Lansering av systemhanteraren systemd 255

Efter fyra månaders utveckling har systemförvaltaren systemd 255 släppts. Bland de viktigaste förbättringarna: stöd för export av lagringsenheter via NVMe-TCP, komponenten systemd-bsod för fullskärmseffekter av felmeddelanden, verktyget systemd-vmspawn för att starta virtuella maskiner, verktyget varlinkctl för att hantera Varlink-tjänster, verktyget systemd-pcrlock för analys av TPM2 PCR-register och generering av åtkomsträttigheter, samt autentiseringsmodulen pam_systemd_loadkey.so.

Key changes in the new release:

• Komponenten «systemd-storagetm» har lagts till, vilket gör det möjligt att automatiskt exportera alla lokala blockenheter med hjälp av NVMe-TCP-drivrutinen (NVMe över TCP), som möjliggör åtkomst till NVMe-lagringsenheter över nätverket (NVM Express över Fabrics) med hjälp av TCP-protokollet. Den nya enheten «storage-target-mode.target» ansvarar för att ge åtkomst i NVMe över TCP-läge och kan aktiveras under uppstart, genom att ange «rd.systemd.unit=storage-target-mode.target» i kärnans kommandorad, till exempel för fjärråtkomst till lagringsenheten för diagnostiska syften.
• Komponenten «systemd-bsod» har lagts till, vilket implementerar en version av «den blå skärmen av döden», som gör det möjligt att visa meddelanden om kritiska fel (LOG_EMERG) i form av ett fullskärmnotis under uppstart.
• Verktyget «systemd-vmspawn» har lagts till, vilket fungerar som ett alternativ till systemd-nspawn för att starta en operativsystemavbildning i en virtuell maskin (verktyget systemd-nspawn är avsett för att köra containrar, medan systemd-vmspawn ger ett liknande gränssnitt för virtuella maskiner). För närvarande är endast QEMU-baserade backend tillgängliga för att starta virtuella maskiner.
• Verktyget «varlinkctl» har lagts till för att anropa och inspektera tjänster som använder Varlink-protokollet.
• En ny verktyg "systemd-pcrlock" har lagts till för att analysera och förutsäga tillstånd av TPM2 PCR (Platform Configuration Register) register och för att skapa regler för åtkomst till TPM2 NV som sparas i indexet, vilket tillåter åtkomst till TPM2-objekt, såsom krypteringsnycklar för disk, endast från verifierade digitala signaturkomponenter som körs under verifierad uppstart. Som indata för analys kan resultatet av PCR-statusfrågan i TPM2 användas, vilket ges av UEFI-firmware i loggen över nuvarande uppstart (\/sys\/kernel\/security\/tpm0\/binary_bios_measurements) eller en lokalt sparad logg från TPM2 (\/run\/log\/systemd\/tpm2-measure.log). Stöd för sparade åtkomstregler har lagts till i systemd-cryptsetup, systemd-cryptenroll och systemd-repart.
• PAM-modulen pam_systemd_loadkey.so har lagts till, avsedd för automatisk utvinning av lösenfrasen från kärnans nyckelring för att användas i cryptsetup för att låsa upp den krypterade rotfilsystemet, och ställa in denna lösenfras som autentiseringstoken (PAM authtok). Modulen kan till exempel användas för att konfigurera automatisk upplåsning av åtkomst till GNOME Keyring och KDE Wallet vid automatisk inloggning.
• Stöd för att gå in i viloläge (hibernation) med sparande av minnesinnehållet i växlingsfiler som lagras i Btrfs-filsystemet har lagts till.
• Enheter har fått egenskaperna MemoryPeak, MemorySwapPeak, MemorySwapCurrent och MemoryZSwapCurrent, som motsvarar de tillgängliga egenskaperna memory.peak, memory.swap.peak, memory.swap.current och memory.zswap.current via cgroup v2. Information om dessa egenskaper ingår i utskriften "systemctl status".
