🥇A systemd 257 rendszerkezelő kiadása

A fél éves fejlesztés után megjelent a systemd 257-es verziójának kiadása. Kulcsfontosságú változások: új systemd-sbsign és systemd-keyutil segédprogramok, MPTCP támogatás socket aktiváláskor, kezdeti támogatás Musl C könyvtárral való fordításhoz, updatectl segédprogram a frissítések telepítésének kezelésére a systemd-sysupdate révén, szolgáltatások indítása külön PID névtérben, védelem a fájlok véletlenszerű törlésével szemben a systemd-tmpfiles —purge használata során.

A legújabb verzióban bekövetkezett változások:

Új systemd-sbsign segédprogram került hozzáadásra, amely lehetővé teszi a PE (Portable Executable) formátumú végrehajtható fájlok digitális aláírását, amelyek EFI Secure Boot üzemmódban való betöltéshez vannak szánva. Az aláírás létrehozásához az OpenSSL könyvtár által biztosított motorok és szolgáltatók használhatók. A systemd-sbsign alternatívaként alkalmazható az sbsigntool és pesign alkalmazásokkal, az ukify segédprogramon belül az egyesített kernel képek (UKI - Unified Kernel Image) létrehozásakor, amelyek egy fájlban tartalmazzák az UEFI (UEFI boot stub) indítót, a Linux kernel képet és a betöltésre szánt initrd környezetet.
Megérkezett az új systemd-keyutil segédprogram, amely különböző műveleteket végezhet a zárt kulcsokkal és az X.509 tanúsítványokkal. Például a systemd-keyutil használható a zárt kulcsok és tanúsítványok betöltési lehetőségének ellenőrzésére, valamint a PEM formátumú nyílt kulcsok kinyerésére belőlük.
A '.socket' egységekben, amelyek a socket aktiválási mechanizmus működését biztosítják (folyamatok indítása a hálózati kapcsolatok létrehozásának megkísérlésekor), megvalósították az MPTCP (Multipath TCP) támogatását, amely a TCP protokoll kiterjesztése a TCP kapcsolat folytatásának érdekében, lehetővé téve a csomagok egyidejű szállítását különböző útvonalakon, eltérő hálózati felületeken keresztül, amelyek különböző IP-címek.
A csomagba bekerültek a Musl szabványos C könyvtárral végzett fordításhoz szükséges változások.
A systemd különböző komponenseihez, amelyek műveletek végrehajtásának előrehaladási mutatóit mutatják (például systemd-repart, systemd-sysupdate/updatectl és importctl), lehetőség lett hozzáadva az előrehaladás animálására ANSI-sorozatok használatával. Egyelőre ezek a sorozatok csak a Windows Terminalban támogatottak (feltevések szerint ebben a lehetőség idővel átkerül a Linux terminálemulátorokba is).
A systemd-sysupdate component has been enhanced, used for automatically detecting, downloading, and installing updates using an atomic mechanism for swapping partitions, files, or directories (two independent partitions/files/directories are used, one for the currently running resource and the other for the next update that is being installed, after which the partitions/files/directories are swapped). In practice, systemd-sysupdate is already being used in GNOME OS.
In addition to the systemd-sysupdate process, a service of the same name has been added, allowing non-privileged users to use D-Bus to manage system updates. A new utility, updatectl, has also been included for managing the service. A ‘--offline’ flag has been added to systemd-sysupdate to prevent downloading metadata over the network and use only already downloaded versions on the local system. Support for JSON output has been added for all commands.
A new property, ‘PrivatePIDs’, has been implemented for services, allowing processes to be launched with PID 1 (the init process) in a separate PID namespace. Processes from the created namespace will be visible only in the environment of the launched process.
Support for case-insensitive matches has been added to udev rules (for example, ‘ATTR{foo}==i"abcd"’). Through udev, access (‘uaccess’) has been provided to non-privileged local users for the device /dev/udmabuf, which is necessary for working with IPMI cameras via libcamera. Udev has enabled the recognition of various hardware wallets with a USB interface and set the property ID_HARDWARE_WALLET for them, allowing the ‘uaccess’ mode for access by non-privileged users.
