Publication du gestionnaire de système systemd 257

Après six mois de développement, la version du gestionnaire de système systemd 257 est présentée. Changements clés : nouvelles utilitaires systemd-sbsign et systemd-keyutil, support de MPTCP lors de l'activation par socket, support initial pour la compilation avec la bibliothèque C Musl, l'utilitaire updatectl pour gérer l'installation des mises à jour via systemd-sysupdate, possibilité de démarrer des services dans un espace de noms PID séparé, protection contre la suppression accidentelle de fichiers lors de l'utilisation de « systemd-tmpfiles —purge ».

Parmi les changements de la nouvelle version :

• Une nouvelle utilitaire systemd-sbsign a été ajoutée pour signer numériquement les fichiers exécutables au format PE (Portable Executable), destinés à être utilisés lors du démarrage en mode EFI Secure Boot. Pour générer la signature, des moteurs et fournisseurs fournis par la bibliothèque OpenSSL peuvent être utilisés. Systemd-sbsign peut être utilisé comme alternative aux applications sbsigntool et pesign dans l'utilitaire ukify lors de la création d'images de noyau universelles UKI (Unified Kernel Image), combinant en un seul fichier le chargeur pour UEFI (UEFI boot stub), l'image du noyau Linux et l'environnement système initrd chargé en mémoire.
• Un nouvel utilitaire systemd-keyutil a été ajouté, implémentant diverses opérations sur les clés privées et les certificats X.509. Par exemple, systemd-keyutil peut être utilisé pour vérifier la possibilité de charger des clés privées et des certificats, ainsi que pour en extraire les clés publiques au format PEM.
• Dans les unités « .socket », utilisées pour assurer le fonctionnement du mécanisme d'activation par socket (lancement de processus lors de la tentative d'établissement d'une connexion réseau), le support de MPTCP (Multipath TCP) a été implémenté, une extension du protocole TCP pour établir des connexions TCP en livrant des paquets simultanément par plusieurs chemins à travers différentes interfaces réseau, liées à différentes adresses IP.
• Des modifications nécessaires pour la compilation avec la bibliothèque standard C Musl ont été incluses.
• Divers composants de systemd, affichant des indicateurs de progression des opérations (par exemple, systemd-repart, systemd-sysupdate/updatectl et importctl), ont été ajoutés avec la possibilité d'utiliser des séquences ANSI pour animer l'affichage de la progression. De telles séquences sont actuellement prises en charge uniquement dans le Windows Terminal (il est prévu que cette possibilité sera étendue aux émulateurs de terminaux pour Linux au fil du temps).
• Les capacités du composant systemd-sysupdate, utilisé pour identifier, télécharger et installer automatiquement des mises à jour en utilisant un mécanisme atomique de remplacement de partitions, de fichiers ou de répertoires, ont été étendues (deux partitions/fichiers/répertoires indépendants sont utilisés, l'un contenant la ressource actuelle en cours d'exécution et l'autre accueillant la mise à jour suivante, après quoi les partitions/fichiers/répertoires sont échangés). En pratique, systemd-sysupdate est déjà utilisé dans GNOME OS.

