Utgåvan av systemhanteraren systemd 261 och forkad version liberated-systemd 261

Efter tre månaders utveckling är version 261 av systemhanteraren systemd nu tillgänglig. Nyckelförändringar: förberedelse för stöd för API för åldersverifiering, stöd för Kexec Handover- och Live Update Orchestration-underområden för omstart utan förlust av tillstånd, IMDS (Instance Metadata Service) underområde, funktionalitet för att skydda uppstart på system utan fysisk TPM (Trusted Platform Module), samt componenten systemd-sysinstall med implementation av installationsprogrammet.

Bland förändringarna i den nya versionen:

• En ny komponent, systemd-sysinstall, har lagts till med ett enkelt installationsprogram för operativsystemet, som kan hanteras från kommandoraden eller genom ett interaktivt textgränssnitt. Funktionaliteten hos systemd-sysinstall bygger på redan existerande möjligheter i systemd: för att konfigurera diskpartitioner används systemd-repart, för att installera kärnan och generera en boot-meny används kommandot “bootctl link”, för att installera bootloadern systemd-boot används kommandot “bootctl install”, och för initial konfiguration av det installerade systemet (t.ex. val av språk och tangentbordslayout) används systemd-creds.
• Som en del av förberedelserna för att implementera kraven i lagarna om integration av API:er för åldersverifiering har ett fält för födelsedatum med användarens födelsedatum lagts till i databasen userdb. Det tillagda fältet kan användas i den utvecklade portalen xdg-desktop-portal för distributioner och i tjänsten AccountsService för att ge program information om användarens ålderskategori via D-Bus-gränssnittet “org.freedesktop.AgeVerification1” eller “org.freedesktop.ParentalControls”. För att ställa in åldern har ett alternativ “—birth-date” lagts till i verktyget homectl.
• Stödet för Linux-kärnans underområden LUO (Live Update Orchestration) och KHO (Kexec Handover) har lagts till i PID1-hanteraren, vilket möjliggör fullständig omstart och uppdatering av kärnan utan driftsstopp och utan att förlora systemets, enheternas och processernas tillstånd. KHO erbjuder möjligheter att köra en ny kärna från den gamla utan att förlora systemets tillstånd, medan LUO implementerar lagring av enheternas och arbetsminnets tillstånd och säkerställer kontinuitet i operationer relaterade till DMA och avbrottshantering.

  I systemd för system- och användarunitar har möjligheten att spara filbeskrivare inför anrop av kexec och återställa dem efter omstart av kärnan via kexec implementerats. I unitarna kan man också skapa egna LUO-sessioner som sparas och återställs vid utförande av kexec. För att aktivera sparande av tillståndet för filbeskrivare bör inställningen 'FileDescriptorStorePreserve=yes' användas.
• Systemd-imdsd underavdelningen har implementerats, vilket ger ett API baserat på Varlink IPC för att ge lokala program åtkomst till IMDS (Instance Metadata Service) tjänster, som tillhandahålls av olika leverantörer av molnsystem. IMDS möjliggör virtuella maskiner åtkomst till information om molnmiljön, till exempel kan man få information om nätverkskonfiguration, geografisk plats för noden, typ av CPU och lagringsstorlek. I systemd-imdsd tillhandahålls såväl en låg-nivå API för åtkomst till specifika fält som ett hög-nivå gränssnitt för att fråga efter typiska nycklar, motsvarande nycklar som är specifika för olika molnplattformar. För att interagera med systemd-imdsd har ett verktyg, systemd-imds, lagts till, vilket tillåter import av fält från IMDS till det lokala användarsystemet.

  För att känna igen molnplattformar baserat på information från SMBIOS och bestämma den funktionalitet för IMDS som är tillgänglig på den aktuella noden har en ny databas hwdb.d/40-imds.hwdb lagts till. Här sker igenkänning av molnplattformar som Amazon EC2, Microsoft Azure, Google Compute Engine, Hetzner, Oracle Cloud, Scaleway, Tencent Cloud, Alibaba ECS och Vultr. En systemd-imds-generator har gjorts tillgänglig för automatisk insättning av tjänsten för att hämta data via IMDS vid identifiering av drift på en stödd molnplattform. Det är möjligt att skapa universella avbilder som stödjer användning av IMDS vid start i molnmiljöer, men även kan fungera utan IMDS.

