Ilmus süsteemi haldur systemd 250

Viie kuu arendustöö järel on välja antud süsteemihaldur systemd 250. Uues versioonis on lisatud võimalus salvestada kasutajatunnuseid krüpteeritud kujul, automaatselt määratud GPT-osade digitaalallkiri verifitseerimise funktsioon, parendatud teavitamist teenuste käivitamise viivituste põhjustest, lisatud valikud teenuste juurdepääsu piiramise kohta teatud failisüsteemidele ja võrgu liideste jaoks, tagatud jaotiste terviklikkuse seire dm-integrity mooduli abil ning lisatud sd-boot'i automaatse värskendamise tugi.

Peamised muudatused:

• Lisatud krüpteeritud ja autentitud kasutajatunnuste tugi, mis võib olla kasulik konfidentsiaalsete materjalide, nagu SSL-võtmed ja paroolid. Kasutajate andmete dekodeerimine toimub ainult vajaduse korral ja kohandatud kohaliku installatsiooni või seadmega. Andmed krüpteeritakse automaatselt sümmeetriliste krüpteerimisalgoritmide abil, mille võti võib asuda failisüsteemis, TPM2 kiibis või kasutada kombineeritud skeemi. Teenuse käivitamisel dekodeeritakse kasutajatunnused automaatselt ja on teenusele tavalisel kujul kättesaadavad. Krüpteeritud kasutajatunnuste töötlemiseks on lisatud utiliit 'systemd-creds' ning teenustele on pakutud seadistusi LoadCredentialEncrypted ja SetCredentialEncrypted.
• sd-stub, EFI käivitatav fail, mille abil EFI püsivara laadib Linuxi tuuma, on saanud tugi tuuma laadimiseks kasutades EFI protokolli LINUX_EFI_INITRD_MEDIA_GUID. Samuti on sd-stubi lisatud võimalus salvestada mandaatide ja sysext-failide andmed cpio arhivisse ning edastada see arhiiv tuumale koos initrd-ga (lisafailid asuvad kaustas /.extra/). Antud võimalus võimaldab rakendada tõestatav muutumatut keskkonda initrd, täiendades seda sysextide ja šifreeritud andmetega autentimise jaoks.
• Avastatavate partitsioonide spetsifikatsiooni on oluliselt laiendatud, pakkudes vahendeid, et tuvastada, monteerida ja aktiveerida süsteemi partitsioone, mis kasutavad GPT-d (GUID partitsioonitabelid). Võrreldes varasemate väljaannetega on spetsifikatsiooni raames enamus arhitektuuride jaoks teostatud juurepartitsiooni ja partitsiooni /usr toega, sealhulgas platvormidele, mis ei kasuta UEFI-d.

  Discoverable Partitions sisaldavad nüüd tugi jaotistele, mille terviklikkust kontrollib dm-verity moodul, kasutades PKCS#7 digitaalallkirju. See lihtsustab täielikult autentsete kettapiltide loomist. Autentimise kontrollimine on integreeritud erinevatesse utiliitidesse, mis manipuleerivad kettapiltidega, sealhulgas systemd-nspawn, systemd-sysext, systemd-dissect, RootImage teenused, systemd-tmpfiles ja systemd-sysusers.
• Pikaajaliste töötavate või peatatud unit-ide puhul on lisaks toimetamise animaatorile võimalik kuvada oleku teavet, mis aitab mõista, mis täpselt teenusega hetkel toimub ja millise teenuse lõpetamist süsteemi haldur praegu ootab.
• Failides /etc/systemd/system.conf ja /etc/systemd/user.conf on lisatud parameeter DefaultOOMScoreAdjust, mis võimaldab korrigeerida OOM-killeri aktiveerimise piiri mälupuuduse korral, rakendatavat protsessidele, mida systemd käivitab süsteemi ja kasutajate jaoks. Vaikimisi on süsteemiteenuste kaal kõrgem kui kasutajate omadel, st mälupuuduse korral on tõenäosus, et kasutajate teenused lõpetatakse, suurem kui süsteemiteenuste omad.
• Lisatud seadistus RestrictFileSystems, mis võimaldab piirata teenuste juurdepääsu teatud tüüpi failisüsteemidele. Saadaval olevaid FS-tüüpe saab vaadata käsuga «systemd-analyze filesystems». Sarnane on rakendatud valik RestrictNetworkInterfaces, mis võimaldab piirata juurdepääsu teatud võrguliidesele. Teostus põhineb BPF-moodulil LSM, mis piirab protsesside rühma juurdepääsu tuumobjektidele.
• Lisatud uus konfiguratsioonifail /etc/integritytab ja utiliit systemd-integritysetup, mis seadistavad mooduli dm-integrity andmete terviklikkuse kontrollimiseks üksikute sektorite tasandil, näiteks krüptitud andmete muutumatuse tagamiseks (Authenticated Encryption, mis tagab, et andmeblocki ei ole muudetud viisil, mis ei ole nähtav). Faili vorming /etc/integritytab on sarnane failidele /etc/crypttab ja /etc/veritytab, välja arvatud see, et dm-crypt ja dm-verity asemel kasutatakse dm-integrity.
• Lisatud uus unit-fail systemd-boot-update.service, mille aktiveerimisel ja installitud laadija sd-boot olemasolul uuendab systemd automaatselt sd-boot'i laadija versiooni, hoides laadija koodi alati ajakohasena. Isegi sd-boot kogutakse nüüd vaikimisi SBAT (UEFI Secure Boot Advanced Targeting) mehhanismi toega, mis lahendab UEFI Secure Boot'iga seotud sertifikaatide tühistamise probleeme. Lisaks on sd-boot'is tagatud Microsoft Windows'i käivitamisvalikute dekodeerimise võimalus, et õigesti moodustada Windows'i käivituspartitsioonide nimed ja näidata Windows'i versiooni.

