A system manager systemd 248 kiadás

Négy hónapos fejlesztés után megjelent a systemd 248 rendszerkezelő kiadása. Az új verzió támogatja a rendszer könyvtárak bővítéseire szolgáló képeket, a konfigurációs fájlokat az /etc/veritytab-ban, a systemd-cryptenroll segédprogramot, a LUKS2 feloldását TPM2 chipekkel és FIDO2 tokenekkel, az IPC azonosítók elkülönített térben történő indítását, a B.A.T.M.A.N. protokollt mesh hálózatokhoz, és a systemd-nspawn nftables háttéralkalmazását. Stabilizálva lett a systemd-oomd.

Főbb változások:

• Megvalósították a rendszerbővítmények (System Extension) koncepcióját, amelyeket a /usr/ és /opt/ könyvtárak hierarchiájának bővítésére lehet használni, és további fájlok hozzáadására futás közben, még akkor is, ha a megadott könyvtárakat csak olvasási módban csatolják. A rendszerbővítmény képeinek csatlakoztatásakor annak tartalma overlays-up a /usr/ és /opt/ hierarchiába az OverlayFS használatával.

  A rendszerbővítmények csatlakoztatására, leválasztására, megtekintésére és frissítésére új eszköz, a systemd-sysext került javaslatra. Az importált bővítmények automatikus csatlakoztatására a rendszerindítás során a systemd-sysext.service szolgáltatás került hozzáadásra. Az os-release fájlhoz hozzáadódott a «SYSEXT_LEVEL=» paraméter a támogatott rendszerek bővítményeinek szintjének megállapításához.
• A unitok számára megvalósították az ExtensionImages beállítást, amelyet a rendszerbővítmények kapcsolódásának rögzítésére lehet használni az elkülönített szolgáltatások fájlnevének hierarchiájához.
• Hozzáadták az /etc/veritytab konfigurációs fájlt az adatok blokkszintű hitelesítésének beállításához a dm-verity modul segítségével. A fájl formátuma hasonló az /etc/crypttab-hoz — «partition_name device_for_data device_for_hashes hash_root_verification options». A dm-verity viselkedésének beállításához a systemd.verity.root_options parancssori paraméter került hozzáadásra a gyökészülékhez.
• A systemd-cryptsetup-ban lehetővé vált a PKCS#11 token URI és a titkosított kulcs kinyerése a LUKS2 metaadatok fejlécéből JSON formátumban, ami lehetővé teszi az titkosított eszköz feloldásáról szóló információk integrálását magában az eszközben külső fájlok felhasználása nélkül.
• A systemd-cryptsetup támogatja a LUKS2 titkosított partíciók TPM2 chippek és FIDO2 tokenek általi feloldását, a korábban támogatott PKCS#11 tokenek mellett. A libfido2 betöltése a dlopen() segítségével történik, azaz a meglétet futásidőben ellenőrzik, nem pedig statikus függőségként.
• Az /etc/crypttab fájlban a systemd-cryptsetup új opciókat kapott, mint a 'no-write-workqueue' és a 'no-read-workqueue', amelyek lehetővé teszik a titkosítással és visszafejtéssel kapcsolatos bemeneti/kimeneti műveletek szinkron feldolgozását.
• A systemd-repart eszközhöz hozzáadták a titkosított partíciók TPM2 chippek általi aktiválásának lehetőségét, például a titkosított /var partíció létrehozásához az első indítás során.
• Bevezetésre került a systemd-cryptenroll eszköz, amely a TPM2, FIDO2 és PKCS#11 tokenek LUKS partíciókhoz való hozzárendelésére, leválasztására és megtekintésére, valamint tartalék kulcsok hozzárendelésére és hozzáférési jelszó megadására szolgál.
• Hozzáadva a PrivateIPC paraméter, amely lehetővé teszi a folyamatok izolált IPC térben történő indításának beállítását a saját azonosítóikkal és üzenetsorukkal a unit fájlban. Az IPCNamespacePath opciót a már létrehozott IPC azonosítók térbe való kapcsolódáshoz javasolják.
• Az ExecPaths és NoExecPaths beállítások hozzáadva, lehetővé téve a noexec flag alkalmazását a fájlrendszer egyes részein.