• Metoden för att starta tjänster har omarbetats och har övergått till användning av anropet posix_spawn med alternativen CLONE_VM och CLONE_VFORK för att starta processen samt tillämpning av en separat körbar fil systemd-executor för att konfigurera den körda processen. Tidigare skapades processer genom funktionen fork, vilket innebar att minnet från övervakningsprocessen kopierades i copy-on-write-läget och genomförde nödvändiga konfigurationer (montering av namnrymder och inställning av CGroup) innan målkörbarheten kördes genom anropet exec, vilket ledde till problem på grund av oförmåga att komma åt vissa API:er i Glibc mellan utförandet av funktionerna fork och exec.
• Koden för att spåra interna processer har omvandlats till att använda PIDFD istället för PID i miljöer med en kärna som stöder PIDFD (PIDFD är kopplad till en specifik process och ändras inte, medan PID kan kopplas till en annan process efter att den aktuella processen kopplad till detta PID har avslutats). Möjligheten att skapa scope-enheter med PIDFD istället för PID för att välja processer har implementerats.
• Stödet för separata kataloghierarkier (när /usr monteras separat från rot eller katalogerna /bin och /usr/bin, /lib och /usr/lib är separerade) har upphört. Framtida beslut har även fattats om att upphöra med stödet för cgroups v1, System V tjänsterskript och EFI-variabler för SystemdOptions.
• Kommandot "systemctl switch-root" är begränsat till att tillämpas endast i initrd. För att byta rotfilsystem i en vanlig miljö bör "systemctl soft-reboot" användas.
• Inställningarna SuspendMode, HybridSleepMode, HibernateStat och HybridSleepState har förklarats som föråldrade i sektionen "[Sleep]" i systemd-sleep.conf-filen. Dessa parametrar ignoreras nu och kan endast anta standardvärden.
• En inställning SurviveFinalKillSignal har lagts till enheterna, vilket gör det möjligt att ignorera det slutliga signalen SIGTERM/SIGKILL som ges vid avstängning, vilket kan vara användbart för att lämna enheten igång under mjuk omstart av systemet i soft-reboot-läget.
• En inställning NFTSet har lagts till som gör det möjligt att använda cgroup-id för att växla logik i brandväggsregler.
• Alternativen ConditionSecurity=measured-uki har lagts till, vilket säkerställer att enheten endast kan startas i ett system som har laddats från en verifierad kärnbild i UKI-format.
• Nya snabbknappar "B" och "O" har lagts till i systemd-boot för att starta om och stänga av systemet från bootmenyn. En inställning "menu-disabled" har lagts till för att stänga av visningen av bootmenyn.
• Nya alternativ "—copy-from" för att hämta beskrivningar av partitionen från angiven FS-bild, "—copy-source" för att ange basmappen för parameter CopyFiles, "—make-ddi=confext", "—make-ddi=sysext" och "—make-ddi=portable" för att generera olika typer av DDI, samt "—tpm2-device-key" för att binda disken till en specifik öppen nyckel TPM2, har lagts till i utilityn systemd-repart.
• I utilityn journalctl har värdet "+N" lagts till parametern "—lines" för att visa de N äldsta posterna.
• I udevadm har flaggan "—json" lagts till för att ge utdata i JSON-format.
• I verktygen systemd-analyze, systemd-tmpfiles, systemd-sysusers, systemd-sysctl och systemd-binfmt har en alternativ "—tldr" lagts till för att visa endast de faktiska konfigurationsparametrarna utan mellanslag och kommentarer.
• Undersektionen seccomp har fått stöd för arkitekturen LoongArch64. Användningen av seccomp för filtrering av systemanrop har tillåtits i tjänster som inte körs under användaren root utan att aktivera inställningen NoNewPrivileges=yes.
• I verktyget systemd-mount har en alternativ "—tmpfs" lagts till för att montera en ny instans av 'tmpfs'.

Källa: opennet.ru