systemd 252 kommer med UKI-støtte, forbedringer og mer

systemd er et sett med systemadministrasjonsdemoner, biblioteker og verktøy designet som en sentral konfigurasjons- og administrasjonsplattform for grensesnitt med systemkjernen. 

Etter fem måneders utvikling utgivelsen av den nye versjonen av systemd 252 ble annonsert, versjon der nøkkelendringen i den nye versjonen var integrasjonen av Støtte for en modernisert oppstartsprosess, som gjør det mulig å verifisere ikke bare kjernen og bootloader, men også komponentene i det underliggende systemmiljøet ved hjelp av digitale signaturer.

Den foreslåtte metoden innebærer bruk av et UKI enhetlig kjernebilde (Unified kernel image) ved lasting, som kombinerer en driver for å laste inn kjernen fra UEFI (UEFI boot stub), et Linux-kjernebilde og initrd-systemmiljøet lastet inn i minnet, brukt for initialisering i forrige trinn til FS-rotmonteringen .

Relatert artikkel:

De foreslår å modernisere Linux-oppstartsprosessen

Spesielt fordelene systemd-cryptsetup, systemd-cryptenroll og systemd-creds er tilpasset for å bruke denne informasjonen, slik at du kan sikre at de krypterte diskpartisjonene er bundet til en digitalt signert kjerne (i dette tilfellet gis tilgang til den krypterte partisjonen bare hvis UKI-bildet har bestått digital signaturbasert verifisering) i parametrene som er plassert i TPM).

I tillegg er systemd-pcrphase-verktøyet inkludert, som lar deg kontrollere bindingen av ulike oppstartstrinn til parametere plassert i minnet av kryptoprosessorer som støtter TPM 2.0-spesifikasjonen (du kan for eksempel gjøre at partisjonsdekrypteringsnøkkelen LUKS2 kun er tilgjengelig i initrd-bildet og blokker tilgang til det ved påfølgende nedlastinger).

De viktigste nye funksjonene i systemd 252

Andre endringer som skiller seg ut i systemd 252, er at se sørget for at standardlokaliteten er C.UTF-8 hvis ingen annen lokalitet er spesifisert i konfigurasjonen.

I tillegg til det i systemd 252 også implementert muligheten til å utføre en fullservice forhåndsinnstilt operasjon ("systemctl forhåndsinnstilling") under første oppstart. Aktivering av forhåndsinnstillinger ved oppstart krever en build med alternativet "-Dfirst-boot-full-preset", men det er planlagt å aktiveres som standard i fremtidige utgivelser.

I brukeradministrasjonsenheter bruker du CPU-ressurskontrolleren, som gjorde det mulig å sikre at CPUWeight-innstillingen brukes på alle skiveenheter som brukes til å partisjonere systemet i skiver (app.slice, background.slice, session.slice) for å isolere ressurser mellom ulike brukertjenester, og konkurrere om CPU-ressurser. CPUWeight støtter også en "tomgangsverdi" for å utløse riktig leiemodus.

På den annen side, i initialiseringsprosessen (PID 1), la til muligheten til å importere legitimasjon fra SMBIOS-felt (Type 11, "OEM-leverandørkjeder") i tillegg til å definere dem via qemu_fwcfg, som forenkler klargjøring av legitimasjon til virtuelle maskiner og eliminerer behovet for tredjepartsverktøy som cloud -init og ignition.

Under avslutning ble logikken for avmontering av virtuelle filsystemer (proc, sys) endret, og informasjon om prosesser som blokkerer avmontering av filsystem lagres i loggen.

sd bootloader har lagt til muligheten til å starte opp i blandet modus, kjører en 64-biters Linux-kjerne fra 32-biters UEFI-fastvare. Lagt til eksperimentell mulighet for automatisk å bruke SecureBoot-nøkler fra filer som ligger på ESP (EFI System Partition).

Lagt til nye alternativer for bootctl-verktøyet "–all-architectures" for å installere binærfiler for alle støttede EFI-arkitekturer, «–root=" og "–image=» for å jobbe med en katalog eller diskbilde, «--install-source=» for å definere fonten som skal installeres, «--efi-boot-option-description=» for å kontrollere navnene på oppstartsoppføringer.

Av de andre endringene som skiller seg ut fra systemd 252:

• systemd-nspawn tillater bruk av relative filbaner i alternativene “–bind=” og “–overlay=”. Lagt til støtte for "rootidmap"-alternativet til "–bind="-alternativet for å binde root-bruker-IDen på beholderen til eieren av den monterte katalogen på vertssiden.
• systemd-resolved bruker OpenSSL-pakken som krypteringsstøtte som standard (gnutls-støtte beholdes som et alternativ). Ustøttede DNSSEC-algoritmer blir nå behandlet som usikre i stedet for å returnere en feil (SERVFAIL).
• systemd-sysusers, systemd-tmpfiles og systemd-sysctl implementerer muligheten til å sende konfigurasjon gjennom legitimasjonslagringsmekanismen.
• La til 'compare versions'-kommando for å systemd-analyze for å sammenligne strenger med versjonsnumre (ligner på 'rpmdev-vercmp' og 'dpkg –compare-versions').
• Lagt til muligheten til å filtrere stasjoner etter maske til kommandoen 'systemd-analyze dump'.
• Når du velger en flertrinns dvalemodus (hvile og deretter dvale, dvale etter dvalemodus), velges nå tiden brukt i standby-modus basert på prognosen for gjenværende batterilevetid.
• En umiddelbar overgang til hvilemodus gjøres når det er mindre enn 5 % batterilading.

Det er også verdt å nevne det i 2024 planlegger systemd å slutte å støtte cgroup v1-ressursbegrensningsmekanismen, avviklet i versjon 248 av systemd. Administratorer anbefales å ta seg av flytting av tjenester knyttet til cgroup v1 til cgroup v2 på forhånd.

Nøkkelforskjellen mellom cgroups v2 og v1 er bruken av et felles cgroups hierarki for alle ressurstyper, i stedet for separate hierarkier for CPU-ressursallokering, minneadministrasjon og I/O. Separate hierarkier fører til vanskeligheter med å organisere samspillet mellom drivere og ekstra kjerneressurskostnader ved bruk av regler for en navngitt prosess i forskjellige hierarkier.

I andre halvdel av 2023 er det planlagt å slutte å støtte delte kataloghierarkier, når /usr er montert separat fra root, eller /bin og /usr/bin, /lib og /usr/lib kataloger er atskilt.