Utgivning av systemhanteraren systemd 253

Efter tre och ett halvt månaders utveckling har systemadministratören systemd 253 släppts.

Bland förändringarna i den nya versionen:

• Inkluderad är verktyget ‘ukify’, som är avsett för att bygga, kontrollera och skapa signaturer för enhetliga kärnbilder (UKI, Unified Kernel Image), som kombinerar en lastare för att ladda kärnan från UEFI (UEFI boot stub), Linux-kärnbilden och det laddade systemmiljön initrd, som används för initialisering innan rotfilsystemet monteras. Verktyget ersätter funktionaliteten som tidigare tillhandahölls av kommandot 'dracut —uefi' och kompletterar det med möjligheter för automatisk beräkning av förskjutningar i PE-filer, sammanslagning av initrd, inskrivning av inbäddade kärnbilder, skapande av kombinerade bilder c sbsign, heuristik för att bestämma kärnans uname, kontroll av bild med logotyp och tillägg av signerade PCR-policyer, som genererats av verktyget systemd-measure.
• Stöd har lagts till för initrd-miljöer som inte är begränsade till minnesplacering, där overlayfs istället används för tmpfs. För sådana miljöer utför inte systemd radering av alla filer i initrd efter att rotfilsystemet har bytts.
• Tjänsterna har fått parametern "OpenFile" för att öppna godtyckliga filer i filsystemet (eller koppla till Unix-sockets) och överföra tillhörande filbeskrivare till den körande processen (till exempel när man behöver organisera åtkomst till en fil för en icke-privilegerad tjänst utan att ändra filens behörigheter).
• I systemd-cryptenroll har en möjlighet att låsa upp krypterade partitioner med FIDO2-token (—unlock-fido2-device) implementerats vid registrering av nya nycklar, utan behov av att ange ett lösenord. Användarens angivna PIN-kod lagras med salt för att öka svårighetsgraden vid bruten kryptoanalys.
• Inställningarna ReloadLimitIntervalSec och ReloadLimitBurst har lagts till, samt alternativ för kärnans kommandorad (systemd.reload_limit_interval_sec och /systemd.reload_limit_burst) för att begränsa intensiteten av omstart av bakgrundsprocesser.
• För enheter har alternativet "MemoryZSwapMax" implementerats för att ställa in egenskapen memory.zswap.max, som definierar den maximala storleken för zswap.
• För enheter har alternativet "LogFilterPatterns" implementerats, vilket gör det möjligt att ange reguljära uttryck för att filtrera information som skrivs ut i loggen (kan användas för att utesluta vissa utskick eller spara endast specifika data).
• I scope-enheterna har stödet för inställningen «OOMPolicy» införts för att ange beteendet vid försök till avstängning vid minnesbrist (för inloggning sessioner är OOMPolicy=continue för att OOM-killern inte ska tvinga dem att avslutas).
• En ny typ av tjänster har definierats — «Type=notify-reload», som utvidgar typen «Type=notify» med möjligheten att vänta på att signalen för omstart (SIGHUP) ska hanteras. De nya tjänsterna inkluderar systemd-networkd.service, systemd-udevd.service och systemd-logind.
• I udev har en ny namngivningsschema för nätverksenheter införts, där skillnaden är att för USB-enheter som inte är kopplade till PCI-bussen sätts ID_NET_NAME_PATH för att säkerställa mer förutsägbara namn. För variablerna SYMLINK har en operator ‘-=’ implementerats, vilket lämnar symboliska länkar oförställda om en reglering för deras tillägg har definierats tidigare.
• I systemd-boot har överföringen av frön för pseudorandomtalgeneratorer i kärnan och för diskbackends omarbetats. Stöd för att ladda kärnan har lagts till inte bara från ESP-partitionen (EFI System Partition), utan även från firmware eller direkt för QEMU. Små avbrott av SMBIOS-parametrar har införts för att avgöra om den körs i en virtualiseringsmiljö. En ny ‘if-safe’-läge har implementerats där certifikatet för UEFI Secure Boot endast laddas från ESP om det anses vara säkert (startar i en virtuell maskin).
• I bootctl-verktyget har genereringen av systemtokens implementerats på alla EFI-system, förutom i virtualiseringsmiljöer. Kommandon ‘kernel-identify’ och ‘kernel-inspect’ har lagts till för att visa typen av kärnbild och information om kommandoradens alternativ och kärnans version, ‘unlink’ för att radera en fil kopplad till den första typen av startposter, ‘cleanup’ för att ta bort alla filer från katalogen ‘entry-token’ i ESP och XBOOTLDR som inte är kopplade till den första typen av startposter. Bearbetning av variabeln KERNEL_INSTALL_CONF_ROOT har säkerställts.
• I kommandot ‘systemctl list-dependencies’ har hanteringen av alternativen «—type» och «—state» införts, och i kommandot ‘systemctl kexec’ har stöd för Xen-hypervisorbaserade miljöer lagts till.
• I .network-filerna i sektionen [DHCPv4] har stöd för alternativen SocketPriority och QuickAck, RouteMetric=high|medium|low introducerats.
• I systemd-repart har det lagts till alternativ som «—include-partitions», «—exclude-partitions» och «—defer-partitions» för att filtrera partitioner baserat på typ UUID, vilket till exempel möjliggör att samla bilder där en partition är baserad på innehållet i en annan partition. Det har även lagts till ett alternativ «—sector-size» för att ange storleken på sektorn som används vid skapandet av partitionen. Stöd för generation av filsystemet erofs har lagts till. I inställningen Minimize har hanteringen av värdet «best» implementerats för att välja den minsta möjliga storleken på bilden.
• I systemd-journal-remote har användningen av inställningarna MaxUse, KeepFree, MaxFileSize och MaxFiles tillåtits för att begränsa diskutrymmet.
• I systemd-cryptsetup har stödet för att skicka proaktiva förfrågningar till FIDO2-token för att fastställa deras närvaro innan autentisering lagts till.
• I crypttab har nya parametrar tpm2-measure-bank och tpm2-measure-pcr lagts till.
• I systemd-gpt-auto-generator har montering av partitioner ESP och XBOOTLDR implementerats i lägena «noexec,nosuid,nodev», och hantering av parametervärden som rootfstype och rootflags som skickas via kommandoraden har lagts till.
• I systemd-resolved har möjligheten att konfigurera resolverparametrar genom att ange alternativen nameserver, domain, network.dns och network.search_domains i kommandoraden för kärnan lagts till.
• I kommandot «systemd-analyze plot» har det blivit möjligt att få utdata i JSON-format när flaggan «—json» anges. För att styra utdata har nya alternativ «—table» och «—no-legend» lagts till.
• I 2023 planeras det att upphöra med stödet för cgroups v1 och separata kataloghierarkier (när /usr monteras separat från roten eller katalogerna /bin och /usr/bin, /lib och /usr/lib separeras).

Källa: opennet.ru