  Sd-boot'is on samuti loodud võimalus määrata värviskeem kogumise ajal. Käivitamisprotsessi käigus on lisatud toe ekraani eraldusvõime muutmiseks klahvi „r“ vajutamisel. Lisatud on kuumklahv „f“, et minna kindlustussüsteemi seadistamise liidesesse. Lisatud on süsteemi automaatne käivitamine, mis vastab menüüelemendile, mis valiti eelmisel käivitamisel. Lisatud on automatiseeritud EFI-draiverite laadimise võimalus, mis asuvad kaustas /EFI/systemd/drivers/ ESP (EFI süsteemipartitsioon) osas.

• Koosseisu on lisatud uus unit-fail factory-reset.target, mida töödeldakse systemd-logindis sarnaselt taaskäivitus-, väljalülitus-, uinumise ja hibernatsiooni operatsioonidega ning mida kasutatakse tehase seadetesse taastamise käsitlejate loomiseks.
• Protsess systemd-resolved loob nüüd lisakuulava sokli aadressile 127.0.0.54, lisaks 127.0.0.53-le. Aadressile 127.0.0.54 saabuvad päringud suunatakse alati kõrgemal asuvasse DNS-serverisse ja neid ei töödeldakse kohalikult.
• On antud võimalus koostada systemd-importd ja systemd-resolved OpenSSL raamatukoguga, mitte libgcryptiga.
• Lisatud algne tugi arhitektuurile LoongArch, mida kasutatakse Loongsoni protsessorites.
• Systemd-gpt-auto-generatoris on rakendatud võimalus automaatseks seadistamiseks süsteemi määratud vahetuspartitsioonidele, mida krüpteerib LUKS2 alamsüsteem.
• GPT-piltide parsimise koodis, mida kasutatakse systemd-nspawnis, systemd-dissectis ja sarnastes utiliitides, on rakendatud võimalus dekodeerida pilte muudele arhitektuuridele, mis võimaldab kasutada systemd-nspawnit pilte muude arhitektuuride emulaatorites käivitamiseks.
• Disk image inspection in systemd-dissect now provides information about the partition's purpose, such as UEFI bootability or running in a container.
• The system-extension.d/ files now include the 'SYSEXT_SCOPE' field, allowing you to designate the application area of the system image — 'initrd', 'system', or 'portable'.
• The 'os-release' file has been updated to include the 'PORTABLE_PREFIXES' field, which can be used in portable images to define supported prefixes of unit files.
• New settings HandlePowerKeyLongPress, HandleRebootKeyLongPress, HandleSuspendKeyLongPress, and HandleHibernateKeyLongPress have been implemented in systemd-logind, allowing you to define actions for holding specific keys for more than 5 seconds (for example, a quick press of the Suspend key can be set to enter sleep mode, while holding it can invoke hibernation).
• For units, the StartupAllowedCPUs and StartupAllowedMemoryNodes settings have been introduced, differing from similar settings without the Startup prefix in that they only apply during the boot and shutdown stages, allowing for different resource constraints during startup.
• Lisatud on kontrollid [Condition|Assert][Memory|CPU|IO]Pressure, mis võimaldavad ühtse aktiveerimise ajal, kui PSI mehhanism tuvastab süsteemis kõrge mälukoormuse, CPU või sisend/väljundi tõttu, selle vahele jätta või tõrke korral lõpetada.
• Vaikimisi seatud maksimaalse inode'i arvu piirang on suurendatud jaotises /dev 64k-lt 1M-le ning /tmp 400k-lt 1M-le.
• Teenustele on pakutud parameetrit ExecSearchPath, mis võimaldab muuta teed täidetavate failide otsimiseks, mis käivitatakse sarnaste seadistustega nagu ExecStart.
