Utgivning av systemhanteraren systemd 249

Efter tre månaders utveckling har systemhanteraren systemd 249 släppts. I den nya versionen har möjligheten att definiera användare/grupper i JSON-format säkrats, Journal-protokollet har stabiliserats, organisationen av laddningen av växlande diskpartitioner har förenklats, möjligheten att koppla BPF-program till tjänster har lagts till, kartläggning av användaridentifierare i monterade partitioner har implementerats, och en stor mängd nya nätverksinställningar och funktioner för att köra containrar har introducerats.

Huvudsakliga förändringar:

• Journal-protokollet har dokumenterats, vilket kan användas i klienter istället för syslog-protokollet för lokal leverans av loggar. Journal-protokollet har funnits länge och används redan i vissa klientbibliotek, men dess officiella stöd har endast annonserats nu.
• I userdb och nss-systemd har läsning av ytterligare användardefinitioner från katalogerna /etc/userdb/, /run/userdb/, /run/host/userdb/ och /usr/lib/userdb/ i JSON-format möjliggjorts. Det påpekas att denna funktionalitet kommer att ge en extra mekanism för att skapa användare i systemet, vilket ger full integration med NSS och /etc/shadow. Stöd för JSON-formatet för användar/gruppregister kommer också att möjliggöra koppling av olika resurskontrollparameterar och andra inställningar som pam_systemd och systemd-logind känner igen.
• I nss-systemd har syntesen av användar-/gruppregister i /etc/shadow med hjälp av hashade lösenord från systemd-homed implementerats.
• En mekanism har genomförts som förenklar organisationen av uppdateringen med hjälp av växlande diskpartitioner (en partition aktiv och en annan som reserv — uppdateringen kopieras till reservpartitionen som sedan blir aktiv). Om diskavbilden har två rot- eller /usr-partitioner, och udev inte har identifierat åtagandet 'root=' eller om diskavbilder beskrivs via alternativet '—image' i systemd-nspawn och systemd-dissect, kan partitionen för laddning beräknas genom att jämföra GPT-märkena (det antas att GPT-märket nämner versionsnumret för partitionens innehåll och systemd väljer partitionen med de nyare ändringarna).
• I tjänsterna har en inställning för BPFProgram lagts till, vilket gör det möjligt att organisera inläsning av BPF-program i kärnan och hantera dem med koppling till specifika systemd-tjänster.
• I systemd-fstab-generator och systemd-repart har möjligheten till inläsning från diskar lagts till, där endast en partition för /usr finns och det saknas en rotpartition (rotpartitionen kommer att genereras av verktyget systemd-repart vid första inläsningen).
• I systemd-nspawn har alternativet "—private-user-chown" ersatts med den mer universella varianten "—private-user-ownership", som kan ta värdena "chown" som motsvarighet till "—private-user-chown", "off" för att inaktivera den gamla inställningen, "map" för att mappa användaridentifierare i monterade filsystem och "auto" för att välja "map" om nödvändig funktionalitet finns i kärnan (5.12+) eller att utföra en rekursiv "chown" i motsatt fall. Genom mappning kan filer från en användare på monterad främmande partition kopplas till en annan användare i det aktuella systemet, vilket gör det enklare att dela filer mellan olika användare. I systemd-homed:s mekanism för bärbara hemkataloger gör mappning det möjligt för användare att flytta sina hemkataloger till externa lagringsenheter och använda dessa på olika datorer där mappning av användaridentifierare inte stämmer överens.
• I systemd-nspawn kan alternativet "—private-user" nu använda värdet "identity" för att direkt spegla användaridentifierare vid inställning av användarnamnrymden, det vill säga UID 0 och UID 1 i containern kommer att speglas som UID 0 och UID 1 på värdsidan, för att minska angreppsvektorer (containern kommer att få processens möjligheter endast i sin egen användarnamnrymd).
• I systemd-nspawn har alternativet "—bind-user" lagts till för att vidarebefordra en användarkonto som finns i värdmiljön till containern (hemkatalogen monteras i containern, en användar-/grupppost läggs till och UID-mappning mellan containern och värdmiljön utförs).
• I systemd-ask-password och systemd-sysusers har stöd lagts till för att begära inloggningslösenord (passwd.hashed-password. och passwd.plaintext-password.) genom den mekanism för säker överföring av konfidentiella data som introducerades i systemd version 247, vilken använder mellanliggande filer i en separat katalog. Som standard accepteras autentiseringsuppgifterna från processen med PID1, som till exempel får dem från en containermanager, vilket möjliggör inställning av användarlösenord vid första uppstarten.
• I systemd-firstboot har stöd lagts till för att använda mekanismen för säker överföring av konfidentiella data för att begära olika systemparametrar, vilket kan tillämpas för att initiera systeminställningar vid första uppstarten av en containerbild som inte har nödvändiga inställningar i katalogen /etc.
