systemd 252 arrin me mbështetjen e UKI, përmirësime dhe më shumë

systemd është një grup demonësh, bibliotekash dhe mjetesh të administrimit të sistemit të krijuar si një platformë qendrore konfigurimi dhe administrimi për ndërlidhjen me kernelin e sistemit. 

Pas pesë muajsh zhvillimi u njoftua lëshimi i versionit të ri të systemd 252, version në të cilin ndryshimi kryesor në versionin e ri ishte integrimi i mbeshtetje per një proces i modernizuar i nisjes, i cili lejon verifikimin jo vetëm të kernelit dhe ngarkuesit, por edhe të komponentëve të mjedisit themelor të sistemit duke përdorur nënshkrime dixhitale.

Metoda e propozuar përfshin përdorimin e një imazhi të unifikuar të kernelit UKI (Imazhi i unifikuar i kernelit) në ngarkesë, i cili kombinon një drejtues për ngarkimin e kernelit nga UEFI (cung boot UEFI), një imazh të kernelit Linux dhe mjedisin e sistemit initrd të ngarkuar në memorie, i përdorur për inicializimin fillestar në fazën e mëparshme në montimin rrënjë FS .

Artikulli i lidhur:

Ata propozojnë modernizimin e procesit të nisjes së Linux

Në veçanti, përfitimet systemd-cryptsetup, systemd-cryptenroll dhe systemd-creds janë përshtatur për të përdorur këtë informacion, kështu që mund të siguroheni që ndarjet e diskut të koduar janë të lidhura me një kernel të nënshkruar dixhitalisht (në këtë rast, qasja në ndarjen e koduar sigurohet vetëm nëse imazhi UKI ka kaluar verifikimin e bazuar në nënshkrimin dixhital). në parametrat e vendosur në TPM).

Përveç kësaj, është përfshirë mjeti systemd-pcrphase, i cili ju lejon të kontrolloni lidhjen e fazave të ndryshme të nisjes me parametrat e vendosur në memorie nga kriptoprocesorët që mbështesin specifikimin TPM 2.0 (për shembull, mund të bëni që çelësi i deshifrimit të ndarjes LUKS2 të jetë i disponueshëm vetëm në imazhin e parë dhe bllokoni hyrjen në të në shkarkimet e mëvonshme).

Karakteristikat kryesore të reja të systemd 252

Ndryshime të tjera që bien në sy në systemd 252, është se ssigurohuni që vendndodhja e paracaktuar është C.UTF-8 nëse në konfigurim nuk është specifikuar ndonjë vend tjetër.

Përveç tij në systemd 252 gjithashtu zbatuar aftësinë për të kryer një operacion të paracaktuar të shërbimit të plotë ("systemctl paracaktuar") gjatë nisjes së parë. Aktivizimi i paracaktimit në kohën e nisjes kërkon një ndërtim me opsionin "-Dfirst-boot-full-preset", por është planifikuar të aktivizohet si parazgjedhje në publikimet e ardhshme.

Në njësitë e menaxhimit të përdoruesve përdorni kontrolluesin e burimeve të CPU, i cili bëri të mundur që të sigurohet që cilësimi CPUWeight të zbatohet në të gjitha njësitë e pjesëve të përdorura për ndarjen e sistemit në feta (app.slice, background.slice, session.slice) për të izoluar burimet midis shërbimeve të ndryshme të përdoruesve, duke konkurruar për burimet e CPU. CPUWeight gjithashtu mbështet një vlerë "boshe" për të aktivizuar mënyrën e duhur të qirasë.

Nga ana tjetër, në procesin e inicializimit (PID 1), shtoi mundësinë për të importuar kredencialet nga fushat SMBIOS (Lloji 11, "Zinxhirët e ofruesve OEM") si dhe përcaktimi i tyre nëpërmjet qemu_fwcfg, i cili thjeshton sigurimin e kredencialeve për makinat virtuale dhe eliminon nevojën për mjete të palëve të treta si "Cloud-init" dhe "Initition".

