systemd 261 och liberated-systemd 261

Efter tre månaders utveckling är tillgänglig utgivning av systemhanteraren systemd 261. Viktiga förändringar: förberedelse för stöd för API för åldersverifiering, stöd för Kexec Handover och Live Update Orchestration för omstart utan att förlora tillstånd, IMDS (Instance Metadata Service), funktionalitet för skydd av uppstart på system utan fysisk TPM (Trusted Platform Module), komponenten systemd-sysinstall med implementering av en installerare.

Bland ändringar nyheterna i denna utgåva:

• Ny komponent tillagd systemd-sysinstall med implementering av en enkel operativsysteminstallerare som kan hanteras från kommandoraden eller genom ett interaktivt textgränssnitt. Funktionaliteten för systemd-sysinstall har formats av redan existerande möjligheter inom systemd: för att konfigurera diskpartitioner används systemd-repart, för att installera kärnan och generera startmenyn — kommandot «bootctl link», för att installera bootloadern systemd-boot — kommandot «bootctl install», för den initiala konfigurationen av det installerade systemet (till exempel val av språk och tangentbordslayout) — systemd-creds.
• Som en del av förberedelserna för att genomföra kraven från lagar om integration i OS API för åldersverifiering i DB userdb ett fält med birthDate med användarens födelsedatum har lagts till. Det tillagda fältet kan användas i den nya portalen xdg-desktop-portal och i tjänsten AccountsService för att ge applikationer information om användarens ålderskategori via D-Bus-gränssnittet org.freedesktop.AgeVerification1 eller org.freedesktop.ParentalControls. För att ställa in åldern har ett alternativ —birth-date lagts till i verktyget homectl.
• I hanteraren PID1 har stöd för kärnans Linux-subsystem lagts till LUO (Live Update Orchestration) och KHO (Kexec Handover), som möjliggör fullständig omstart och uppdatering av kärnan utan att stoppa arbete och utan att tappa systemets, enheternas och processen tillstånd. KHO ger möjligheter att starta en ny kärna från en gammal utan att förlora systemets tillstånd, samt LUO implementerar bevarande av tillståndet för enheter och RAM, samt säkerställer kontinuitet i operationer relaterade till DMA och avbrottshantering.
  I systemd har funktionen för system- och användar-enheter implementerats för att spara filbeskrivare före kexec-anrop och återställa dem efter kärnans omstart via kexec. I enheterna går det också att skapa egna sessioner. LUO, som sparas och återställs vid körning av kexec. För att aktivera lagring av filbeskrivare bör inställningen FileDescriptorStorePreserve=yes användas.
• Implementerad delsystem systemd-imdsd, som tillhandahåller ett API baserat på Varlink IPC för åtkomst för lokala program till IMDS (Instance Metadata Service) som erbjuds av olika molnleverantörer. IMDS gör det möjligt för virtuella maskiner att få information om molnmiljön, till exempel kan information om nätverkskonfiguration, geografisk placering av noden, typ av CPU och storlek på lagring erhållas. I systemd-imdsd tillhandahålls både en låg nivå API för att få tillgång till individuella fält, och ett hög nivå gränssnitt för att göra förfrågningar på typiska nycklar, kopplade till nycklar specifika för olika molnplattformar. För interaktion med systemd-imdsd har verktyget systemd-imds lagts till, vilket gör det möjligt att importera fält från IMDS till det lokala användarkontot.