• A systemd-networkd támogatja a B.A.T.M.A.N. mesh protokollt (Better Approach To Mobile Adhoc Networking), amely lehetővé teszi decentralizált hálózatok létrehozását, ahol minden csomópont a szomszédos csomópontokon keresztül kapcsolódik. A beállításhoz javasolt a [BatmanAdvanced] szekció a .netdev fájlban, a BatmanAdvanced paraméter a .network fájlokban és egy új 'batadv' eszköztípus.
• Stabilizálva lett a systemd-oomd memóriahiányra adott korai reagálásának mechanizmusa. Hozzáadva a DefaultMemoryPressureDurationSec opció a források felszabadítása előtt várakozási idő beállításához. A systemd-oomd a PSI (Pressure Stall Information) kernelalrendszert használja, és lehetővé teszi a forráshiány miatt fellépő késedelmek kezdetének azonosítását, valamint a nagy forrást igénylő folyamatok szelektív leállítását, amikor a rendszer még nem kritikus állapotban van, és nem kezd el intenzíven lecsökkenteni a cache-t és kihelyezni adatokat a swap területre.
• Hozzáadva a kernel parancssori paraméter — 'root=tmpfs', amely lehetővé teszi a gyökérpartíció ideiglenes tárolóként való csatlakoztatását a memóriában található Tmpfs segítségével.
• A paraméter az /etc/crypttab fájlban, amely meghatározza a kulcsfájlt, most már AF_UNIX és SOCK_STREAM típusú socketekre is hivatkozhat. Ebben az esetben a kulcsot a sockethez való csatlakozáskor kell átadni, ami például a kulcsot dinamikusan szolgáltató szolgáltatások létrehozására alkalmazható.
• A tartalék hosztnevet (fallback) a rendszerkezelő és a systemd-hostnamed most kétféleképpen lehet megadni: az os-release fájl DEFAULT_HOSTNAME paraméterével és a $SYSTEMD_DEFAULT_HOSTNAME környezeti változóval. A systemd-hostnamed-ben a "localhost" megadásának kezelése is megvalósult a hosztnevében, és lehetőség nyílt a hoszt név és a "HardwareVendor" valamint "HardwareModel" tulajdonságainak DBus-on keresztüli exportálására.
• A beállítható környezeti változók blokkját most már a system.conf vagy user.conf új ManagerEnvironment opcióján keresztül is be lehet állítani, nem csupán a kernel parancssorán és a unit fájlok beállításain keresztül.
• A fordítási szakaszban lehetőség nyílik a fexecve() rendszerhívás használatára a folyamatok indításához az execve() helyett, hogy csökkentsük a késleltetést a biztonsági kontextus ellenőrzése és alkalmazása között.
• A unit fájlokhoz új feltételes műveletek kerültek hozzáadásra: ConditionSecurity=tpm2 és ConditionCPUFeature az TPM2 eszközök és egyedi CPU funkciók (például a ConditionCPUFeature=rdrand a RDRAND művelet támogatásának ellenőrzésére) ellenőrzésére.
• A rendelkezésre álló kernelhez automatikus rendszerhívás-táblák generálása valósult meg seccomp szűrők számára.
• Lehetőség nyílt új mount bindek behelyettesítésére meglévő mount namespace-kbe szolgáltatásokhoz, a szolgáltatások újraindítása nélkül. A behelyettesítést a ‘systemctl bind …’ és ‘systemctl mount-image …’ parancsokkal lehet végrehajtani.
• A StandardOutput és StandardError beállításokhoz támogatás került bevezetésre, amely lehetővé teszi az utak megadását a „truncate:” formátumban a használat előtt történő törléshez.
• Az sd-bus-hoz hozzáadódott a lehetőség, hogy kapcsolatot létesítsünk egy megadott felhasználó session-jével egy helyi konténeren belül. Például: „systemctl —user -M lennart@ start quux”.
• A systemd.link fájlok [Link] szakaszában az alábbi paraméterek valósultak meg:
  • Promiscuous — lehetővé teszi az eszköz ‘promiscuous’ módba állítását, hogy minden hálózati csomagot feldolgozhasson, beleértve azokat is, amelyek nem a jelenlegi rendszernek vannak címezve;
