Systemd 252 pristatomas su UKI palaikymu, patobulinimais ir dar daugiau

systemd yra sistemos administravimo demonų, bibliotekų ir įrankių rinkinys, sukurtas kaip centrinė konfigūravimo ir administravimo platforma, skirta sąsajai su sistemos branduoliu. 

Po penkių mėnesių plėtros buvo paskelbta apie naujos systemd 252 versijos išleidimąversija, kurioje pagrindinis naujos versijos pakeitimas buvo integravimas parama modernizuotas įkrovos procesas, kuri leidžia patikrinti ne tik branduolį ir įkrovos įkroviklį, bet ir pagrindinės sistemos aplinkos komponentus naudojant skaitmeninius parašus.

Siūlomas metodas apima UKI vieningo branduolio atvaizdo naudojimą (Vieningas branduolio vaizdas) įkeliant, kuris sujungia tvarkyklę, skirtą branduoliui įkelti iš UEFI (UEFI įkrovos stuburo), Linux branduolio atvaizdą ir initrd sistemos aplinką, įkeltą į atmintį, naudojamą pradiniam inicijavimui ankstesniame FS šakninio prijungimo etape. .

Susijęs straipsnis:

Jie siūlo modernizuoti Linux įkrovos procesą

Visų pirma, nauda buvo pritaikyti systemd-cryptsetup, systemd-cryptenroll ir systemd-creds naudoti šią informaciją, kad galėtumėte užtikrinti, kad užšifruoti disko skaidiniai būtų susieti su skaitmeniniu parašu pasirašytu branduoliu (šiuo atveju prieiga prie užšifruoto skaidinio suteikiama tik tuo atveju, jei UKI vaizdas praėjo skaitmeninio parašo patikrinimą pagal parametrus, esančius TPM).

Be to, įtraukta „systemd-pcrphase“ programa, leidžianti valdyti įvairių įkrovos etapų susiejimą su parametrais, įdėtais į atmintį kriptoprocesorių, palaikančių TPM 2.0 specifikaciją (pavyzdžiui, skaidinio iššifravimo raktą LUKS2 galite padaryti prieinamą tik pradiniame paveikslėlyje ir blokuokite prieigą prie jo vėlesnių atsisiuntimų metu).

Pagrindinės naujos sistemos funkcijos 252

Kiti 252 sistemos pakeitimai yra tai, kad sĮsitikino, kad numatytoji lokalė yra C.UTF-8 jei konfigūracijoje nenurodyta jokia kita lokalė.

Be to, sistemoje 252 taip pat įdiegta galimybė atlikti pilno aptarnavimo iš anksto nustatytą operaciją ("systemctl preset") per pirmąjį įkrovimą. Norint įgalinti išankstinius nustatymus įkrovos metu, reikia sukurti su parinktimi „-Dfirst-boot-full-preset“, tačiau planuojama, kad būsimuose leidimuose ji bus įjungta pagal numatytuosius nustatymus.

Vartotojų valdymo blokuose naudokite procesoriaus išteklių valdiklį, kuris leido užtikrinti, kad CPUWeight nustatymas būtų taikomas visiems skilties vienetams, naudojamiems sistemai padalinti į skilteles (app.slice, background.slice, session.slice), kad būtų atskirti ištekliai tarp skirtingų vartotojų paslaugų, konkuruojančių dėl procesoriaus išteklių. CPUWeight taip pat palaiko „tuščiosios eigos“ reikšmę, kad įjungtų tinkamą nuomos režimą.

Kita vertus, inicijavimo procese (PID 1), pridėta galimybė importuoti kredencialus iš SMBIOS laukų (11 tipas, „OĮG teikėjų grandinės“), taip pat juos apibrėžiant naudojant qemu_fwcfg, kuris supaprastina kredencialų pateikimą virtualioms mašinoms ir pašalina trečiųjų šalių įrankių, pvz., debesies įvedimo ir uždegimo, poreikį.

Išjungimo metu buvo pakeista virtualių failų sistemų (proc, sys) išmontavimo logika, o informacija apie procesus, blokuojančius failų sistemos išmontavimą, išsaugoma žurnale.

SD įkrovos įkroviklis pridėjo galimybę paleisti mišriu režimu, veikia 64 bitų Linux branduolys iš 32 bitų UEFI programinės įrangos. Pridėta eksperimentinė galimybė automatiškai taikyti SecureBoot raktus iš failų, esančių ESP (EFI sistemos skaidinyje).

Pridėtos naujos „bootctl“ programos parinktys „–all-architectures“ įdiegti dvejetainius failus visoms palaikomoms EFI architektūroms, «–root=“ ir „–image=» dirbti su katalogu arba disko atvaizdu, «--install-source=» nustatyti šriftą, kurį reikia įdiegti, «--efi-boot-option-description=» valdyti įkrovos įrašų pavadinimus.

Iš kitų pokyčių kurie išsiskiria iš 252 sistemos:

• systemd-nspawn leidžia naudoti santykinius failų kelius parinktyse „–bind=“ ir „–overlay=“. Pridėta parinkties „rootidmap“ palaikymas prie parinkties „–bind=", kad būtų galima susieti pagrindinio vartotojo ID konteineryje su prijungto katalogo savininku prieglobos pusėje.
• systemd-resolved pagal numatytuosius nustatymus naudoja OpenSSL paketą kaip šifravimo užpakalinę programą (gnutls palaikymas išsaugomas kaip parinktis). Nepalaikomi DNSSEC algoritmai dabar traktuojami kaip nesaugūs, o ne pateikia klaidą (SERVFAIL).
• systemd-sysusers, systemd-tmpfiles ir systemd-sysctl įgyvendina galimybę perduoti konfigūraciją per kredencialų saugojimo mechanizmą.
• Pridėta komanda „palyginti versijas“, skirta systemd-analyze, kad būtų galima palyginti eilutes su versijų numeriais (panašiai kaip „rpmdev-vercmp“ ir „dpkg –palyginti versijas“).
• Prie komandos „systemd-analyze dump“ pridėta galimybė filtruoti diskus pagal kaukę.
• Renkantis kelių pakopų miego režimą (miego, tada užmigdyti, užmigdyti po užmigdymo), laikas, praleistas budėjimo režimu, dabar pasirenkamas pagal likusio akumuliatoriaus veikimo laiko prognozę.
• Kai akumuliatoriaus įkrova yra mažesnė nei 5 %, akimirksniu perjungiama į miego režimą.

Taip pat verta paminėti 2024 m. „systemd“ planuoja nustoti palaikyti „cgroup v1“ išteklių ribojimo mechanizmą, nebenaudojama systemd 248 versijoje. Administratoriams patariama iš anksto pasirūpinti paslaugų, susietų su cgroup v1, perkėlimu į cgroup v2.

Pagrindinis skirtumas tarp cgroups v2 ir v1 yra bendros cgroups hierarchijos naudojimas visiems išteklių tipams, o ne atskiroms procesoriaus išteklių paskirstymo, atminties valdymo ir įvesties/išvesties hierarchijoms. Dėl atskirų hierarchijų kyla sunkumų organizuojant tvarkyklių sąveiką ir atsiranda papildomų branduolio išteklių sąnaudų, kai taikant taisykles įvardytam procesui skirtingose ​​hierarchijose.

2023 m. antroje pusėje planuojama nustoti palaikyti padalintų katalogų hierarchijas, kai /usr montuojamas atskirai nuo root, arba atskiriami /bin ir /usr/bin, /lib ir /usr/lib katalogai.