ການປ່ອຍຕົວຈັດການລະບົບ systemd 252 ດ້ວຍການສະຫນັບສະຫນູນ UKI (Unified Kernel Image).

ຫຼັງຈາກຫ້າເດືອນຂອງການພັດທະນາ, ການປ່ອຍຕົວຈັດການລະບົບ systemd 252 ໄດ້ຖືກນໍາສະເຫນີ. ການປ່ຽນແປງທີ່ສໍາຄັນໃນຮຸ່ນໃຫມ່ແມ່ນການລວມເອົາການສະຫນັບສະຫນູນສໍາລັບຂະບວນການບູດທີ່ທັນສະໄຫມ, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດກວດສອບບໍ່ພຽງແຕ່ kernel ແລະ bootloader, ແຕ່ຍັງອົງປະກອບຕ່າງໆ. ຂອງສະພາບແວດລ້ອມລະບົບພື້ນຖານໂດຍໃຊ້ລາຍເຊັນດິຈິຕອນ.

ວິທີການທີ່ສະເຫນີປະກອບມີການນໍາໃຊ້ຮູບພາບແກ່ນທີ່ປະສົມປະສານ UKI (Unified Kernel Image) ເມື່ອໂຫລດ, ເຊິ່ງລວມຕົວຈັດການສໍາລັບການໂຫລດ kernel ຈາກ UEFI (UEFI boot stub), ຮູບ Linux kernel ແລະສະພາບແວດລ້ອມລະບົບ initrd ທີ່ໂຫລດເຂົ້າໄປໃນຫນ່ວຍຄວາມຈໍາ, ໃຊ້. ສໍາລັບການເລີ່ມຕົ້ນເບື້ອງຕົ້ນຢູ່ໃນຂັ້ນຕອນກ່ອນທີ່ຈະຕິດຕັ້ງຮາກ FS . ຮູບພາບ UKI ຖືກຫຸ້ມຫໍ່ເປັນໄຟລ໌ດຽວທີ່ສາມາດປະຕິບັດໄດ້ໃນຮູບແບບ PE, ເຊິ່ງສາມາດໂຫລດໄດ້ໂດຍໃຊ້ bootloaders ແບບດັ້ງເດີມຫຼືເອີ້ນວ່າໂດຍກົງຈາກເຟີມແວ UEFI. ເມື່ອຖືກເອີ້ນຈາກ UEFI, ມັນເປັນໄປໄດ້ທີ່ຈະກວດສອບຄວາມຊື່ສັດແລະຄວາມຫນ້າເຊື່ອຖືຂອງລາຍເຊັນດິຈິຕອນບໍ່ພຽງແຕ່ kernel, ແຕ່ຍັງເນື້ອໃນຂອງ initrd.

ເພື່ອຄິດໄລ່ພາລາມິເຕີຂອງ TPM PCR (Trusted Platform Module Platform Configuration Register) ລົງທະບຽນທີ່ໃຊ້ເພື່ອຕິດຕາມຄວາມສົມບູນ ແລະສ້າງລາຍເຊັນດິຈິຕອນຂອງຮູບ UKI, ມີການລວມເອົາລະບົບ utility systemd-measure ໃໝ່. ກະແຈສາທາລະນະ ແລະຂໍ້ມູນ PCR ທີ່ໃຊ້ໃນລາຍເຊັນສາມາດຝັງໄດ້ໂດຍກົງໃນຮູບບູດ UKI (ກະແຈ ແລະລາຍເຊັນຖືກບັນທຶກໄວ້ໃນໄຟລ໌ PE ໃນຊ່ອງຂໍ້ມູນ '.pcrsig' ແລະ '.pcrkey') ແລະສະກັດອອກຈາກມັນໂດຍພາຍນອກ. ຫຼື​ອຸ​ປະ​ກອນ​ພາຍ​ໃນ​.

