Po troch a pol mesiaci vývoja bol predstavený release systémového manažéra systemd 253.
Medzi zmenami v novom vydaní:
- Súčasťou je nástroj ‘ukify’, určený na zostavovanie, overovanie a vytváranie podpísaných jednotných obrazov jadra (UKI, Unified Kernel Image), ktoré spájajú načítač jadra z UEFI (UEFI boot stub), obraz Linux jadra a načítavané systémové prostredie initrd, používané pre počiatočnú inicializáciu pred pripojením koreňového FS. Nástroj nahrádza funkcionalitu, ktorá bola predtým poskytovaná príkazom ‘dracut —uefi’, a dopĺňa ju možnosťami automatického výpočtu posunov v PE súboroch, kombinovaním initrd, podpisom vkladaných obrazov jadra, vytváraním kombinovaných obrazov s sbsign, heuristikou pre určenie uname jadra, overovaním obrázka so spúšťacou obrazovkou a pridaním podpísaných PCR politík, generovaných nástrojom systemd-measure.
- Pridaná podpora initrd prostredí, ktoré nie sú obmedzené umiestnením v pamäti, kde sa namiesto tmpfs používa overlayfs. Pre takéto prostredia systemd nevykonáva odstránenie všetkých súborov v initrd po prepnutí na koreňový FS.
- Do služieb bol pridaný parameter „OpenFile“ na otváranie ľubovoľných súborov v FS (alebo pripojenie k Unix socketom) a prenos súvisiacich súborových descriptorov do spusteného procesu (napríklad keď je potrebné usporiadať prístup k súboru pre nepriviligovanú službu bez zmeny prístupových práv na súbor).
- V systemd-cryptenroll bola pri registrácii nových kľúčov implementovaná možnosť odomknúť zašifrované oddiely pomocou tokenov FIDO2 (—unlock-fido2-device) bez nutnosti zadania hesla. Zabezpečené je skladovanie so soľou zadaného používateľom PIN kódu na zloženie definovania metodou hrubej sily.
- Pridané nastavenia ReloadLimitIntervalSec a ReloadLimitBurst, ako aj možnosti príkazového riadku jadra (systemd.reload_limit_interval_sec a /systemd.reload_limit_burst) na obmedzenie intenzity reštartovania pozadových procesov.
- Pre unit-y bola implementovaná možnosť „MemoryZSwapMax“ na nastavenie vlastnosti memory.zswap.max, určujúcej maximálnu veľkosť zswap.
- Pre unit-y bola implementovaná možnosť „LogFilterPatterns“, ktorá umožňuje zadať regulárne výrazy na filtrovanie informácií, ktoré sa zobrazujú v logu (môže sa použiť na vylúčenie určitého výstupu alebo na zachovanie iba určitých údajov).
- V scope-riadkoch bola implementovaná podpora nastavenia „OOMPolicy“ pre určenie správania pri pokuse o vytlačenie pri nedostatku pamäte (pre prihlásené relácie je nastavená hodnota OOMPolicy=continue, aby ich OOM killer nútene neukončil).
- Bol definovaný nový typ služieb — „Type=notify-reload“, ktorý rozširuje typ „Type=notify“ o možnosť čakať na dokončenie spracovania signálu na reštart (SIGHUP). Nový typ bol prevedený na služby systemd-networkd.service, systemd-udevd.service a systemd-logind.
- V udev bola zavedená nová schéma pomenovania sieťových zariadení, ktorej rozdiel spočíva v tom, že pre nepripojené k PCI busu USB zariadenia je teraz nastavené ID_NET_NAME_PATH, aby sa zabezpečila väčšia predvídateľnosť mien. Pre premenné SYMLINK bol implementovaný operátor ‘-=’, ktorý ponecháva symbolické odkazy nenastavené, ak predtým bolo definované pravidlo ich pridania.
- V systemd-boot bola prepracovaná manipulácia s náhodným číslom pre generátory pseudonáhodných čísel v jadre a pre diskový backend. Pridaná podpora pre načítanie jadra nielen z rozdelenia ESP (EFI System Partition), napríklad, z firmvéru alebo priamo pre QEMU. Zabezpečené spracovanie parametrov SMBIOS na určenie spustenia v prostredí virtualizácie. Implementovaný nový režim ‘if-safe’, v ktorom sa certifikát pre UEFI Secure Boot načítava z ESP iba v prípade, že je považovaný za bezpečný (spúšťa sa v virtuálnom stroji).
- V utilite bootctl bola implementovaná generácia systémových tokenov na všetkých systémoch EFI, okrem virtualizačných prostredí. Pridané príkazy ‘kernel-identify’ a ‘kernel-inspect’ na zobrazenie typu obrazu jadra a informácie o možnostiach príkazového riadka a verzii jadra, „unlink“ na odstránenie súboru spojeného s prvým typom zavádzacích záznamov, „cleanup“ na odstránenie všetkých súborov z adresára „entry-token“ v ESP a XBOOTLDR, ktoré nie sú spojené s prvým typom zavádzacích záznamov. Zabezpečené spracovanie premennej KERNEL_INSTALL_CONF_ROOT.
- V príkaze ‘systemctl list-dependencies’ bola zabezpečená podpora volieb „—type“ a „—state“, a v príkaze ‘systemctl kexec’ bola pridaná podpora pre prostredia na báze hypervízora Xen.
- V súboroch .network v sekcii [DHCPv4] sa objavila podpora volieb SocketPriority a QuickAck, RouteMetric=high|medium|low.
- V systemd-repart boli pridané možnosti „—include-partitions“, „—exclude-partitions“ a „—defer-partitions“ na filtrovanie partií podľa typu UUID, čo napríklad umožňuje vytvárať obrazy, v ktorých je jedna časť založená na obsahu inej. Bola tiež pridaná možnosť „—sector-size“ na určenie veľkosti sektora, ktorý sa má použiť pri vytváraní časti. Podpora generovania súborového systému erofs bola pridaná. V nastavení Minimize bola implementovaná správa hodnôt „best“ na výber minimálnej možnej veľkosti obrazu.
- V systemd-journal-remote je povolené použitie nastavení MaxUse, KeepFree, MaxFileSize a MaxFiles na obmedzenie spotreby diskového priestoru.
- V systemd-cryptsetup bola pridaná podpora pre posielanie predbežných požiadaviek na tokeny FIDO2 na zistenie ich prítomnosti pred autentifikáciou.
- V crypttab boli pridané nové parametre tpm2-measure-bank a tpm2-measure-pcr.
- V systemd-gpt-auto-generator bol implementovaný zásobník ESP a XBOOTLDR v režimoch „noexec,nosuid,nodev“, a taktiež sa pridal účet za parametre predané cez príkazový riadok jadra rootfstype a rootflags.
- V systemd-resolved bola poskytnutá možnosť nastavenia parametrov resolvera pomocou možností nameserver, domain, network.dns a network.search_domains v príkazovom riadku jadra.
- V príkaze „systemd-analyze plot“ bola pridaná možnosť výstupu vo formáte JSON pri použití prepínača „—json“. Na riadenie výstupu boli tiež pridané nové možnosti „—table“ a „—no-legend“.
- V roku 2023 sa plánuje ukončenie podpory cgroups v1 a oddelených hierarchií adresárov (keď je /usr pripojené oddelene od koreňa alebo sú oddelené adresáre /bin a /usr/bin, /lib a /usr/lib).
Zdroj: opennet.ru
