- systemd 259 tuo osittaisen tuen musl-kirjastolle, libsystemd:n modulaarisuuden parempaan käyttöön ja run0 --empower-valitsimella valvotun käyttöoikeusmallin.
- Vaatimusten rimaa nostetaan: Linux-ytimestä 5.10, glibc 2.34:stä, OpenSSL 3.0.0:sta ja muista nykyaikaisista kirjastoista tulee pakollisia vähimmäisvaatimuksia.
- Vanhojen järjestelmien poistuminen käytöstä kiihtyy: SysV-skriptit jätetään hyvästien alle, TPM 1.2 -tuki loppuu, iptablesin käytöstä luovutaan ja nftablesin käyttöönotto on täysi.
- Ne parantavat havaittavuutta ja tietoturvaa oletusarvoisesti pysyvän lokin, uusien OOMKills-mittareiden ja useiden säätöjen avulla verkossa, säilöissä ja homed-ympäristössä.
Systemd 259 :n julkaisu vakaana versiona edustaa jälleen yhtä kiistanalaisinta ja olennaisinta Linux-ekosysteemin osaa. Puhumme palveluiden käynnistämiseen ja hallintaan tarkoitetusta kehyksestä, joka jo hallitsee useimpia jakeluita, ja tämä julkaisu kiristää entisestään teknisten vaatimusten, turvallisuuden ja vanhojen teknologioiden hylkäämisen ruuveja.
Tämä päivitys tulee useiden kuukausien intensiivisen työn jälkeen ja keskittyy kolmeen pääalueeseen: yhteensopivuuteen uusien C-kirjastojen kanssa, parannettuun tietoturvaan ja vanhan koodin (SysV-skriptit, TPM 1.2, iptables jne.) siivoamiseen. Se tuo myös merkittäviä muutoksia oikeuksien hallintaan run0:lla, muistin käsittelyyn systemd-oomd:lla, lokien tallennukseen ja libsystemd:n sisäiseen riippuvuusmalliin.
systemd 259 ja kokeellinen tuki muslille
Yksi tämän version puhutuimmista ominaisuuksista on, että systemd 259 sisältää ensimmäistä kertaa osittaisen tuen C-standardikirjastolle musl . Tätä kirjastoa käytetään laajalti kevyissä järjestelmissä, minimalistisissa säilöissä ja sulautetuissa ympäristöissä, joissa halutaan yksinkertaisuutta ja pienempää resurssien kulutusta glibc:hen verrattuna.
Musl-tuki otetaan käyttöön asettamalla Mesonin käännösjärjestelmän "libc"-asetukseksi "musl" . Tämä integraatio on kuitenkin kaikkea muuta kuin valmis: musl ei toteuta NSS (Name Service Switch) -mekanismia, joka pakottaa useiden systemd:n osien poistamisen käytöstä tätä kirjastoa vasten käännettäessä.
Tarkemmin sanottuna systemd 259:n rakentaminen musl-komennolla sulkee pois tärkeät komponentit, kuten nss-systemd, nss-resolve, systemd-homed, systemd-userdbd ja systemd-nsresourced . DynamicUser-vaihtoehto ja mahdollisuus suorittaa systemd-nspawn ilman käyttöoikeuksia eivät myöskään ole käytettävissä, mikä on erityisen tärkeää säilöympäristöissä, jotka ovat vahvasti riippuvaisia näistä ominaisuuksista.
Kehittäjät itse myöntävät, etteivät he voi taata pitkäaikaista tukea . Sen jatkuminen riippuu yhteisön todellisesta kiinnostuksesta, puuttuvia toimintoja tarjoavien lisäkerrosten kypsyydestä ja tähän kirjastoon liittyvistä virheraporteista. Jos kysyntä on vähäistä tai ylläpito osoittautuu liian monimutkaiseksi, ei olisi yllättävää, jos tätä tukea tarkistettaisiin tulevissa versioissa.