Gjatë mbylljes, logjika për çmontimin e sistemeve të skedarëve virtualë (proc, sys) u ndryshua dhe informacioni në lidhje me proceset që bllokojnë çmontimin e sistemit të skedarëve ruhen në regjistër.

Ngarkuesi SD ka shtuar aftësinë për të nisur në modalitetin e përzier, ekzekutimi i një kernel Linux 64-bit nga firmware UEFI 32-bit. U shtua aftësia eksperimentale për të aplikuar automatikisht çelësat SecureBoot nga skedarët e vendosur në ESP (Ndarja e Sistemit EFI).

Shtuar opsione të reja në programin bootctl "–all-architectures" për të instaluar binare për të gjitha arkitekturat EFI të mbështetura, «–root=” dhe “–image=» për të punuar me një drejtori ose imazh të diskut, «--install-source=» për të përcaktuar fontin për instalim, «--efi-boot-option-description=» për të kontrolluar emrat e hyrjeve të nisjes.

Nga ndryshimet e tjera që dallohen nga systemd 252:

• systemd-nspawn lejon përdorimin e shtigjeve relative të skedarëve në opsionet “–bind=” dhe “–overlay=”. U shtua mbështetje për opsionin 'rootidmap' në opsionin "–bind=" për të lidhur ID-në e përdoruesit rrënjë në kontejner me pronarin e drejtorisë së montuar në anën e hostit.
• systemd-resolved përdor paketën OpenSSL si bazë të enkriptimit si parazgjedhje (mbështetja e gnutls ruhet si opsion). Algoritmet e pambështetur DNSSEC tani trajtohen si të pasigurta në vend që të kthejnë një gabim (SERVFAIL).
• systemd-sysusers, systemd-tmpfiles dhe systemd-sysctl zbatojnë aftësinë për të kaluar konfigurimin përmes mekanizmit të ruajtjes së kredencialeve.
• U shtua komanda 'krahaso versionet' në systemd-analize për të krahasuar vargjet me numrat e versioneve (të ngjashme me 'rpmdev-vercmp' dhe 'dpkg –krahaso-versione').
• U shtua aftësia për të filtruar disqet me maskë në komandën 'systemd-analyze dump'.
• Kur zgjidhni një modalitet gjumi me shumë faza (gjumë, pastaj hibernate, hibernate pas letargji), koha e kaluar në modalitetin e gatishmërisë zgjidhet tani bazuar në parashikimin e mbetur të jetëgjatësisë së baterisë.
• Një kalim i menjëhershëm në modalitetin e fjetjes bëhet kur ka më pak se 5% ngarkesë të baterisë.

Vlen gjithashtu të përmendet se në vitin 2024, systemd planifikon të ndalojë mbështetjen e mekanizmit të mbulimit të burimeve cgroup v1, i vjetëruar në versionin 248 të systemd. Administratorët këshillohen të kujdesen për lëvizjen e shërbimeve të lidhura me cgroup v1 në cgroup v2 paraprakisht.

Dallimi kryesor ndërmjet cgrupeve v2 dhe v1 është përdorimi i një hierarkie të përbashkët të cgrupeve për të gjitha llojet e burimeve, në vend të hierarkive të veçanta për alokimin e burimeve të CPU, menaxhimin e memories dhe I/O. Hierarkitë e ndara çojnë në vështirësi në organizimin e ndërveprimit midis drejtuesve dhe kostove shtesë të burimeve të kernelit kur zbatohen rregullat për një proces të emërtuar në hierarki të ndryshme.

Në gjysmën e dytë të vitit 2023, është planifikuar të ndërpritet mbështetja e hierarkive të drejtorive të ndarjes, kur /usr montohet veçmas nga root, ose /bin dhe /usr/bin, /lib dhe /usr/lib janë të ndara.