Utgivningen av systemadministratören systemd 257

Efter ett halvt års utveckling har systemhanteraren systemd 257 släppts. Nyckeländringar: nya verktyg systemd-sbsign och systemd-keyutil, stöd för MPTCP vid aktivering via socket, inledande stöd för byggande med C-biblioteket Musl, verktyget updatectl för hantering av installationen av uppdateringar via systemd-sysupdate, möjlighet att köra tjänster i separata PID-namnrymder, skydd mot oavsiktlig borttagning av filer vid användning av "systemd-tmpfiles --purge".

Bland förändringarna i den nya versionen:

• Ett nytt verktyg, systemd-sbsign, har lagts till för att signera exekverbara filer i formatet PE (Portable Executable) med digital signatur, avsett för användning vid uppstart i läge för EFI Secure Boot. För att bilda signaturen kan motorer och leverantörer som tillhandahålls av OpenSSL-biblioteket användas. Systemd-sbsign kan användas som ett alternativ till programmen sbsigntool och pesign i verktyget ukify vid skapandet av universella kärnbilder UKI (Unified Kernel Image), som kombinerar en bootloader för UEFI (UEFI boot stub), Linux-kärnbilden och det initrd-systemomgivande minnet.
• Ett nytt verktyg, systemd-keyutil, har lagts till och implementerar olika operationer för privata nycklar och X.509-certifikat. Till exempel kan systemd-keyutil användas för att kontrollera möjligheten att ladda privata nycklar och certifikat, samt extrahera deras offentliga nycklar i PEM-format.
• I enheterna " .socket ", som används för att säkerställa att aktiveringsmekanismen via socket fungerar (starta processer vid försök att etablera en nätverksanslutning), har stöd för MPTCP (Multipath TCP) implementerats, ett tillägg till TCP-protokollet för att möjliggöra en TCP-anslutning med paketleverans samtidigt över flera vägar via olika nätverksgränssnitt kopplade till olika. IP-adresser.
• Ändringar som behövs för byggande med standard C-biblioteket Musl har lagts till.
• I olika komponenter av systemd, som visar progressindikatorer för operationer (t.ex. systemd-repart, systemd-sysupdate/updatectl och importctl), har möjligheten att använda ANSI-sekvenser för att animera progressvisningen lagts till. Sådana sekvenser stöds för närvarande endast i Windows Terminal (det förväntas att denna funktion så småningom kommer att överföras till terminalemulerare för Linux).
• Möjligheterna för systemd-sysupdate-komponenten, som används för automatisk identifiering, nedladdning och installation av uppdateringar med hjälp av en atomär mekanism för byte av partitioner, filer eller kataloger, har utvidgats. (Två oberoende partitioner/filer/kataloger används, där den aktuella resursen finns på en och den kommande uppdateringen installeras på den andra, varefter partitionerna/filerna/katalogerna byts ut). I praktiken används systemd-sysupdate redan i GNOME OS.

