Utgivning av systemhanteraren systemd 248

Efter fyra månaders utveckling presenterades versionen av systemhanteraren systemd 248. I denna nya version har stöd lagts till för bilder för utvidgning av systemkataloger, konfigurationsfilen /etc/veritytab, verktyget systemd-cryptenroll, avblåsning av LUKS2 med hjälp av TPM2-chip och FIDO2-token, start av enheter i ett isolerat IPC-ID-utrymme och protokollet B.A.T.M.A.N. för mesh-nätverk, samt backend för nftables för systemd-nspawn. systemd-oomd har stabiliserats.

Huvudsakliga förändringar:

• Konceptet med systemutvidgningsbilder (System Extension) har införts, vilket kan användas för att utöka kataloghierarkin /usr/ och /opt/ och för att lägga till ytterligare filer under drift, även om de angivna katalogerna är monterade som skrivskyddade. När en systemutvidgningsbild ansluts överlagras dess innehåll på hierarkin /usr/ och /opt/ med hjälp av OverlayFS.

  För att ansluta, koppla bort, visa och uppdatera systemutvidgningsbilder har ett nytt verktyg, systemd-sysext, föreslagits. För att automatiskt ansluta redan installerade bilder under uppstart har tjänsten systemd-sysext.service lagts till. Parametern "SYSEXT_LEVEL=" har lagts till i filen os-release för att definiera nivån för stödda systemutvidgningar.
• För enheter har inställningen ExtensionImages införts, som kan användas för att binda systemutvidgningsbilder till hierarkin för namnrymden i de enskilda isolerade tjänsterna.
• En konfigurationsfil, /etc/veritytab, har lagts till för att konfigurera verifiering av data på blocknivå med hjälp av dm-verity-modulen. Filformatet liknar /etc/crypttab — "namn_partition enhet_för_data enhet_för_hashar rot_hash_verifikation alternativ". För att konfigurera beteendet för dm-verity för rot-enheten har en parameter lagts till i systemd:s kommandoradsalternativ.verity.root_options.
• I systemd-cryptsetup har möjligheten att extrahera URI-token PKCS#11 och den krypterade nyckeln från LUKS2:s metadataheader i JSON-format lagts till, vilket möjliggör att integrera information om att öppna den krypterade enheten direkt i enheten utan att behöva externa filer.
• I systemd-cryptsetup har stöd lagts till för att låsa upp krypterade LUKS2-partitioner med hjälp av TPM2-chip och FIDO2-token, förutom de tidigare stödda PKCS#11-tokens. Laddningen av libfido2 sker via dlopen(), vilket innebär att närvaron kontrolleras dynamiskt snarare än som en hårdberoende.
• Nya alternativ "no-write-workqueue" och "no-read-workqueue" för att aktivera synkron behandling av I/O kopplade till kryptering och dekryptering har lagts till i /etc/crypttab för systemd-cryptsetup.
• Systemd-repart-vertyg har fått möjligheten att aktivera krypterade partitioner med TPM2-chip, till exempel för att skapa en krypterad partition /var vid första uppstarten.
• Ett nytt verktyg, systemd-cryptenroll, har lagts till för att koppla tokens som TPM2, FIDO2 och PKCS#11 till LUKS-partitioner, samt för att avkoppla och visa tokens, koppla reservnycklar och ställa in aktiveringslösenord.
• Parametern PrivateIPC har lagts till för att ställa in processer i isolerad IPC-miljö med sina egna ID och meddelandeköer i en enhetsfil. För att ansluta enheten till en redan skapad IPC-ID-miljö föreslås alternativet IPCNamespacePath.
• Inställningarna ExecPaths och NoExecPaths har lagts till, vilket möjliggör tillämpning av noexec-flaggan på specifika delar av filsystemet.
• Systemd-networkd har fått stöd för mesh-protokollet B.A.T.M.A.N. ("Better Approach To Mobile Adhoc Networking"), vilket möjliggör skapandet av decentraliserade nätverk där varje nod är kopplad till grannnoder. För konfiguration föreslås sektionen [BatmanAdvanced] i .netdev, parametern BatmanAdvanced i .network-filer och en ny enhetstyp "batadv".
• Implementeringen av det tidiga reaktionssystemet för minnesbrist i systemd-oomd har stabiliserats. Alternativet DefaultMemoryPressureDurationSec har lagts till för att ställa in väntetiden för att frigöra resurser innan åtgärder vidtas på enheten. Systemd-oomd använder kärnans PSI (Pressure Stall Information) och möjliggör identifiering av början på förseningar på grund av brist på resurser och selektivt avslutande av resurskrävande processer innan systemet når en kritisk status och börjar intensifiera cacheutrymmets begränsning och byte av data till sidutrymmet.
• En kernel-kommandoradsparameter – "root=tmpfs" – har lagts till, vilket möjliggör att montera root-partitionen i ett temporärt lagringsutrymme placerat i RAM-minnet med Tmpfs.
• Parametern i /etc/crypttab som anger nyckelfilen kan nu hänvisa till sockets av typen AF_UNIX och SOCK_STREAM. Nyckeln måste i detta fall överlämnas vid anslutning till socketet, vilket exempelvis kan användas för att skapa tjänster som dynamiskt tillhandahåller nycklar.
• Ett reservvärd namn (fallback) för användning av systemhanteraren och systemd-hostnamed kan nu anges på två sätt: via parametern DEFAULT_HOSTNAME i os-release och via miljövariabeln $SYSTEMD_DEFAULT_HOSTNAME. I systemd-hostnamed har också hantering av att ange "localhost" i värdnamnet implementerats och möjligheten att exportera värdnamn samt egenskaperna "HardwareVendor" och "HardwareModel" via DBus har lagts till.