  En plus du processus systemd-sysupdate, un service du même nom a été ajouté, permettant d'utiliser D-Bus pour gérer la mise à jour du système par un utilisateur non privilégié. Une nouvelle utilitaire updatectl a également été incluse pour la gestion du service. Un drapeau «—offline» a été ajouté à systemd-sysupdate pour interdire le téléchargement de métadonnées par réseau et utiliser uniquement les versions déjà téléchargées sur le système local. Un support pour la sortie au format JSON a été ajouté à toutes les commandes.
• Un nouvel attribut «PrivatePIDs» a été implémenté pour les services, permettant d’organiser le lancement de processus avec PID 1 (processus init) dans un espace d'identifiants de processus distinct (namespace PID). Dans l'environnement créé pour le processus lancé, seuls les processus de l'espace de noms créé lui seront visibles.
• Le système de règles udev a été mis à jour pour supporter les correspondances sans tenir compte des majuscules (par exemple, ‘ATTR{foo}==i"abcd"‘). Grâce à udev, un accès («uaccess») à l'appareil /dev/udmabuf a été accordé aux utilisateurs locaux non privilégiés, nécessaire pour travailler avec des caméras IPMI via libcamera. udev a été mis en place pour reconnaître divers portefeuilles cryptographiques matériels avec interface USB et attribuer la propriété ID_HARDWARE_WALLET, permettant ainsi d'appliquer le mode «uaccess» pour l'accès d'utilisateurs non privilégiés.
• De nouveaux champs RELEASE_TYPE, EXPERIMENT et EXPERIMENT_URL ont été ajoutés au fichier /etc/os-release. «RELEASE_TYPE» peut prendre les valeurs «experimental», «development», «stable» et «lts» pour distinguer les versions stables des versions en développement et des compilations expérimentales. Les paramètres EXPERIMENT et EXPERIMENT_URL sont destinés à expliquer la nature de la compilation expérimentale.
• Dans l'outil run0, développé comme un remplacement du programme sudo, une option « —shell-prompt-prefix » a été ajoutée, permettant de définir la chaîne préfixe de l'invite de la ligne de commande. Par défaut, un emoji « 🦸 » est affiché comme préfixe pour mettre en évidence les sessions avec des privilèges élevés.
• Dans systemd-tmpfiles, pour éviter la suppression accidentelle de fichiers incorrects, l'option « —purge » est désormais appliquée uniquement aux configurations dans tmpfiles.d/ pour lesquelles le drapeau « $ » est explicitement défini. Pour effectuer l'opération « —purge », il est également maintenant requis de spécifier au moins un fichier du répertoire tmpfiles.d/. Pour les lignes de type ‘L’, un drapeau ‘?’ a été ajouté, indiquant qu'un lien symbolique ne sera créé que si le fichier cible est présent.
• Dans le gestionnaire de services et les utilitaires associés, la migration du code de suivi des processus vers l'utilisation de PIDFD au lieu de PID a été poursuivie. L'identifiant PIDFD est lié à un processus spécifique et ne change pas, tandis que le PID peut être réaffecté à un autre processus après la fin du processus actuel associé à ce PID.
• Pour les services, une option « RestartMode » avec la valeur « debug » a été mise en œuvre, permettant le redémarrage d'un service échoué avec l'activation du mode de débogage (la variable d'environnement DEBUG_INVOCATION=1 est définie) et la valeur LogLevelMax sera temporairement élevée au niveau de débogage.
• Dans le gestionnaire PID 1, la possibilité de charger des règles pour le module LSM IPE (Integrity Policy Enforcement) a été mise en œuvre, définissant la politique d'assurance de l'intégrité pour l'ensemble du système (quelles opérations sont autorisées et comment vérifier l'authenticité des composants).
• Dans les fichiers unit « .timer », une option « DeferReactivation » a été ajoutée, permettant de sauter l'activation suivante par le minuteur si le service n'a pas encore terminé son exécution depuis la dernière activation.
• Dans le paramètre des fichiers unit PrivateUsers, la possibilité d'indiquer la valeur « identity » pour activer le mappage des identifiants utilisateurs lors de la création d'un espace de noms (user namespace) a été mise en œuvre.
• Dans le paramètre des fichiers unit PrivateTmp, le support de la valeur « disconnected » a été ajouté, permettant d'utiliser des instances distinctes de tmpfs pour les répertoires /tmp/ et /var/tmp/.
• Le paramètre unit des fichiers ProtectControlGroups a ajouté la prise en charge de nouveaux modes « privé » et « strict », qui, lorsqu'ils sont définis, créent un nouvel espace de noms cgroup (cgroup namespace) pour le service et montent cgroupfs. Lors de l'activation de l'option « strict », le montage de cgroupfs se fait en mode lecture seule.
• Dans les paramètres StateDirectory, RuntimeDirectory, CacheDirectory, LogsDirectory et ConfigurationDirectory, il est désormais possible d'utiliser le flag ‘:ro’ pour restreindre l'accès aux répertoires correspondants en mode lecture seule.
• Le paramètre de ligne de commande du noyau « systemd.machine_id » a été enrichi de la prise en charge de la valeur « firmware », ce qui permet au système d'identification (machine ID) d'être calculé à partir de l'UUID provenant de SMBIOS/DeviceTree.
