Öt hónapos fejlesztés után megjelent a systemd 250 rendszerkezelő új verziója. Az új kiadásban lehetőség nyílt a hitelesítő adatok titkosított tárolására, megvalósult a digitális aláírás által az automatikusan észlelt GPT-partíciók ellenőrzése, javult az információadás a szolgáltatások indításakor fellépő késések okairól, új opciók kerültek hozzáadásra a szolgáltatás hozzáférésének korlátozására bizonyos fájlrendszerekhez és hálózati interfészekhez, valamint támogatást kapott a partíciók integritásának ellenőrzésére a dm-integrity modul segítségével, és bevezetésre került az sd-boot automatikus frissítése.
Főbb változások:
- Hozzáadásra került a titkosított és hitelesített hitelesítő adatok támogatása, ami hasznos lehet a bizalmas anyagok, például SSL-hozzáférési kulcsok és jelszavak biztonságos tárolásához. A hitelesítő adatok dekódolása csak szükség esetén történik, és helyi telepítéshez vagy hardverhez van kötve. Az adatok automatikusan titkosításra kerülnek szimmetrikus titkosítási algoritmusok segítségével, amelynek kulcsa elhelyezhető a fájlrendszerben, a TPM2 chipben vagy kombinált rendszerben. A szolgáltatás indításakor a hitelesítő adatok automatikusan dekódolásra kerülnek, és a szolgáltatás számára normál formában elérhetővé válnak. A titkosított hitelesítő adatok kezelésére új eszköz, a ‘systemd-creds’ került bevezetésre, a szolgáltatások számára pedig a LoadCredentialEncrypted és SetCredentialEncrypted beállítások.
- Az sd-stub, az EFI-hez készült végrehajtható fájl, amely lehetővé teszi az EFI firmware számára a Linux kernel betöltését, támogatást kapott az EFI LINUX_EFI_INITRD_MEDIA_GUID protokoll használatával történő kernel betöltésére. Az sd-stub-ban hozzáadódott a hitelesítő adatok és sysext fájlok cpio archívumba csomagolásának lehetősége, és ennek az archívumnak az átküldése a kerneltel az initrd-vel együtt (további fájlok az \/extra\/ mappába kerülnek). Ez a lehetőség lehetővé teszi egy ellenőrizhető, változatlan initrd környezet használatát, amelyet sysexts és titkosított adatok segítenek az azonosításhoz.
- Jelentősen kibővítették a Discoverable Partitions specifikációját, amely eszközöket biztosít a GPT (GUID Partition Tables) használatával rendelkező rendszerszegmensek azonosítására, szerelésére és aktiválására. A korábbi kiadásokhoz képest a specifikáció a legtöbb architektúra számára a gyökérpartíció és a /usr partíció támogatására vonatkozik, beleértve az UEFI-t nem használó platformokat is.
A Discoverable Partitions hozzáadta a dm-verity modul támogatását, amely a PKCS#7 digitális aláírások használatával ellenőrzi a partíciók integritását, ezzel megkönnyítve a teljesen autentikált lemezképek létrehozását. Az integritás ellenőrzése integrálva van a különböző segédprogramokba, amelyek a lemezképekkel dolgoznak, beleértve a systemd-nspawn, systemd-sysext, systemd-dissect, RootImage szolgáltatások, systemd-tmpfiles és systemd-sysusers-t.
- Hosszú ideig futó vagy leállított unit-ok esetén az animált műveleti indikátor mellett lehetőség nyílik a státuszinformációk megjelenítésére, amely lehetővé teszi a rendszervezető számára, hogy megértse, mi történik éppen a szolgáltatással, és mely szolgáltatás befejezésére vár éppen a rendszerirányító.
- A /etc/systemd/system.conf és /etc/systemd/user.conf fájlokhoz hozzáadódott a DefaultOOMScoreAdjust paraméter, amely lehetővé teszi az OOM-killer küszöbértékének korrekcióját memóriahiány esetén, alkalmazva a systemd által a rendszer és felhasználók számára indított folyamatokra. Alapértelmezett szerint a rendszer szolgáltatások súlya magasabb, mint a felhasználóiaké, azaz memóriahiány esetén a felhasználói szolgáltatások befejezésének valószínűsége nagyobb, mint a rendszeré.
- Hozzáadásra került a RestrictFileSystems beállítás, amely lehetővé teszi a szolgáltatások számára bizonyos fájlrendszertípusokhoz való hozzáférés korlátozását. A rendelkezésre álló fájlrendszer-típusok megtekintéséhez használható a "systemd-analyze filesystems" parancs. Hasonlóan megvalósításra került egy RestrictNetworkInterfaces opció, amely lehetővé teszi a hozzáférés korlátozását bizonyos hálózati interfészekhez. A megvalósítás BPF modulis LSM-re épül, amely korlátozza a folyamatcsoportok hozzáférését a kernel objektumokhoz.
