Süsteemihalduri systemd 261 ja fork liberated-systemd 261 väljaanne

Pärast kolme kuu arendust on välja antud süsteemihalduri systemd 261 versioon. Peamised uuendused: API toe ettevalmistamine vanuse kontrollimiseks, Kexec Handover ja Live Update Orchestration alamprogrammide tugi, mis võimaldavad taaskäivitamist ilma olekut kaotamata, IMDS (Instance Metadata Service) alamprogramm, funktsionaalsus süsteemide käivitamise kaitsmiseks ilma füüsilise TPM (Trusted Platform Module) toeta, systemd-sysinstall komponent paigalduri rakendamisega.

Among the changes in the new release:

• Uus komponent systemd-sysinstall on lisatud lihtsa operatsioonisüsteemi paigalduri teostamiseks, mida saab hallata käsurealt või interaktiivse tekstipõhise liidese kaudu. Systemd-sysinstalli funktsionaalsus on koostatud juba olemasolevatest systemd võimalustest: kettaosade seadistamiseks kasutatakse systemd-reparti, kernelite paigaldamiseks ja käivitusmenüü genereerimiseks on käsu „bootctl link”, systemd-booti paigaldamiseks on käsu „bootctl install”, ning paigaldatava süsteemi esialgseks konfigureerimiseks (näiteks keele ja klaviatuuri paigutuse valimiseks) kasutatakse systemd-creds.
• Kohandades seadusid vanuse kontrollimise API integreerimist süsteemi, on userdb andmebaasi lisatud birthDate väli, mis sisaldab kasutaja sünniaega. Lisatud väli saab olema kasutatav arendatavas jaotuses xdg-desktop-portal ja AccountsService teenuses, et anda rakendustele teavet kasutaja vanuserühma kohta D-Bus liidese kaudu „org.freedesktop.AgeVerification1” või „org.freedesktop.ParentalControls”. Vanuse seadmiseks on utiliidile homectl lisatud valik „—birth-date”.
• PID1 töötlejasse on lisatud tugi Linuxi tuuma LUO (Live Update Orchestration) ja KHO (Kexec Handover) alamprogrammidele, mis võimaldavad kärpimisel ja tuuma uuendamisel, ilma süsteemi, seadmete ja protsesside olekut kaotamata. KHO võimaldab käivitada uut tuuma vanast ilma süsteemi olekut kaotamata, samas kui LUO tagab seadmete ja RAM oleku säilitamise ning tagab DMA ja katkestuste töötlemisega seotud operatsioonide järjepidevuse.

  Systemd-s on süsteemi ja kasutaja unit'ite jaoks rakendatud võimalus salvestada failide deskriptorid enne kexec'i kutsumist ja taastada need pärast kerneli taaskäivitamist kexec'i kaudu. Unit'ides on samuti võimalik luua oma LUO sessioone, mis salvestatakse ja taastatakse kexec'i käigus. Failide deskriptorite oleku salvestamise lubamiseks tuleb kasutada seadistust 'FileDescriptorStorePreserve=yes'.
• On rakendatud subsystem systemd-imdsd, mis pakub Varlink IPC põhinevat API-d kohalikest programmide pääsemiseks IMDS (Instance Metadata Service) teenustele, mida pakuvad erinevad pilveteenuste pakkujad. IMDS võimaldab virtuaalmasinate saada teavet pilvekeskkonna kohta, näiteks on võimalik saada andmeid võrgu konfiguratsiooni, sõlme geograafilise asukoha, CPU tüübi ja salvestusmahu kohta. Systemd-imdsd pakub nii madala taseme API-d, et pääseda ligi eraldi väljadele, kui ka kõrge taseme liidest, et küsida tüüpiliste võtmete järgi, mis on seotud konkreetsete pilveplatvormide võtmetega. Systemd-imdsd-ga suhtlemiseks on lisatud tööriist systemd-imds, mis võimaldab importida väljad IMDS-st kohalikku kasutajate süsteemi.

  Uute pilveplatvormide tuvastamiseks SMBIOS teabe põhjal ja IMDS kättesaadava funktsionaalsuse määramiseks on lisatud uus andmebaas hwdb.d/40-imds.hwdb. On rakendatud pilveplatvormide Amazon EC2, Microsoft Azure, Google Compute Engine, Hetzner, Oracle Cloud, Scaleway, Tencent Cloud, Alibaba ECS ja Vultr tuvastamine. Saadaval on automaatne teenuse genereerija systemd-imds-generator, mis võimaldab automaatset teenuse sisestamist andmete saamiseks IMDS kaudu, kui tuvastatakse, et töötatakse toetatava pilveplatvormi all. On võimalik luua universaalseid pilte, mis toetavad IMDS-i kasutamist pilvekeskkondades, kuid suudavad töötada ka ilma IMDS-ita.