  För att känna igen molnplattformar baserat på information från SMBIOS och för att bestämma funktionaliteten som är tillgänglig på den aktuella noden har en ny databas hwdb.d/40-imds.hwdb lagts till. Det har implementerats stöd för molnplattformar som Amazon EC2, Microsoft Azure, Google Compute Engine, Hetzner, Oracle Cloud, Scaleway, Tencent Cloud, Alibaba ECS och Vultr. En systemd-imds-generator har också lagts till för automatisk insättning av tjänsten för att hämta data via IMDS när en stödjande molnplattform identifieras. Det är möjligt att skapa universella avbilder som stöder användning av IMDS vid starten i molnmiljöer, men som också kan fungera utan IMDS.
• I systemd-stub har implementerat funktionen boot secret, vilket gör det möjligt att generera en nyckel baserad på en EFI-variabel som lagras i ett område otillgängligt för operativsystemet och initieras med ett slumpmässigt värde. I initrd överförs nyckeln via fil/.extra/boot-secret. Denna funktion kan behövas för att erhålla en system-specifik slumpmässig nyckel för verifiering av startprocessen eller kryptering på system utan hårdvaru-TPM (Trusted Platform Module).
• En tjänst systemd-tpm2-swtpm.service har lagts till för att köra emulatort TPM-chip swtpm (Software TPM Emulator), som kan användas för automatisk återgång till en mjukvarurelaterad TPM för säker start på system utan hårdvaru-TPM. Mjukvaru-TPM fungerar i användarutrymmet och ger inte samma skyddsnivå som hårdvaru-TPM, men i vissa situationer kan dess användning vara motiverad jämfört med att arbeta utan TPM. Till exempel kan mjukvaru-TPM få kryptonyckeln för partitioner genom den nya funktionen 'boot secret' och använda ESP-partitionen (EFI System Partition) på disken för att lagra sitt tillstånd. För automatisk aktivering av mjukvaru-TPM föreslås en parameter som kommandorad för systemd.tpm2_software_fallback.
• Har deklarerats stabil och placerats i /usr/bin/ komponenten systemd-sysupdate, avsedd för automatisk identifiering, nedladdning och installation av uppdateringar med hjälp av en atomär mekanism för byte av partitioner, filer eller kataloger (två oberoende partitioner/filer/kataloger används, där en innehåller den aktuella aktiva resursen och den andra den nästa uppdateringen, efter vilken partitioner/filer/kataloger byts plats).
• I systemd-resolved har möjligheten att åsidosätta eller ange nya DNS-poster genom att placera filer i JSON-format i katalogerna systemd/resolve/static.d/. Till skillnad från /etc/hosts kan nya filer inte bara koppla IP-adresser till värdnamn, utan också definiera resurs-DNS RR-poster som skiljer sig från 'A' och 'AAAA'. Dessutom har systemd-resolved fått inställningar för storleken på DNS-cachen: DNSCacheSize, MulticastDNSCacheSize och LLMNRCacheSize.
• En ny användarprogram ‘storagectl’ har lagts till för att inspektera lagringsenheter och hantera anslutningen av blockenheter och filsystem.
• Inom initiativ för att minska beroenden i libsystemd har dynamisk laddning av biblioteken libgnutls, libmicrohttpd, libcurl, libcrypto, libssl, libfdisk och libcryptsetup implementerats genom anrop av dlopen() i situationer där deras funktioner verkligen behövs.
• I systemd-tmpfiles har fått flaggan —inline, vilket gör det möjligt att ange direktiv på kommandoraden utan att skapa konfigurationsfiler i tmpfiles.d/ och utan att skicka inställningarna via STDIN. En ny typ av direktiv k/K har lagts till för att ställa in capabilitiesEn konfigurationsfil tmpfiles.d/root.conf har lagts till, vilket sätter behörigheter 0555 (-r-xr-xr-x) för rotkatalogen (/) för att skydda mot felaktigt angivna rättigheter vid dynamisk skapning av rot-FS.
• I verktyget bootctl en säkerhetskopia av systemd-boot-laddaren har sparats och den gamla versionen har registrerats i UEFI som ett reservalternativ för uppstart.