• Under uppstart disponerar processen PID 1 över visning av både enhetens namn och beskrivning. Utmatningen kan ändras genom parametern 'StatusUnitFormat=combined' i system.conf eller genom systemd-status-enhetsformat=combined i kärnans kommandoradsalternativ.
• I verktygen systemd-machine-id-setup och systemd-repart har alternativet '--image' lagts till för att överföra en fil med maskinidentifieraren till diskbilder eller för att öka storleken på en diskbild.
• I konfigurationsfilen för partitioner, som används av verktyget systemd-repart, har parametern MakeDirectories lagts till, vilket kan användas för att skapa godtyckliga kataloger i det skapade filsystemet innan det återspeglas i partitions tabellen (till exempel för att skapa kataloger för monteringspunkter i rotpartitionen, så att det möjligt att omedelbart montera partitionen i skrivskyddat läge). För att hantera GPT-flaggor i de skapade partitionerna har motsvarande parametrar Flags, ReadOnly och NoAuto lagts till. I parametern CopyBlocks har värdet 'auto' implementerats för att automatiskt välja den aktuella startpartitionen som källa vid kopiering av block (till exempel när det är nödvändigt att överföra den egna rotpartitionen till en ny lagringsanordning).
• I GPT har flaggan "grow-file-system" implementerats, vilket motsvarar alternativet för monteringen x-systemd.growfs och möjliggör automatisk utvidgning av filsystemets storlek upp till gränserna för blockenheten, om filsystemets storlek är mindre än partitionen. Flaggan kan tillämpas på filsystemen Ext3, XFS och Btrfs, och kan användas på automatiskt identifierade partitioner. Flaggan aktiveras som standard för skrivbara partitioner som automatiskt skapas via systemd-repart. I systemd-repart har alternativet GrowFileSystem lagts till för att konfigurera flaggan.
• I filen /etc/os-release har stöd för nya variabler IMAGE_VERSION och IMAGE_ID implementerats för att definiera version och ID för atomärt uppdaterade bilder. Specifikationerna %M och %A föreslås för att infoga angivna värden i olika kommandon.
• Parametern "—extension" har lagts till i verktyget portablectl för att aktivera bärbara bilder av systemutvidgningar (till exempel kan de användas för att distribuera bilder med ytterligare tjänster som integreras i rotpartitionen).
• I verktyget systemd-coredump har extraktionen av ELF-informationen build-id säkerställts vid skapandet av en core-dump av en process, vilket kan vara användbart för att avgöra vilken paket den kraschade processen tillhör, om information om namn och version av deb- eller rpm-paket har integrerats i ELF-filerna.
• I udev har en ny databas för FireWire-enheter (IEEE 1394) lagts till.
• Tre ändringar har lagts till i urvalsschemat för namn på nätverksgränssnitt i udev "net_id", vilket bryter bakåtkompatibiliteten: ogiltiga tecken i namn på gränssnitt ersätts nu med "_"; PCI hotplug-slotnamn för s390-system behandlas som hexadecimala tal; användningen av upp till 65535 inbyggda PCI-enheter har tillåtits (tidigare blockerades nummer över 16383).
• I systemd-resolved har domänen "home.arpa" lagts till i listan över NTA (Negative Trust Anchors), rekommenderad för lokala hemmannät, men som inte används i DNSSEC.
• I parametern CPUAffinity har tolkning av specifikationer "%" säkerställts.
• I filer med " .network" har parametern ManageForeignRoutingPolicyRules lagts till, vilket kan användas för att undanta behandling av externa routingpolicyer i systemd-networkd.
• I filer med " .network" har parametern RequiredFamilyForOnline lagts till för att avgöra närvaro av en IPv4- eller IPv6-adress som ett tecken på att nätverksgränssnittet är i "online"-läge. I networkctl har visningen av "online"-status säkerställts för varje länk.
• I filerna «.network» har parametern OutgoingInterface lagts till för att definiera utgående gränssnitt vid konfigurering av nätverksbroar.
• I filerna «.network» har parametern Group lagts till, vilket möjliggör konfiguration av Multipath-gruppen för poster i sektionen «[NextHop]».
• I systemd-network-wait-online har alternativen «-4» och «-6» lagts till för att begränsa väntan på anslutning endast till IPv4 eller IPv6.
• I DHCP-serverns inställningar har parametern RelayTarget lagts till, vilket sätter servern i DHCP Relay-läge. För ytterligare konfiguration av DHCP-reläet har alternativen RelayAgentCircuitId och RelayAgentRemoteId föreslagits.
• I DHCP-servern har parametern ServerAddress lagts till, vilket möjliggör att ställa in IP-adressen för servern explicit (annars väljs adressen automatiskt).
• I DHCP-servern har sektionen [DHCPServerStaticLease] implementerats, vilket gör det möjligt att konfigurera statiska adresstilldelningar (DHCP leases) genom att ange bindningar av fasta IP-adresser till MAC-adresser och vice versa.