• On lisatud seade RuntimeRandomizedExtraSec, mis võimaldab juhusliku kõrvalekalde lisamist ajutisest RuntimeMaxSec, mis piirab üksuse täitmise aega.
• Seadete RuntimeDirectory, StateDirectory, CacheDirectory ja LogsDirectory süntaksit on laiendatud, võimaldades nüüd lisada täiendava väärtuse, mis on eraldatud kaksikpunktiga, et korraldada sümboolse lingi loomine määratud katalooge mitme tee kaudu juurdepääsu korraldamiseks.
• Teenustele on pakutud seaded TTYRows ja TTYColumns, et määrata TTY seadme ridade ja veergude arv.
• Lisatud ExitType seadistus, mis võimaldab muuta teenuse lõpetamise määramise loogikat. Vaikimisi jälgib systemd ainult põhiprotsessi lõpetamist, kuid kui määrata ExitType=cgroup, ootab süsteemi haldaja cgrupi viimase protsessi lõpetamist.
• TPM2/FIDO2/PKCS11 toe rakendamine systemd-cryptsetup'is on nüüd samuti koostatud kui cryptsetup'i plugin, võimaldades tavalist cryptsetup käsku kasutada krüptitud jaotuse avamiseks.
• TPM2 käitlejasse systemd-cryptsetup'is lisati RSA peade toetamine, lisaks ECC võtmetele, et parandada ühilduvust kiipidega, mis ei toeta ECC-d.
• Faili /etc/crypttab lisati seadistus token-timeout, mis võimaldab määrata maksimaalse ooteaja PKCS#11/FIDO2 toe ühendamiseks, mille möödudes kuvatakse parooli või taastuvõtme sisestamise taotlus.
• Systemd-timesyncd'is on rakendatud seadistus SaveIntervalSec, mis võimaldab aeg-ajalt salvestada praeguse süsteemi aja väärtuse diskile, näiteks monotoonsete kellade rakendamiseks süsteemides, kus RTC-d ei ole.
• Systemd-analyze utili on lisatud valikud: «—image» ja «—root» unit-failide kontrollimiseks määratud pildi või juurkatalooge, «—recursive-errors» sõltuvate unit'ite arvesse võtmiseks vea tuvastamisel, «—offline» eraldi kettale salvestatud unit-failide kontrollimiseks, «—json» väljundi saamiseks JSON-formaadis, «—quiet» tähtsusetute teadete väljalülitamiseks, «—profile» kantava profiiliga seotuseks. Samuti on lisatud inspect-elf käsk ELF-formaadis core-failide analüüsimiseks ja võimalus kontrollida unit-failide nimesid sõltumata sellest, kas see nimi vastab failinimele.
• Systemd-networkd on laiendanud CAN-bussi (Controller Area Network) tuge. Lisatud on seaded CAN-režiimide haldamiseks: Loopback, OneShot, PresumeAck ja ClassicDataLengthCode. [CAN] sektsiooni .network failidesse on lisatud valikud TimeQuantaNSec, PropagationSegment, PhaseBufferSegment1, PhaseBufferSegment2, SyncJumpWidth, DataTimeQuantaNSec, DataPropagationSegment, DataPhaseBufferSegment1, DataPhaseBufferSegment2 ja DataSyncJumpWidth, et hallata CAN-liidese bitsünkroniseerimist.
• Systemd-networkd-s DHCPv4 kliendile on lisatud valik Label, mis võimaldab konfigureerida IPv4 aadressidele rakendatavat sildi.
• Systemd-udevd-s on implementitud "ethtool" jaoks eriväärtuste "max" toimetamine, mis seadistavad puhver suuruse seadme maksimumväärtusele.
• Systemd-udevd .link-failides on nüüd võimalik seada erinevaid parameetreid võrgu adapterite ühendamiseks ja riistvara töötlejate (offload) ühendamiseks.
• Systemd-networkd-s pakutakse vaikimisi uusi .network-failide: 80-container-vb.network, et määrata võrgu sillad, mis on loodud systemd-nspawn'i käivitamisel valikute "—network-bridge" või "—network-zone" abil; 80-6rd-tunnel.network, et määrata tunneli, mis automaatselt luuakse DHCP-vastuse saamisel 6RD valiku korral.