  Utöver systemd-sysupdate-processen har en namngiven tjänst lagts till för att möjliggöra användning av D-Bus för att hantera systemuppdateringar av icke-privilegierade användare. En ny utility, updatectl, har också inkluderats för att hantera tjänsten. En flagga "--offline" har lagts till i systemd-sysupdate för att förbjuda nedladdning av metadata från nätet och använda endast versioner som redan har laddats ner till det lokala systemet. Stöd för utdata i JSON-format har lagts till för alla kommandon.
• Nya egenskapen "PrivatePIDs" har implementerats för tjänster, vilket gör det möjligt att köra processer med PID 1 (init-processen) i ett separat process-ID-namnrum (PID namespace). I den miljö som skapas för den körda processen kommer endast processerna från det skapade namnet att vara synliga.
• Reglerna för udev har lagts till stöd för matchningar utan hänsyn till teckens stora och små bokstäver (t.ex. 'ATTR{foo}=="abcd"'). Genom udev ges icke-privilegierade lokala användare tillgång ("uaccess") till enheten /dev/udmabuf, som behövs för att arbeta med IPMI-kameror via libcamera. I udev säkerställs igenkänning av olika hårdvarukryptovaluta-plånböcker med USB-gränssnitt och egenskapen ID_HARDWARE_WALLET tillämpas på dem för att möjliggöra "uaccess"-åtkomst för icke-privilegierade användare.
• Nya fält RELEASE_TYPE, EXPERIMENT och EXPERIMENT_URL har lagts till filen /etc/os-release. "RELEASE_TYPE" kan anta värdena "experimental", "development", "stable" och "lts" för att särskilja stabila versioner från de som är under utveckling och experimentella byggen. Parametrarna EXPERIMENT och EXPERIMENT_URL är avsedda att förklara syftet med den experimentella byggen.
• I verktyget run0, som utvecklas som en ersättning för sudo-programmet, har alternativet "—shell-prompt-prefix" lagts till, vilket definierar en prefixrad för kommandoprompten. Som standard visas emoji "🦸" som prefix för att visuellt markera sessionen med förhöjda rättigheter.
• I systemd-tmpfiles tillämpas alternativet "—purge" nu endast på inställningar i tmpfiles.d/ där flaggan "$" uttryckligen har angivits, för att förhindra oavsiktlig borttagning av fel filer. Dessutom krävs nu minst en fil från katalogen tmpfiles.d/ för att utföra "—purge"-operationen. För rader av typ 'L' har en flagga '?' lagts till; när den anges skapas en symbolisk länk endast om målfilen finns.
• I tjänstehanteraren och relaterade verktyg fortsätter övergången av processövervakningskoden att använda PIDFD istället för PID. PIDFD-identifieraren är kopplad till en specifik process och ändras inte, medan PID kan kopplas till en annan process efter att den nuvarande processen som är associerad med PID har avslutats.
• För tjänster har möjligheten att ange värdet "debug" i parametern "RestartMode" implementerats, där omstart av en misslyckad tjänst utförs med debug-läget aktiverat (miljövariabeln DEBUG_INVOCATION=1 sätts) och värdet LogLevelMax tillfälligt höjs till debug-nivå.
• I PID 1-hanteraren har möjligheten att ladda regler för LSM-modulen IPE (Integrity Policy Enforcement) implementerats, vilket definierar en policy för att säkerställa integriteten för hela systemet (vilka operationer som är tillåtna och hur äktheten av komponenter ska verifieras).
• I enhetsfilerna "*.timer" har alternativet "DeferReactivation" lagts till, vilket gör att nästa aktivering via timer kan hoppas över om tjänsten ännu inte har avslutat sin körning sedan föregående aktivering.
• I parametern i enhetsfilerna PrivateUsers har värdet "identity" implementerats för att aktivera mappning av användaridentiteter när ett användarnamnsskapande (user namespace) skapas.
• I parametern i enhetsfilerna PrivateTmp har stöd för värdet "disconnected" lagts till, där separata instanser av tmpfs används för katalogerna /tmp/ och /var/tmp/.
• I parameteret för enhet-filer till ProtectControlGroups har stöd för nya lägen "private" och "strict" lagts till, där ett nytt namnrum för cgroup (cgroup namespace) skapas och cgroupfs monteras. När alternativet "strict" ställs in, monteras cgroupfs i skrivskyddat läge.
• I parametrarna StateDirectory, RuntimeDirectory, CacheDirectory, LogsDirectory och ConfigurationDirectory har möjligheten att använda flaggan ‘:ro’ lagts till för att begränsa åtkomst till motsvarande kataloger i skrivskyddat läge.
• Till kommandoradsparametern för kärnan „systemd.machine_id“ har stöd för värdet „firmware“ lagts till, vilket gör att systemidentifieraren (machine ID) beräknas baserat på UUID från SMBIOS/DeviceTree.