- Hozzáadásra került egy új konfigurációs fájl a /etc/integritytab és a systemd-integritysetup segédprogram, amely beállítja a dm-integrity modult az adatok integritásának ellenőrzésére külön szektorok szintjén, például az titkosított adatok megváltoztathatatlanságának garantálása érdekében (Authenticated Encryption, amely biztosítja, hogy az adatblokk nem lett módosítva). A /etc/integritytab fájl formátuma hasonló a /etc/crypttab és /etc/veritytab fájlokéhoz, kivéve, hogy a dm-crypt és dm-verity helyett dm-integrity-t használnak.
- Új unit-fájlt adtunk hozzá: systemd-boot-update.service, amelynek aktiválása esetén, ha a sd-boot betöltő telepítve van, a systemd automatikusan frissíti a sd-boot betöltő verzióját, így mindig naprakészen tartja a betöltő kódot. A sd-boot mostantól alapértelmezés szerint támogatja az SBAT (UEFI Secure Boot Advanced Targeting) mechanizmust, amely megoldásokat kínál az UEFI Secure Boot tanúsítványok visszavonásával kapcsolatos problémákra. Ezen kívül a sd-boot lehetővé teszi a Microsoft Windows indítási beállításainak értelmezését a Windows boot partícióinak neveinek helyes kialakításához és a Windows verziójának megjelenítéséhez.
A sd-bootban lehetőség nyílt a színséma meghatározására a fordítási folyamat során. A betöltési folyamat során hozzáadták a képernyőfelbontás megváltoztatásának támogatását az "r" billentyű lenyomásával. Hoztak létre egy gyorsbillentyűt az "f" billentyűhöz a firmware beállító interfészhez való átmenethez. Hozzáadták az automatikus rendszerbetöltés módot, amely megfelel a korábban kiválasztott menüelemnek. Automatikus EFI-illesztőprogramok betöltésének lehetősége is elérhető, amelyek az ESP (EFI System Partition) /EFI/systemd/drivers/ könyvtárban találhatók.
- Új unit-fájlt adtunk hozzá: factory-reset.target, amelyet a systemd-logind kezel, analógiásan a újraindítás, kikapcsolás, felfüggesztés és hibernálás műveletekkel, és amelyet a gyári beállítások visszaállításához szükséges kezelők létrehozására használnak.
- A systemd-resolved folyamat mostantól egy további hallgató socketet hoz létre a 127.0.0.54 címen, a 127.0.0.53 mellett. A 127.0.0.54 címre érkező kérések mindig átirányítódnak a magasabb szintű DNS-szerverre, és nem kerülnek helyben feldolgozásra.
- Lehetőség nyílt a systemd-importd és systemd-resolved OpenSSL könyvtárral történő fordítására a libgcrypt helyett.
- Kezdeti támogatást adtunk a LoongArch architektúrához, amely a Loongson processzorokban használatos.
- A systemd-gpt-auto-generatorben megvalósították a rendszer által érzékelt swap partíciók automatikus beállításának lehetőségét a LUKS2 titkosító rendszerrel.
- A GPT-képek elemzéséhez használt kódban, amelyet a systemd-nspawn, systemd-dissect és hasonló segédprogramok használnak, lehetőség nyílt más architektúrák képeinek dekódolására, így a systemd-nspawn használható más architektúrák emulátorainak indítására.
- A disk képek ellenőrzése során a systemd-dissect mostantól részleteket mutat a partíció céljáról, például az UEFI indítási alkalmasságáról vagy a konténerben történő futtatásról.
- A system-extension.d fájlokhoz hozzáadva a "SYSEXT_SCOPE" mező, amely lehetővé teszi a rendszerminta terjedelmének megjelölését: "initrd", "system" vagy "portable".
- Az os-release fájlhoz hozzáadva a "PORTABLE_PREFIXES" mező, amely használható a hordozható mintákhoz az egységfájlok támogatott előtagjainak meghatározásához.
- A systemd-logind új beállításai lettek bevezetve: HandlePowerKeyLongPress, HandleRebootKeyLongPress, HandleSuspendKeyLongPress és HandleHibernateKeyLongPress, amelyeket a billentyűk 5 másodpercnél hosszabb ideig tartó lenyomásakor végrehajtandó műveletek meghatározására lehet használni (például a Suspend billentyű gyors megnyomása alvó üzemmódba lépést, míg a lenyomva tartás alvásba lépést jelenthet).
- Az egységekhez bevezetésre kerültek a StartupAllowedCPUs és StartupAllowedMemoryNodes beállítások, amelyek eltérnek a hasonló Startup nélküli beállításoktól, mivel csak a rendszerindítás és leállítás szakaszában érvényesek, lehetővé téve más erőforrás-beállítások alkalmazását indításkor.