Tämä avautuminen musl-kirjastolle on kuitenkin tärkeä symbolisella tasolla: systemd:tä oli kritisoitu vuosia sen lähes yksinomaisesta riippuvuudesta glibc:stä , mikä teki siitä epäystävällisen vaihtoehtoisille jakeluille ja hyvin minimalistisille skenaarioille. Tämä askel ei ratkaise kaikkea, mutta se rikkoo kuvan järjestelmästä, joka on täysin suljettu muille C-kirjastoille.
run0 ja uusi etuoikeusmalli: vaihtoehto sudolle
Toinen systemd 259:n tärkeä ominaisuus on apuohjelma run0, ehdotettu nykyaikaiseksi ja turvallisemmaksi korvaajaksi sudolleTämä työkalu rakennettiin jo systemd-runin päälle, mutta nyt se saa keskeisen ominaisuuden: vaihtoehdon --empower.
Uusi `--empower`-argumentti mahdollistaa istunnon aloittamisen laajennetuilla oikeuksilla ilman, että UID:täsi muutetaan rootiksi . Perinteisen käyttäjätunnuksen vaihdon sijaan `run0` hyödyntää ytimen ominaisuuksia (kuten `CAP_SYS_ADMIN`) myöntääkseen juuri ne oikeudet, joita tarvitaan etuoikeutettujen toimintojen suorittamiseen, mikä vähentää täysin rootiksi tulemisen riskiä.
Lisäksi tällä lähestymistavalla käynnistetyt prosessit ryhmitellään loogiseen "valtuuttamisryhmään", jolla on pääsy laajaan joukkoon Polkitin hallinnoimia toimintoja . Ajatuksena on, että oikeuksien kasvu on porrastettua ja kontrolloitua, säilyttäen tiukemman erottelun kuin perinteisessä sudo-komennossa, jossa pääsy avataan usein liian laajalle.
Tämä lähestymistapa on linjassa trendin kanssa välttää pääkäyttäjän suoraa käyttöä aina kun mahdollista , mikä on erittäin arvostettu tietoturvaperiaate. run0:n todellinen tehokkuus on kuitenkin vielä osoitettava tuotannossa: meidän on nähtävä, miten se integroituu kunkin jakelun käytäntöihin, miten sen ominaisuudet konfiguroidaan käytännössä ja kuinka hyvin järjestelmänvalvojat sopeutuvat uuteen työnkulkuun.
SysV-init- ja legacy-puhdistustoimintojen tuen loppu
systemd 259 merkitsee myös System V -tyylisten palveluskriptien lopullisen lopun alkua . Yhteensopivuus näiden klassisten mekanismien kanssa oli merkitty "poistumassa" vuosia, ja nyt niiden poistamiselle on laadittu selkeä aikataulu.
Tässä versiossa ilmoitetaan, että seuraavaa merkittävää julkaisua silmällä pitäen, Historialliset komponentit, kuten systemd-sysv-generator, systemd-rc-local-generator ja systemd-sysv-install, poistetaan.Eli skriptit /etc/init.d/ Systemd ei enää ota niitä huomioon, mikä päättää lähes vuosikymmenen kestäneen siirtymävaiheen.
Järjestelmänvalvojille, jotka edelleen ylläpitävät SysV-skripteihin perustuvia mukautettuja palveluita , tämä tarkoittaa työhön ryhtymistä: kaikki kyseiset skriptit on inventoitava ja siirrettävä natiiveihin systemd-yksiköihin (.service, .socket jne.). Suuret jakelut ovat jo tehneet lähes koko tämän siirtymän, mutta mukautetuissa ympäristöissä tai vanhemmissa asennuksissa jotkin "jäänteet" saattavat edelleen olla käynnissä taustalla.