• Stöd för systemanropen mseal(), listmount() och statmount(), som kommit i senaste versionerna av Linux-kärnan, har lagts till.
• I verktygen resolvectl, timedatectl och systemd-inhibit har stöd för interaktiv godkännande genom Polkit lagts till.
• I verktyget systemctl har möjligheten att använda flaggan "—now" i kommandot "reenable" lagts till.
• I verktyget systemd-mount har alternativet "—json" lagts till för att ge utdata i JSON-format (till exempel vid angivande tillsammans med "—list-devices" kommer en lista över enheter att visas i JSON-format).
• I verktyget "localectl" har alternativen „-l“ och „—full“ lagts till för att inaktivera avskärning av långa rader vid utdata.
• I sleep.conf har alternativet HibernateOnACPower lagts till, vilket möjliggör att fördröja övergången till viloläge tills enheten kopplas bort från den stationära strömkällan.
• I systemd-sysusers har modifieraren „!“ lagts till i raderna „u“, vilket gör det möjligt att skapa helt låsta användarkonton (tidigare användes en felaktig lösenord för att låsa en användare, vilket till exempel inte ledde till låsning vid autentisering med nycklar i SSH).
• I systemd-coredump har alternativet „EnterNamespace“ lagts till, vilket ger åtkomst till monteringsutrymmet för alla kraschade processer för att få deras felsökningssymboler. I praktiken kan alternativet vara användbart för att organisera bakspårning (backtrace) av core-filer från applikationer som körs i isolerade containrar.
• I systemd-logind har stöd för kombinationen Ctrl-Alt-Shift-Esc aktiverats för att skicka signalen org.freedesktop.login1.SecureAttentionKey till komponenterna i användarmiljön med begäran om att visa dialogrutan för säker inloggning. Inställningen "DesignatedMaintenanceTime" har införts för att automatiskt schemalägga avstängning vid angiven tid. På liknande sätt som med DRM-enheter och evdev har stöd för inställningar för obehöriga användares åtkomst till hidraw-enheter (spelkontroller och joysticks) lagts till.
• I systemd-machined har stöd för registrering av obehöriga klienter virtuella maskiner och containrar lagts till. Funktionaliteten i systemd-machined har gjorts tillgänglig genom API:et Varlink, förutom D-Bus.
• En ny sektion "[IPv6AddressLabel]" har lagts till i konfigurationsfilen networkd.conf för att konfigurera etiketter och prefix för IPv6-adresser.
• Alternativet "--stdin" har lagts till i kommandot 'networkctl edit' för att hämta filinnehållet från standardströmmen. Kommandona 'networkctl edit' och 'networkctl cat' har fått stöd för att redigera och visa .netdev-filer genom att ange nätverksgränssnittet. Alternativet "--no-ask-password" har lagts till för att inaktivera interaktiv autentisering.
• Verktygen ukify, bootctl, systemd-keyutil, systemd-measure, systemd-repart och systemd-sbsign har fått alternativet "--certificate-source" för att ladda ett X.509-certifikat via OpenSSL-leverantören istället för direkt från fil.
• I systemd-boot har möjligheten att använda volymknappar för att navigera upp och ner i startmenyn lagts till, vilket kan vara användbart på enheter som smartphones. Verktyget bootctl har fått stöd för att installera UEFI Secure Boot-databaser i ESL-format (db/dbx/…) för systemd-boot.
• I journalctl har alternativet "--list-invocation" lagts till för att visa en lista med enhetsanrop och alternativet "--invocation" ("-I") för att visa loggar kopplade till ett specifikt anrop.
• I systemd-nspawn har stöd för obehörig användning av FUSE (Filesystem in Userspace) i containrar lagts till. Vid användning av alternativet "--bind-user" görs användarens SSH-nycklar tillgängliga i containern, vilket är nödvändigt för SSH-åtkomst.
• I libsystemd har ett nytt gränssnitt "sd-json" lagts till som använder JSON-formatet, samt gränssnittet "sd-varlink" som använder IPC Varlink.
• Den rekommenderade grundversionen av kärnan har uppdaterats till version 5.4 som släpptes 2019. Under det kommande året planeras det att avsluta stödet för äldre kärnor och att version 5.4 kommer att markeras som den minimi stödda grundversionen.
• Stödet för cgroups v1 har bedömts som föråldrat och är som standard avstängt (för att aktivera det i kommandoraden för kärnan måste SYSTEMD_CGROUP_ENABLE_LEGACY_FORCE=1 anges utöver aktiveringen i systemd-inställningarna). I nästa version av systemd 258 planeras det att helt ta bort koden relaterad till cgroups v1. I version 258 av systemd planeras det även att ta bort stödet för System V service-skript.

Källa: opennet.ru