- Hozzáadva a [Condition|Assert][Memory|CPU|IO]Pressure ellenőrzések, amelyek lehetővé teszik az egység aktiválásának kihagyását vagy hibaként való befejezését, ha a PSI mechanizmus segítségével nagy terhelés érzékelhető a memórián, CPU-n és a rendszer bemeneti/kimeneti tevékenységén.
- Az alapértelmezett maximális inode szám korlátozása megnövelve a /dev részlegen 64k-ról 1M-ra, míg a /tmp részlegen 400k-ról 1M-ra.
- A szolgáltatásokhoz bevezetve az ExecSearchPath beállítás, amely lehetővé teszi a végrehajtható fájlok keresési útvonalának megváltoztatását, amelyeket hasonló beállításokkal indítanak el, mint az ExecStart.
- Hozzáadva a RuntimeRandomizedExtraSec beállítás, amely lehetővé teszi véletlenszerű eltérések bevezetését a RuntimeMaxSec időkorlátozásba, amely a egység végrehajtási idejét korlátozza.
- A RuntimeDirectory, StateDirectory, CacheDirectory és LogsDirectory beállítások szintaxisa kiterjesztve, amelyekben egy kiegészítő érték megadásával, kettősponttal elválasztva, most már lehetőség van szimbolikus hivatkozás létrehozására a megadott könyvtárhoz, hogy több úton is hozzáférhessenek.
- A szolgáltatásokhoz bevezetve a TTYRows és TTYColumns beállítások, amelyekkel a TTY eszközben lévő sorok és oszlopok számát lehet beállítani.
- Hozzáadva az ExitType beállítás, amely lehetővé teszi a szolgáltatás befejezésének logikájának megváltoztatását. Alapértelmezés szerint a systemd csak a fő folyamat befejezését figyeli, de az ExitType=cgroup beállítás esetén a rendszerkezelő megvárja az utolsó folyamat befejezését a cgroupban.
- A TPM2/FIDO2/PKCS11 támogatás megvalósítása a systemd-cryptsetup-ban mostantól a cryptsetup pluginjaként is összeállítható, ami lehetővé teszi a hagyományos cryptsetup parancs használatát a titkosított partíciók feloldásához.
- A TPM2 kezelőben a systemd-cryptsetup/systemd-cryptsetup át lett alakítva, hogy támogassa az RSA elsődleges kulcsokat is, az ECC kulcsok mellett, ezzel javítva a kompatibilitást olyan chippekkel, amelyek nem támogatják az ECC-t.
- A /etc/crypttab fájlhoz egy token-timeout opciót adtak hozzá, amely lehetővé teszi a PKCS#11/FIDO2 token csatlakozására várakozás maximális időtartamának meghatározását, amelynek lejártát követően jelszó- vagy helyreállító kulcsbeviteli kérelem jelenik meg.
- A systemd-timesyncd-ben bevezetésre került egy SaveIntervalSec beállítás, amely lehetővé teszi a jelenlegi rendszeridő időszakos lemezre mentését, például monoton órák megvalósításához RTC nélküli rendszereknél.
- A systemd-analyze parancshoz új opciók kerültek: «—image» és «—root» a unit-fájlok ellenőrzéséhez a megadott kép vagy gyökérmappa belsejében, «—recursive-errors» a hibák kiderítésekor a függő egységek figyelembevételéhez, «—offline» külön lemezre mentett unit-fájlok ellenőrzéséhez, «—json» JSON formátumú kimenethez, «—quiet» a lényegtelen üzenetek kikapcsolásához, és «—profile» a hordozható profilhoz való hozzárendeléshez. Emellett hozzáadták az inspect-elf parancsot az ELF formátumú core-fájlok elemzésére, és lehetőséget adtak unit-fájlok ellenőrzésére a megadott egységnevével, függetlenül attól, hogy ez a név megegyezik-e a fájl nevével.
- A systemd-networkd-ben kibővült a CAN (Controller Area Network) busz támogatása. Beállítások kerültek hozzáadásra a CAN üzemmódok kezelésére: Loopback, OneShot, PresumeAck és ClassicDataLengthCode. A .network fájlok [CAN] szekciójához új opciók lettek hozzáadva: TimeQuantaNSec, PropagationSegment, PhaseBufferSegment1, PhaseBufferSegment2, SyncJumpWidth, DataTimeQuantaNSec, DataPropagationSegment, DataPhaseBufferSegment1, DataPhaseBufferSegment2 és DataSyncJumpWidth a CAN interfész bit-szinkronizálásának kezelésére.