• Systemd-stub-s on rakendatud funktsionaalsus „boot secret“, mis võimaldab genereerida võtme, mis põhineb EFI-muutuajal, mis on salvestatud operatsioonisüsteemile kättesaamatutes piirkondades ja algselt juhuslikult väärtustatud. Initrd-s edastatakse võtme kaudu fail .extra/boot-secret. Antud võimalus võib olla vajalik süsteemi spetsiifilise juhusliku võtme saamiseks käivitamise verifitseerimiseks või krüpteerimiseks süsteemides, kus puudub riistvaraline TPM (Trusted Platform Module).
• Lisatud on teenus systemd-tpm2-swtpm.service, et käivitada TPM-kiipide emulaator swtpm (Software TPM Emulator), mida saab kasutada automaatseks tagasipöördumiseks tarkvara TPM rakendusele kaitstud käivitamiseks süsteemides, kus puudub riistvara TPM. Tarkvara TPM töötab kasutajaruumis ja ei suuda saavutada samu kaitseastmeid nagu riistvara TPM, kuid teatud olukordades on selle kasutamine õigustatud võrreldes töö tegemisega ilma TPM-ita. Näiteks võib tarkvara TPM hankida jaotuste krüpteerimise võtme uue funktsiooniga „boot secret“ ja kasutada oma oleku salvestamiseks jaotust ESP (EFI süsteemios), mis asub kettal. Tarkvara TPM automaatseks sisselülitamiseks on ette nähtud kernel’i käsurea parameeter systemd.tpm2_software_fallback.
• Stabiilne versioon on välja kuulutatud ja paigutatud /usr/bin/ komponent systemd-sysupdate, mis on mõeldud automaatseks tuvastamiseks, allalaadimiseks ja värskendamiseks, kasutades atomaarselt jaotuste, failide või kataloogide asendamise mehhanismi (kasutatakse kahte sõltumatut jaotust/faili/katalooge, millest ühes asub praegu töötav ressurss ja teises installitakse järgmine värskendus, pärast mida vahetatakse jaotuste/failide/kataloogide kohad).
• Systemd-resolved on rakendatud võimalus üle määrata või määrata uusi DNS-kandeid, paigutades JSON-vormingu faile kataloogidesse systemd/resolve/static.d/. Erinevalt /etc/hosts'ist saab uutes failides mitte ainult siduda IP-aadressid nimi hostide ja määrata ressursi DNS RR-kanded, mis erinevad „A“ ja „AAAA” kappidest. Lisaks on systemd-resolved’sse lisatud DNS-vahemälu seadistuste suuruse seadistused: ‘DNSCacheSize’, ‘MulticastDNSCacheSize’ ja ‘LLMNRCacheSize’.
• Lisatud on utiliit ‘storagectl’ salvestusseadmete inspekteerimiseks ja plokkseadmete ja failisüsteemide ühendamise haldamiseks.
• Sõltuvuste vähendamise algatuse raames on libsystemd-s rakendatud dünaamiline laadimine raamatukogudest libgnutls, libmicrohttpd, libcurl, libcrypto, libssl, libfdisk ja libcryptsetup
  kasutades funktsiooni dlopen() olukordades, kus nende funktsioonide kasutamine on tõeliselt vajalik.
• Systemd-tmpfiles on lisatud lipp „—inline“, mis võimaldab seadeid käskluserikkuda ilma конфигурационные файлы tmpfiles.d/ loomiseta ja ilma seadete edastamiseta STDIN kaudu. On lisatud uus direktiivide tüüp ‘k/K’, et määrata capabilities. On lisatud конфигурационный файл tmpfiles.d/root.conf, mis seab juurdirektori (/) õigused 0555 (-r-xr-xr-x), et kaitsta vale õiguste määramise eest juure FS-i dünaamilise genereerimise korral.
• Tööriist bootctl on rakendanud varukoopia salvestamise süsteemilaadijast systemd-boot ja kirjutades vanema versiooni UEFI-s varukas laadimisvalikuna.
