Dopo tre mesi e mezzo di sviluppo, è stato presentato il rilascio del gestore di sistema systemd 253.
Tra le novità della nuova versione:
- È stata inclusa l'utilità ‘ukify’, progettata per assemblare, verificare e generare firme per le immagini del kernel unificate (UKI, Unified Kernel Image), che combinano il gestore per il caricamento del kernel da UEFI (UEFI boot stub), l'immagine del kernel Linux e l'ambiente di sistema initrd caricato in memoria, utilizzato per l'inizializzazione iniziale prima del montaggio del filesystem radice. L'utility sostituisce la funzionalità precedentemente fornita dal comando ‘dracut —uefi’ e la completa con capacità di calcolo automatico degli offset nei file PE, fusione di initrd, firma delle immagini del kernel incorporate, creazione di immagini combinate con sbsign, euristica per determinare uname del kernel, verifica dell'immagine di avvio e aggiunta di politiche PCR firmate generate dall'utility systemd-measure.
- È stata aggiunta la supporto per ambienti initrd non limitati dalla memoria, in cui invece di tmpfs si utilizza overlayfs. Per tali ambienti, systemd non esegue la rimozione di tutti i file in initrd dopo il passaggio al filesystem radice.
- Nei servizi è stato aggiunto il parametro ‘OpenFile’ per aprire file arbitrari nel filesystem (o connettersi a socket Unix) e trasferire i relativi descrittori di file al processo in esecuzione (ad esempio, quando è necessario organizzare l'accesso a un file per un servizio non privilegiato senza modificare i diritti di accesso al file).
- In systemd-cryptenroll, durante la registrazione di nuove chiavi, è stata implementata la possibilità di sbloccare partizioni crittografate utilizzando token FIDO2 (—unlock-fido2-device) senza dover inserire una password. È garantito il salvataggio con sale del PIN fornito dall'utente per complicare la determinazione tramite attacco a forza bruta.
- Sono state aggiunte le configurazioni ReloadLimitIntervalSec e ReloadLimitBurst, così come le opzioni della riga di comando del kernel (systemd.reload_limit_interval_sec e /systemd.reload_limit_burst) per limitare l'intensità del riavvio dei processi in background.
- Per i unit, è stata implementata l'opzione ‘MemoryZSwapMax’ per configurare la proprietà memory.zswap.max, che definisce la dimensione massima zswap.
- Per i unit, è stata implementata l'opzione ‘LogFilterPatterns’, che consente di specificare espressioni regolari per filtrare le informazioni registrate nei log (può essere utilizzata per escludere un determinato output o conservare solo dati specifici).
- Negli unit scope è stato implementato il supporto per la configurazione ‘OOMPolicy’ per definire il comportamento in caso di tentativo di espulsione in caso di esaurimento della memoria (per le sessioni di accesso è impostato il valore OOMPolicy=continue, affinché l'OOM killer non le termini forzatamente).
- È stato definito un nuovo tipo di servizi — ‘Type=notify-reload’, che estende il tipo ‘Type=notify’ con la possibilità di attendere il completamento dell'elaborazione del segnale di riavvio (SIGHUP). I servizi systemd-networkd.service, systemd-udevd.service e systemd-logind sono stati convertiti a questo nuovo tipo.
- In udev è stato adottato un nuovo schema di denominazione dei dispositivi di rete, la cui differenza sta nel fatto che per i dispositivi USB non legati al bus PCI viene ora impostato ID_NET_NAME_PATH per garantire una maggiore prevedibilità dei nomi. Per le variabili SYMLINK è stato implementato l'operatore ‘-=’, che lascia i collegamenti simbolici non configurati, se in precedenza è stata definita una regola per il loro aggiunta.
- In systemd-boot è stata ripensata la trasmissione del seed per i generatori di numeri pseudocasuali nel kernel e per il backend del disco. È stata aggiunta la supporto per caricare il kernel non solo dalla partizione ESP (EFI System Partition), ad esempio, dal firmware o direttamente per QEMU. È stato implementato l'analisi dei parametri SMBIOS per determinare l'avvio in un ambiente di virtualizzazione. È stato realizzato un nuovo modo 'if-safe' in cui il certificato per UEFI Secure Boot viene caricato da ESP solo se considerato sicuro (si avvia in macchina virtuale).
- Nell'utility bootctl è stata implementata la generazione di token di sistema su tutti i sistemi EFI, tranne negli ambienti di virtualizzazione. Sono stati aggiunti i comandi ‘kernel-identify’ e ‘kernel-inspect’ per visualizzare il tipo di immagine del kernel e le informazioni sulle opzioni della riga di comando e sulla versione del kernel, ‘unlink’ per rimuovere il file associato al primo tipo di registrazioni di avvio, ‘cleanup’ per rimuovere tutti i file dalla directory ‘entry-token’ in ESP e XBOOTLDR, non associati al primo tipo di registrazioni di avvio. È stata garantita la gestione della variabile KERNEL_INSTALL_CONF_ROOT.
- Nel comando ‘systemctl list-dependencies’ è stata garantita la gestione delle opzioni «—type» e «—state», mentre nel comando ‘systemctl kexec’ è stata aggiunta la supporto per ambienti basati su hypervisor Xen.
- Nei file .network nella sezione [DHCPv4] è stata aggiunta la supporto per le opzioni SocketPriority e QuickAck, RouteMetric=high|medium|low.
- In systemd-repart, the options "—include-partitions", "—exclude-partitions", and "—defer-partitions" have been added for filtering partitions by UUID type, which, for example, allows creating images where one partition is built based on the contents of another. The option "—sector-size" was also added to specify the sector size used when creating a partition. Support for generating the erofs file system has been introduced. In the Minimize setting, handling of the "best" value has been implemented to choose the minimally possible image size.
- In systemd-journal-remote, the use of MaxUse, KeepFree, MaxFileSize, and MaxFiles settings is allowed to limit disk space consumption.
- In systemd-cryptsetup, support for sending proactive requests to FIDO2 tokens to check their availability before authentication has been added.
- New parameters tpm2-measure-bank and tpm2-measure-pcr have been added in crypttab.
- In systemd-gpt-auto-generator, mounting of ESP and XBOOTLDR partitions in "noexec,nosuid,nodev" modes has been implemented, and the handling of rootfstype and rootflags parameters passed via the kernel command line has been added.
- In systemd-resolved, the ability to configure resolver parameters by specifying nameserver, domain, network.dns, and network.search_domains options in the kernel command line has been provided.
- In the "systemd-analyze plot" command, it is now possible to output in JSON format when specifying the "—json" flag. Additionally, new options "—table" and "—no-legend" have been added to control the output.
- In 2023, support for cgroups v1 and separate directory hierarchies (when /usr is mounted separately from root or directories /bin and /usr/bin, /lib and /usr/lib are separated) is planned to be discontinued.
Fonte: opennet.ru