  • TransmitQueues és ReceiveQueues az TX és RX sorok számának beállításához.
  • A TX sorqueue méretének beállításához TransmitQueueLength; a GRO (Generic Receive Offload) technológia alkalmazásának korlátainak megadásához GenericSegmentOffloadMaxBytes és GenericSegmentOffloadMaxSegment.
• Új beállítások kerültek be a systemd.network fájlokba:
  • [Network] RouteTable a routing táblázat választásához;
  • [RoutingPolicyRule] Type a routing típusához ("blackhole", "unreachable", "prohibit");
  • [IPv6AcceptRA] RouteDenyList és RouteAllowList a megengedett és tiltott útvonalhirdetések listáihoz;
  • [DHCPv6] UseAddress az adott DHCP cím figyelmen kívül hagyásához;
  • [DHCPv6PrefixDelegation] ManageTemporaryAddress;
  • ActivationPolicy az interfész aktivitásának politikájának meghatározásához (mindig UP vagy DOWN állapotban tartani, vagy lehetővé tenni a felhasználónak a "ip link set dev" parancs használatával történő állapotváltást).
• A systemd.netdev fájlokhoz hozzáadták az [VLAN] Protocol, IngressQOSMaps, EgressQOSMaps és az [MACVLAN] BroadcastMulticastQueueLength opciókat a VLAN csomagok kezelésének beállításához.
• A /dev/ könyvtár noexec módban való csatolása megszűnt, mivel ez konfliktust okozott az /dev/sgx fájlokkal végrehajtási zászló használatakor. A régi működés visszaállításához használja a NoExecPaths= /dev beállítást.
• A /dev/vsock fájl hozzáférési jogai 0o666-ra változtak, a /dev/vhost-vsock és a /dev/vhost-net fájlokat áthelyezték a csoportban. kvm.
• A hardverazonosítók bázisa kiterjesztve lett az USB-eszközökkel az ujjlenyomatok olvasásához, amely helyesen támogatja a alvó állapotba való átmenetet.
• A systemd-resolved támogatja a DNSSEC-keresésekre adott válaszok kibocsátását stub-rezolveren keresztül. A helyi kliensek saját DNSSEC-érvényesítést végezhetnek, míg a külső válaszok változatlan formában a szülő DNS-szerverhez vannak proxizva.
• A resolved.conf fájlhoz hozzáadták a CacheFromLocalhost opciót, amely bekapcsolásakor a systemd-resolved cache-t használ még a 127.0.0.1 címre irányuló DNS-szerverekhez való hívások esetén is (alapértelmezés szerint az ilyen keresések cache-ezése ki van kapcsolva a kettős cache-elés elkerülése érdekében).
• A systemd-resolved-hez hozzáadták az RFC-5001 NSID támogatását a helyi DNS-rezolverben, amely lehetővé teszi a kliensek számára, hogy megkülönböztessék a helyi resolverrel való interakciót és a másikkal. szerverrel DNS.
• A resolvectl segédprogramban megvalósult az adatforrás információk (helyi cache, hálózati hívás, lokális feldolgozó válasza) és az adatok továbbításakor használt titkosítás alkalmazásának megjelenítése. Az név meghatározási folyamat irányítására javasolt opciók: —cache, —synthesize, —network, —zone, —trust-anchor és —validate.
• A systemd-nspawn beépítésbe került a tűzfal konfigurálásának támogatása nftables segítségével, a meglévő iptables támogatás mellett. Az IPMasquerade beállításához a systemd-networkd-ben lehetőség nyílik nftables alapú háttér használatára.
• A systemd-localed beépítésbe került a locale-gen hívásának támogatása a hiányzó lokalizációk generálásához.
• Különböző segédprogramokhoz hozzáadták a —pager/—no-pager/—json= opciókat a lapozás üzemmód be- és kikapcsolásához, valamint a JSON formátumban való kimenethez. Lehetővé vált a terminálban használt színek számának beállítása a SYSTEMD_COLORS környezeti változó segítségével (’16’ vagy ’256’).
• Megfontolandónak nyilvánították a különálló könyvtári hierarchiákkal (a / és /usr különválasztásával) készült köztes verziókat és a cgroup v1 támogatását.
• A Git fő ága átnevezésre került ‘master’ a ‘main’ névre.

Forrás: opennet.ru