Utgivning av systemhanteraren systemd 249

Efter tre månaders utveckling har releasen av systemhanteraren systemd 249 presenterats. Den nya versionen möjliggör specificering av användare/grupper i JSON-format, stabiliserar Journal-protokollet, förenklar hanteringen av skivpartitioner som byter plats med varandra, lägger till möjligheten att koppla BPF-program till tjänster, implementerar mapping av användar-ID i monterade partitioner och erbjuder en större mängd nya nätverksinställningar och möjligheter för att köra containrar.

Huvudsakliga förändringar:

• Journal-protokollet har dokumenterats och kan användas i klienter istället för syslog-protokollet för lokal leverans av loggar. Journal-protokollet har funnits ganska länge och används redan i vissa klientbibliotek, ändå har dess officiella stöd först nu annonserats.
• I userdb och nss-systemd säkerställs läsning av extra användardefinitioner som finns i katalogerna /etc/userdb/, /run/userdb/, /run/host/userdb/ och /usr/lib/userdb/, angivna i JSON-format. Det noteras att denna möjlighet kommer att tillhandahålla en extra mekanism för att skapa användare i systemet, vilket ger full integrering med NSS och /etc/shadow. Stödet för JSON-formatet för användar-/gruppposter kommer också att möjliggöra koppling av olika resurskontrollparametrar och andra inställningar som känns igen av pam_systemd och systemd-logind.
• I nss-systemd säkerställs syntesen av användar-/gruppposter i /etc/shadow med hjälp av hashade lösenord från systemd-homed.
• En mekanism har implementerats som förenklar organiseringen av uppdateringar genom användning av skivpartitioner som byter plats med varandra (en partition är aktiv, medan en annan är reserv — uppdateringen kopieras till den reserverade partitionen, som sedan blir aktiv). Om bildfilen innehåller två rot- eller /usr-partitioner, och udev inte har identifierat närvaron av parametern 'root=' eller hanterar bildfiler angivna via alternativet "--image" i verktygen systemd-nspawn och systemd-dissect, kan den partition som ska användas för boot beräknas genom att jämföra GPT-etiketter (det underförstås att GPT-etiketten nämner versionsnumret för innehållet i partitionen och systemd kommer att välja den partition med de nyaste ändringarna).
• I filerna för tjänster har en inställning för BPFProgram lagts till, vilket möjliggör laddning av BPF-program i kärnan och hantering av dem i samband med specifika systemd-tjänster.
• I systemd-fstab-generator och systemd-repart har möjligheten att ladda från diskar lagts till där det endast finns en /usr-partition och ingen rotnivå-partition (rotnivå-partitionen kommer att genereras av verktyget systemd-repart vid första uppstarten).
• I systemd-nspawn har alternativet "—private-user-chown" ersatts med en mer universell variant "—private-user-ownership", som kan acceptera värdena "chown" som motsvarighet till "—private-user-chown", "off" för att stänga av den gamla inställningen, "map" för mappning av användaridentifierare i monterade filsystem och "auto" för att välja "map" vid tillgång till den nödvändiga funktionaliteten i kärnan (5.12+) eller falla tillbaka på rekursiv anrop av "chown" i annat fall. Genom mappning kan man koppla filer av en användare på ett monterat främmande partition till en annan användare i det aktuella systemet, vilket möjliggör enklare delning av filer mellan olika användare. I mekanismen för flyttbara hemkataloger systemd-homed möjliggör mappning för användare att flytta sina hemkataloger till externa lagringsenheter och använda dem på olika datorer där användaridentifierare kan skilja sig.
• I systemd-nspawn kan alternativet "—private-user" nu använda värdet "identity" för direkt återspegling av användaridentifierare vid konfiguration av namnrymden (user namespace), det vill säga UID 0 och UID 1 i containern kommer att återspeglas som UID 0 och UID 1 på värdsidan, för att minska attackvektorer (containern får processens rättigheter endast i sin egen namnrymd).
• I systemd-nspawn har alternativet "—bind-user" lagts till för att vidarebefordra en användarpost i containern som finns i värdmiljön (hemkatalogen monteras i containern, en post för användare/grupp läggs till och UID mappas mellan containern och värdmiljön).
• I systemd-ask-password och systemd-sysusers har stöd lagts till för att begära installerade lösenord (passwd.hashed-password.<user> och passwd.plaintext-password.<user>) med hjälp av den nya mekanismen för säker överföring av känslig data som introducerades i systemd 247, vilken använder mellanliggande filer i en separat katalog. Som standard accepteras referenser från processen med PID1, som till exempel får dem från en containerhanterare, vilket möjliggör konfiguration av användarens lösenord vid första uppstarten.
• I systemd-firstboot har stöd lagts till för att använda mekanismen för säker överföring av känslig information för att begära olika systemparametrar, vilket kan användas för att initiera systeminställningar vid första uppstarten av en containerbild som saknar nödvändiga inställningar i katalogen /etc.