ໂດຍສະເພາະ, systemd-cryptsetup, systemd-cryptenroll ແລະ systemd-creds utilities ໄດ້ຖືກດັດແປງເພື່ອນໍາໃຊ້ຂໍ້ມູນນີ້, ເຊິ່ງທ່ານສາມາດຮັບປະກັນວ່າ partitions disk ທີ່ຖືກເຂົ້າລະຫັດຖືກຜູກມັດກັບ kernel ທີ່ເຊັນແບບດິຈິຕອນ (ໃນກໍລະນີນີ້, ການເຂົ້າເຖິງ partition ທີ່ຖືກເຂົ້າລະຫັດ. ແມ່ນໃຫ້ພຽງແຕ່ຖ້າຮູບພາບ UKI ໄດ້ຜ່ານການຢັ້ງຢືນໂດຍລາຍເຊັນດິຈິຕອນໂດຍອີງໃສ່ພາລາມິເຕີທີ່ຢູ່ໃນ TPM).

ນອກຈາກນັ້ນ, ຜົນປະໂຫຍດຂອງ systemd-pcrphase ໄດ້ຖືກລວມເຂົ້າ, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດຄວບຄຸມການຜູກມັດຂອງຂັ້ນຕອນຕ່າງໆ boot ກັບພາລາມິເຕີທີ່ຢູ່ໃນຫນ່ວຍຄວາມຈໍາຂອງ cryptoprocessors ທີ່ສະຫນັບສະຫນູນຂໍ້ກໍານົດຂອງ TPM 2.0 (ຕົວຢ່າງ, ທ່ານສາມາດເຮັດໃຫ້ລະຫັດການຖອດລະຫັດພາທິຊັນ LUKS2 ມີພຽງແຕ່ຢູ່ໃນ. ຮູບພາບ initrd ແລະຕັນການເຂົ້າເຖິງມັນຢູ່ໃນຂັ້ນຕອນຕໍ່ມາການດາວໂຫຼດ).

ບາງ​ການ​ປ່ຽນ​ແປງ​ອື່ນໆ​:

• ໃຫ້ແນ່ໃຈວ່າສະຖານທີ່ເລີ່ມຕົ້ນແມ່ນ C.UTF-8 ເວັ້ນເສຍແຕ່ຈະລະບຸທ້ອງຖິ່ນທີ່ແຕກຕ່າງກັນໃນການຕັ້ງຄ່າ.
• ໃນປັດຈຸບັນມັນເປັນໄປໄດ້ທີ່ຈະປະຕິບັດການດໍາເນີນການທີ່ກໍານົດໄວ້ກ່ອນການບໍລິການຢ່າງສົມບູນ ("systemctl preset") ໃນລະຫວ່າງການ boot ທໍາອິດ. ການເປີດໃຊ້ presets ໃນເວລາ boot ຮຽກຮ້ອງໃຫ້ມີການກໍ່ສ້າງດ້ວຍຕົວເລືອກ "-Dfirst-boot-full-preset", ແຕ່ຖືກວາງແຜນທີ່ຈະເປີດໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນໃນການປ່ອຍໃນອະນາຄົດ.
• ຫນ່ວຍງານຄຸ້ມຄອງຜູ້ໃຊ້ກ່ຽວຂ້ອງກັບຕົວຄວບຄຸມຊັບພະຍາກອນ CPU, ເຊິ່ງເຮັດໃຫ້ມັນເປັນໄປໄດ້ເພື່ອຮັບປະກັນວ່າການຕັ້ງຄ່າ CPUWeight ຖືກນໍາໃຊ້ກັບທຸກຫນ່ວຍ slice ທີ່ໃຊ້ເພື່ອແຍກລະບົບເປັນພາກສ່ວນ (app.slice, background.slice, session.slice) ເພື່ອແຍກຊັບພະຍາກອນລະຫວ່າງ. ບໍລິການຜູ້ໃຊ້ທີ່ແຕກຕ່າງກັນ, ແຂ່ງຂັນສໍາລັບຊັບພະຍາກອນ CPU. CPUWeight ຍັງສະຫນັບສະຫນູນຄ່າ "idle" ເພື່ອເປີດໃຊ້ຮູບແບບການສະຫນອງຊັບພະຍາກອນທີ່ເຫມາະສົມ.