New fields RELEASE_TYPE, EXPERIMENT, and EXPERIMENT_URL have been added to the file /etc/os-release. ‘RELEASE_TYPE’ can take the values ‘experimental’, ‘development’, ‘stable’, and ‘lts’ to distinguish stable versions from those in development and experimental builds. The EXPERIMENT and EXPERIMENT_URL parameters are designed to explain the essence of the experimental build.
A run0 utility, developed as a replacement for the sudo program, has added the option "--shell-prompt-prefix" to define the shell prompt prefix string. By default, the emoji "🦸" is displayed as a prefix for visual distinction of the elevated privilege session.
In systemd-tmpfiles, to prevent accidental deletion of the wrong files, the "--purge" option is now only applied to settings in tmpfiles.d/ for which the flag "$" is explicitly set. At least one file from the tmpfiles.d/ directory must also be specified to perform the "--purge" operation. A flag '?' has been added for lines of type 'L', which, when set, will create a symbolic link only if the target file exists.
In the service manager and accompanying utilities, the conversion of process tracking code to use PIDFD instead of PID continues. The PIDFD identifier is tied to a specific process and does not change, while the PID may be associated with another process after the current process linked to this PID has completed.
For services, a new value "debug" can be specified in the "RestartMode" parameter, whereby a failed service will be restarted with debug mode enabled (the environment variable DEBUG_INVOCATION=1 is set), and the LogLevelMax value will be temporarily raised to debugging level.
In the PID 1 handler, the ability to load rules for the LSM module IPE (Integrity Policy Enforcement) has been implemented, defining integrity assurance policies for the entire system (which operations are permissible and how to verify the authenticity of components).
The unit files ".timer" now include the "DeferReactivation" option, allowing the next activation by timer to be skipped if the service has not yet completed since the last activation.
In the PrivateUsers parameter of unit files, the ability to specify the value "identity" has been implemented to enable user ID mapping upon creating a namespace (user namespace).
In the PrivateTmp parameter of unit files, support for the value "disconnected" has been added, whereby separate instances of tmpfs will be used for the /tmp/ and /var/tmp/ directories.
A ProtectControlGroups unit-file parameter has been added to support new modes 'private' and 'strict', where a new cgroup namespace is created for the service and cgroupfs is mounted. When the 'strict' option is set, cgroupfs is mounted in read-only mode.
In the parameters StateDirectory, RuntimeDirectory, CacheDirectory, LogsDirectory, and ConfigurationDirectory, the use of the ':ro' flag has been provided to restrict access to the corresponding directories to read-only mode.
Support for the 'firmware' value has been added to the kernel command line parameter 'systemd.machine_id', under which the system identifier (machine ID) will be calculated based on the UUID from SMBIOS/DeviceTree.
Support for system calls mseal(), listmount(), and statmount() that appeared in recent Linux kernel releases has been added.
Support for interactive authorization using Polkit has been added to the utilities resolvectl, timedatectl, and systemd-inhibit.
The systemctl utility has been enhanced with the ability to use the ‘—now’ flag in the ‘reenable’ command.
The systemd-mount utility has been updated with the ‘—json’ option for output in JSON format (for example, when specified together with '—list-devices', a list of devices will be outputted in JSON format).
The 'localectl' utility has been added with the ‘-l’ and '—full’ options to disable the truncation of long lines in the output.
The sleep.conf file has been added with the HibernateOnACPower option, which allows postponing the switch to sleep mode until the device is disconnected from the stationary power source.
Support for the ‘!’ modifier has been added to the 'u' strings in systemd-sysusers, which allows for the creation of fully locked user accounts (previously, user account blocking was done by setting an incorrect password, which, for example, did not block when authenticating with SSH keys).
