Uscita del gestore di sistema systemd 246

Dopo cinque mesi di sviluppo presentato rilascio del gestore di sistema systemd 246. Nel nuovo rilascio è stata implementata la supporto per il congelamento delle unità, la possibilità di verificare l'immagine del disco radice tramite la firma digitale, la compressione dei log e dei core dump utilizzando l'algoritmo ZSTD, la possibilità di sbloccare le home directory portatili tramite token FIDO2, e il supporto per lo sblocco delle partizioni Microsoft BitLocker attraverso /etc/crypttab. È stato rinominato BlackList in DenyList.

Principali modifiche:

• Aggiunto il supporto per il controller delle risorse freezer basato su cgroups v2, tramite il quale è possibile fermare i processi e temporaneamente liberare alcune risorse (CPU, I/O e potenzialmente anche memoria) per eseguire altre attività. La gestione del congelamento e dello scongelamento delle unità avviene tramite il nuovo comando «systemctl freeze» o tramite D-Bus.
• È stato aggiunto il supporto per la verifica dell'immagine del disco radice tramite la firma digitale. Il controllo avviene tramite nuove impostazioni nei file unitari di servizio: RootHash (hash radice per la verifica dell'immagine del disco, specificato tramite l'opzione RootImage) e RootHashSignature (firma digitale in formato PKCS#7 per l'hash radice).
• Nel gestore PID 1 è stata implementata la possibilità di caricare automaticamente regole AppArmor precompilate (/etc/apparmor/earlypolicy) nelle prime fasi di avvio.
• Sono state aggiunte nuove impostazioni ai file unitari: ConditionPathIsEncrypted e AssertPathIsEncrypted per verificare che il percorso specificato si trovi su un dispositivo a blocchi in cui è attivata la crittografia (dm-crypt/LUKS), ConditionEnvironment e AssertEnvironment per verificare le variabili di ambiente (ad esempio, impostate da PAM o durante la configurazione dei container).
• Per le unità *.mount è stata realizzata l'impostazione ReadWriteOnly, che impedisce il montaggio della partizione in modalità sola lettura se non è stato possibile montarla per lettura e scrittura. In /etc/fstab, questa modalità è configurata tramite l'opzione «x-systemd.rw-only».
• Per le unità *.socket è stata aggiunta l'impostazione PassPacketInfo, che include l'aggiunta da parte del kernel di metadati aggiuntivi per ogni pacchetto letto dal socket (inclusi i modelli IP_PKTINFO, IPV6_RECVPKTINFO e NETLINK_PKTINFO per il socket).
• Per i servizi (unità *.service) sono state proposte le impostazioni CoredumpFilter (definisce le sezioni di memoria che devono essere incluse nei core dump) e
  TimeoutStartFailureMode/TimeoutStopFailureMode (definisce il comportamento (SIGTERM, SIGABRT o SIGKILL) quando si verifica un timeout durante l'avvio o l'arresto del servizio).
• Nella maggior parte delle opzioni è stato aggiunto il supporto per la specifica di valori esadecimali prefissati da «0x».
• In vari parametri della riga di comando e nei file di configurazione relativi alla configurazione di chiavi o certificati, è stata implementata la possibilità di specificare il percorso ai socket unix (AF_UNIX) per il passaggio di chiavi e certificati attraverso chiamate a servizi IPC, quando non è desiderabile memorizzare i certificati in archiviazioni su disco non criptate.
• È stato aggiunto il supporto per sei nuovi specificatori, utilizzabili nelle unità, tmpfiles.d/, sysusers.d/ e altri file di configurazione: %a per la sostituzione dell'architettura attuale, %o/%w/%B/%W per la sostituzione dei campi identificativi da /etc/os-release e %l per la sostituzione del nome corto dell'host.
• Nei file di unità è stata interrotta la supporto per la sintassi «.include», dichiarata obsoleta 6 anni fa.
• Nelle impostazioni StandardError e StandardOutput è stato interrotto il supporto ai valori «syslog» e «syslog-console», che saranno automaticamente convertiti in «journal» e «journal+console».
• Per i punti di montaggio creati automaticamente basati su tmpfs (/tmp, /run, /dev/shm, ecc.) sono stati impostati limiti sulla dimensione e il numero di inode, pari al 50% della dimensione della RAM per /tmp e /dev/shm, e al 10% della RAM per tutti gli altri.
• Sono stati aggiunti nuovi parametri della riga di comando del kernel: systemd.hostname per impostare il nome host nelle fasi iniziali di avvio, udev.blockdev_read_only per limitare tutte le modalità degli dispositivi a blocchi legati ai supporti fisici in modalità sola lettura (per annullare selettivamente, è possibile utilizzare il comando «blockdev —setrw»), systemd.swap per disabilitare l'attivazione automatica della partizione di swap, systemd.clock-usec per impostare l'orologio di sistema in microsecondi, systemd.condition-needs-update e systemd.condition-first-boot per sovrascrivere i controlli ConditionNeedsUpdate e ConditionFirstBoot.
• Per impostazione predefinita, viene impostato sysctl fs.suid_dumpable al valore 2 («suidsafe»), che consente di memorizzare i core dump per i processi con il flag suid.