• ຢູ່ໃນຫນ່ວຍງານຊົ່ວຄາວ (“ຊົ່ວຄາວ”) ແລະໃນລະບົບ utility-repart, ການຕັ້ງຄ່າ overriding ແມ່ນອະນຸຍາດໃຫ້ສ້າງໄຟລ໌ drop-in ໃນ /etc/systemd/system/name.d/ directory.
• ສໍາລັບຮູບພາບຂອງລະບົບ, ທຸງທີ່ສິ້ນສຸດການສະຫນັບສະຫນູນແມ່ນຖືກກໍານົດ, ກໍານົດຄວາມເປັນຈິງນີ້ໂດຍອີງໃສ່ມູນຄ່າຂອງພາລາມິເຕີໃຫມ່ “SUPPORT_END=” ໃນໄຟລ໌ /etc/os-release.
• ເພີ່ມ “ConditionCredential =” ແລະ “AssertCredential=” ການຕັ້ງຄ່າ, ເຊິ່ງສາມາດໃຊ້ເພື່ອບໍ່ສົນໃຈ ຫຼື ຫນ່ວຍງານຂັດຂ້ອງຖ້າຂໍ້ມູນຮັບຮອງບາງຢ່າງບໍ່ຢູ່ໃນລະບົບ.
• ເພີ່ມ “DefaultSmackProcessLabel=” ແລະ “DefaultDeviceTimeoutSec=” ການຕັ້ງຄ່າໃສ່ system.conf ແລະ user.conf ເພື່ອກຳນົດລະດັບຄວາມປອດໄພ SMACK ເລີ່ມຕົ້ນ ແລະໝົດເວລາການເປີດໃຊ້ງານຂອງໜ່ວຍ.
• ໃນການຕັ້ງຄ່າ “ConditionFirmware=” ແລະ “AssertFirmware=”, ຄວາມສາມາດໃນການລະບຸຊ່ອງຂໍ້ມູນ SMBIOS ສ່ວນບຸກຄົນໄດ້ຖືກເພີ່ມ, ສໍາລັບການຍົກຕົວຢ່າງ, ເປີດຕົວຫນ່ວຍງານພຽງແຕ່ຖ້າພາກສະຫນາມ /sys/class/dmi/id/board_name ມີຄ່າ “Custom Board", ທ່ານສາມາດກໍານົດ "ConditionFirmware=smbios" -field(board_name = "Custom Board")".
• ໃນ​ລະ​ຫວ່າງ​ການ​ເລີ່ມ​ຕົ້ນ​ຂະ​ບວນ​ການ (PID 1), ຄວາມ​ສາ​ມາດ​ທີ່​ຈະ​ນໍາ​ເຂົ້າ​ໃບ​ຢັ້ງ​ຢືນ​ຈາກ​ຊ່ອງ SMBIOS (ປະ​ເພດ 11, “ສະ​ຕ​ຣິງ​ຜູ້​ຂາຍ OEM”) ໄດ້​ຖືກ​ເພີ່ມ​ໃສ່​ນອກ​ເຫນືອ​ໄປ​ຈາກ​ຄໍາ​ນິ​ຍາມ​ຂອງ​ເຂົາ​ເຈົ້າ​ໂດຍ​ຜ່ານ qemu_fwcfg, ເຊິ່ງ​ເຮັດ​ໃຫ້​ຄວາມ​ງ່າຍ​ຂອງ​ການ​ສະ​ຫນອງ​ໃບ​ຢັ້ງ​ຢືນ​ກັບ virtual machines ແລະ​ລົບ​ລ້າງ​ການ. ຕ້ອງການເຄື່ອງມືພາກສ່ວນທີສາມເຊັ່ນ cloud -init ແລະ ignition.
• ໃນລະຫວ່າງການປິດ, ເຫດຜົນສໍາລັບການ unmounting ລະບົບໄຟລ໌ virtual (proc, sys) ໄດ້ມີການປ່ຽນແປງແລະຂໍ້ມູນກ່ຽວກັບຂະບວນການສະກັດ unmounting ຂອງລະບົບໄຟລ໌ໄດ້ຖືກບັນທຶກໄວ້ໃນບັນທຶກ.
