systemd 252 prihaja s podporo za UKI, izboljšavami in še več

systemd je nabor sistemskih skrbniških demonov, knjižnic in orodij, zasnovanih kot osrednja konfiguracijska in skrbniška platforma za povezovanje s sistemskim jedrom. 

Po petih mesecih razvoja objavljena je bila izdaja nove različice systemd 252, različica v kateri Ključna sprememba v novi različici je bila integracija podpora za posodobljen zagonski proces, ki omogoča preverjanje ne samo jedra in zagonskega nalagalnika, temveč tudi komponent osnovnega sistemskega okolja z uporabo digitalnih podpisov.

Predlagana metoda vključuje uporabo enotne slike jedra UKI (Poenotena slika jedra) pri nalaganju, ki združuje gonilnik za nalaganje jedra iz UEFI (zagonska škrbina UEFI), sliko jedra Linuxa in sistemsko okolje initrd, naloženo v pomnilnik, ki se uporablja za začetno inicializacijo v prejšnji fazi v korensko namestitev FS. .

Povezani članek:

Predlagajo posodobitev zagonskega procesa Linuxa

Predvsem koristi systemd-cryptsetup, systemd-cryptenroll in systemd-creds so bili prilagojeni za uporabo teh informacij, tako da lahko zagotovite, da so šifrirane diskovne particije vezane na digitalno podpisano jedro (v tem primeru je dostop do šifrirane particije omogočen samo, če je slika UKI prestala preverjanje digitalnega podpisa na podlagi parametrov v TPM).

Poleg tega je vključen pripomoček systemd-pcrphase, ki vam omogoča nadzor vezave različnih zagonskih stopenj na parametre, ki jih v pomnilnik postavijo kriptoprocesorji, ki podpirajo specifikacijo TPM 2.0 (na primer, lahko nastavite ključ za dešifriranje particije LUKS2, ki je na voljo samo v sliki initrd in blokirajte dostop do nje pri naslednjih prenosih).

Glavne novosti systemd 252

Druge spremembe, ki izstopajo v systemd 252, so sPrepričal sem se, da je privzeti jezik C.UTF-8 če v konfiguraciji ni podana nobena druga področna nastavitev.

Poleg tega v systemd 252 tudi implementirana možnost izvajanja prednastavljene operacije celotne storitve ("systemctl preset") med prvim zagonom. Omogočanje prednastavitev ob zagonu zahteva gradnjo z možnostjo "-Dfirst-boot-full-preset", vendar je načrtovano, da bo v prihodnjih izdajah privzeto omogočena.

V enotah za upravljanje uporabnikov uporabite krmilnik virov CPE, ki je omogočil, da se nastavitev CPUWeight uporabi za vse enote rezin, ki se uporabljajo za razdelitev sistema na rezine (app.slice, background.slice, session.slice) za izolacijo virov med različnimi uporabniškimi storitvami, ki tekmujejo za vire CPE. CPUWeight podpira tudi vrednost "idle" za sprožitev ustreznega načina zakupa.

Po drugi strani pa v procesu inicializacije (PID 1), dodana možnost uvoza poverilnic iz polj SMBIOS (Vrsta 11, "verige ponudnikov OEM"), kot tudi njihovo definiranje prek qemu_fwcfg, ki poenostavlja zagotavljanje poverilnic za virtualne stroje in odpravlja potrebo po orodjih tretjih oseb, kot sta cloud -init in ignition.

Med zaustavitvijo je bila spremenjena logika za odpenjanje navideznih datotečnih sistemov (proc, sys), informacije o procesih, ki blokirajo odpenjanje datotečnega sistema, pa se shranijo v dnevnik.

Zagonski nalagalnik sd je dodal možnost zagona v mešanem načinu, poganjanje 64-bitnega jedra Linuxa iz 32-bitne vdelane programske opreme UEFI. Dodana eksperimentalna zmožnost samodejne uporabe ključev SecureBoot iz datotek na ESP (sistemska particija EFI).

Dodane nove možnosti v pripomoček bootctl »–all-architectures« za namestitev binarnih datotek za vse podprte arhitekture EFI, «–root=« in »–image=» za delo z imenikom ali sliko diska, «--install-source=» za določitev pisave za namestitev, «--efi-boot-option-description=» za nadzor imen zagonskih vnosov.

Od ostalih sprememb ki izstopajo iz systemd 252:

• systemd-nspawn omogoča uporabo relativnih poti datotek v možnostih »–bind=« in »–overlay=«. Dodana podpora za možnost 'rootidmap' možnosti "–bind=" za povezovanje ID-ja korenskega uporabnika v vsebniku z lastnikom nameščenega imenika na strani gostitelja.
• systemd-resolved privzeto uporablja paket OpenSSL kot zaledje za šifriranje (podpora za gnutls je ohranjena kot možnost). Nepodprti algoritmi DNSSEC se zdaj obravnavajo kot nevarni, namesto da vrnejo napako (SERVFAIL).
• systemd-sysusers, systemd-tmpfiles in systemd-sysctl izvajajo zmožnost prenosa konfiguracije prek mehanizma za shranjevanje poverilnic.
• V systemd-analyze je dodan ukaz 'primerjaj različice' za primerjavo nizov s številkami različic (podobno kot 'rpmdev-vercmp' in 'dpkg –compare-versions').
• Ukazu 'systemd-analyze dump' dodana možnost filtriranja pogonov po maski.
• Pri izbiri večstopenjskega načina mirovanja (mirovanje, nato hibernacija, hibernacija za hibernacijo) se čas, porabljen v stanju pripravljenosti, zdaj izbere na podlagi napovedi preostale življenjske dobe baterije.
• Takojšen prehod v način mirovanja se izvede, ko je baterija manj kot 5 % napolnjena.

Omeniti velja tudi to leta 2024 načrtuje systemd prenehanje podpiranja mehanizma za omejevanje virov cgroup v1, opuščeno v različici 248 sistema systemd. Administratorjem svetujemo, da vnaprej poskrbijo za selitev storitev, povezanih s cgroup v1, v cgroup v2.

Ključna razlika med cgroupoma v2 in v1 je uporaba skupne hierarhije cgroups za vse vrste virov, namesto ločenih hierarhij za dodeljevanje virov CPE, upravljanje pomnilnika in V/I. Ločene hierarhije povzročajo težave pri organiziranju interakcije med gonilniki in dodatne stroške virov jedra pri uporabi pravil za imenovan proces v različnih hierarhijah.

V drugi polovici leta 2023 je načrtovana ukinitev podpore za razdeljene hierarhije imenikov, ko je /usr nameščen ločeno od korenskega ali pa sta /bin in /usr/bin, /lib in /usr/lib imenika ločena.