Süsteemi halduri systemd 261 ja fork liberated-systemd 261 väljaanne

Pärast kolme kuu arendust on saadaval süsteemihalduri systemd 261 versioon. Peamised muudatused: ettevalmistamine API toe jaoks vanuse kontrollimiseks, Kexec Handover ja Live Update Orchestration alamprogrammide tugi, et käivitada uuesti ilma olekute kaotamata, IMDS (Instantsi Metaandmete Teenus) alamprogramm, funktsionaalsus laadimise kaitseks süsteemides ilma füüsilise TPM (Usaldusväärne Platvormi Moodul) toeta, komponent systemd-sysinstall koos paigaldaja rakendusega.

Uue väljaande muudatused:

• Lisatud uus komponent systemd-sysinstall koos lihtsa operatsioonisüsteemi paigaldajaga, mida saab hallata käsurealt või interaktiivse teksti liidese kaudu. Systemd-sysinstall funktsionaalsus on moodustatud juba olemasolevatest systemd omadustest: kettaparteide seadistamiseks kasutatakse systemd-repart'i, kernel'i ja käivitusmenüü genereerimiseks - käsku „bootctl link“, käivitusprogrammi systemd-boot paigaldamiseks - käsku „bootctl install“, paigaldatava süsteemi esialgseks konfigureerimiseks (nt locale ja klaviatuuripaigutuse valik) - systemd-creds.
• Kasutusele võetakse seaduse nõuete täitmiseks, et luua API vanuse kontrollimiseks, andmebaasi userdb lisatakse välja birthDate, kasutaja sünnipäev. Lisatud välja saab kasutada arendatavas jaotises xdg-desktop-portal ning AccountsService teenuses, et esitada rakendustele teavet kasutaja vanusekategooria kohta D-Bus liidese kaudu "org.freedesktop.AgeVerification1" või "org.freedesktop.ParentalControls" kaudu. Vanuse seadistamiseks lisati utiliidi homectl käsureale valik "—birth-date".
• PID1 töötlejale lisati Linuxi kernelite alamsüsteemide LUO (Live Update Orchestration) ja KHO (Kexec Handover) tugi, mis võimaldavad põhjalikku taaskäivitamist ja kernelite uuendamist ilma süsteemi töö peatamata ja olekut kaotamata. KHO võimaldab käivitada uut kernelit vanalt ilma süsteemi olekut kaotamata, samas kui LUO rakendab seadmete ja mäluseisundi säilitamist ning tagab pidevuse DMA ja katkestuste töötlemisega seotud toimingutes.

  systemd-s on süsteemi ja kasutaja unit'ide jaoks rakendatud võimalus salvestada failide descriptorid enne kexec kutsumist ja taastada need pärast tuuma taaskäivitamist kexec'i kaudu. Unit'ides on samuti võimalik luua enda LUO sessioone, mida salvestatakse ja taastatakse kexec'i täitmise ajal. Failide descriptorite oleku säilitamiseks tuleks kasutada seadistust ‘FileDescriptorStorePreserve=yes’.
• On rakendatud süsteem systemd-imdsd, mis pakub Varlink IPC põhjal API, et kohalikel programmidele ligipääs võimaldada erinevate pilveteenuste pakkujate poolt pakutavatele IMDS (Instance Metadata Service) teenustele. IMDS võimaldab virtuaalmasinatesse saate teavet pilvekeskkonna kohta, näiteks saate teada võrgu konfiguratsioonist, sõlme geograafilisest asukohast, CPU tüübist ja salvestusruumi suurusest. Systemd-imdsd pakub nii madala taseme API-d, et pääseda juurde üksikutele väljadele, kui ka kõrgema taseme liidest tüüpiliste võtmete pärimiseks, mis on vastavuses kindlate pilveplatvormide võtmetega. Systemd-imdsd-ga suhtlemiseks on lisatud utiliit systemd-imds, mis võimaldab importida välju IMDS-st kohalikku kontosüsteemi.

  SMBIOSi teabe põhjal pilveteenuste tuvastamiseks ja IMDS-i poolt pakutava funktsionaalsuse määramiseks on lisatud uus andmebaas hwdb.d/40-imds.hwdb. Tuvastatakse pilveteenused Amazon EC2, Microsoft Azure, Google Compute Engine, Hetzner, Oracle Cloud, Scaleway, Tencent Cloud, Alibaba ECS ja Vultr. Saadaval on systemd-imds-generator töötleja, mis automaatselt paigaldab teenuse, et saada andmeid IMDS-i kaudu, kui tuvastatakse, et töötab toetatud pilveteenuse all. On võimalik luua universaalseid pilte, mis toetavad IMDS-i kasutamist pilvekeskkondades, kuid suudavad töötada ka ilma IMDS-ita.