- A systemd-networkd DHCPv4 klienséhez hozzáadták a Label opciót, amely lehetővé teszi a címek címkéjének beállítását az IPv4 címek konfigurálásakor.
- A systemd-udevd-ben az «ethtool» esetében megvalósították a «max» speciális értékek támogatását, amelyek a hardver által támogatott maximális értékre állítják be a pufferméretet.
- A systemd-udevd .link fájljaiban mostantól különböző paraméterek állíthatók be a hálózati adapterek összefűzésére és a hardverfeldolgozók (offload) csatlakoztatására.
- A systemd-networkd alapértelmezés szerint új .network fájlokat kínál: 80-container-vb.network a systemd-nspawn indításakor használt «—network-bridge» vagy «—network-zone» opciókkal létrehozott hálózati hidak meghatározására; 80-6rd-tunnel.network a DHCP válasz alapján automatikusan létrehozott alagút meghatározására 6RD opcióval.
- A systemd-networkd és a systemd-udevd támogatja az IP-t az InfiniBand interfészeken keresztül, amelyhez a systemd.netdev fájlokban hozzáadva lett a «[IPoIB]» szakasz, míg a Kind beállításban az «ipoib» érték kezelése megvalósult.
- A systemd-networkd automatikus útvonalbeállítást biztosít az AllowedIPs paraméterben megadott címek számára, amely a [WireGuard] és [WireGuardPeer] szakaszok RouteTable és RouteMetric paraméterein keresztül konfigurálható.
- A systemd-networkd automatikus MAC-cím generálást biztosít a batadv és bridge interfészekhez. E viselkedés letiltásához a .netdev fájlokban a MACAddress=none értéket kell megadni.
- A .link fájlokba a «[Link]» szakaszhoz hozzáadva lett a WakeOnLanPassword beállítás, amely a WoL SecureOn üzemmódban történő munkához szükséges jelszót határozza meg.
- A .network fájlok «[CAKE]» szakaszába hozzáadva lettek az AutoRateIngress, CompensationMode, FlowIsolationMode, NAT, MPUBytes, PriorityQueueingPreset, FirewallMark, Wash, SplitGSO és UseRawPacketSize beállítások a CAKE (Common Applications Kept Enhanced) hálózati sorok kezelésének paramétereinek meghatározására.
- A .network fájlok «[Network]» szakaszába hozzáadva lett az IgnoreCarrierLoss beállítás, amely meghatározza, mennyi ideig várjon a jelfogó jel elvesztésére történő reakció előtt.
- A systemd-nspawn, homectl, machinectl és systemd-run kibővítette a «—setenv» paraméter szintaxisát — ha csak a változó neve szerepel (anélkül, hogy «=» lenne), az értéket a megfelelő környezeti változóból fogja venni (például a «—setenv=FOO» megadása esetén az $FOO környezeti változóból nyert érték kerül felhasználásra a konténer belső azonos nevű környezeti változójaként).
- A systemd-nspawn-ban hozzáadva lett a «—suppress-sync» opció, amely letiltja a sync()/fsync()/fdatasync() rendszerhívások végrehajtását a konténer létrehozásakor (hasznos, ha a sebesség elsődleges szempont, és a hibás működés esetén a build artefaktumok mentése nem fontos, mivel bármikor újra létrehozhatóak).
- Új hwdb adatbázis került hozzáadásra, amely különböző jelanalizáló típusokat tartalmaz (multiméterek, protokollelemzők, oszcilloszkópok stb.). A hwdb-ben a kamerák adatai kiegészültek a kamera típusának (normál vagy infravörös) és az objektív helyének (elöl vagy hátul) információs mezőjével.
- Biztosítva van a hálózati interfészek állandó neveinek generálása a Xenben használt netfront eszközök számára.
- A core fájlok elemzését a systemd-coredump utilitás által a libdw/libelf könyvtárak alapján most már egy külön, sandbox környezetben izolált folyamat végzi.
- A systemd-importd támogatja a környezeti változók $SYSTEMD_IMPORT_BTRFS_SUBVOL, $SYSTEMD_IMPORT_BTRFS_QUOTA, $SYSTEMD_IMPORT_SYNC használatát, amelyek lehetővé teszik a Btrfs alrétegek generálásának letiltását, valamint a kvóták és a lemezek szinkronizálásának beállítását.
- A systemd-journald a copy-on-write (COW) módot ismételten engedélyezte az archív naplókra a copy-on-write-t támogató fájlrendszereken, ami lehetővé teszi azok tömörítését a Btrfs segítségével.
- A systemd-journald-ban megvalósult az azonos mezők deduplikálása ugyanazon üzenetben, ami a naplóba helyezés előtti szakaszban zajlik.
- A shutdown parancshoz hozzáadva lett a „—show” opció a tervezett leállítás megjelenítéséhez.
Forrás: opennet.ru