Tämä vanhan järjestelmän puhdistusprosessi ei rajoitu SysV:hen. Systemd:n uudemmat versiot ovat jo poistaneet tuen klassisille metodeille, kuten `/forcefsck` ja `/fastboot` , ja korvanneet ne ydinparametreilla ja nykyaikaisemmilla tunnistetietomekanismeilla. Versiossa 259 suunta on sama: vähemmän taaksepäin yhteensopivuutta vastineeksi ylläpidettävämmästä ja johdonmukaisemmasta koodikannasta.
Systemd:n vähimmäisvaatimukset 259: ydin, kirjastot ja ympäristö
Yksi muutoksista, joilla voi olla suurin vaikutus vanhempiin järjestelmiin, on systemd 259:n suorittamiseen tarvittavien ohjelmistojen vähimmäisvaatimusten kasvu. Tämä versio ei enää välitä kovin vanhoista laitteistoista tai pinoista, ja se pyrkii selvästi kohti moderneja alustoja.
Systemd 259:ään yhdistettyjen keskeisten vaatimusten joukossa ovat: sitoutuminen nykyaikaisiin alustoihin
- Linux-ydin vähintään 5.10 (suositus on mennä ainakin tasolle 5.14).
- glibc2.34 GNU-standardikirjaston minimaalisena versiona.
- Avaa SSL 3.0.0 pakollisena perustana tuetuille salaustoiminnoille.
- util-linux 2.37 järjestelmän perustoimintojen edellytyksenä.
- libxcrypt 4.4.0 salasanoihin liittyvien kryptografisten toimintojen hallintaan.
- cryptsetup 2.4.0 ja libseccomp 2.4.0 volyymisalausta ja järjestelmäkutsujen suodatusta varten.
- Python 3.9.0 aputyökalujen vähimmäisriippuvuutena.
- Joissakin muistiinpanoissa mainitaan myös elfutils 0.177 osana päivitettyä riippuvuuksien joukkoa.
Tämä tiukennus tarkoittaa, että erittäin vanhat järjestelmät tai jakelut, jotka käyttävät ennen 5.10:tä olevia ytimen haaroja, suljetaan automaattisesti pois tämän version tuesta, elleivät ne päivitä pohjana olevaa teknologiaansa. Vastineeksi saavutetaan homogeenisempi ekosysteemi, jossa on vähemmän erikoistapauksia ja kompromissiratkaisuja.
Useimmille yleiskäyttöisille työpöytä- ja palvelinjakeluille näiden vaatimusten ei pitäisi olla ongelma: nykyaikaiset LTS-ytimen haarat ylittävät jo reilusti 5.10-rajan , ja mainitut kirjastot ovat laajalti saatavilla. Suurimmat ongelmat voivat ilmetä sulautetuissa järjestelmissä, laitteissa tai erittäin konservatiivisissa asennuksissa, joita ei päivitetä usein.
Parannettu suojaus: TPM 2.0, salaus ja laiterajoitukset
Tietoturvan saralla systemd 259 vauhdittaa edistymistään useilla merkittävillä päätöksillä. Näkyvin niistä on se, että systemd-boot ja systemd-stub luopuvat lopullisesti TPM 1.2:n tuesta , joten tästä lähtien vain TPM 2.0:aa pidetään referenssistandardina.
Tämä muutos tarkoittaa, että järjestelmissä, jotka käyttivät TPM 1.2:ta suojatun käynnistyksen käytäntöjen tai salausavainten hallintaan, laitteisto on päivitettävä (esimerkiksi vaihtamalla emolevy), jos ne haluavat jatkaa näiden ominaisuuksien käyttöä systemd-bootin uudemmilla versioilla. Monilla Linux-työpöytäkäyttäjillä TPM ja suojattu käynnistys ovat poissa käytöstä, joten he eivät välttämättä edes huomaa muutosta, mutta sillä voi olla vaikutusta yritys- tai korkean turvallisuuden ympäristöissä.
Aiemmissa julkaisuissa, kuten systemd 258:ssa, tällä alueella oli jo tehty merkittäviä muutoksia: OpenSSL:stä tuli ainoa systemd-resolvedin ja systemd-importd:n tukema salauskirjasto , jättäen pois vaihtoehdot, kuten GnuTLS ja libgcrypt. Kaikki tämä viittaa konsolidointiin pienemmän ja paremmin hallitun kryptografisten työkalujen joukon ympärille.
Myös haarassa 258 otettiin käyttöön tiukemmat oletusarvoiset käyttöoikeusrajoitukset tty/pts-käyttöoikeuksille : solmut luodaan käyttöoikeuksilla 0600 käyttöoikeuksien 0620 sijaan, mikä estää muita käyttäjiä kirjoittamasta päätteillemme. Tämä on jälleen yksi esimerkki siitä, miten systemd on hienosäätänyt matalan tason yksityiskohtia jo jonkin aikaa, mikä yhdessä vahvistaa järjestelmän yleistä tietoturvaa.
libsystemd on modulaarisempi ja latautuu dynaamisesti.
Paremman tehokkuuden ja riippuvuuskuormituksen vähentämiseksi systemd 259 tuo merkittäviä muutoksia libsystemd:n ja muiden järjestelmäkirjastojen vuorovaikutukseen . Tavoitteena on estää kaiken siirtäminen alusta alkaen ja ladata se vain tarvittaessa.
Tarkemmin sanottuna libsystemd käyttää nyt dlopen()-funktiota ladatakseen dynaamisesti kirjastoja, kuten libacl, libblkid, libseccomp, libselinux ja libmount . Tämä tarkoittaa, että näitä riippuvuuksia ei ole jäykästi linkitetty käännösaikana eikä niitä aina ladata muistiin: ne aktivoidaan vain, kun tietty funktio vaatii niitä.
Sama mekanismi `dlopen()`-funktion kanssa pätee myös integrointiin Linuxin auditointijärjestelmän ja PAM:n kanssa . Tällä tavoin systemd:n käynnistys ja normaali toiminta voivat olla kevyempiä ympäristöissä, jotka eivät vaadi kaikkia näitä komponentteja samanaikaisesti.
Toisaalta libcap-kirjaston aiemmin tarjoamat toiminnot on integroitu suoraan libsystemd:hen . Tämä poistaa toisen ulkoisen riippuvuuden, yksinkertaistaa rakennusketjua ja vähentää mahdollisia vikaantumis- tai yhteensopimattomuuskohtia.
Yleisesti ottaen tämä lähestymistapa tarjoaa paremman modulaarisuuden ja pienemmän muistin ja levytilan tarpeen , erityisesti järjestelmissä, joissa halutaan nopeat käynnistysajat ja tiiviisti pakattu palveluvalikoima.
Verkko- ja säilömuutokset: hyvästit iptables, tervetuloa nftables
Myös verkko- ja virtualisointialueella tapahtuu merkittäviä muutoksia. Systemd-versiosta 259 alkaen systemd-networkd ja systemd-nspawn eivät enää tue NAT-sääntöjen luomista iptables/libiptc:n avulla . Ainoa tuettu palomuuri-taustajärjestelmä on nftables.
Tämä vaikuttaa suoraan systemd-nspawnilla hallittuihin kontteihin, jotka perustuivat NAT:iin iptables:n kautta , sekä systemd-networkd:ssä määriteltyihin verkkoihin, jotka käyttivät osoitteenkäännössääntöjä klassisessa taustajärjestelmässä. Julkaisuehdokkaiden testeissä havaittiin hiljaisia NAT-toimintojen virheitä, kunnes koko kokoonpano siirrettiin nftablesiin.
Osoitteiden kääntämisen lisäksi systemd-ratkaistu saa mahdollisuuden käyttää paikallisia koukkuja en /run/systemd/resolve.hook/Nämä komennot suoritetaan joka kerta, kun paikallinen nimenselvityskysely suoritetaan. Tämä avaa oven DNS-palveluntarjoajan edistyneille mukautuksille ja erityislogiikalle.
Kuvien tuonnin ja hallinnan alalla systemd-importd sisältää natiivin logiikan TAR-tiedostojen käsittelyyn, joka perustuu GNU tar -apuohjelman libarchiveen. Lisäksi sekä systemd-importd että systemd-machined voidaan nyt ajaa käyttäjätilassa, jolloin voidaan hallita järjestelmään sijoitettuja järjestelmäkuvia. ~/.local/state/machines/.
Näiden tilojen hallitsemiseksi importctl-apuohjelma lisää asetukset "--user" ja "--system" , joiden avulla voit helposti valita, toimitaanko käyttäjäkontekstissa vai järjestelmätasolla. Tämä lähestymistapa on hyödyllinen kehitys- ja testausympäristöissä, joissa et halua muokata koneen globaaleja kokoonpanoja.
Pysyvä lokikirjaus oletusarvoisesti ja levytilan hallinta
Toinen käytännön vaikutusta omaava muutos on oletusarvoinen päiväkirjan tallennustila, systemd:n lokikirjausjärjestelmä. Tähän asti "automaattinen" toiminta riippui hakemiston olemassaolosta vai puuttumisesta. /var/log/journal.
systemd 259:ssä oletustilaksi tulee "pysyvä " riippumatta siitä, onko kansio ollut olemassa aiemmin. Tämä tarkoittaa, että loki tallennetaan oletuksena pysyvästi levylle sen sijaan, että se tallennettaisiin haihtuvaan RAM-muistiin.
Tällä päätöksellä on hyvät ja huonot puolensa. Toisaalta se yksinkertaistaa vianmääritystä huomattavasti , koska lokit selviävät uudelleenkäynnistyksistä ilman, että järjestelmänvalvojalta vaaditaan erityistoimia. Toisaalta sulautetuissa järjestelmissä, kevyissä säilöissä tai ympäristöissä, joissa on hyvin vähän tallennustilaa, se voi johtaa merkittävään levyn käytön kasvuun.
Näissä tilanteissa on tärkeämpää kuin koskaan säätää lokitietojen rotaatio- ja kokokäytäntöjä tai jopa pakottaa eri tallennustila, jos haluat välttää liiallista kulumista (esimerkiksi flash-muisteissa, joissa on rajoitetut kirjoitussyklit).
systemd-oomd, OOM-seuranta ja resurssienhallinta
Myös muistinhallinta ja "Muisti loppui" -tilanteet ovat saaneet merkittäviä parannuksia. Systemd-oomd-komponentti, joka vastaa muistin riittämättömyyteen reagoimisesta , sisältää uusia ominaisuuksia, jotka parantavat näkyvyyttä.
Tarkemmin sanottuna OOMKills- ja ManagedOOMKills-ominaisuudet ovat nyt käytettävissä palveluille , jotka tallentavat ytimen tai itse systemd-oomd:n lopettamien prosessien määrän riittämättömän muistin vuoksi. Näihin tietoihin pääsee käsiksi suoraan systemd-työkaluilla, mikä helpottaa myöhempää tapausten analysointia.
Kun prosessi riistäytyy käsistä ja alkaa "ahmia" RAM-muistia niin paljon, että se vaarantaa järjestelmän , näiden mittareiden avulla näet yhdellä silmäyksellä, mitkä yksiköt ovat vaurioituneet, kuinka monta kertaa OOM-mekanismi on lauennut ja mitkä komponentit aiheuttavat eniten muistipainetta.
Korkean kuormituksen ympäristöjen tai erittäin tiukkojen resurssien omaavien järjestelmien järjestelmänvalvojille tämä parempi kyky tarkkailla muistin ulkopuolista toimintaa on erityisen hyödyllinen, koska se auttaa tunnistamaan huonosti mitoitetut palvelut tai muistivuodot, jotka ovat aiemmin saattaneet jäädä huomaamatta.
