systemd 252 jest dostarczany z obsługą UKI, ulepszeniami i nie tylko

systemd to zestaw demonów, bibliotek i narzędzi administracyjnych systemu zaprojektowanych jako centralna platforma konfiguracyjna i administracyjna do łączenia się z jądrem systemu. 

Po pięciu miesiącach rozwoju ogłoszono wydanie nowej wersji systemd 252, wersja w której kluczową zmianą w nowej wersji była integracja wsparcie dla unowocześniony proces rozruchu, co umożliwia weryfikację nie tylko jądra i bootloadera, ale także komponentów bazowego środowiska systemowego za pomocą podpisów cyfrowych.

Proponowana metoda polega na wykorzystaniu zunifikowanego obrazu jądra UKI (zunifikowany obraz jądra) podczas ładowania, który łączy sterownik do ładowania jądra z UEFI (odcinek rozruchowy UEFI), obraz jądra systemu Linux i środowisko systemowe initrd załadowane do pamięci, używane do początkowej inicjalizacji w poprzednim etapie do montowania głównego FS .

Podobne artykuł:

Proponują modernizację procesu uruchamiania Linuksa

W szczególności korzyści systemd-cryptsetup, systemd-cryptenroll i systemd-creds zostały dostosowane aby użyć tych informacji, dzięki czemu można się upewnić, że zaszyfrowane partycje dysku są powiązane z cyfrowo podpisanym jądrem (w tym przypadku dostęp do zaszyfrowanej partycji jest zapewniony tylko wtedy, gdy obraz UKI przeszedł weryfikację opartą na podpisie cyfrowym). w module TPM).

Dodatkowo dołączone jest narzędzie systemd-pcrphase, które pozwala kontrolować powiązanie różnych etapów rozruchu z parametrami umieszczonymi w pamięci przez kryptoprocesory obsługujące specyfikację TPM 2.0 (na przykład można sprawić, by klucz odszyfrowywania partycji LUKS2 był dostępny tylko w obrazie initrd i blokować dostęp do niego podczas kolejnych pobrań).

Główne nowe cechy Systemd 252

Inne zmiany, które wyróżniają się w systemd 252, to to, że supewniliśmy się, że domyślnym językiem jest C.UTF-8 jeśli w konfiguracji nie określono innych ustawień regionalnych.

Oprócz tego w systemied 252 również wdrożono możliwość wykonania pełnej obsługi zadanej operacji („ustawienie systemctl”) podczas pierwszego rozruchu. Włączenie ustawień wstępnych w czasie rozruchu wymaga kompilacji z opcją „-Dpierwszy-boot-pełny-preset”, ale planuje się, że będzie ona domyślnie włączona w przyszłych wydaniach.

W jednostkach zarządzania użytkownikami użyj kontrolera zasobów procesora, co umożliwiło zapewnienie, że ustawienie CPUWeight jest stosowane do wszystkich jednostek wycinków używanych do partycjonowania systemu na wycinki (app.slice, background.slice, session.slice) w celu izolowania zasobów między różnymi usługami użytkownika, konkurującymi o zasoby procesora. CPUWeight obsługuje również wartość „bezczynności”, aby wyzwolić odpowiedni tryb dzierżawy.

Z drugiej strony w procesie inicjalizacji (PID 1), dodano możliwość importowania danych uwierzytelniających z pól SMBIOS (Typ 11, „Łańcuchy dostawców OEM”), a także definiowanie ich za pomocą funkcji qemu_fwcfg, która upraszcza aprowizację poświadczeń do maszyn wirtualnych i eliminuje potrzebę korzystania z narzędzi innych firm, takich jak init i zapłon w chmurze.

Podczas zamykania logika odmontowywania wirtualnych systemów plików (proc, sys) została zmieniona, aw dzienniku zapisywane są informacje o procesach blokujących odmontowywanie systemów plików.

Bootloader sd dodał możliwość uruchamiania w trybie mieszanym, uruchamianie 64-bitowego jądra Linux z 32-bitowego oprogramowania UEFI. Dodano eksperymentalną możliwość automatycznego stosowania kluczy SecureBoot z plików znajdujących się na ESP (EFI System Partition).

Dodano nowe opcje do narzędzia bootctl „–all-architectures” zainstalować binaria dla wszystkich obsługiwanych architektur EFI, «–root=” i „–obraz=» do pracy z katalogiem lub obrazem dysku, «--install-source=» zdefiniować czcionkę do zainstalowania, «–efi-boot-option-opis=» do kontrolowania nazw wpisów rozruchowych.

Z innych zmian które wyróżniają się na tle systemud 252:

• systemd-nspawn pozwala na użycie względnych ścieżek plików w opcjach „–bind =" i „–overlay =". Dodano obsługę opcji „rootidmap” do opcji „–bind=”, aby powiązać identyfikator użytkownika root w kontenerze z właścicielem zamontowanego katalogu po stronie hosta.
• systemd-resolved domyślnie używa pakietu OpenSSL jako backendu szyfrowania (obsługa gnutls jest zachowana jako opcja). Nieobsługiwane algorytmy DNSSEC są teraz traktowane jako niezabezpieczone, zamiast zwracać błąd (SERVFAIL).
• systemd-sysusers, systemd-tmpfiles i systemd-sysctl implementują możliwość przekazywania konfiguracji przez mechanizm przechowywania poświadczeń.
• Dodano polecenie „porównaj wersje” do analizy systemd, aby porównać ciągi z numerami wersji (podobne do „rpmdev-vercmp” i „dpkg –compare-versions”).
• Dodano możliwość filtrowania dysków według maski do polecenia „zrzut analizy systemowej”.
• Wybierając wieloetapowy tryb uśpienia (uśpienie, potem hibernacja, hibernacja po hibernacji), czas spędzony w trybie czuwania jest teraz wybierany na podstawie prognozy pozostałej żywotności baterii.
• Natychmiastowe przejście do trybu uśpienia następuje, gdy poziom naładowania baterii wynosi mniej niż 5%.

Warto też o tym wspomnieć w 2024 r. systemd planuje zaprzestać obsługi mechanizmu ograniczania zasobów cgroup v1, przestarzałe w wersji 248 systemud. Administratorzy powinni zadbać o wcześniejsze przeniesienie usług powiązanych z cgroup v1 do cgroup v2.

Kluczowa różnica między cgroups v2 i v1 jest użycie wspólnej hierarchii cgroups dla wszystkich typów zasobów, zamiast oddzielnych hierarchii dla alokacji zasobów procesora, zarządzania pamięcią i we/wy. Oddzielne hierarchie prowadzą do trudności w organizowaniu interakcji między sterownikami i dodatkowych kosztów zasobów jądra podczas stosowania reguł dla nazwanego procesu w różnych hierarchiach.

W drugiej połowie 2023 roku planowane jest zaprzestanie obsługi dzielonych hierarchii katalogów, gdy /usr jest montowany oddzielnie od katalogu głównego lub katalogi /bin i /usr/bin, /lib i /usr/lib są rozdzielone.