• I inställningen RestrictAddressFamilies har stöd för värdet «none» implementerats, vilket innebär att tjänsten inte får tillgång till sockets av något adresstyp.
• I filerna «.network» i sektionerna [Address], [DHCPv6PrefixDelegation] och [IPv6Prefix] har stöd för inställning av RouteMetric implementerats, vilket gör att man kan ange en mätare för den ruttprefix som skapats för den angivna adressen.
• I nss-myhostname och systemd-resolved har syntesen av DNS-poster med adresser för värdar med det specialnamnet «_outbound» säkerställts, för vilka en lokal IP alltid tilldelas på basis av de standardrutter som används för utgående anslutningar.
• I filerna .network har den aktivt standardinställda konfigurationen RoutesToNTP lagts till i sektionen «[DHCPv4]», vilket ålägger tillägg av en separat rutt genom det aktuella nätverksgränssnittet för att få tillgång till adressen för NTP-servern som erhållits för detta gränssnitt via DHCP (på liknande sätt som DNS-konfigurationen garanterar att trafiken till NTP-servern dirigeras genom det gränssnitt som den adressen erhölls från).
• Inställningarna SocketBindAllow och SocketBindDeny har lagts till för att styra åtkomsten till sockets som är bundna till den aktuella tjänsten.
• För enhetsfiler har den villkorsbundna konfigurationen ConditionFirmware implementerats, vilket gör det möjligt att skapa kontroller som utvärderar funktioner hos firmware, såsom drift på UEFI-system och device.tree, samt att kontrollera kompatibilitet med vissa möjligheter hos device-tree.
• Funktionen ConditionOSRelease har implementerats för att kontrollera fälten i filen /etc/os-release. Vid bestämning av villkoren för att kontrollera värdena är operatorerna „=”, „!=”, „<”, „=”, „>” tillåtna.
• I verktyget hostnamectl har kommandon av typen „get-xyz” och „set-xyz” tagits bort från prefixen „get” och „set”, till exempel kan istället för „hostnamectl get-hostname” och „hostnamectl set-hostname” kommandot „hostnamectl hostname” användas, där tilldelningen av värdet bestäms genom att ange ett extra argument („hostnamectl hostname value”). Stödet för gamla kommandon har bevarats för att säkerställa kompatibilitet.
• I verktyget systemd-detect-virt och inställningen ConditionVirtualization har korrekt identifiering av Amazon EC2-miljöer säkerställts.
• Inställningen LogLevelMax i enhetsfiler tillämpas nu inte bara på loggmeddelanden som skapats av tjänsten, utan också på meddelanden från process PID 1, där tjänsten nämns.
• Möjligheten att aktivera SBAT-data (UEFI Secure Boot Advanced Targeting) i systemd-boot EFI PE-filer har tillhandahållits.
• Nya alternativ „headless” och „password-echo” har implementerats i /etc/crypttab — det första tillåter att hoppa över alla åtgärder som rör interaktiv begäran om lösenord och PIN från användaren, och det andra ger möjlighet att konfigurera metoden för visning av inmatningslösenord (ingenting visas, visas tecken för tecken och visar stjärnor). I systemd-ask-password har alternativet „—echo” lagts till för liknande syften.
• I systemd-cryptenroll, systemd-cryptsetup och systemd-homed har stödet för att låsa upp krypterade LUKS2-partitioner med hjälp av FIDO2-token utökats. Nya alternativ „—fido2-with-user-presence”, „—fido2-with-user-verification” och „—fido2-with-client-pin” har lagts till för att hantera kontroll av fysisk närvaro av användaren, verifiering och behov av att ange PIN-kod.
• I systemd-journal-gatewayd har alternativen „—user”, „—system”, „—merge” och „—file” lagts till, motsvarande sådana som journalctl.
• Utöver direkta beroenden mellan enheter, som anges via parametrarna OnFailure och Slice, har stöd för implicita omvända beroenden OnFailureOf och SliceOf lagts till, vilket kan vara användbart, till exempel för att identifiera alla enheter som ingår i en slice.
• Nya typer av beroenden mellan enheter har lagts till: OnSuccess och OnSuccessOf (motsatsen till OnFailure, som aktiveras vid framgångsrik avslutning); PropagatesStopTo och StopPropagatedFrom (återkommande av stopp-händelsen för en enhet till en annan enhet); Upholds och UpheldBy (alternativ till Restart).
• I verktyget systemd-ask-password har alternativet „—emoji” lagts till för att hantera visningen av låsikonen (🔐) i inmatningsfältet för lösenord.
• Dokumentation om strukturen för källkodsträdet för systemd har lagts till.
• För enheterna har egenskapen MemoryAvailable lagts till, vilken visar hur mycket minne enheten har kvar innan den når gränsen som anges via parametrarna MemoryMax, MemoryHigh eller MemoryAvailable.

Källa: opennet.ru