• systemd-stubis on realiseeritud „boot secret” funktsionaalsus, mis võimaldab luua võtme EFI-muutuja põhjal, mis on salvestatud operatsioonisüsteemile kättesaamatusse piirkonda ja initsialiseeritud juhusliku väärtusega. Initrd-is edastatakse võti faili kaudu /.extra/boot-secret. Esitatud funktsionaalsus võib olla vajalik süsteemi spetsiifilise juhusliku võtme saamiseks, et kinnitada käivitamisprotsessi või krüpteerimist süsteemides, kus ei ole riistvaralist TPM-i (Trusted Platform Module).
• Lisatud on teenus systemd-tpm2-swtpm.service, et käivitada TPM-chipide emulaator swtpm (Software TPM Emulator), mida võib kasutada automaatseks tagasipöördumiseks tarkvaralise TPM-i rakenduse peale süsteemides, kus ei ole füüsilist TPM-i. Tarkvaraline TPM töötab kasutajaruumi tasandil ning ei võimalda saavutada sama kaitse taset nagu füüsiline TPM, kuid teatud olukordades on selle kasutamine põhjendatud võrreldes olukorraga, kus TPM-i ei ole. Näiteks võib tarkvaraline TPM saada jao krüpteerimisvõtit uue „boot secret“ funktsionaalsuse abil ja kasutada oma oleku salvestamiseks jao ESP (EFI System Partition) kettal. Tarkvaralise TPM automaatseks aktiveerimiseks on ettepanek, et kernelile antaks parameeter systemd.tpm2_software_fallback.
• Stabiilseks kuulutatud ja paigutatud teenusesse /usr/bin/ komponent systemd-sysupdate, mis on mõeldud automaatseks tuvastamiseks, allalaadimiseks ja värskenduste installimiseks, kasutades aatomaarset osade, failide või kaustade asendamise mehhanismi (kasutatakse kahte iseseisvat partitsiooni/faili/kausta, millest ühel asub käimasolev ressurss ja teisel installitakse järgmine värskendus, pärast mida vahetatakse partitsioonid/failid/kaustad omavahel).
• Teenuses systemd-resolved on rakendatud uute DNS-kirjete ülekirjutamise või määramise võimalus, paigutades JSON-formaadis faile kaustadesse systemd/resolve/static.d/. Erinevalt /etc/hosts'ist on uutes failides võimalik mitte ainult siduda IP-aadressid hostinimede, vaid ka määrata ressursi DNS RR-kirjeid, mis erinevad 'A' ja 'AAAA' tüüpidest. Lisaks on teenusele systemd-resolved lisatud DNS-vahemälu suuruse seaded: 'DNSCacheSize', 'MulticastDNSCacheSize' ja 'LLMNRCacheSize'.
• Lisatud utiliit 'storagectl' salvestusseadmete uurimiseks ning plokk-seadmete ja failisüsteemide ühenduse haldamiseks.
• Libsystemd on ellujõudnud teostada dünaamilise laadimise raamatuteks libgnutls, libmicrohttpd, libcurl, libcrypto, libssl, libfdisk ja libcryptsetup, et vähendada sõltuvusi.
  kutsudes esile dlopen(), kui nende funktsioone tõeliselt vajatakse.
• Systemd-tmpfiles on lisatud lipp '—inline', mis võimaldab käskude seadistamist käsureal ilma konfiguratsioonifailide loomise vajaduseta tmpfiles.d/ ja ilma seadistuste edastamise kaudu STDIN. Uus käskude tüüp 'k/K' on lisatud õiguste seadmiseks. Lisatud on fail tmpfiles.d/root.conf, mis seondab juurdirektorile (/) juurdepääsuõigused 0555 (-r-xr-xr-x), et kaitsta vale õiguste määramise eest dünaamilise juurdirektori FS loomisel.
• Tööriistas bootctl on tagatud reserveeritud koopiate salvestamine systemd-boot laadijast ja vana versiooni määramine UEFI-s varuvõimalusena.
