systemd 252, UKI desteği, iyileştirmeler ve daha fazlasıyla geliyor

systemd, sistem çekirdeğiyle arabirim oluşturmak için merkezi bir yapılandırma ve yönetim platformu olarak tasarlanmış bir dizi sistem yönetimi arka plan programı, kitaplığı ve aracıdır. 

Beş aylık geliştirmeden sonra systemd 252'nin yeni sürümünün piyasaya sürüldüğü açıklandı, hangi versiyonda yeni sürümdeki en önemli değişiklik, için destek modernize edilmiş bir önyükleme işlemi, bu, yalnızca çekirdeğin ve önyükleyicinin değil, aynı zamanda temel sistem ortamının bileşenlerinin de dijital imzalar kullanılarak doğrulanmasına olanak tanır.

Önerilen yöntem, bir UKI birleşik çekirdek görüntüsünün kullanımını içerir (UEFI'den çekirdeği yüklemek için bir sürücüyü (UEFI önyükleme saplaması), bir Linux çekirdek görüntüsünü ve belleğe yüklenen initrd sistem ortamını birleştiren, yükte birleşik çekirdek görüntüsü), önceki aşamada FS kök bağlantısına ilk başlatma için kullanılır .

İlgili makale:

Linux önyükleme sürecini modernleştirmeyi teklif ediyorlar

Özellikle, faydaları systemd-cryptsetup, systemd-cryptenroll ve systemd-creds uyarlandı bu bilgileri kullanmak için, böylece şifrelenmiş disk bölümlerinin dijital olarak imzalanmış bir çekirdeğe bağlı olduğundan emin olabilirsiniz (bu durumda, şifreli bölüme erişim yalnızca UKI görüntüsü dijital imza tabanlı doğrulamayı geçtiyse sağlanır). TPM'de).

Ayrıca, TPM 2.0 belirtimini destekleyen şifreleme işlemcileri tarafından belleğe yerleştirilen parametrelere çeşitli önyükleme aşamalarının bağlanmasını denetlemenize olanak tanıyan systemd-pcrphase yardımcı programı dahildir (örneğin, LUKS2 bölüm şifre çözme anahtarının yalnızca kullanılabilir olmasını sağlayabilirsiniz). initrd görüntüsünde ve sonraki indirmelerde buna erişimi engelleyin).

Systemd 252'in başlıca yeni özellikleri

systemd 252'de öne çıkan diğer değişiklikler,e varsayılan yerel ayarın C.UTF-8 olduğundan emin olun yapılandırmada başka bir yerel ayar belirtilmemişse.

Buna ek olarak systemd 252'de de tam hizmet ön ayar işlemi gerçekleştirme yeteneği uygulandı ("systemctl ön ayarı") ilk önyükleme sırasında. Ön ayarların önyükleme sırasında etkinleştirilmesi, "-Dfirst-boot-full-preset" seçeneğiyle bir derleme gerektirir, ancak gelecek sürümlerde varsayılan olarak etkinleştirilmesi planlanmaktadır.

Kullanıcı yönetimi birimlerinde CPU kaynak denetleyicisini kullanınBu, CPU kaynakları için rekabet eden farklı kullanıcı hizmetleri arasında kaynakları izole etmek için sistemi dilimlere (app.slice, background.slice, session.slice) bölmek için kullanılan tüm dilim birimlerine CPUWeight ayarının uygulanmasını sağlamayı mümkün kıldı. CPUWeight, uygun kiralama modunu tetiklemek için "boşta" bir değeri de destekler.

Öte yandan, başlatma sürecinde (PID 1), SMBIOS alanlarından kimlik bilgilerini içe aktarma özelliği eklendi (Tip 11, "OEM sağlayıcı zincirleri") ve bunları sanal makinelere kimlik bilgilerini sağlamayı basitleştiren ve cloud -init ve ateşleme gibi üçüncü taraf araçlara olan ihtiyacı ortadan kaldıran qemu_fwcfg aracılığıyla tanımlama.