• Blocket med tilldelade miljövariabler kan nu konfigureras via det nya alternativet ManagerEnvironment i system.conf eller user.conf, snarare än enbart genom kärnans kommandorad och enhetsfilinställningar.
• Vid kompileringstillfället har möjligheten för att köra processer med systemanropet fexecve() istället för execve() införts för att minska fördröjningen mellan säkerhetskontextkontrollen och dess tillämpning.
• Nya villkorliga operationer ConditionSecurity=tpm2 och ConditionCPUFeature har lagts till för att kontrollera förekomsten av TPM2-enheter och specifika CPU-funktioner (till exempel kan ConditionCPUFeature=rdrand användas för att kontrollera om processorn stödjer operationen RDRAND).
• För tillgängliga kärnor har automatisk generering av systemanrops-tabeller för seccomp-filter implementerats.
• Möjlighet att injicera nya bindmounts i befintliga monteringstäcken (mount namespaces) för tjänster utan att starta om tjänsterna. Injektion utförs med kommandona ‘systemctl bind …’ och ‘systemctl mount-image …’.
• Support för att ange sökvägar i form av "truncate:" för att rensa innan användning har lagts till i inställningarna StandardOutput och StandardError.
• I sd-bus har stöd för att upprätta en anslutning till en session av en angiven användare inom en lokal container lagts till. Till exempel "systemctl —user -M lennart@ start quux".
• I systemd.link-filer har de här parametrarna implementerats i sektionen [Link]:
  • Promiscuous — gör det möjligt att sätta en enhet i "promiscuous"-läge för att bearbeta alla nätverkspaket, inklusive sådana som inte är adresserade till det aktuella systemet;
  • TransmitQueues och ReceiveQueues för att konfigurera antalet TX- och RX-köer;
  • TransmitQueueLength för att konfigurera storleken på TX-kön; GenericSegmentOffloadMaxBytes och GenericSegmentOffloadMaxSegment för att ställa in gränser för användningen av GRO-tekniken (Generic Receive Offload).
• Nya inställningar har lagts till i systemd.network-filer:
  • [Network] RouteTable för att välja routningstabell;
  • [RoutingPolicyRule] Type för routningstypen ("blackhole", "unreachable", "prohibit");
  • [IPv6AcceptRA] RouteDenyList och RouteAllowList för listor över tillåtna och blockerade ruttannonser;
  • [DHCPv6] UseAddres för att ignorera den tilldelade DHCP-adressen;
  • [DHCPv6PrefixDelegation] ManageTemporaryAddress;
  • ActivationPolicy för att definiera policyn för gränssnittets aktivitet (alltid hålla i UP- eller DOWN-läge eller tillåta användaren att ändra tillstånd med kommandot 'ip link set dev').
• systemd.netdev-filerna har lagts till alternativ [VLAN] Protocol, IngressQOSMaps, EgressQOSMaps och [MACVLAN] BroadcastMulticastQueueLength för att konfigurera VLAN-paketbehandling.
• Monteringen av katalogen /dev/ har avbrutits i noexec-läge, eftersom det orsakar konflikt vid användning av exekverbara flaggor med filer i /dev/sgx. För att återställa det gamla beteendet kan inställningen NoExecPaths=/dev användas.
• Åtkomsträttigheterna till filen /dev/vsock har ändrats till 0o666, och filerna /dev/vhost-vsock och /dev/vhost-net har flyttats till gruppen kvm.
• Identifieringsbasen för utrustning har utvidgats med USB-enheter för att läsa fingeravtryck som korrekt stöder övergång till viloläge.
• systemd-resolved har lagt till stöd för att ge svar på DNSSEC-förfrågningar via stub-resolver. Lokala klienter kan själva utföra DNSSEC-verifiering, medan externa förfrågningar proxyas oförändrat till moder-DNS-servern.
• I resolved.conf har alternativet CacheFromLocalhost lagts till, vilket gör att systemd-resolved kommer att använda caching även för förfrågningar till DNS-servern på adressen 127.0.0.1 (som standard är caching av sådana förfrågningar avstängd för att undvika dubbelcaching).
• I systemd-resolved har stöd för RFC-5001 NSID lagts till i den lokala DNS-resolvern, vilket möjliggör för klienter att särskilja interaktionen med den lokala resolvern och andra. servern DNS.
• I verktyget resolvectl har möjligheten att visa information om datakällan (lokal cache, nätverksförfrågan, svar från lokal hanterare) och applicera kryptering under datatransmission implementerats. För att hantera namnupplösningsprocessen erbjuds alternativ —cache, —synthesize, —network, —zone, —trust-anchor och —validate.
• systemd-nspawn har lagt till stöd för konfiguration av brandväggar med nftables utöver det befintliga stödet för iptables. I inställningen IPMasquerade i systemd-networkd har möjligheten att använda en nftables-baserad backend lagts till.
• I systemd-localed har stöd för att anropa locale-gen för att generera saknade lokaler lagts till.
• I olika verktyg har alternativet —pager/—no-pager/—json= lagts till för att aktivera/deaktivera sidvisningsläge och utdata i JSON-format. Möjlighet att ställa in antal färger som används i terminalen genom miljövariabeln SYSTEMD_COLORS ("16" eller "256").
• Byggnader med separata kataloghierarkier (uppdelning av / och /usr) och stöd för cgroup v1 har deklarerats som föråldrade.
• Huvudgrenen i Git har bytt namn från 'master' till 'main'.

Källa: opennet.ru