• ການກັ່ນຕອງການໂທລະບົບ (SystemCallFilter) ອະນຸຍາດໃຫ້ເຂົ້າເຖິງການໂທລະບົບ riscv_flush_icache ໂດຍຄ່າເລີ່ມຕົ້ນ.
• bootloader sd-boot ເພີ່ມຄວາມສາມາດໃນການ boot ໃນໂຫມດປະສົມ, ເຊິ່ງ kernel Linux 64-bit ແລ່ນຈາກ 32-bit UEFI firmware. ເພີ່ມຄວາມສາມາດໃນການທົດລອງເພື່ອນຳໃຊ້ກະແຈ SecureBoot ໂດຍອັດຕະໂນມັດຈາກໄຟລ໌ທີ່ພົບເຫັນຢູ່ໃນ ESP (ການແບ່ງສ່ວນລະບົບ EFI).
• ທາງເລືອກໃຫມ່ໄດ້ຖືກເພີ່ມເຂົ້າໃນ bootctl utility: "-all-architectures" ສໍາລັບການຕິດຕັ້ງ binaries ສໍາລັບສະຖາປັດຕະຍະກໍາ EFI ທັງຫມົດທີ່ສະຫນັບສະຫນູນ, "-root=" ແລະ "-image =" ສໍາລັບການເຮັດວຽກກັບໄດເລກະທໍລີຫຼືຮູບພາບແຜ່ນ, "-install-source =” ສໍາລັບການກໍານົດແຫຼ່ງສໍາລັບການຕິດຕັ້ງ, "-efi-boot-option-description=" ເພື່ອຄວບຄຸມຊື່ການໃສ່ເກີບ.
• ຄໍາສັ່ງ 'list-automounts' ໄດ້ຖືກເພີ່ມເຂົ້າໃນ utility systemctl ເພື່ອສະແດງລາຍຊື່ຂອງໄດເລກະທໍລີທີ່ຕິດຕັ້ງໂດຍອັດຕະໂນມັດແລະຕົວເລືອກ "--image=" ເພື່ອປະຕິບັດຄໍາສັ່ງທີ່ກ່ຽວຂ້ອງກັບຮູບພາບແຜ່ນທີ່ລະບຸ. ເພີ່ມ "--state=" ແລະ "--type=" ຕົວເລືອກໃສ່ຄໍາສັ່ງ 'ສະແດງ' ແລະ 'ສະຖານະ'.
• systemd-networkd ໄດ້ເພີ່ມທາງເລືອກ “TCPCongestionControlAlgorithm=” ເພື່ອເລືອກວິທີຄວບຄຸມ TCP congestion, “KeepFileDescriptor=” ເພື່ອບັນທຶກໄຟລ໌ descriptor ຂອງ TUN/TAP interfaces, “NetLabel=” ເພື່ອຕັ້ງຄ່າ NetLabels, “RapidCommit=” ເພື່ອເລັ່ງການຕັ້ງຄ່າຜ່ານ DHCP6. (RFC 3315). ພາລາມິເຕີ “RouteTable=” ອະນຸຍາດໃຫ້ລະບຸຊື່ຂອງຕາຕະລາງການກຳນົດເສັ້ນທາງ.
• systemd-nspawn ອະນຸຍາດໃຫ້ໃຊ້ເສັ້ນທາງໄຟລ໌ທີ່ກ່ຽວຂ້ອງໃນຕົວເລືອກ "--bind=" ແລະ "--overlay=". ເພີ່ມການຮອງຮັບພາລາມິເຕີ 'rootidmap' ໃຫ້ກັບຕົວເລືອກ "--bind=" ເພື່ອຜູກມັດ ID ຜູ້ໃຊ້ຮາກໃນກ່ອງບັນຈຸກັບເຈົ້າຂອງໄດເລກະທໍລີທີ່ຕິດຕັ້ງຢູ່ຂ້າງເຈົ້າພາບ.