• Systemd-networkd-s ja systemd-udevd-s on lisatud IP edastamise tugi InfiniBand-liideste kaudu, mille jaoks on systemd.netdev failidesse lisatud jaotis "[IPoIB]" ning seadistuses on rakendatud väärtuse "ipoib" töötlemine.
• Systemd-networkd-s on tagatud automaatne marsruutide seadistamine aadresside jaoks, mis on määratud parameetris AllowedIPs, mida saab seadistada läbi RouteTable ja RouteMetric parameetrite [WireGuard] ja [WireGuardPeer] jaotistes.
• Systemd-networkd võimaldab automaatselt genereerida muutumatuid MAC-aadresse batadv ja bridge liidesetele. Selle käitumise peatamiseks saab .netdev failidesse määrata väärtuse MACAddress=none.
• .link failide «[Link]» sektsiooni on lisatud seade WakeOnLanPassword, et määrata parool WoL töörežiimis «SecureOn».
• Files .network sektsiooni «[CAKE]» on lisatud seaded AutoRateIngress, CompensationMode, FlowIsolationMode, NAT, MPUBytes, PriorityQueueingPreset, FirewallMark, Wash, SplitGSO ja UseRawPacketSize, et määrata CAKE (Common Applications Kept Enhanced) võrgujärjekordade juhtimise mehhanismi parameetreid.
• .network failide «[Network]» sektsiooni on lisatud seade IgnoreCarrierLoss, mis määrab, kui kaua oodata enne reageerimist kande signaali kadumisele.
• Systemd-nspawn, homectl, machinectl ja systemd-run laiendavad parameetri «—setenv» süntaksit — kui määratakse ainult muutuja nimi (ilma «=»), võetakse väärtus vastavast keskkonna muutuja väärtusest (näiteks kui määratakse «—setenv=FOO», võetakse väärtus keskkonna muutuja $FOO-st ja kasutatakse konteineris sobiva nimega keskkonna muutuja jaoks).
• systemd-nspawnisse on lisatud valik „—suppress-sync“, et keelata süsteemikutsungite sync()/fsync()/fdatasync() täitmine konteineri loomisel (kasulik, kui kiirus on esmatähtis ja ehituse artefaktide salvestamine, juhul kui need ebaõnnestuvad, ei ole oluline, kuna neid saab igal ajal uuesti luua).
• Uuel hwdb andmebaasil on nüüd erinevat tüüpi signaalianalüsaatorite (multimeetrid, protokollianalüsaatorid, osillaatorid jne) tugi. Teave kaamerate kohta hwdb-s on laienenud kamberitüübi (tavaline või infrapuna) ja objektiivi asukoha (ees või taga) teabega.
• Tagatud on muutumatute võrguliideste nimede genereerimine netfront-seadmete jaoks, mida kasutatakse Xen-is.
• systemd-coredump utiliidi core-failide analüüs, mis põhineb libdw/libelf raamatukogudel, toimub nüüd eraldi protsessis, mis on isoleeritud liivakasti keskkonnas.
• systemd-importd-sse on lisatud toetus keskkonnamuutujatele $SYSTEMD_IMPORT_BTRFS_SUBVOL, $SYSTEMD_IMPORT_BTRFS_QUOTA, $SYSTEMD_IMPORT_SYNC, mille abil saab keelata Btrfs alamkataloogide genereerimise ning seadistada kvoodi ja kettasünkrooni.
• Systemd-journald-s on kopeeriv kirjutamise režiimi toetavaid failisüsteeme on taastatud COW-režiimi aktiveerimine arhiivitud päevikutes, mis võimaldab Btrfs-i abiga nende tihendamist.
• Systemd-journaldis on rakendatud identsete väljade deduplikatsiooni sama sõnumi sees, mis toimub enne sõnumi paigutamist päevikusse.
• Shutdown-komandasse on lisatud valik «—show», et kuvada plaanitud välja lülitamine.

Allikas: opennet.ru