Dopo tre mesi e mezzo di sviluppo, è stato presentato il rilascio del gestore di sistema systemd 253.
Tra le novità del nuovo rilascio:
- È stata inclusa l'utilità 'ukify', progettata per costruire, verificare e creare firme per le immagini del kernel unificate (UKI, Unified Kernel Image), che uniscono il gestore per il caricamento del kernel da UEFI (UEFI boot stub), l'immagine del kernel Linux e l'ambiente di sistema initrd, utilizzato per l'inizializzazione iniziale nella fase precedente il montaggio del file system radice. L'utilità sostituisce la funzionalità precedentemente offerta dal comando 'dracut —uefi' e la completa con la possibilità di calcolare automaticamente gli offset nei file PE, unire initrd, firmare le immagini incorporate del kernel, creare immagini combinate con sbsign, una logica per determinare uname del kernel, verificare l'immagine con lo splash e aggiungere politiche PCR firmate generate dall'utilità systemd-measure.
- È stata aggiunta la supporto per ambienti initrd non limitati alla memoria, in cui invece di tmpfs viene utilizzato overlayfs. Per tali ambienti, systemd non elimina tutti i file in initrd dopo il passaggio al file system radice.
- Nei servizi è stato aggiunto il parametro 'OpenFile' per aprire file arbitrari nel file system (o connettersi a socket Unix) e passare i file descriptor associati al processo avviato (ad esempio, quando è necessario organizzare l'accesso a un file per un servizio non privilegiato senza modificare i diritti di accesso al file).
- In systemd-cryptenroll, durante la registrazione dei nuovi chiavi, è stata implementata la possibilità di sbloccare partizioni crittografate utilizzando token FIDO2 (—unlock-fido2-device) senza la necessità di inserire una password. È assicurato il salvataggio con sale del PIN fornito dall'utente per complicare l'individuazione tramite attacco di forza bruta.
- Sono state aggiunte le impostazioni ReloadLimitIntervalSec e ReloadLimitBurst, così come le opzioni della riga di comando del kernel (systemd.reload_limit_interval_sec e /systemd.reload_limit_burst) per limitare l'intensità del riavvio dei processi in background.
- Per le unità è stata implementata l'opzione 'MemoryZSwapMax' per configurare la proprietà memory.zswap.max, che definisce la dimensione massima di zswap.
- Per le unità è stata implementata l'opzione 'LogFilterPatterns', che consente di specificare espressioni regolari per filtrare le informazioni stampate nei log (può essere utilizzata per escludere determinate uscite o per conservare solo specifici dati).
- Nei scope-unit è stata implementata la supporto per configurare "OOMPolicy" per determinare il comportamento durante il tentativo di espulsione in caso di insufficienza di memoria (per le sessioni di accesso, è impostato OOMPolicy=continue, affinché l'OOM killer non le termini forzatamente).
- È stato definito un nuovo tipo di servizi — "Type=notify-reload", che estende il tipo "Type=notify" con la possibilità di attendere il completamento dell'elaborazione del segnale di riavvio (SIGHUP). I servizi systemd-networkd.service, systemd-udevd.service e systemd-logind sono stati trasferiti al nuovo tipo.
- In udev è stato adottato un nuovo schema di denominazione per i dispositivi di rete, la cui differenza è che per le periferiche USB non collegate al bus PCI ora viene impostato ID_NET_NAME_PATH per garantire una maggiore prevedibilità nei nomi. Per le variabili SYMLINK è stato implementato l'operatore ‘-=’, che lascia i collegamenti simbolici non configurati se era stata definita in precedenza una regola per il loro aggiungimento.
- In systemd-boot è stata ristrutturata la trasmissione delle semenze per i generatori di numeri pseudo-random nel kernel e per il backend del disco. È stato aggiunto il supporto per il caricamento del kernel non solo dalla partizione ESP (EFI System Partition), ad esempio, dal firmware o direttamente per QEMU. È stato fornito l'analisi dei parametri SMBIOS per determinare l'avvio in un ambiente di virtualizzazione. È stata realizzata una nuova modalità ‘if-safe’ secondo la quale il certificato per UEFI Secure Boot viene caricato da ESP solo se considerato sicuro (si avvia in macchina virtuale).
- Nell'utilità bootctl è stata implementata la generazione di token di sistema su tutti i sistemi EFI, ad eccezione degli ambienti di virtualizzazione. Sono stati aggiunti i comandi ‘kernel-identify’ e ‘kernel-inspect’ per visualizzare il tipo di immagine del kernel e le informazioni sulle opzioni della riga di comando e sulla versione del kernel, ‘unlink’ per rimuovere il file associato al primo tipo di voci di avvio, ‘cleanup’ per rimuovere tutti i file nella directory ‘entry-token’ in ESP e XBOOTLDR, non collegati al primo tipo di voci di avvio. È stata garantita la gestione della variabile KERNEL_INSTALL_CONF_ROOT.
- Nel comando ‘systemctl list-dependencies’ è stata garantita la gestione delle opzioni «—type» e «—state», e nel comando ‘systemctl kexec’ è stato aggiunto il supporto per gli ambienti basati sul hypervisor Xen.
- Nei file .network nella sezione [DHCPv4] è stato implementato il supporto per le opzioni SocketPriority e QuickAck, RouteMetric=high|medium|low.
- In systemd-repart sono state aggiunte le opzioni «—include-partitions», «—exclude-partitions» e «—defer-partitions» per filtrare le partizioni in base al tipo UUID, il che, ad esempio, consente di raccogliere immagini in cui una partizione è costruita sulla base del contenuto di un'altra partizione. È stata inoltre aggiunta l'opzione «—sector-size» per specificare la dimensione del settore utilizzato durante la creazione della partizione. È stato aggiunto il supporto per la generazione del file system erofs. Nella configurazione Minimize è stata implementata la gestione del valore «best» per scegliere la dimensione minima possibile dell'immagine.
- In systemd-journal-remote è consentito utilizzare le impostazioni MaxUse, KeepFree, MaxFileSize e MaxFiles per limitare il consumo di spazio sul disco.
- In systemd-cryptsetup è stato aggiunto il supporto per l'invio di richieste preventive ai token FIDO2 per determinarne la disponibilità prima dell'autenticazione.
- In crypttab sono stati aggiunti nuovi parametri tpm2-measure-bank e tpm2-measure-pcr.
- In systemd-gpt-auto-generator è stata implementata il montaggio delle partizioni ESP e XBOOTLDR nei modi «noexec,nosuid,nodev», e sono stati aggiunti il riconoscimento dei parametri rootfstype e rootflags passati tramite la riga di comando del kernel.
- In systemd-resolved è stata fornita la possibilità di configurare i parametri del risolutore specificando le opzioni nameserver, domain, network.dns e network.search_domains nella riga di comando del kernel.
- Nel comando «systemd-analyze plot» è stata aggiunta la possibilità di output formato JSON specificando il flag «—json». Sono state inoltre aggiunte nuove opzioni «—table» e «—no-legend» per la gestione dell'output.
- Nel 2023 è previsto di interrompere il supporto per cgroups v1 e gerarchie di directory separate (quando /usr è montato separatamente dalla root o sono separate le directory /bin e /usr/bin, /lib e /usr/lib).
Fonte: opennet.ru
