Na vier maanden ontwikkeling is de release van de systeembeheerder systemd 248 gepresenteerd. In deze nieuwe versie is ondersteuning verzekerd voor afbeeldingen om systeemcatalogi uit te breiden, het configuratiebestand /etc/veritytab, de tool systemd-cryptenroll, ontgrendeling van LUKS2 met behulp van TPM2-chips en FIDO2-tokens, en het uitvoeren van units in een geïsoleerde IPC-identificatiesfeer, het B.A.T.M.A.N.-protocol voor mesh-netwerken, en de achterwacht nftables voor systemd-nspawn. systemd-oomd is gestabiliseerd.
Belangrijkste wijzigingen:
- Het concept van systeemuitbreidingsafbeeldingen (System Extension) is geïmplementeerd, die gebruikt kunnen worden om de hiërarchie van de catalogi /usr/ en /opt/ uit te breiden en om extra bestanden tijdens runtime toe te voegen, zelfs wanneer de opgegeven catalogi in alleen-lezen modus zijn gemonteerd. Bij het aansluiten van een systeemuitbreidingsafbeelding wordt de inhoud ervan opgelegd aan de hiërarchie /usr/ en /opt/ met behulp van OverlayFS.
Voor het aansluiten, loskoppelen, bekijken en bijwerken van systeemuitbreidingsafbeeldingen is een nieuwe tool systemd-sysext voorgesteld. Voor het automatisch aansluiten van al geïnstalleerde afbeeldingen tijdens het opstarten is de service systemd-sysext.service toegevoegd. Aan het bestand os-release is de parameter "SYSEXT_LEVEL=" toegevoegd om het niveau van ondersteunde systeemuitbreidingen te bepalen.
- Voor units is de instelling ExtensionImages geïmplementeerd, die kan worden gebruikt om systeemuitbreidingsafbeeldingen aan de hiërarchie van de namespaces van afzonderlijke geïsoleerde services te koppelen.
- Het configuratiebestand /etc/veritytab is toegevoegd voor het instellen van dataverificatie op blockniveau met behulp van de dm-verity-module. Het formaat van het bestand is vergelijkbaar met /etc/crypttab — "partitie_naam gegevens_apparaat hash_apparaat root_hash verificatie_opties". Voor het instellen van het gedrag van dm-verity voor het rootapparaat is de parameter systemd.verity.root_options aan de opstartparameters van de kernel toegevoegd.
- In systemd-cryptsetup is de mogelijkheid toegevoegd om de URI-token PKCS#11 en de versleutelde sleutel uit de metadataheader van LUKS2 in JSON-formaat te extraheren, waardoor het mogelijk is om informatie over het openen van het versleutelde apparaat in het apparaat zelf te integreren zonder externe bestanden te gebruiken.
- In systemd-cryptsetup is ondersteuning verleend voor het ontgrendelen van versleutelde LUKS2-partities met behulp van TPM2-chips en FIDO2-tokens, naast de eerder ondersteunde PKCS#11-tokens. Het laden van libfido2 gebeurt via dlopen(), wat betekent dat de aanwezigheid dynamisch wordt gecontroleerd en niet als een hardcoded afhankelijkheid.
- In /etc/crypttab for systemd-cryptsetup, new options "no-write-workqueue" and "no-read-workqueue" have been added to enable synchronous processing of input/output related to encryption and decryption.
- The systemd-repart utility has been enhanced to activate encrypted partitions using TPM2 chips, for instance, to create an encrypted /var partition on first boot.
- A new utility called systemd-cryptenroll has been added for binding TPM2, FIDO2, and PKCS#11 tokens to LUKS partitions, as well as for unbinding and viewing tokens, binding backup keys, and setting access passwords.
- The PrivateIPC parameter has been added, allowing a unit file to configure the launch of processes in an isolated IPC space with their own separate identifiers and message queues. An IPCNamespacePath option has been provided to connect a unit to an already created IPC identifier space.
- ExecPaths and NoExecPaths settings have been added, allowing the noexec flag to be applied to specific parts of the file system.