• Systemd-vmspawn on saanud toetuse tuumalaadimise otse ilma UEFI püsivara kasutamiseta. Rakendatud on valik „—firmware-features“, et valikuliselt lubada või keelata üksikute püsivara võimaluste sisselülitamine. Lisatud on režiim „—console=headless“, et käivitada virtuaalmasin ilma konsooli ja ekraanita. Lisatud on valik „—image-disk-type“, et valida VM-is kasutatav plokkh storage tüüp (virtio-blk, virtio-scsi, nvme, scsi-cd). Lisatud on valik „—coco“ (Confidential Computing), et aktiveerida mälu krüpteerimise režiim. virtuaalmasinate kasutades tehnoloogiat AMD SEV-SNP.
• Systemd-hostnamed ja /etc/machine-info on saanud toe suvaliste siltide kinnitamiseks praegusele süsteemile, kasutades parameetrit „Tags“. Seadistatud silte saab seejärel kasutada valikuliseks seadete rakendamiseks, kontrollides läbi ConditionMachineTag väljendite.
• Lisatud seaded EventLoopRateLimitIntervalSec ja EventLoopRateLimitBurst, mis piira PID1-s sündmuste töötlemise tsükli intensiivsust CPU ressursside vabastamiseks seisaku korral.
• Teenusehalduris on rakendatud parameeter MinimumUptimeSec, et määrata süsteemi minimaalne tööaeg (vaikimisi 15 sekundi). Kui enne selle aja möödumist käivitatakse välja lülitamine või taaskäivitamine, lisatakse sulgemise etappidesse vastav viivitus.
• Unit-ide jaoks on rakendatud uusi seadeid CPUSetPartition, et määrata cgroups cpuset jagamise tüüpi („root“, „isolated“, „member“), RestrictFileSystemAccess, et lubada ainult digitaalselt allkirjastatud käivitatavate failide töötlemine dm-verity abil, ning CPUPressureWatch/CPUPressureThresholdSec/IOPressureWatch/IOPressureThresholdSec, et saada teateid kõrge CPU ja I/O koormuse kohta.
• Systemd-report utili valikute nimekiri on laienenud. Näiteks on lisatud teavet füüsilise mälu suuruse ja aktiivsete CPU tuumade kohta, samuti andmed SMBIOS väljade ja /etc/machine-info sisu, Confidential Computing režiimi toe teave ning teave TPM2 kiipide tootja kohta.
• Systemd-oomd-s on rakendatud reeglite määramise võimalus protsesside elimineerimiseks, kui süsteemis on mälu nappus. Reegleid saab seadistada kataloogis /etc/systemd/oomd/rules.d/ või teenuse unit-ites OOMRule direktiivi kaudu.
• Systemd-socket-proxys on lisatud toetust PROXY protokollile, mis vastab haproxy protokolli esimesele versioonile.
• Systemd-networkd-s on rakendatud uus sd-dhcp-relay taust DHCP reléde jaoks. Seaded jaotises [DHCPServer] — BindToInterface, RelayTarget, RelayAgentCircuitId ja RelayAgentRemoteId on kuulutatud aegunuks ning nende asemel tuleks kasutada DHCPRelay parameetrit jaotises [Network] ning uut seeriat seadeid jaotises [DHCPRelay] ja failis networkd.conf. Lisatud on käsk 'networkctl dhcp-lease INTERFACE' IP-aadresside sidumise (DHCP lease) teabe salvestamiseks.
• Systemd-nspawn utiliidile on lisatud valik ‘--restrict-address-families’ ning .nspawn failides RestrictAddressFamilies seade, et piirata konteineris kasutatavate sokli aadresside peresid. Tulevastel väljaannetel on vaikimisi lubatud ainult AF_INET, AF_INET6 ja AF_UNIX aadresside pered.
• Vanade udev andmebaasi formaadi (versioon 0.x) toetus on lõpetatud. Ülevaatus süsteemidest versioonilt systemd 247 enam ei toeta.
• Musl C-raamatukogu koostamisel on nüüd vajalik vähemalt musl 1.2.6 väljaanne.

Võime veel märkida projekti liberated-systemd 261 väljaande, mis arendab systemd fork'i, mis on vabastatud koodist, mida saab kasutada kasutajate jälgimiseks. Pakutavas väljaandes on muudatused suunatud koodi eemaldamisele, mis lisab userdb väljal birthDate kasutaja sünnikuupäeva, ja homectl utiliidile on lisatud '—birth-date' valik vanuse seadmiseks.

Allikas: opennet.ru