• systemd-vmspawnis on lisatud toetus kernel'i otse käivitamiseks ilma UEFI tahvelarvuti kasutamiseta. Realiseeritud on valik "—firmware-features" olemasolevate tahvlite individuaalsete funktsioonide valikulise lubamise või keelamise jaoks. Lisatud on režiim "—console=headless", et käivitada virtuaalmasin ilma konsooli ja ekraanita. Lisatud on valik "—image-disk-type" VM-s kasutatava plokkhoidla tüübi valimiseks (virtio-blk, virtio-scsi, nvme, scsi-cd). Lisatud on valik "—coco" (Confidential Computing), et lubada mälus salvestuse krüpteerimise režiim. virtuaalmasinad kasutades AMD SEV-SNP tehnoloogiat.
• systemd-hostnamedis ja /etc/machine-info-s on lisatud toetus, et kinnitada praegusele süsteemile suvalisi silte, kasutades parameetrit "Tags". Määratud silte saab seejärel kasutada, et kohaldada valikuliselt seadeid, kontrollides tingimusi väljendi ConditionMachineTag kaudu.
• Lisatud on seaded EventLoopRateLimitIntervalSec ja EventLoopRateLimitBurst, mis piiravad sündmuste töötlemise tsükli intensiivsust PID1-s, et vabastada CPU ressursse juhul, kui see satub silmusesse.
• Teenusehalduris on ellu viidud häälestus MinimumUptimeSec, et määrata süsteemi minimaalne töötamise aeg (vaikimisi 15 sekundit). Kui selle aja jooksul algatatakse välja lülitamine või taaskäivitamine, lisatakse lõpetamise staadiumis vastav viivitus.
• Unit'ide jaoks on rakendatud uued CPUSetPartition seaded cgroup'i cpuset'i jagamise tüübi seadistamiseks ("root", "isolated", "member"), samuti RestrictFileSystemAccess, mis võimaldab käivitada ainult digitaalallkirjaga kontrollitud täidetavaid faile dm-verity abil, ning CPUPressureWatch/CPUPressureThresholdSec/IOPressureWatch/IOPressureThresholdSec, et saada teateid kõrge CPU ja sisend/väljundi koormuse kohta.
• Systemd-report utiliit on laiendanud väljastatavate mõõdikute nimekirja. Näiteks on lisatud teave füüsilise mälu ja aktiivsete CPU tuumade suuruse, samuti SMBIOS ja /etc/machine-info väljade sisu, konfidentsiaalse arvutamise režiimi toetamist ja TPM2 kiipide tootja teave.
• Systemd-oomd on rakendatud võimalus määrata reeglid protsesside filtreerimiseks, kui süsteemis tekib mälu puudus. Reegleid saab määrata kataloogis /etc/systemd/oomd/rules.d/ või teenuse unit'ites OOMRule direktiivi kaudu.
• Systemd-socket-proxy on lisatud toetus "PROXY" protokollile, mis vastab "haproxy" protokolli esimesele versioonile.
• systemd-networkd-s on on uus sd-dhcp-relay taust, et DHCP reläide jaoks. Seaded sektsioonis '[DHCPServer]' — BindToInterface, RelayTarget, RelayAgentCircuitId ja RelayAgentRemoteId on kuulutatud aegunuks ning nende asemel tuleks kasutada parameetrit DHCPRelay sektsioonis '[Network]' koos uute seadistustega sektsioonis [DHCPRelay] ja failis networkd.conf. Lisatud on käsk 'networkctl dhcp-lease INTERFACE', et salvestada IP-aadressi sidumise (DHCP lease) teavet sisaldav dump.
• systemd-nspawn utiliidile on lisatud valik '--restrict-address-families' ning .nspawn failidele seade RestrictAddressFamilies, et piirata konteineris kasutatavaid aadressiperede sokette. Tulevastes väljalaskes lubatakse vaikimisi ainult AF_INET, AF_INET6 ja AF_UNIX pered.
• Vanast udev andmebaasi vormingust (versioon 0.x) on toetus lõpetatud. Reaalajas uuendamine versionitelt systemd kuni versioonini 247 ei ole enam toetatud.
• Kogudes musl C-teekiga, on nüüd vähemalt vajalik musl 1.2.6 väljaanne.

Lisaks saab märkida projekti liberated-systemd 261 väljaande, mis arendab systemd hargnet, vabanedes koodist, mida saab kasutada kasutajate jälgimiseks. Pakutavas väljaandes muudatused puudutavad koodi eemaldamist, mis lisab userdb välja birthDate kasutaja sünnikuupäevaga, ja homectl utiliidile on lisatud valik '--birth-date', et määrata vanus.

Allikas: opennet.ru