systemd 252 kommer med UKI-stöd, förbättringar och mer

systemd är en uppsättning systemadministrationsdemoner, bibliotek och verktyg utformade som en central konfigurations- och administrationsplattform för gränssnitt med systemkärnan. 

Efter fem månaders utveckling lanseringen av den nya versionen av systemd 252 tillkännagavs, version där den viktigaste förändringen i den nya versionen var integrationen av stöd för en moderniserad startprocess, som gör det möjligt att verifiera inte bara kärnan och starthanteraren, utan även komponenterna i den underliggande systemmiljön med hjälp av digitala signaturer.

Den föreslagna metoden innebär användning av en UKI unified kernel image (Unified kernel image) vid laddning, som kombinerar en drivrutin för att ladda kärnan från UEFI (UEFI boot stub), en Linux-kärnavbildning och initrd-systemmiljön laddad i minnet, som användes för initial initiering i föregående steg till FS-rotmonteringen .

Relaterad artikel:

De föreslår att modernisera Linux-startprocessen

I synnerhet fördelarna systemd-cryptsetup, systemd-cryptenroll och systemd-creds har anpassats för att använda denna information, så att du kan säkerställa att de krypterade diskpartitionerna är bundna till en digitalt signerad kärna (i det här fallet tillhandahålls åtkomst till den krypterade partitionen endast om UKI-avbildningen har klarat digital signaturbaserad verifiering). i parametrarna placerade i TPM).

Dessutom ingår systemd-pcrphase-verktyget, som låter dig styra bindningen av olika startsteg till parametrar placerade i minnet av kryptoprocessorer som stöder TPM 2.0-specifikationen (du kan till exempel göra att partitionsdekrypteringsnyckeln LUKS2 endast är tillgänglig i den inledande bilden och blockera åtkomst till den vid efterföljande nedladdningar).

De viktigaste nya funktionerna i systemd 252

Andra förändringar som sticker ut i systemd 252 är att se såg till att standardlokalen är C.UTF-8 om ingen annan lokalitet anges i konfigurationen.

Utöver det i systemd 252 också implementerat möjligheten att utföra en förinställd operation med full service ("systemctl-förinställning") under den första uppstarten. Att aktivera förinställningar vid uppstart kräver en build med alternativet "-Dfirst-boot-full-preset", men det är planerat att aktiveras som standard i framtida utgåvor.

I användarhanteringsenheter använder du CPU-resurskontrollern, vilket gjorde det möjligt att säkerställa att CPUWeight-inställningen tillämpas på alla segmentenheter som används för att partitionera systemet i segment (app.slice, background.slice, session.slice) för att isolera resurser mellan olika användartjänster, som konkurrerar om CPU-resurser. CPUWeight stöder också ett "tomgångsvärde" för att aktivera rätt leasingläge.

Å andra sidan, i initieringsprocessen (PID 1), lade till möjligheten att importera autentiseringsuppgifter från SMBIOS-fält (Typ 11, "OEM-leverantörskedjor") samt definiera dem via qemu_fwcfg, vilket förenklar tillhandahållande av autentiseringsuppgifter till virtuella maskiner och eliminerar behovet av tredjepartsverktyg som cloud -init och ignition.

Under avstängning ändrades logiken för avmontering av virtuella filsystem (proc, sys) och information om processer som blockerar avmontering av filsystem sparas i loggen.

sd bootloader har lagt till möjligheten att starta i blandat läge, kör en 64-bitars Linux-kärna från 32-bitars UEFI-firmware. Lade till experimentell förmåga att automatiskt tillämpa SecureBoot-nycklar från filer som finns på ESP (EFI System Partition).

Lade till nya alternativ för bootctl-verktyget "–all-architectures" för att installera binärer för alla EFI-arkitekturer som stöds, «–root=" och "–image=» för att arbeta med en katalog eller diskavbildning, «--install-source=» för att definiera typsnittet som ska installeras, «--efi-boot-option-description=» för att kontrollera namnen på startposter.

Av de andra förändringarna som sticker ut från systemd 252:

• systemd-nspawn tillåter användning av relativa filsökvägar i alternativen “–bind=” och “–overlay=”. Lade till stöd för alternativet "rootidmap" till alternativet "–bind=" för att binda rotanvändar-ID:t på behållaren till ägaren av den monterade katalogen på värdsidan.
• systemd-resolved använder OpenSSL-paketet som krypteringsstöd som standard (stöd för gnutls behålls som ett alternativ). DNSSEC-algoritmer som inte stöds behandlas nu som osäkra istället för att returnera ett fel (SERVFAIL).
• systemd-sysusers, systemd-tmpfiles och systemd-sysctl implementerar möjligheten att skicka konfiguration genom mekanismen för lagring av autentiseringsuppgifter.
• Lade till kommandot 'compare versions' för att systemd-analyze för att jämföra strängar med versionsnummer (liknande 'rpmdev-vercmp' och 'dpkg –compare-versions').
• Lade till möjligheten att filtrera enheter efter mask till kommandot 'systemd-analyze dump'.
• När du väljer ett viloläge i flera steg (viloläge sedan viloläge, viloläge efter viloläge) väljs nu den tid som spenderas i viloläge baserat på prognosen för återstående batteritid.
• En omedelbar övergång till viloläge görs när batteriladdningen är mindre än 5 %.

Det är också värt att nämna det 2024 planerar systemd att sluta stödja resurstäckningsmekanismen cgroup v1, utfasad i version 248 av systemd. Administratörer rekommenderas att ta hand om att flytta tjänster kopplade till cgroup v1 till cgroup v2 i förväg.

Den viktigaste skillnaden mellan cgroups v2 och v1 är användningen av en gemensam cgroups hierarki för alla resurstyper, snarare än separata hierarkier för CPU-resursallokering, minneshantering och I/O. Separata hierarkier leder till svårigheter att organisera interaktionen mellan drivrutiner och ytterligare kärnresurskostnader när regler för en namngiven process tillämpas i olika hierarkier.

Under andra halvan av 2023 är det planerat att sluta stödja delade kataloghierarkier, när /usr monteras separat från root, eller katalogerna /bin och /usr/bin, /lib och /usr/lib separeras.