• I systemd-stub har funktionaliteten 'boot secret' implementerats, vilket möjliggör skapande av en nyckel baserad på en EFI-variabel som lagras i ett område som är otillgängligt för operativsystemet och som initialiseras med ett slumpmässigt värde. I initrd överförs nyckeln via filen /.extra/boot-secret. Denna möjlighet kan vara nödvändig för att erhålla en system-specifik slumpmässig nyckel för verifiering av uppstartsprocessen eller kryptering på system utan hårdvaru-TPM (Trusted Platform Module).
• En ny tjänst systemd-tpm2-swtpm.service har lagts till för att köra emuleraren för TPM-kretsar swtpm (Software TPM Emulator), som kan användas för att automatiskt återgå till en mjukvarubereglering av TPM för säker uppstart på system utan hårdvarutpm. Den mjukvarubaserade TPM fungerar i användarutrymmet och når inte upp till säkerhetsnivån hos hårdvarutpm, men i vissa situationer är dess användning berättigad jämfört med att arbeta utan TPM. Till exempel kan den mjukvarubaserade TPM få krypteringsnyckeln för partitioner genom en ny funktionalitet "boot secret" och använda partitionen ESP (EFI System Partition) på disken för att lagra sitt tillstånd. För automatisk aktivering av mjukvarutpm har en parameter föreslagits för kommandoraden i kärnan systemd.tpm2_software_fallback.
• Komponenten systemd-sysupdate har utannonserats som stabil och placerats i /usr/bin, designad för att automatiskt identifiera, ladda ner och installera uppdateringar med hjälp av en atomär mekanism för byte av partitioner, filer eller kataloger (två oberoende partitioner/filer/kataloger används där en innehåller den aktuella fungerande resursen och den andra installeras med den nästa uppdateringen, varefter partitionerna/filerna/katalogerna byts om).
• I systemd-resolved har möjligheten att åsidosätta eller ange nya DNS-poster implementerats genom att placera filer i JSON-format i katalogerna systemd/resolve/static.d/. Till skillnad från /etc/hosts kan nya filer inte bara binda IP-adresser till värdnamn, utan också definiera resurs-DNS RR-poster som skiljer sig från "A" och "AAAA". Dessutom har inställningarna för storleken på DNS-cachen lagts till i systemd-resolved: ‘DNSCacheSize’, ‘MulticastDNSCacheSize’ och ‘LLMNRCacheSize’.
• Verktyget ‘storagectl’ har lagts till för att inspektera lagringsenheter och hantera anslutningen av blockenheter och filsystem.
• Som ett led i initiativet att minska beroenden har libsystemd implementerat dynamisk laddning av biblioteken libgnutls, libmicrohttpd, libcurl, libcrypto, libssl, libfdisk och libcryptsetup
  genom att anropa dlopen() i situationer när deras funktioner verkligen behövs.
• I systemd-tmpfiles har en flagga "--inline" lagts till, vilket gör det möjligt att ställa in direktiv via kommandoraden utan att skapa konfigurationsfiler i tmpfiles.d/ och utan att skicka inställningar genom STDIN. En ny typ av direktiv 'k/K' har lagts till för att ställa in behörigheter. En konfigurationsfil tmpfiles.d/root.conf har lagts till, som sätter åtkomstbehörigheter 0555 (-r-xr-xr-x) till rotkatalogen (/) för att skydda mot felaktig behörighet vid dynamisk skapelse av rotfilsystemet.
• I verktyget bootctl har säkerhetskopiering av systemd-boot-laddaren implementerats, tillsammans med ange en gammal version i UEFI som en reservstartalternativ.