• Ajout de la prise en charge des appels système mseal(), listmount() et statmount(), apparus dans les versions récentes du noyau Linux.
• Les utilitaires resolvectl, timedatectl et systemd-inhibit incluent désormais la prise en charge de l'autorisation interactive via Polkit.
• L'utilitaire systemctl permet désormais d'utiliser l'option « —now » avec la commande « reenable ».
• L'outil systemd-mount a ajouté l'option « —json » pour afficher des résultats au format JSON (par exemple, lorsqu'il est utilisé avec l'option « —list-devices », il affichera la liste des périphériques au format JSON).
• L'outil « localectl » a été enrichi des options « -l » et « —full » pour désactiver la troncature des longues lignes lors de l'affichage.
• Dans sleep.conf, l'option HibernateOnACPower a été ajoutée pour retarder la mise en veille jusqu'à ce que l'appareil soit déconnecté de la source d'alimentation principale.
• Dans systemd-sysusers, les lignes « u » ont été mises à jour pour inclure le modificateur « ! », permettant la création de comptes utilisateurs complètement bloqués (auparavant, le blocage d'un utilisateur était effectué en attribuant un mot de passe incorrect, ce qui ne menait pas à un blocage lors de l'authentification par clés SSH).
• Dans systemd-coredump, l'option « EnterNamespace » a été ajoutée, fournissant un accès aux espaces de montage de tout processus ayant rencontré une erreur pour obtenir leurs symboles de débogage. En pratique, cette option peut être utile pour réaliser une rétrotrace (backtrace) des fichiers core des applications exécutées dans des conteneurs isolés.
• Dans systemd-logind, le traitement de la combinaison Ctrl-Alt-Shift-Esc a été activé pour envoyer aux composants de l'environnement utilisateur le signal org.freedesktop.login1.SecureAttentionKey, demandant l'affichage d'un dialogue de connexion sécurisé. Une configuration 'DesignatedMaintenanceTime' a été mise en œuvre pour planifier automatiquement l'arrêt à un moment donné. De manière similaire au support des appareils DRM et evdev, le support de la configuration d'accès des utilisateurs non privilégiés aux appareils hidraw (manettes de jeu et joysticks) a été ajouté.
• Dans systemd-machined, le support de l'enregistrement par des clients non privilégiés a été ajouté. machines virtuelles et des conteneurs. L'accès à la fonctionnalité systemd-machined est fourni via l'API Varlink, en plus de D-Bus.
• Dans le fichier de configuration networkd.conf, une nouvelle section '[IPv6AddressLabel]' a été ajoutée pour configurer les étiquettes et les préfixes pour les adresses IPv6.
• La commande ‘networkctl edit’ a été améliorée avec l'option ‘—stdin’ pour obtenir le contenu du fichier à partir de l'entrée standard. Les commandes ‘networkctl edit’ et ‘networkctl cat’ supportent désormais la modification et l'affichage de fichiers .netdev en spécifiant l'interface réseau. L'option ‘—no-ask-password’ a été ajoutée pour désactiver l'authentification interactive.
• Dans les utilitaires ukify, bootctl, systemd-keyutil, systemd-measure, systemd-repart et systemd-sbsign, l'option ‘—certificate-source’ a été ajoutée pour charger le certificat X.509 via le fournisseur OpenSSL au lieu de le charger directement depuis un fichier.
• Dans systemd-boot, il est désormais possible d'utiliser les boutons de volume pour naviguer vers le haut et vers le bas dans le menu de démarrage, ce qui peut être utile sur des appareils tels que les smartphones. L'utilitaire bootctl a été mis à jour pour prendre en charge l'installation de la base de données UEFI Secure Boot au format ESL(db/dbx/…) pour systemd-boot.
• Dans journalctl, l'option ‘—list-invocation’ a été ajoutée pour afficher la liste des appels des unités, ainsi que l'option ‘—invocation’ (‘-I’) pour afficher uniquement les journaux liés à un appel spécifique.
• Dans systemd-nspawn, le support de l'utilisation non privilégiée de FUSE (Filesystem in Userspace) dans les conteneurs a été ajouté. Lors de l'utilisation de l'option ‘—bind-user’, le transfert des clés SSH de l'utilisateur dans le conteneur est assuré, ce qui est nécessaire pour l'accès SSH.
• Dans libsystemd, une nouvelle interface logicielle ‘sd-json’ utilisant le format JSON a été ajoutée, ainsi que l'interface ‘sd-varlink’ utilisant l'IPC Varlink.
• La version de base recommandée du noyau a été portée à la version 5.4, publiée en 2019. L'année suivante, il est prévu de cesser le support des noyaux plus anciens et de marquer la version 5.4 comme la version de base minimale prise en charge.
• Le support des cgroups v1 est considéré comme obsolète et désactivé par défaut (pour l'activer, il est nécessaire de spécifier SYSTEMD_CGROUP_ENABLE_LEGACY_FORCE=1 dans la ligne de commande du noyau, en plus de l'activation dans les paramètres de systemd). Lors de la prochaine version systemd 258, le code associé aux cgroups v1 sera complètement supprimé. La version systemd 258 prévoit également la suppression du support des scripts de services System V.

Source : opennet.ru