The 'EnterNamespace' option has been added to systemd-coredump, providing access to the mount points of any crashed processes to retrieve their debug symbols. In practice, this option can be useful for organizing backtraces of core files from applications running in isolated containers.
A systemd-logind-ben engedélyezve van a Ctrl-Alt-Shift-Esc kombináció kezelésére, hogy jelet küldjön a felhasználói környezet komponenseinek az org.freedesktop.login1.SecureAttentionKey alapján, kérve a biztonságos bejelentkezési párbeszédpanel megjelenítését. Bevezetésre került a "DesignatedMaintenanceTime" beállítás az automatikus leállítás ütemezésére meghatározott időben. A DRM eszközök és az evdev támogatásához hasonlóan a hidraw eszközökhöz (játékkontrollerek és joystickok) való hozzáférés beállításának támogatása is hozzá lett adva a nem privilegizált felhasználók számára.
A systemd-machined olyan funkciót kapott, amely lehetővé teszi a nem privilegizált kliensek, virtuális gépekhez és a konténerek regisztrálását. A systemd-machined funkcionalitásához való hozzáférés a Varlink API-n keresztül, a D-Bus mellett is biztosított.
A networkd.conf konfigurációs fájlhoz új "[IPv6AddressLabel]" szekció került hozzáadásra az IPv6 címek címkék és prefixek beállításához.
A 'networkctl edit' parancshoz hozzá lett adva a "—stdin" opció a fájl tartalmának megszerzésére a standard bemenetről. A 'networkctl edit' és 'networkctl cat' parancsokhoz hozzá lett adva a .netdev fájlok szerkesztésének és megjelenítésének támogatása a hálózati interfész megadásával. Hozzá lett adva a "—no-ask-password" opció az interaktív hitelesítés letiltásához.
Az ukify, bootctl, systemd-keyutil, systemd-measure, systemd-repart és systemd-sbsign segédprogramokhoz hozzá lett adva a "—certificate-source" opció, amely lehetővé teszi egy X.509 tanúsítvány OpenSSL szolgáltatón keresztüli betöltését a fájlból való közvetlen betöltés helyett.
A systemd-boot lehetővé tette a hangerőszabályozó gombok használatát a betöltési menüben való felfelé és lefelé navigálásra, ami hasznos lehet olyan eszközökön, mint a okostelefonok. A bootctl segédprogram támogatást kapott az UEFI Secure Boot adatbázisának ESL(db/dbx/…) formátumban való telepítéséhez a systemd-boothoz.
A journalctl-hez hozzá lett adva a "—list-invocation" opció, amely az egységek hívásainak listáját mutatja, és "—invocation" ("-I") opció a csak egy adott hívással kapcsolatos naplók megjelenítésére.
A systemd-nspawn támogatást kapott a FUSE (Filesystem in Userspace) nem privilegizált használatára a konténerekben. A "—bind-user" opció használatával biztosított a felhasználó SSH-kulcsainak konténerbe való átirányítása, amelyek SSH-hozzáféréshez szükségesek.
A libsystemd-hez új programozási interfész került hozzáadásra, az "sd-json", amely JSON formátumot használ, valamint az "sd-varlink" interfész, amely az IPC Varlinkot használ.
A javasolt alapverzió járom mostantól a 2019-es 5.4-es kiadásra növekszik. Jövőre tervezzük megszüntetni a régebbi kernelverziók támogatását, és a 5.4-et mint minimumként támogatott alapverziót elismerni.
A cgroups v1 támogatása elavultnak minősül, és alapértelmezetten le van tiltva (a kernel parancssorában a SYSTEMD_CGROUP_ENABLE_LEGACY_FORCE=1 beállítással kell aktiválni, a systemd beállítások mellett). A következő systemd 258 kiadásban tervezik a cgroups v1-hez kapcsolódó kód teljes eltávolítását, valamint a System V szolgáltatási szkriptek támogatásának megszüntetését.

Forrás: opennet.ru