• I processen med PID 1 under uppstarten visas både namnet och beskrivningen av enheten samtidigt. Utmatningen kan ändras via parametern "StatusUnitFormat=combined" i system.conf eller genom kärnkonsolens kommandoradsalternativ "systemd.status-unit-format=combined".
• Verktygen systemd-machine-id-setup och systemd-repart har fått alternativet "—image" för att överföra en fil med maskinens identifierare till diskbilder eller för att öka storleken på diskbilden.
• I konfigurationsfilen för partitioner som används av verktyget systemd-repart har parametern MakeDirectories lagts till, vilken kan användas för att skapa godtyckliga kataloger i det skapade filsystemet innan det återspeglas i partitionstabellen (till exempel för att skapa kataloger för monteringspunkter i rotpartitionen, så att partitionen kan monteras i skrivskyddat läge direkt). För att hantera GPT-flaggor i de skapade partitionerna har motsvarande parametrar Flags, ReadOnly och NoAuto lagts till. I parametern CopyBlocks har värdet "auto" implementerats för att automatiskt välja den aktuella startpartitionen som källa vid kopiering av block (till exempel när man behöver flytta sin egen rotpartition till en ny enhet).
• I GPT har flaggan "grow-file-system" implementerats, vilket är liknande x-systemd.growfs-monteringsalternativet och möjliggör automatisk utvidgning av filsystemets storlek upp till gränserna för blockenheten, om filsystemets storlek är mindre än partitionen. Flaggan är tillämplig på Ext3-, XFS- och Btrfs-filsystem och kan användas med automatiskt identifierade partitioner. Som standard är flaggan aktiverad för skrivbara partitioner som automatiskt skapas via systemd-repart. För att konfigurera flaggan i systemd-repart har alternativet GrowFileSystem lagts till.
• I filen /etc/os-release har stöd för nya variabler IMAGE_VERSION och IMAGE_ID implementerats för att definiera versionen och identifieraren för atomärt uppdaterade bilder. Specifikatorerna %M och %A föreslås för att infoga angivna värden i olika kommandon.
• Parametern "--extension" har lagts till i verktyget portablectl för att aktivera bärbara systemavbildningar (till exempel kan dessa användas för att distribuera bilder med ytterligare tjänster som integreras i root-partitionen).
• I verktyget systemd-coredump har extraktion av ELF-informationen build-id säkerställts vid skapandet av core-dump av en process, vilket kan vara användbart för att bestämma vilket paket den kraschade processen tillhör, om namn- och versionsinformationen för deb- eller rpm-paket har inbäddats i ELF-filer.
• En ny enhetsdatabas för FireWire-enheter (IEEE 1394) har lagts till i udev.
• Tre ändringar som bryter bakåtkompatibiliteten har lagts till i udev:s namnvalschema för nätverksgränssnitt "net_id": ogiltiga tecken i gränssnittsnamn ersätts nu med "_"; namnen på PCI hotplug-plats för s390-system behandlas som hexadecimala siffror; användning av upp till 65535 inbyggda PCI-enheter tillåts (tidigare blockerades nummer över 16383).
• I systemd-resolved har domänen "home.arpa" lagts till i listan över NTA (Negative Trust Anchors), rekommenderad för lokala hemnätverk, men inte använd i DNSSEC.
• I parametern CPUAffinity har specifikatorerna "%" tolkats.
• Parametern ManageForeignRoutingPolicyRules har lagts till i ".network"-filer, vilket kan användas för att utesluta hantering av externa routingpolicyer i systemd-networkd.
• Parametern RequiredFamilyForOnline har lagts till i ".network"-filer för att bestämma närvaro av en IPv4- eller IPv6-adress som en indikation på att nätverksgränssnittet är i tillståndet "online". I networkctl har visningen av tillståndet "online" säkerställts för varje länk.
• I filerna ".network" har parametern OutgoingInterface lagts till för att definiera utgående gränssnitt vid konfiguration av nätverksbroar.
• I filerna ".network" har parametern Group lagts till, vilket gör det möjligt att konfigurera en Multipath-grupp för poster i sektionen "[NextHop]".
• I systemd-network-wait-online har alternativen "-4" och "-6" lagts till för att begränsa väntan på anslutning endast till IPv4 eller IPv6.
• I DHCP-serverns inställningar har parametern RelayTarget lagts till, vilket sätter servern i DHCP Relay-läget. För ytterligare konfiguration av DHCP-reläet föreslås alternativen RelayAgentCircuitId och RelayAgentRemoteId.
• I DHCP-servern har parametern ServerAddress lagts till, vilket gör det möjligt att uttryckligen ställa in IP-adressen för servern (annars väljs adressen automatiskt).
• I DHCP-servern har sektionen [DHCPServerStaticLease] implementerats, vilket möjliggör konfiguration av statiska adresstilldelningar (DHCP leases) genom att ange fasta IP-bindningar till MAC-adresser och vice versa.