• Dal database hardware di ChromiumOS è stato preso il file /usr/lib/udev/hwdb.d/60-autosuspend.hwdb, che include informazioni sui dispositivi PCI e USB che supportano la transizione automatica in modalità sospensione.
• In networkd.conf è stata aggiunta l'impostazione ManageForeignRoutes, che, se attivata, consente a systemd-networkd di gestire tutte le rotte configurate da altri strumenti.
• Nei file .network è stata aggiunta la sezione «[SR-IOV]» per la configurazione dei dispositivi di rete con supporto SR-IOV (Single Root I/O Virtualization).
• In systemd-networkd, the setting IPv4AcceptLocal has been added to the [Network] section to allow the reception of packets on the network interface from a local source address.
• In systemd-networkd, the ability to configure traffic prioritization disciplines using HTB has been introduced through the [HierarchyTokenBucket] and
  [HierarchyTokenBucketClass], "pfifo" through [PFIFO], "GRED" through [GenericRandomEarlyDetection], "SFB" through [StochasticFairBlue], "cake"
  through [CAKE], "PIE" through [PIE], "DRR" through [DeficitRoundRobinScheduler] and
  [DeficitRoundRobinSchedulerClass], "BFIFO" through [BFIFO],
  "PFIFOHeadDrop" through [PFIFOHeadDrop], "PFIFOFast" through [PFIFOFast], "HHF"
  through [HeavyHitterFilter], "ETS" through [EnhancedTransmissionSelection],
  "QFQ" through [QuickFairQueueing] and [QuickFairQueueingClass].
• In systemd-networkd, the setting UseGateway has been added to the [DHCPv4] section to disable the application of gateway information received via DHCP.
• In systemd-networkd, the setting SendVendorOption has been added to the [DHCPv4] and [DHCPServer] sections to set and handle additional manufacturer options.
• In systemd-networkd, a new set of options has been implemented in the [DHCPServer] section to emit information about POP3, SMTP, and LPR servers with EmitPOP3/POP3, EmitSMTP/SMTP, and EmitLPR/LPR.
• In systemd-networkd, the VLANProtocol setting has been added to the [Bridge] section in .netdev files to select the VLAN protocol used.
• In systemd-networkd, the Group setting has been implemented in the [Link] section of .network files for managing link groups.
• The BlackList settings have been renamed to DenyList (for backward compatibility, handling of the old name is preserved).
• A significant number of settings related to IPv6 and DHCPv6 have been added to systemd-networkd.
• In networkctl, the "forcerenew" command has been added for forcibly renewing all address bindings (leases).
• In systemd-resolved, the DNS setting now allows specifying the port number and hostname for verifying DNS-over-TLS certificates. Support for SNI verification has been added in the DNS-over-TLS implementation.
• In systemd-resolved, the ability to configure redirection for single-label DNS names has been added.
• In systemd-journald, support for applying the zstd algorithm for compressing large fields in logs has been ensured. Work has been done to prevent collisions in the hash tables used in logs.
• In journalctl, clickable URLs with links to documentation have been added to the log message output.
• In journald.conf, the Audit setting has been added to control the enabling of auditing during the initialization of systemd-journald.
• In systemd-coredump, the ability to compress core dumps using the zstd algorithm has been added.
• In systemd-repart, the UUID setting has been added to assign a UUID to the created partition.
• In the systemd-homed service, which manages portable home directories, the ability to unlock home directories using FIDO2 tokens has been introduced. Support for automatically returning empty blocks of the filesystem after the session has ended has been added to the LUKS partition encryption backend. Protection against double encryption of data has been introduced if it is determined that encryption is already applied to the /home partition in the system.
• In /etc/crypttab, settings have been added: "keyfile-erase" to remove the key after use and "try-empty-password" to attempt unlocking the partition with an empty password before asking the user for a password (useful for installing encrypted images with setting the password after the first boot, not during installation).
• In systemd-cryptsetup, support for unlocking Microsoft BitLocker partitions using /etc/crypttab has been implemented during boot. The ability to read
  keys for automatic unlocking of partitions from the files /etc/cryptsetup-keys.d/.key and /run/cryptsetup-keys.d/.key has also been added.
• The systemd-xdg-autostart-generator has been added for creating unit files from .desktop autostart files.
• In "bootctl", the "reboot-to-firmware" command has been added.
• In systemd-firstboot, options have been added: "--image" to specify the disk image to boot, "--kernel-command-line" to initialize the /etc/kernel/cmdline file, "--root-password-hashed" to set the hashed root password, and "--delete-root-password" to remove the root password.

Fonte: opennet.ru