systemd 252 kommer med UKI-support, forbedringer og mere

systemd er et sæt systemadministrationsdæmoner, biblioteker og værktøjer designet som en central konfigurations- og administrationsplatform til grænseflader med systemkernen. 

Efter fem måneders udvikling udgivelsen af ​​den nye version af systemd 252 blev annonceret, version, hvor den vigtigste ændring i den nye version var integrationen af støtte for en moderniseret opstartsproces, som gør det muligt at verificere ikke kun kernen og bootloaderen, men også komponenterne i det underliggende systemmiljø ved hjælp af digitale signaturer.

Den foreslåede metode involverer brugen af ​​et UKI unified kernel image (Unified kernel image) ved indlæsning, som kombinerer en driver til indlæsning af kernen fra UEFI (UEFI boot stub), et Linux-kernebillede og initrd systemmiljøet indlæst i hukommelsen, brugt til initial initialisering i det foregående trin til FS root mount .

relateret artikel:

De foreslår at modernisere Linux-opstartsprocessen

Især fordelene systemd-cryptsetup, systemd-cryptenroll og systemd-creds er blevet tilpasset at bruge disse oplysninger, så du kan sikre, at de krypterede diskpartitioner er bundet til en digitalt signeret kerne (i dette tilfælde gives der kun adgang til den krypterede partition, hvis UKI-billedet har bestået digital signaturbaseret verifikation). i TPM).

Derudover er systemd-pcrphase-værktøjet inkluderet, som giver dig mulighed for at kontrollere bindingen af ​​forskellige opstartstrin til parametre placeret i hukommelsen af ​​kryptoprocessorer, der understøtter TPM 2.0-specifikationen (du kan f.eks. få partitionsdekrypteringsnøglen LUKS2 til kun tilgængelig i initrd-billedet og bloker adgangen til det ved efterfølgende downloads).

Vigtigste nye funktioner i systemd 252

Andre ændringer, der skiller sig ud i systemd 252, er, at se sørgede for, at standardlokaliteten er C.UTF-8 hvis der ikke er angivet en anden lokalitet i konfigurationen.

Ud over det i systemd 252 også implementeret evnen til at udføre en fuld service forudindstillet operation ("systemctl-forudindstilling") under den første opstart. Aktivering af forudindstillinger ved opstart kræver en build med "-Dfirst-boot-full-preset", men det er planlagt at blive aktiveret som standard i fremtidige udgivelser.

Brug CPU-ressourcecontrolleren i brugeradministrationsenheder, hvilket gjorde det muligt at sikre, at CPUWeight-indstillingen anvendes på alle udsnitsenheder, der bruges til at opdele systemet i udsnit (app.slice, background.slice, session.slice) for at isolere ressourcer mellem forskellige brugertjenester, der konkurrerer om CPU-ressourcer. CPUWeight understøtter også en "tomgangsværdi" for at udløse den korrekte leasing-tilstand.

På den anden side i initialiseringsprocessen (PID 1), tilføjede muligheden for at importere legitimationsoplysninger fra SMBIOS-felter (Type 11, "OEM-udbyderkæder") samt at definere dem via qemu_fwcfg, hvilket forenkler levering af legitimationsoplysninger til virtuelle maskiner og eliminerer behovet for tredjepartsværktøjer som cloud -init og ignition.

Under nedlukning blev logikken for afmontering af virtuelle filsystemer (proc, sys) ændret, og information om processer, der blokerer filsystemafmontering, gemmes i loggen.

sd bootloader har tilføjet muligheden for at starte i blandet tilstand, kører en 64-bit Linux-kerne fra 32-bit UEFI-firmware. Tilføjet eksperimentel mulighed for automatisk at anvende SecureBoot-nøgler fra filer placeret på ESP (EFI System Partition).

Tilføjet nye muligheder til bootctl-værktøjet "–all-architectures" at installere binære filer til alle understøttede EFI-arkitekturer, «–root=" og "–image=» at arbejde med en mappe eller et diskbillede, «--install-kilde=» for at definere den skrifttype, der skal installeres, «--efi-boot-option-description=» for at kontrollere navnene på opstartsposter.

Af de andre ændringer der skiller sig ud fra systemd 252:

• systemd-nspawn tillader brugen af ​​relative filstier i “–bind=” og “–overlay=” mulighederne. Tilføjet understøttelse af 'rootidmap'-indstillingen til "–bind="-indstillingen for at binde root-bruger-id'et på containeren til ejeren af ​​den monterede mappe på værtssiden.
• systemd-resolved bruger OpenSSL-pakken som krypteringsbackend som standard (understøttelse af gnutls bibeholdes som en mulighed). Ikke-understøttede DNSSEC-algoritmer behandles nu som usikre i stedet for at returnere en fejl (SERVFAIL).
• systemd-sysusers, systemd-tmpfiler og systemd-sysctl implementerer evnen til at sende konfiguration gennem legitimationsopbevaringsmekanismen.
• Tilføjet kommandoen 'compare versions' til systemd-analyze for at sammenligne strenge med versionsnumre (svarende til 'rpmdev-vercmp' og 'dpkg –compare-versions').
• Tilføjet muligheden for at filtrere drev efter maske til kommandoen 'systemd-analyze dump'.
• Når du vælger en flertrins dvaletilstand (dvale og derefter dvale, dvale efter dvale), vælges tiden brugt i standbytilstand nu baseret på prognosen for resterende batterilevetid.
• En øjeblikkelig overgang til dvaletilstand foretages, når der er mindre end 5 % batteriopladning.

Det er også værd at nævne i 2024 planlægger systemd at stoppe med at understøtte cgroup v1-ressourcebegrænsningsmekanismen, forældet i version 248 af systemd. Administratorer rådes til at sørge for at flytte tjenester knyttet til cgroup v1 til cgroup v2 på forhånd.

Den vigtigste forskel mellem cgroups v2 og v1 er brugen af ​​et fælles cgroups hierarki for alle ressourcetyper i stedet for separate hierarkier for CPU-ressourceallokering, hukommelsesstyring og I/O. Separate hierarkier fører til vanskeligheder med at organisere interaktionen mellem drivere og yderligere omkostninger til kerneressourcer ved anvendelse af regler for en navngiven proces i forskellige hierarkier.

I anden halvdel af 2023 er det planlagt at stoppe med at understøtte opdelte mappehierarkier, når /usr er monteret separat fra root, eller /bin og /usr/bin, /lib og /usr/lib mapper er adskilt.