• systemd-resolved ໃຊ້ OpenSSL ເປັນ backend ການເຂົ້າລະຫັດຂອງມັນຕາມຄ່າເລີ່ມຕົ້ນ (ການຮອງຮັບ gnutls ຖືກຮັກສາໄວ້ເປັນທາງເລືອກ). ດຽວນີ້ລະບົບ DNSSEC ທີ່ບໍ່ຮອງຮັບແມ່ນຖືວ່າບໍ່ປອດໄພ ແທນທີ່ຈະສົ່ງຄືນຂໍ້ຜິດພາດ (SERVFAIL).
• systemd-sysusers, systemd-tmpfiles ແລະ systemd-sysctl ປະຕິບັດຄວາມສາມາດໃນການໂອນການຕັ້ງຄ່າໂດຍຜ່ານກົນໄກການເກັບຮັກສາຂໍ້ມູນປະຈໍາຕົວ.
• ເພີ່ມຄໍາສັ່ງ 'compare-versions' ໃສ່ systemd-analyze ເພື່ອປຽບທຽບສະຕຣິງທີ່ມີຕົວເລກເວີຊັນ (ຄ້າຍກັບ 'rpmdev-vercmp' ແລະ 'dpkg --compare-versions'). ເພີ່ມຄວາມສາມາດໃນການກັ່ນຕອງຫນ່ວຍງານໂດຍຫນ້າກາກໃສ່ຄໍາສັ່ງ 'systemd-analyze dump'.
• ເມື່ອເລືອກໂໝດການນອນຫຼາຍຂັ້ນຕອນ (suspend- then-hibernate), ເວລາທີ່ໃຊ້ໃນໂໝດສະແຕນບາຍຕອນນີ້ຖືກເລືອກໂດຍອ້າງອີງຈາກການຄາດຄະເນຂອງອາຍຸແບັດເຕີຣີທີ່ຍັງເຫຼືອ. ການປ່ຽນໄປໃຊ້ໂໝດນອນທັນທີເກີດຂຶ້ນເມື່ອການສາກແບັດເຕີຣີເຫຼືອໜ້ອຍກວ່າ 5%.
• ຮູບແບບຜົນຜະລິດໃຫມ່ "-o short-delta" ໄດ້ຖືກເພີ່ມເຂົ້າໃນ 'journalctl', ສະແດງຄວາມແຕກຕ່າງຂອງເວລາລະຫວ່າງຂໍ້ຄວາມທີ່ແຕກຕ່າງກັນໃນບັນທຶກ.
• systemd-repart ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບການສ້າງພາທິຊັນກັບລະບົບໄຟລ໌ Squashfs ແລະພາທິຊັນສໍາລັບ dm-verity, ລວມທັງມີລາຍເຊັນດິຈິຕອນ.
• ເພີ່ມ "StopIdleSessionSec=" ການຕັ້ງຄ່າໃສ່ systemd-logind ເພື່ອສິ້ນສຸດເຊດຊັນທີ່ບໍ່ມີການເຄື່ອນໄຫວຫຼັງຈາກຫມົດເວລາທີ່ກໍານົດໄວ້.
• Systemd-cryptenroll ໄດ້ເພີ່ມທາງເລືອກ "--unlock-key-file=" ເພື່ອສະກັດລະຫັດຖອດລະຫັດອອກຈາກໄຟລ໌ແທນທີ່ຈະກະຕຸ້ນຜູ້ໃຊ້.
• ໃນປັດຈຸບັນມັນເປັນໄປໄດ້ທີ່ຈະດໍາເນີນການນໍາໃຊ້ຜົນປະໂຫຍດ systemd-growfs ໃນສະພາບແວດລ້ອມທີ່ບໍ່ມີ udev.
• systemd-backlight ໄດ້ປັບປຸງການຮອງຮັບລະບົບທີ່ມີບັດກາຟິກຫຼາຍອັນ.
• ໃບອະນຸຍາດສໍາລັບຕົວຢ່າງລະຫັດທີ່ລະບຸໄວ້ໃນເອກະສານໄດ້ຖືກປ່ຽນຈາກ CC0 ເປັນ MIT-0.

