuxi kernelite väljaannetes.
• resolvectl, timedatectl ja systemd-inhibit utiliitidesse on lisatud interaktiivse autoriseerimise tugi Polkit'i kaudu.
• systemctl utiliiti on lisatud võimalus kasutada "--now" lippu käskluses "reenable".
• systemd-mount utiliiti on lisatud "--json" valik, et väljastada JSON formaadis (nt, kui kasutada koos "--list-devices"-ga, antakse välja seadmete nimekiri JSON formaadis).
• localectl utiliiti on lisatud valikud "-l" ja "--full", et keelata pikkade ridade kärpimine väljastamisel.
• sleep.conf'i on lisatud HibernateOnACPower valik, mis võimaldab lükata unerežiimi sisselülitamist, kuni seade on lahti ühendatud statsionaarset toiteallikat.
• systemd-sysusers'isse on ridadel "u" lisatud tugi modifikaatorile "!", millega saab luua täielikult lukustatud kasutajakontosid (varem kasutati kasutaja lukustamiseks vale parooli seadistamist, mis näiteks ei põhjustanud lukustumist SSH võtmeautentimise korral).
• systemd-coredump'i on lisatud "EnterNamespace" valik, mis võimaldab ligipääsu igasuguste kokku kukkunud protsesside mountpunktide ruumile, et saada nende silumist sümboleid. Praktiliselt võib see valik olla kasulik core-failide tagasi jälgimise korraldamiseks, kui rakendused töötavad isoleeritud konteinerites.
• Systemd-logind sisaldab nüüd Ctrl-Alt-Shift-Esc kombinatsiooni töötlemist, et saata kasutajakeskkonna komponentidele signaal org.freedesktop.login1.SecureAttentionKey, paludes näidata turvavalve sisselogimise dialooge. Rakendatud on seade 'DesignatedMaintenanceTime', et automaatselt planeerida väljalülitamist teatud ajal. DRM-seadmete ja evdev toega sarnasel viisil on lisatud tugi privileegita kasutajate juurdepääsuks hidraw seadmetele (mängupuldid ja joystick'id).
• Systemd-machined on lisatud toetus privileegita klientide ja konteinerite registreerimiseks. Systemd-machinedi funktsionaalsusele on juurdepääs API Varlinki kaudu, lisaks D-Bus'ile. virtuaalmasinate Ja konteinerite kaudu. Juhtimiseks on kergesti juurdepääs Varlink API kaudu, lisaks D-Bus'ile.
• Faili networkd.conf on lisatud uus sektsioon '[IPv6AddressLabel]', et seadistada siltide ja prefiksite määramine IPv6 aadressidele.
• 'networkctl edit' käsule on lisatud valik '--stdin', et lugeda faili sisu standardvoolust. 'networkctl edit' ja 'networkctl cat' käskudele on lisatud toetus .netdev failide redigeerimiseks ja kuvamiseks, osutades võrgu liidesele. Lisatud on valik '--no-ask-password', et keelata interaktiivne autoriseerimine.
• Utiliitides ukify, bootctl, systemd-keyutil, systemd-measure, systemd-repart ja systemd-sbsign on lisatud valik '--certificate-source', et laadida X.509 sertifikaati OpenSSL pakkuja kaudu, selle asemel et otse failist laadida.
• Systemd-bootis on välja töötatud võimalus kasutada helitugevuse juhtnuppe, et liikuda üles ja alla laadimismenüüs, mis võib olla kasulik sellistes seadmetes nagu nutitelefonid. Utiliidile bootctl on lisatud tugi UEFI Secure Boot andmebaasi installimiseks formaadis ESL(db/dbx/…) systemd-booti jaoks.
• Journalctl'i on lisatud valik '--list-invocation', et näidata unit'ide kutsumise loendit ja valik '--invocation' ('-I'), et näidata logisid, mis on seotud ainult teatud kõnega.
• Systemd-nspawnis on lisatud toetus privileegita FUSE (Filesystem in Userspace) kasutamiseks konteinerites. Valiku '--bind-user' kasutamisel on tagatud SSH-võtmete edastamine konteinerisse, mis on vajalik SSH kaudu ligipääsuks.
• Libsystemd'sse on lisatud uus programmeerimisliides 'sd-json', mis kasutab JSON formaati, samuti 'sd-varlink', mis kasutab IPC Varlink'i.
• Soovitatud põhituuma versioon on tõstetud versioonile 5.4, mille väljalaskmine toimus 2019. aastal. Järgmise aasta jooksul kavatsetakse lõpetada vanade tuumade toetamine ja määrata versioon 5.4 minimaalselt toetatud põhiversiooniks.
• cgroups v1 toe tunnistamine on vananenud ja vaikimisi see keelatakse (tuuma käsureal tuleb seadistada SYSTEMD_CGROUP_ENABLE_LEGACY_FORCE=1, lisaks sellele tuleb see aktiveerida systemd seadistustes). Järgmises systemd 258 versioonis on plaanis täielikult eemaldada cgroups v1 seotud kood. Systemd 258 versioonis on samuti plaanis eemaldada System V teenuste skriptide toetus.

Allikas: opennet.ru