Kapatma sırasında, sanal dosya sistemlerinin (proc, sys) bağlantısını kesme mantığı değiştirildi ve dosya sistemi bağlantısını kesmeyi engelleyen işlemlerle ilgili bilgiler günlüğe kaydedildi.

SD önyükleyici, karma modda önyükleme yapma özelliğini ekledi, 64 bit UEFI belleniminden 32 bit Linux çekirdeği çalıştırıyor. ESP'de (EFI Sistem Bölümü) bulunan dosyalardan SecureBoot anahtarlarını otomatik olarak uygulamak için deneysel yetenek eklendi.

Bootctl yardımcı programı “–all-architectures” için yeni seçenekler eklendi desteklenen tüm EFI mimarileri için ikili dosyaları yüklemek için, «–root=” ve “–image=» bir dizin veya disk görüntüsü ile çalışmak için, «--install-source=» yüklenecek yazı tipini tanımlamak için, «–efi-boot-seçenek-açıklama=» önyükleme girdilerinin adlarını kontrol etmek için.

Diğer değişikliklerden systemd 252'den öne çıkanlar:

• systemd-nspawn, “–bind=” ve “–overlay=" seçeneklerinde göreli dosya yollarının kullanılmasına izin verir. Kapsayıcıdaki kök kullanıcı kimliğini ana bilgisayar tarafında bağlı dizinin sahibine bağlamak için "–bind=" seçeneğine 'rootidmap' seçeneği için destek eklendi.
• systemd-resolved, varsayılan olarak şifreleme arka ucu olarak OpenSSL paketini kullanır (gnutls desteği bir seçenek olarak korunur). Desteklenmeyen DNSSEC algoritmaları artık bir hata (SERVFAIL) döndürmek yerine güvensiz olarak değerlendirilir.
• systemd-sysusers, systemd-tmpfiles ve systemd-sysctl, yapılandırmayı kimlik bilgileri depolama mekanizmasından geçirme yeteneğini uygular.
• Dizeleri sürüm numaralarıyla karşılaştırmak için systemd-analizine 'sürümleri karşılaştır' komutu eklendi ('rpmdev-vercmp' ve 'dpkg –compare-versions'a benzer).
• 'systemd-analyze dump' komutuna sürücüleri maskeye göre filtreleme özelliği eklendi.
• Çok aşamalı bir uyku modu (uyku ve ardından hazırda bekletme, hazırda bekletme modundan sonra hazırda bekletme) seçerken, bekleme modunda harcanan süre artık kalan pil ömrü tahminine göre seçilir.
• Pil şarjı %5'ten az olduğunda anında uyku moduna geçiş yapılır.

Şunu da belirtmekte fayda var 2024'te systemd, cgroup v1 kaynak sınırlama mekanizmasını desteklemeyi durdurmayı planlıyor, systemd'nin 248 sürümünde kullanımdan kaldırıldı. Yöneticilerin, cgroup v1 ile bağlantılı hizmetleri cgroup v2'ye önceden taşımaya özen göstermeleri tavsiye edilir.

anahtar fark v2 ve v1 grupları arasında ortak bir grup hiyerarşisinin kullanılmasıdır CPU kaynak tahsisi, bellek yönetimi ve G/Ç için ayrı hiyerarşiler yerine tüm kaynak türleri için. Ayrı hiyerarşiler, farklı hiyerarşilerde adlandırılmış bir işlem için kurallar uygularken sürücüler arasındaki etkileşimi ve ek çekirdek kaynak maliyetlerini düzenlemede zorluklara yol açar.

2023 yılının ikinci yarısında, /usr kökten ayrı olarak monte edildiğinde veya /bin ve /usr/bin, /lib ve /usr/lib dizinleri ayrıldığında bölünmüş dizin hiyerarşilerinin desteklenmesinin durdurulması planlanmaktadır.