Na vier maanden ontwikkeling is versie 255 van de systeembeheerder systemd gepresenteerd. Tot de belangrijkste verbeteringen behoren: ondersteuning voor het exporteren van opslagapparaten via NVMe-TCP, de component systemd-bsod voor de volledige weergave van foutmeldingen, de tool systemd-vmspawn voor het opstarten van virtuele machines, de tool varlinkctl voor het beheren van Varlink-diensten, de tool systemd-pcrlock voor het analyseren van TPM2 PCR-registers en het genereren van toegangsregels, en de module voor authenticatie pam_systemd_loadkey.so.
Belangrijkste wijzigingen in de nieuwe release:
- De component 'systemd-storagetm' is toegevoegd, waarmee het mogelijk is om automatisch alle lokale blokapparaten te exporteren via de NVMe-TCP-driver, die toegang biedt tot NVMe-opslagapparaten over het netwerk (NVM Express over Fabrics) gebruikmakend van het TCP-protocol. De nieuwe eenheid 'storage-target-mode.target' is verantwoordelijk voor de toegang in NVMe over TCP en kan tijdens het opstarten worden ingeschakeld door 'rd.systemd.unit=storage-target-mode.target' op de kernelopdrachtregel op te geven, bijvoorbeeld wanneer externe toegang tot de opslag nodig is voor diagnostische doeleinden.
- De component 'systemd-bsod' is toegevoegd, die een analoog van het 'blauwe scherm van de dood' implementeert, waarmee tijdens de opstartfase kritieke foutmeldingen (LOG_EMERG) in de vorm van een volledig schermmelding kunnen worden weergegeven.
- De utility 'systemd-vmspawn' is toegevoegd, die een analoog is van de utility systemd-nspawn voor het opstarten van een besturingssysteemafbeelding in een virtuele machine (de utility systemd-nspawn is bedoeld voor het opstarten van containers, terwijl systemd-vmspawn een vergelijkbare interface biedt voor virtuele machines). Momenteel is er alleen een backend beschikbaar voor het opstarten van virtuele machines op basis van QEMU.
- De utility 'varlinkctl' is toegevoegd voor het aanroepen en introspecteren van diensten die het Varlink-protocol gebruiken.
- De tool „systemd-pcrlock“ is toegevoegd voor het analyseren en voorspellen van de status van TPM2 PCR (Platform Configuration Register) registers, en voor het genereren van toegangseisen die in de TPM2 NV-index worden opgeslagen. Deze regels maken het mogelijk om toegang te krijgen tot TPM2-objecten, zoals schijfversleutelingssleutels, uitsluitend via geverifieerde digitale handtekeningen van componenten die worden uitgevoerd tijdens de geverifieerde opstartfase. Voor de analyse kunnen de resultaten van de TPM2 PCR-statusquery worden gebruikt, zoals deze worden verstrekt door de UEFI-firmware logfile van de huidige opstart (\/sys\/kernel\/security\/tpm0\/binary_bios_measurements) of een lokaal opgeslagen TPM2-log (\/run\/log\/systemd\/tpm2-measure.log). Ondersteuning voor opgeslagen toegangseisen is toegevoegd aan systemd-cryptsetup, systemd-cryptenroll en systemd-repart.
- De PAM-module pam_systemd_loadkey.so is toegevoegd, die is bedoeld voor de automatische extractie van de wachtwoordzin uit de kernel keyring, die wordt gebruikt in cryptsetup om de versleutelde root FS te ontgrendelen, en voor het instellen van deze wachtwoordzin als authenticatietoken (PAM authtok). Deze module kan bijvoorbeeld worden gebruikt voor het instellen van automatische ontgrendeling van toegang tot GNOME Keyring en KDE Wallet bij automatische inlog.
- Ondersteuning voor het slaapstand (hibernation) is toegevoegd, waarbij de inhoud van het geheugen wordt opgeslagen in swapbestanden die zijn opgeslagen in het Btrfs-bestandssysteem.
- De eenheden zijn uitgebreid met de eigenschappen MemoryPeak, MemorySwapPeak, MemorySwapCurrent en MemoryZSwapCurrent, die overeenkomen met de via cgroup v2 beschikbare eigenschappen memory.peak, memory.swap.peak, memory.swap.current en memory.zswap.current. Informatie over deze eigenschappen is opgenomen in de output van „systemctl status“.