- Support for the mesh protocol B.A.T.M.A.N. (Better Approach To Mobile Adhoc Networking) has been added to systemd-networkd, enabling the creation of decentralized networks where each node is connected through neighboring nodes. The [BatmanAdvanced] section in .netdev, the BatmanAdvanced parameter in .network files, and a new device type "batadv" are provided for configuration.
- The implementation of the early response mechanism to memory shortages in systemd-oomd has been stabilized. The DefaultMemoryPressureDurationSec option has been added to configure the waiting time for resource release before impacting the unit. Systemd-oomd uses the kernel's PSI (Pressure Stall Information) subsystem and allows the identification of delays due to resource shortages and selectively terminate resource-intensive processes at a stage when the system is not yet in a critical state and does not start aggressively trimming cache and swapping data.
- A kernel command line parameter — "root=tmpfs" has been added, allowing the root partition to be mounted in a temporary storage located in RAM using Tmpfs.
- The parameter in /etc/crypttab that defines the key file can now refer to AF_UNIX and SOCK_STREAM type sockets. The key must be provided upon connecting to the socket, which, for example, can be used for creating services that dynamically provide keys.
- De fallback-hostnaam voor gebruik door de systeembeheerder en systemd-hostnamed kan nu op twee manieren worden ingesteld: via de DEFAULT_HOSTNAME-parameter in os-release en via de omgevingsvariabele $SYSTEMD_DEFAULT_HOSTNAME. In systemd-hostnamed is ook ondersteuning toegevoegd voor het aangeven van 'localhost' in de hostnaam en de mogelijkheid om de hostnaam en de eigenschappen 'HardwareVendor' en 'HardwareModel' via DBus te exporteren.
- Het blok met instelbare omgevingsvariabelen kan nu worden geconfigureerd via de nieuwe optie ManagerEnvironment in system.conf of user.conf, en niet alleen via de opdrachtregel van de kernel en instellingen van unit-bestanden.
- Tijdens de compilatiefase is er de mogelijkheid toegevoegd om het systeemaanroep fexecve() te gebruiken in plaats van execve() voor het verkorten van de latency tussen het controleren van de beveiligingscontext en het toepassen ervan.
- Voor unit-bestanden zijn nieuwe voorwaardelijke bewerkingen ConditionSecurity=tpm2 en ConditionCPUFeature toegevoegd om de aanwezigheid van TPM2-apparaten en specifieke CPU-functies te controleren (bijvoorbeeld, ConditionCPUFeature=rdrand kan worden gebruikt om de ondersteuning van de RDRAND-bewerking door de processor te controleren).
- Voor beschikbare kernels is automatische generatie van systeemaanroeptabellen voor seccomp-filters geïmplementeerd.
- De mogelijkheid is toegevoegd om nieuwe bind mounts in bestaande mount namespaces van services in te voegen, zonder de services opnieuw op te starten. Invoegen kan met de commando’s ‘systemctl bind …’ en ‘systemctl mount-image …’.
- Aan de instellingen StandardOutput en StandardError is ondersteuning toegevoegd voor het opgeven van paden in de vorm van 'truncate:' voor opschonen vóór gebruik.
- In sd-bus is de mogelijkheid toegevoegd om verbinding te maken met de sessie van een bepaalde gebruiker binnen een lokale container. Bijvoorbeeld: ‘systemctl --user -M lennart@ start quux’.
- In de systemd.link-bestanden zijn in de sectie [Link] de volgende parameters geïmplementeerd:
- Promiscuous - stelt het apparaat in staat om in de 'promiscuous' modus te komen voor het verwerken van alle netwerkpakketten, inclusief diegenen die niet aan het huidige systeem zijn gericht;
- TransmitQueues en ReceiveQueues voor het configureren van het aantal TX- en RX-queues;
- TransmitQueueLength voor het instellen van de grootte van de TX-queue; GenericSegmentOffloadMaxBytes en GenericSegmentOffloadMaxSegment voor het instellen van limieten voor het gebruik van de GRO-technologie (Generic Receive Offload).
- In de systemd.network-bestanden zijn nieuwe instellingen toegevoegd:
- [Network] RouteTable voor het kiezen van de routeringstabel;
- [RoutingPolicyRule] Type voor het tipo van routering ('blackhole', 'unreachable', 'prohibit');
- [IPv6AcceptRA] RouteDenyList en RouteAllowList voor de lijsten met toegestane en geweigerde route-aankondigingen;
- [DHCPv6] UseAddres om het uitgegeven DHCP-adres te negeren;
- [DHCPv6PrefixDelegation] ManageTemporaryAddress;
- ActivationPolicy voor het bepalen van het beleid met betrekking tot de activiteit van de interface (altijd in UP of DOWN staat houden of de gebruiker toestaan om de status te wijzigen met het commando «ip link set dev»).
- Aan de systemd.netdev-bestanden zijn de opties [VLAN] Protocol, IngressQOSMaps, EgressQOSMaps en [MACVLAN] BroadcastMulticastQueueLength toegevoegd voor de configuratie van VLAN-pakketverwerking.
- De montage van de map /dev/ in noexec-modus is stopgezet, omdat dit leidt tot conflicten bij het gebruik van het uitvoerbare vlag met bestanden in /dev/sgx. Voor het terugzetten van de oude gedrag kan de instelling NoExecPaths=/dev worden gebruikt.
- De bestandsrechten van /dev/vsock zijn gewijzigd naar 0o666, en de bestanden /dev/vhost-vsock en /dev/vhost-net zijn verplaatst naar de groep. kvm.
- De identificatiedatabase is uitgebreid met USB-apparaten voor het lezen van vingerafdrukken, die correct de slaapmodus ondersteunen.
- systemd-resolved heeft ondersteuning toegevoegd voor het geven van antwoorden op DNSSEC-verzoeken via de stub-resolver. Lokale clients kunnen DNSSEC-validatie zelf uitvoeren, terwijl externe verzoeken ongewijzigd naar de bovenliggende DNS-server worden doorgestuurd.
- Aan resolved.conf is de optie CacheFromLocalhost toegevoegd, die ervoor zorgt dat systemd-resolved caching gebruikt, zelfs voor verzoeken naar de DNS-server op het adres 127.0.0.1 (standaard is caching van dergelijke verzoeken uitgeschakeld om dubbele caching te voorkomen).
- In systemd-resolved is ondersteuning voor RFC-5001 NSID toegevoegd aan de lokale DNS-resolver, waardoor klanten interactie met de lokale resolver en andere kunnen onderscheiden. server DNS.
- In de utility resolvectl is de mogelijkheid geïmplementeerd om informatie over de bron van gegevens (lokale cache, netwerkaanroep, antwoord van de lokale handler) weer te geven en encryptie toe te passen bij gegevensoverdracht. Voor het beheren van het proces van naamdetectie zijn de opties —cache, —synthesize, —network, —zone, —trust-anchor en —validate voorgesteld.
- In systemd-nspawn is ondersteuning toegevoegd voor het configureren van de firewall met behulp van nftables, naast de bestaande ondersteuning voor iptables. In de configuratie van IPMasquerade in systemd-networkd is de mogelijkheid toegevoegd om een nftables-gebaseerde backend te gebruiken.
- In systemd-localed is ondersteuning toegevoegd voor het aanroepen van locale-gen om ontbrekende locales te genereren.
- In verschillende hulpprogramma's zijn de opties --pager / --no-pager / --json= toegevoegd om de paginering en uitvoer in JSON-formaat in te schakelen of uit te schakelen. Er is ook de mogelijkheid toegevoegd om het aantal kleuren dat in de terminal wordt gebruikt in te stellen via de omgevingsvariabele SYSTEMD_COLORS (‘16’ of ‘256’).
- De versies met gescheiden hiërarchieën van mappen (scheiding van / en /usr) en ondersteuning voor cgroup v1 zijn als verouderd verklaard.
- De hoofdtak in Git is hernoemd van ‘master’ naar ‘main’.
Bron: opennet.ru