• I systemd-vmspawn stöd för direkt laddning av kärnan utan att använda UEFI-firmware har lagts till. En alternativ parameter —firmware-features har implementerats för selektiv aktivering eller avaktivering av specifika firmware-funktioner. Läge —console=headless har lagts till för att köra en virtuell maskin utan konsol och skärm. En parameter —image-disk-type har lagts till för att välja typ av blocklagring som används i VM (virtio-blk, virtio-scsi, nvme, scsi-cd). En parameter —coco (Confidential Computing) har lagts till för att aktivera minneskryptering för virtuella maskiner med hjälp av AMD SEV-SNP-teknologi.
• I systemd-hostnamed och /etc/machine-info har stöd för att fästa godtyckliga taggar till det aktuella systemet med hjälp av parametern Tags. De angivna taggarna kan sedan användas för selektiv tillämpning av inställningar med kontroll genom uttrycket ConditionMachineTag.
• Inställningarna EventLoopRateLimitIntervalSec och EventLoopRateLimitBurst har lagts till för att begränsa intensiteten i evenemangshanteringscykeln i PID1 för att frigöra CPU-resurser vid loopande.
• I tjänstehanteraren har inställningen MinimumUptimeSec implementerats för att ange minimal driftstid för systemet (standard 15 sekunder). Om en shutdown eller omstart initieras före utgången av denna tid läggs en motsvarande fördröjning till i det avslutande skedet.
• Nya inställningar för enheter har implementerats: CPUSetPartition för att ställa in typ av cpuset-partition i cgroup (root, isolated, member), RestrictFileSystemAccess för att tillåta körning av endast körbara filer som verifierats med digital signatur via dm-verity, samt CPUPressureWatch/CPUPressureThresholdSec/IOPressureWatch/IOPressureThresholdSec för att få meddelanden om hög belastning på CPU och I/O.
• Listan över metrik som tillhandahålls av verktyget systemd-reporthar utvidgats. Till exempel har information om fysisk minnesstorlek och aktiva CPU-kärnor, data om innehållet i SMBIOS-fälten och /etc/machine-info, information om stöd för Confidential Computing-läget och uppgifter om TPM2-chipstillverkare lagts till.
• I systemd-oomd har implementerat möjligheten att definiera regler för att avskilja processer vid minnesbrist i systemet. Regler kan definieras i katalogen /etc/systemd/oomd/rules.d/ eller i serviceenheter via direktivet OOMRule.
• I systemd-socket-proxy har lagt till stöd för PROXY-protokollet, som överensstämmer med den första versionen av haproxy-protokollet.
• I systemd-networkd En ny backend för sd-dhcp-relay har implementerats för DHCP-reläer. Inställningarna i sektionen [DHCPServer] — BindToInterface, RelayTarget, RelayAgentCircuitId och RelayAgentRemoteId har förklarats som föråldrade, och istället bör parameter DHCPRelay i sektionen [Network] och en serie nya inställningar i sektionen [DHCPRelay] samt i filen networkd.conf användas. Kommandot networkctl dhcp-lease INTERFACE har lagts till för att spara en dump med information om bindning av IP-adresser (DHCP-lease).
• I verktyget systemd-nspawn en alternativ —restrict-address-families har lagts till, och i .nspawn-filerna har inställningen RestrictAddressFamilies införts för att begränsa de socket-adressfamiljer som får användas i containern. I framtida versioner kommer som standard endast familjer AF_INET, AF_INET6 och AF_UNIX att tillåtas.
• Stödet för det gamla udev-databasformatet (version 0.x) har upphört. Uppdatering i realtid från versioner av systemd till version 247 (opennet.ru) stöds inte längre.
• Vid byggande med C-biblioteket musl krävs nu minst musl version 1.2.6.

Dessutom kan det nämnas utgivning projektet liberated-systemd 261, en utvecklad fork av systemd som är fri från kod som kan användas för att spåra användare. I den föreslagna versionen fokuseras förändringarna på att ta bort den kod som la till ett birthDate-fält med användarens födelsedatum i userdb, samt en option —birth-date i verktyget homectl för att ställa in åldern.

Källa: linux.org.ru