ການປ່ຽນແປງທີ່ທໍາລາຍຄວາມເຂົ້າກັນໄດ້:

• ເມື່ອກວດເບິ່ງເລກເວີຊັ່ນຂອງ kernel ໂດຍໃຊ້ຄໍາສັ່ງ ConditionKernelVersion, ການປຽບທຽບສະຕຣິງແບບງ່າຍໆ ດຽວນີ້ຖືກໃຊ້ຢູ່ໃນຕົວປະຕິບັດການ '=' ແລະ '!=', ແລະຖ້າຕົວປະຕິບັດການປຽບທຽບບໍ່ໄດ້ລະບຸໄວ້ເລີຍ, ການຈັບຄູ່ glob-mask ສາມາດໃຊ້ໂດຍໃຊ້ ຕົວອັກສອນ '*', '?' ແລະ '[', ']'. ເພື່ອປຽບທຽບລຸ້ນສະໄຕລ໌ stverscmp(), ໃຊ້ຕົວປະຕິບັດການ '<', '>', '<=' ແລະ '>='.
• ແທັກ SELinux ທີ່ໃຊ້ໃນການກວດສອບການເຂົ້າເຖິງຈາກໄຟລ໌ຫນ່ວຍງານແມ່ນໄດ້ຖືກອ່ານໃນເວລາທີ່ໄຟລ໌ຖືກໂຫລດ, ແທນທີ່ຈະຢູ່ໃນການກວດສອບການເຂົ້າເຖິງ.
• ເງື່ອນໄຂ "ConditionFirstBoot" ປະຈຸບັນຖືກກະຕຸ້ນຢູ່ໃນ boot ທໍາອິດຂອງລະບົບໂດຍກົງໃນຂັ້ນຕອນ boot ແລະກັບຄືນ "false" ເມື່ອໂທຫາຫນ່ວຍງານຫຼັງຈາກ boot ສໍາເລັດ.
• ໃນປີ 2024, systemd ວາງແຜນທີ່ຈະຢຸດການສະຫນັບສະຫນູນກົນໄກການຈໍາກັດຊັບພະຍາກອນ cgroup v1, ເຊິ່ງຖືກປະຕິເສດໃນການປ່ອຍ systemd 248. ຜູ້ເບິ່ງແຍງລະບົບໄດ້ຖືກແນະນໍາໃຫ້ດູແລລ່ວງຫນ້າຂອງການເຄື່ອນຍ້າຍການບໍລິການທີ່ອີງໃສ່ cgroup v2 ໄປຫາ cgroup v1. ຄວາມແຕກຕ່າງທີ່ ສຳ ຄັນລະຫວ່າງ cgroups v2 ແລະ v1 ແມ່ນການໃຊ້ ລຳ ດັບ cgroups ທົ່ວໄປ ສຳ ລັບຊັບພະຍາກອນທຸກປະເພດ, ແທນທີ່ຈະເປັນລຳດັບຊັ້ນແຍກຕ່າງຫາກ ສຳ ລັບການຈັດສັນຊັບພະຍາກອນ CPU, ຄວບຄຸມການບໍລິໂພກຄວາມ ຈຳ, ແລະ ສຳ ລັບ I / O. ລໍາດັບຊັ້ນທີ່ແຍກຕ່າງຫາກນໍາໄປສູ່ຄວາມຫຍຸ້ງຍາກໃນການຈັດຕັ້ງການໂຕ້ຕອບລະຫວ່າງຕົວຈັດການແລະຄ່າໃຊ້ຈ່າຍຊັບພະຍາກອນ kernel ເພີ່ມເຕີມໃນເວລາທີ່ນໍາໃຊ້ກົດລະບຽບສໍາລັບຂະບວນການທີ່ອ້າງອີງຢູ່ໃນລໍາດັບຊັ້ນຕ່າງໆ.
• ໃນຊ່ວງເຄິ່ງທີ່ສອງຂອງປີ 2023, ພວກເຮົາວາງແຜນທີ່ຈະຢຸດການສະຫນັບສະຫນູນການຈັດລໍາດັບການແບ່ງປັນ, ບ່ອນທີ່ /usr ຖືກຕິດຕັ້ງແຍກຕ່າງຫາກຈາກຮາກ, ຫຼື /bin ແລະ /usr/bin, /lib ແລະ /usr/lib ຖືກແຍກອອກ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru