Verze 262 správce systémů a služeb systemd je nyní k dispozici a po třech měsících vývoje obsahuje významná vylepšení. Tato verze se vyznačuje optimalizací architektury pro lehká virtualizovaná prostředí, vylepšením kryptografických protokolů propojených s moduly důvěryhodné platformy (TPM) a přidáním klíčových funkcí do nativních nástrojů, jako jsou run0 a systemd-sysupdate.
S ohledem na kontejnery, které vyžadují minimální systémovou stopu, nyní systemd nabízí možnost kompilace jednoho spustitelného souboru se statickým linkováním. Tato kompilace (umožněná přes Meson s parametry jako `-Dsystemd-multicall-binary=true` ) je navržena tak, aby fungovala jako spouštěcí proces (PID 1) ve velmi malých kontejnerech, čímž se vyhýbá použití volání `dlopen()` pro načítání dynamických knihoven a spoléhá se na zjednodušené vyhledávání uživatelů a skupin namísto standardního NSS.
Spustitelný soubor nyní navíc interně obsahuje sadu základních souborů jednotek ( například basic.target, sysinit.target, multi-user.target a reboot.target a další). Tyto vložené soubory se používají jako záložní řešení v případě, že není možné načíst konfigurace z disku, což umožňuje spuštění kontejneru bez explicitní instalace souborů jednotek.
Správa služeb a obnova po poruchách
Pro zmírnění rizika synchronizovaných restartů při současném selhání více služeb byl zaveden parametr `RestartRandomizedDelaySec` . Tato zásada přidává náhodné (rovnoměrně rozložené) zpoždění před automatickým restartem služby, které se přičte k času nakonfigurovanému v `RestartSec`. Jednotky segmentů navíc obsahují `ActivatingConcurrencyMax`, což je limit určující maximální počet jednotek, které lze v hierarchii aktivovat současně; veškeré nadbytečné aktivace jsou zařazeny do fronty, dokud se neuvolní kapacitní sloty.
V prostředích vyžadujících nepřetržitou vysokou dostupnost (například kritické servery) byl pro servisní jednotky implementován parametr LUOSession. Tento parametr instruuje systemd k vytváření relací Live Update Orchestrator, což umožňuje horké aktualizace systémového jádra bez přerušení provozu služeb a zachování stavu procesů a zařízení.
TPM2, fscrypt a zabezpečení úložiště
Mezi další nové funkce v této verzi patří způsob, jakým jsou zapečetěné přihlašovací údaje v TPM nyní přímo propojeny s jejich kořenovým klíčem úložiště (SRK), což zabraňuje útokům typu „man-in-the-middle“ (MitM) ze strany zprostředkujících komponent, které se pokoušejí zachytit dešifrovaná data. Registrace přihlašovacích údajů PIN TPM2 prostřednictvím systemd-cryptenroll zahrnuje jako výchozí algoritmus Argon2id, čímž generuje mnohem robustnější klíčový materiál než starší implementace (direct/PBKDF2).
Na úrovni uživatelského úložiště upravil systemd-homed své chování pro adresáře šifrované pomocí souborového systému fscrypt: nově vytvořené adresáře budou standardně používat zásady verze 2 (fscrypt v2), což umožní, aby hlavní klíč byl uložen v klíčence souborového systému a byl viditelný v různých jmenných prostorech připojení. Adresáře fscrypt v1 zůstanou funkční, i když nebudou mít možnost upgradu na verzi v2.
Kromě toho byla pro modul jádra dm-clone zahrnuta nativní podpora bootování , která umožňuje generování modifikovatelných klonů z blokových zařízení pouze pro čtení, zpracovávaných generátorem systemd-clonesetup čtením ze souboru /etc/clonetab.
Atomové vylepšení a změny prostředí
Sada systemd-sysupdate, navržená pro aktualizace systému atomickým nahrazováním oddílů a adresářů, nyní udržuje trvalou databázi nainstalovaných souborů. Byl přidán příkaz cleanup pro odstranění nadbytečných souborů a byl přijat koncept „doporučených komponent“. Tyto komponenty lze dynamicky vyhodnocovat na základě architektury počítače nebo MachineTags pro automatizaci instalace ovladačů.
Mezi další významné změny ve verzi 262 patří:
- systemd-vmspawn: Přidává podporu pro spouštění důvěrných virtuálních počítačů v architektuře Intel TDX (–coco=tdx) a připojuje se k AMD SEV-SNP.
- OpenSSL a registrace: Systém neměnnosti záznamů (Forward Secure Sealing, FSS) se migruje z knihovny libgcrypt do nativních kryptografických funkcí OpenSSL. Přidává se také počáteční podpora kompilace pro OpenSSL 4.
- Terminál a použitelnost: Nástroj pro eskalaci oprávnění run0 přidává možnosti kompatibilní se sudo, jako například -k, -K a -v, pro resetování nebo ověření časového limitu autorizace Polkitu. vconsole umožňuje nastavit velikost písma na 100 % nebo 200 % pomocí FONT_SCALE a výzvy k zadání hesla pro tokeny FIDO2 nyní zobrazují zbývající pokusy o zadání PINu.
- systemd-sysctl: Nyní obsahuje příznak –verify pro kontrolu opakovaným načtením, zda byla hodnota zapsaná do systému skutečně použita.
A konečně, pokud máte zájem dozvědět se více, podrobnosti naleznete na následujícím odkazu.