• I inställningen RestrictAddressFamilies har stöd för värdet "none" implementerats, vilket innebär att tjänsten inte kommer att ha tillgång till sockets från något adressfamilj.
• I filerna ".network" i sektionerna [Address], [DHCPv6PrefixDelegation] och [IPv6Prefix] har stöd för att konfigurera RouteMetric införts, vilket gör det möjligt att ange en metrisk för prefikset som skapas för den angivna adressen.
• I nss-myhostname och systemd-resolved har syntes av DNS-poster med adresser för värdar med det speciella namnet "_outbound" säkerställts, för vilka alltid en lokal IP ges, vald i enlighet med de standardrutter som används för utgående anslutningar.
• I filerna .network har en aktiv standardinställning för RoutesToNTP lagts till i sektionen "[DHCPv4]", vilket föreskriver att en separat rutt ska läggas till genom det aktuella nätverksgränssnittet för åtkomst till NTP-serverns adress, erhållen för detta gränssnitt genom DHCP (på samma sätt som DNS-inställningen möjliggör att säkerställa att trafiken till NTP-servern dirigeras genom det gränssnitt där denna adress har erhållits).
• Inställningarna SocketBindAllow och SocketBindDeny har lagts till för att hantera åtkomsten till sockets som är bundna till den aktuella tjänsten.
• För enhetsfiler har en villkorlig inställning ConditionFirmware implementerats, vilket möjliggör att skapa kontroller som bedömer firmware-funktioner, såsom funktion på UEFI-system och device.tree, samt kontrollera kompatibiliteten med vissa egenskaper hos device-tree.
• Alternativ för ConditionOSRelease har implementerats för att kontrollera fälten i filen /etc/os-release. Vid bestämning av villkoren för att kontrollera fältvärden är operatorer som "=", "!=", "<", "=" och ">" tillåtna.
• I verktyget hostnamectl har kommandon av typen "get-xyz" och "set-xyz" tagits bort prefikserna "get" och "set", till exempel kan kommandot "hostnamectl get-hostname" och "hostnamectl set-hostname" nu skrivas som "hostnamectl hostname", där värdesättningen bestäms genom att ange ett ytterligare argument ("hostnamectl hostname value"). Stödet för de gamla kommandona har bevarats för kompatibilitet.
• I verktyget systemd-detect-virt och inställningen ConditionVirtualization säkerställs korrekt identifiering av Amazon EC2-miljöer.
• Inställningen LogLevelMax i unit-filer tillämpas nu inte bara på loggmeddelanden som skapas av tjänsten, utan också på meddelanden från process PID 1 som nämner tjänsten.
• Möjlighet att inkludera SBAT-data (UEFI Secure Boot Advanced Targeting) i systemd-boot EFI PE-filer har tillhandahållits.
• I /etc/crypttab har nya alternativ "headless" och "password-echo" implementerats – det första gör att alla operationer som rör interaktiva lösenords- och PIN-frågor kan hoppas över, medan det andra möjliggör inställning av hur lösenordsinmatningen visas (inga tecken, visa tecknen successivt och visa stjärnor). I systemd-ask-password har alternativet "--echo" lagts till för liknande syften.
• I systemd-cryptenroll, systemd-cryptsetup och systemd-homed har stödet för upplåsning av LUKS2-krypterade partitioner med FIDO2-token utvidgats. Nya alternativ "--fido2-with-user-presence", "--fido2-with-user-verification" och "--fido2-with-client-pin" har lagts till för att hantera kontroll av användarens fysiska närvaro, verifiering och behovet av att ange en PIN-kod.
• I systemd-journal-gatewayd har alternativen "--user", "--system", "--merge" och "--file" lagts till, liknande de samma alternativen i journalctl.
• Förutom direkta beroenden mellan enheter, som definieras genom parametrarna OnFailure och Slice, har stöd för implicita omvända beroenden OnFailureOf och SliceOf lagts till, vilka kan vara användbara, till exempel för att definiera alla enheter som ingår i en slice.
• Nya typer av beroenden mellan enheter har lagts till: OnSuccess och OnSuccessOf (motsatsen till OnFailure, som aktiveras vid framgångsrik avslutning); PropagatesStopTo och StopPropagatedFrom (möjliggör spridning av stopp händelse från en enhet till en annan); Upholds och UpheldBy (ett alternativ till Restart).
• I verktyget systemd-ask-password har alternativet «—emoji» lagts till för att styra visningen av låssymbolen (🔐) i lösenordsinmatningsfältet.
• Dokumentation om strukturen av källtextträden för systemd har lagts till.
• För enheterna har egenskapen MemoryAvailable lagts till, som visar hur mycket minne som återstår för enheten innan den når gränsen som ställts in via parametrarna MemoryMax, MemoryHigh eller MemoryAvailable.

Källa: opennet.ru