systemd 252 stiže sa UKI podrškom, poboljšanjima i još mnogo toga

systemd je skup demona sistemske administracije, biblioteka i alata dizajniranih kao centralna konfiguracija i administrativna platforma za povezivanje sa kernelom sistema. 

Nakon pet mjeseci razvoja najavljeno je izdavanje nove verzije systemd 252, verzija u kojoj ključna promjena u novoj verziji bila je integracija podrška za modernizovani proces pokretanja, koji omogućava verifikaciju ne samo kernela i pokretačkog programa, već i komponenti osnovnog sistemskog okruženja pomoću digitalnih potpisa.

Predložena metoda uključuje korištenje UKI unificirane slike kernela (Unified kernel image) pri učitavanju, koji kombinuje drajver za učitavanje kernela iz UEFI-ja (UEFI boot stub), sliku jezgre Linuxa i initrd sistemsko okruženje učitano u memoriju, koji se koristi za početnu inicijalizaciju u prethodnoj fazi do montiranja FS root.

Vezani članak:

Oni predlažu modernizaciju procesa pokretanja Linuxa

Konkretno, prednosti systemd-cryptsetup, systemd-cryptenroll i systemd-crds su prilagođeni da koristite ove informacije, tako da možete osigurati da su šifrirane particije diska vezane za digitalno potpisano jezgro (u ovom slučaju, pristup šifriranoj particiji je omogućen samo ako je UKI slika prošla verifikaciju zasnovanu na digitalnom potpisu) u postavljenim parametrima. u TPM).

Osim toga, uključen je uslužni program systemd-pcrphase, koji vam omogućava da kontrolirate vezivanje različitih faza pokretanja za parametre postavljene u memoriju od strane kriptoprocesora koji podržava TPM 2.0 specifikaciju (na primjer, možete učiniti da ključ za dešifriranje particije LUKS2 bude dostupan samo u initrd slici i blokirajte pristup njoj pri narednim preuzimanjima).

Glavne nove karakteristike systemd 252

Ostale promjene koje se ističu u systemd 252 je da se se pobrinuo da je zadana lokacija C.UTF-8 ako u konfiguraciji nije navedena druga lokacija.

Osim toga u systemd 252 također implementirana mogućnost izvođenja potpune unaprijed postavljene operacije ("systemctl preset") tokom prvog pokretanja. Omogućavanje unaprijed postavljenih postavki u vrijeme pokretanja zahtijeva izgradnju s opcijom "-Dfirst-boot-full-preset", ali je planirano da bude omogućeno po defaultu u budućim izdanjima.

U jedinicama za upravljanje korisnicima koristite kontroler resursa CPU, što je omogućilo da se osigura da se postavka CPUWeight primjenjuje na sve jedinice isječaka koje se koriste za particioniranje sistema na rezove (app.slice, background.slice, session.slice) kako bi se izolirali resursi između različitih korisničkih servisa, koji se takmiče za CPU resurse. CPUWeight također podržava vrijednost "idle" za pokretanje odgovarajućeg načina zakupa.

S druge strane, u procesu inicijalizacije (PID 1), dodala je mogućnost uvoza akreditiva iz SMBIOS polja (Tip 11, "OEM provajderski lanci"), kao i njihovo definisanje putem qemu_fwcfg, što pojednostavljuje dodelu akreditiva virtuelnim mašinama i eliminiše potrebu za alatima treće strane kao što su cloud-init i ignition.

Tokom gašenja, logika za demontažu virtuelnih sistema datoteka (proc, sys) je promenjena, a informacije o procesima koji blokiraju demontažu sistema datoteka se čuvaju u dnevniku.

Sd bootloader je dodao mogućnost pokretanja u mješovitom načinu rada, pokreće 64-bitni Linux kernel iz 32-bitnog UEFI firmvera. Dodata eksperimentalna mogućnost automatske primjene ključeva SecureBoot iz datoteka koje se nalaze na ESP (EFI sistemska particija).

Dodane nove opcije za bootctl uslužni program “–sve arhitekture” da instalirate binarne datoteke za sve podržane EFI arhitekture, «–root=” i “–image=» za rad sa direktorijumom ili slikom diska, «--install-source=» da definirate font za instaliranje, «--efi-boot-option-description=» za kontrolu imena unosa za pokretanje.

Od ostalih promjena koji se izdvajaju od systemd 252:

• systemd-nspawn dozvoljava korištenje relativnih putanja datoteka u opcijama “–bind=” i “–overlay=”. Dodata podrška za opciju 'rootidmap' opciji "–bind=" za povezivanje korijenskog korisničkog ID-a na kontejneru za vlasnika montiranog direktorija na strani hosta.
• systemd-resolved podrazumevano koristi OpenSSL paket kao pozadinu šifrovanja (podrška za gnutls je zadržana kao opcija). Nepodržani DNSSEC algoritmi se sada tretiraju kao nesigurni umjesto da vraćaju grešku (SERVFAIL).
• systemd-sysusers, systemd-tmpfiles i systemd-sysctl implementiraju mogućnost prolaska konfiguracije kroz mehanizam za skladištenje akreditiva.
• Dodata naredba 'uporedi verzije' za systemd-analyze za poređenje stringova sa brojevima verzija (slično 'rpmdev-vercmp' i 'dpkg –uporedi-verzije').
• Dodata mogućnost filtriranja diskova po maski naredbi 'systemd-analyze dump'.
• Prilikom odabira višestepenog režima mirovanja (spavanje pa hibernacija, hibernacija nakon hibernacije), vrijeme provedeno u stanju pripravnosti se sada bira na osnovu prognoze preostalog vijeka trajanja baterije.
• Trenutni prijelaz u stanje mirovanja se vrši kada je baterija napunjena manje od 5%.

Vrijedi napomenuti i to 2024. godine, systemd planira prestati podržavati cgroup v1 mehanizam za ograničavanje resursa, zastarjelo u verziji 248 systemd-a. Administratorima se savjetuje da unaprijed vode računa o premeštanju usluga povezanih sa cgroup v1 u cgroup v2.

Ključna razlika između cgroups v2 i v1 je upotreba zajedničke hijerarhije cgroups za sve tipove resursa, umjesto zasebnih hijerarhija za dodjelu CPU resursa, upravljanje memorijom i I/O. Odvojene hijerarhije dovode do poteškoća u organizaciji interakcije između drajvera i dodatnih troškova kernel resursa kada se primjenjuju pravila za imenovani proces u različitim hijerarhijama.

U drugoj polovini 2023. planira se prestanak podrške podijeljenih hijerarhija direktorija, kada se /usr montira odvojeno od root-a, ili se razdvoje direktoriji /bin i /usr/bin, /lib i /usr/lib.