• I systemd-vmspawn har stöd för direkt uppstart av kärnan utan användning av UEFI-firmware lagts till. En alternativ "--firmware-features" har implementerats för att selektivt aktivera eller inaktivera specifika firmware-funktioner. En läge "--console=headless" har lagts till för att starta en virtuell maskin utan konsol och skärm. En alternativ "--image-disk-type" har lagts till för att välja den typ av blocklagring som används i VM (virtio-blk, virtio-scsi, nvme, scsi-cd). En alternativ "--coco" (Confidential Computing) har lagts till för att aktivera minneskrypteringsläget. virtuella maskiner med hjälp av AMD SEV-SNP-teknik.
• I systemd-hostnamed och /etc/machine-info har stöd för att fästa valfria taggar till det aktuella systemet lagts till, med hjälp av parametrar "Tags". De angivna taggarna kan sedan användas för att selektivt tillämpa inställningar med kontroll via uttrycket ConditionMachineTag.
• Inställningar för EventLoopRateLimitIntervalSec och EventLoopRateLimitBurst har lagts till för att begränsa intensiteten i händelsebearbetningscykeln i PID1 för att frigöra CPU-resurser vid slinga.
• I tjänstehanteraren har inställningen MinimumUptimeSec implementerats för att ange minimal driftstid för systemet (standard 15 sekunder). Om en shutdown eller omstart initieras före utgången av denna tid läggs en motsvarande fördröjning till i det avslutande skedet.
• För enheter har nya inställningar för CPUSetPartition implementerats för att ställa in typ av cpuset-partition i cgroup ("root", "isolated", "member"), RestrictFileSystemAccess för att endast tillåta körning av exekverbara filer verifierade med digital signatur genom dm-verity, och CPUPressureWatch/CPUPressureThresholdSec/IOPressureWatch/IOPressureThresholdSec för att få meddelanden om hög belastning på CPU och in-/utdata.
• Listan över metrik som tillhandahålls av verktyget systemd-report har utökats. Till exempel har information om mängden fysisk minne och aktiva CPU-kärnor, data om innehållet i SMBIOS-fält och /etc/machine-info, information om stöd för Confidential Computing-läget samt uppgifter om tillverkaren av TPM2-chip lagts till.
• I systemd-oomd har möjligheten att definiera regler för att filtrera processer vid minnesbrist implementerats. Reglerna kan anges i katalogen /etc/systemd/oomd/rules.d/ eller i tjänst-unitar via direktiv OOMRule.
• I systemd-socket-proxy har stöd för protokollet "PROXY", som motsvarar första versionen av protokollet "haproxy", lagts till.
• I systemd-networkd har en ny backend sd-dhcp-relay för DHCP-reläer implementerats. Inställningar i sektionen "[DHCPServer]" — BindToInterface, RelayTarget, RelayAgentCircuitId och RelayAgentRemoteId har förklarats föråldrade, och istället bör parameter DHCPRelay i sektionen "[Network]" och en serie nya inställningar i sektionen [DHCPRelay] samt i filen networkd.conf användas. Kommandot ‘networkctl dhcp-lease INTERFACE’ har lagts till för att spara en dump med information om IP-adressbindningar (DHCP-leases).
• Verktyget systemd-nspawn har fått alternativet "—restrict-address-families", och i .nspawn-filer har inställningen RestrictAddressFamilies lagts till för att begränsa de adressfamiljer som används i containern. I framtida versioner kommer endast familjerna AF_INET, AF_INET6 och AF_UNIX att vara tillåtna som standard.
• Stödet för det gamla udev-databasformatet (version 0.x) har upphört. Omedelbar uppgradering från versioner av systemd till version 247 stöds inte längre.
• Vid byggande med C-biblioteket musl krävs nu minst musl version 1.2.6.

Det kan också nämnas att utgåvan av projektet liberated-systemd 261, som utvecklar en fork av systemd utan kod som kan användas för att spåra användare, har släppts. I den föreslagna versionen reduceras förändringarna till att radera koden som lägger till ett födelsedatum i userdb-fältet och tillägget "—birth-date" i homectl-verktyget för att ställa in ålder.

Källa: opennet.ru