- De manier waarop services worden gestart is herzien, waarbij gebruik is gemaakt van de posix_spawn-aanroep met de opties CLONE_VM en CLONE_VFORK voor het opstarten van processen, en er is een apart uitvoerbaar bestand systemd-executor toegepast voor het instellen van het opstartende proces. Voorheen werden processen geforkt met de fork-functie waarbij het geheugen van het beheerproces werd gekopieerd in een copy-on-write modus, en werden de benodigde instellingen (het monteren van namespaces en het toewijzen van CGroup) uitgevoerd voordat het doel uitvoerbare bestand werd gestart met de exec-aanroep, wat leidde tot problemen door de onmogelijkheid om toegang te krijgen tot bepaalde Glibc API's in de fase tussen het uitvoeren van de fork- en exec-functies.
- De code voor het volgen van interne processen is aangepast om PIDFD te gebruiken in plaats van PID in omgevingen met een kernel die PIDFD ondersteunt (PIDFD is gekoppeld aan een specifiek proces en verandert niet, terwijl PID aan een ander proces kan worden gekoppeld na de voltooiing van het huidige proces dat aan deze PID is gekoppeld). De mogelijkheid om scope-eenheden te maken met PIDFD in plaats van PID voor processelectie is geïmplementeerd.
- De ondersteuning voor gescheiden directory-hiërarchieën (waarbij /usr apart van de root is gemonteerd of de directories /bin en /usr/bin, /lib en /usr/lib zijn gescheiden) is stopgezet. In de toekomst is ook besloten de ondersteuning voor cgroups v1, System V-service scripts en SystemdOptions EFI-variabelen stop te zetten.
- Het commando "systemctl switch-root" is beperkt tot gebruik alleen in initrd. Voor het vervangen van het root-filesysteem in een normale omgeving dient "systemctl soft-reboot" te worden gebruikt.
- De parameters SuspendMode, HybridSleepMode, HibernateStat en HybridSleepState in de sectie "[Sleep]" van het bestand systemd-sleep.conf zijn verouderd verklaard. Deze parameters worden nu genegeerd en kunnen alleen standaardwaarden aannemen.
- Aan eenheden is de optie SurviveFinalKillSignal toegevoegd, die het mogelijk maakt om het laatste SIGTERM/SIGKILL-signaal dat tijdens de afsluiting wordt verzonden te negeren, wat nuttig kan zijn om een eenheid actief te houden tijdens een zachte herstart van het systeem in de soft-reboot-modus.
- De instelling NFTSet is toegevoegd, waarmee cgroup-id's gebruikt kunnen worden om de logica in firewall-regels om te schakelen.
- De optie ConditionSecurity=measured-uki is toegevoegd, waarmee wordt gegarandeerd dat de eenheid alleen in een systeem kan worden gestart dat is opgestart met een geverifieerd kernelbeeld in UKI-indeling.
- Nieuwe sneltoetsen "B" en "O" zijn toegevoegd aan systemd-boot voor het herstarten en uitschakelen van het systeem vanuit het opstartmenu. De instelling "menu-disabled" is toegevoegd om de weergave van het opstartmenu uit te schakelen.
- Nieuwe opties "—copy-from" zijn toegevoegd aan de utility systemd-repart om beschrijvingen van partities uit het opgegeven FS-image te verkrijgen, "—copy-source" om de basisdirectory voor de parameter CopyFiles aan te geven, "—make-ddi=confext", "—make-ddi=sysext" en "—make-ddi=portable" voor het genereren van verschillende soorten DDI, en "—tpm2-device-key" om de schijf aan een specifieke open TPM2-sleutel te koppelen.
- In de utility journalctl is bij de parameter "—lines" de waarde "+N" toegevoegd om de N oudste records weer te geven.
- In udevadm is de vlag "—json" toegevoegd voor uitvoer in JSON-formaat.
- In de hulpprogramma's systemd-analyze, systemd-tmpfiles, systemd-sysusers, systemd-sysctl en systemd-binfmt is de optie "--tldr" toegevoegd voor het weergeven van alleen de daadwerkelijke configuratieparameters zonder spaties en opmerkingen.
- De seccomp-subsysteem heeft ondersteuning voor de LoongArch64-architectuur gekregen. Het gebruik van seccomp voor het filteren van systeemoproepen in diensten die niet onder de gebruiker root draaien, is toegestaan zonder de instelling NoNewPrivileges=yes in te schakelen.
- In het hulpprogramma systemd-mount is de optie "--tmpfs" toegevoegd voor het monteren van een nieuwe instantie van 'tmpfs'.
Bron: opennet.ru