Muita merkittäviä parannuksia systemd 259:ssä
Edellä mainittujen suurten muutosten lisäksi systemd 259 sisältää lukuisia parannuksia ja pieniä muutoksia, jotka ovat hajallaan ekosysteemissä . Monet niistä ovat melko teknisiä, mutta ne kannattaa tarkistaa, koska yhdessä ne muodostavat merkittävän muutoksen.
API:n uusien ominaisuuksien joukossa on mm. Varlink-protokollaan perustuvaa käyttöliittymää laajennetaan salliakseen pääsyn palvelun konfigurointiin ja suorittaakseen IPC-kutsuja, kuten Reload() y Reexecute()Lisäksi on lisätty erityisiä kutsuja systemd-repart-, systemd-resolved- ja systemd-networkd-toimintojen käsittelemiseksi.
Konfiguraatiossa ja yksiköissä on otettu käyttöön ExecReloadPost-vaihtoehto , jonka avulla komentoja voidaan käynnistää heti palvelun konfiguraation uudelleenlatauksen jälkeen. Lisäksi ".ignore"-päätteiset konfiguraatiotiedostot hylätään nyt automaattisesti. Tämä on yksinkertainen temppu tiedostojen poistamiseksi käytöstä ilman, että niitä tarvitsee poistaa tai nimetä uudelleen merkittävästi.
Väliaikaiset yksiköt saavat omistusoikeuden JuurihakemistoTiedostokuvaaja, joka määrittää juurihakemistoa vastaavan tiedostokuvaajan, ja lisätään uusi asetus Käyttäjänimiavaruuden polku, jonka avulla voit linkittää aseman käyttäjän nimiavaruuteen määrittämällä polun /procsystemd-nspawnissa direktiivi näkyy Nimiavaruuden polku osiossa .nspawn-tiedostoista osoittaaksesi käytettävän verkon nimiavaruuden.
Muita komponentteja, kuten systemd-sysext ja systemd-confext sisältävät omat asetustiedostonsa en /etc/systemd/systemd-sysext.conf y /etc/systemd/systemd-confext.confYmpäristömuuttujat SYSTEMD_SYSEXT_OVERLAYFS_MOUNT_OPTIONS y SYSTEMD_CONFEXT_OVERLAYFS_MOUNT_OPTIONS Niiden avulla voit säätää peittokuvien kiinnitysvaihtoehtoja.
Udevin maailmassa vaihtoehto on lisätty VAIHTOEHTO=»dump-json» systemd-udevd:hen Tapahtuman nykyisen tilan näyttämiseksi JSON-muodossa, funktio net_id Se luo ennustettavia nimiä langattomille rajapinnoille järjestelmissä, joissa on DeviceTree, ja luo symbolisia linkkejä. /dev/gpio/by-id/... GPIO-laitteille.
Myös käyttäjä- ja tiliosiota vahvistetaan: Käyttäjätietokanta sisältää UUID-kentänuserdbctl-apuohjelma tukee "-uuid"-optiota tämän tunnisteen hakemiseen, ja homectl update Se tukee nyt "--recovery-key" -ominaisuutta palautusavainten lisäämiseksi olemassa oleville tileille.
systemd-homedissa asetukset "--prompt-shell" ja "--prompt-groups" sisällytetään ensimmäisen käynnistyksen aikana käyttämällä systemd-homed-firstboot.service-palvelua, ja systemd-firstbootissa "--prompt-keymap-auto" näyttää kysyvän näppäimistökarttaa, kun käytetään paikallista konsolia ensimmäisen käynnistyksen yhteydessä.
El systemd-boot-käynnistyshallinta lisää mahdollisuuden määrittää lokin yksityiskohtaisuuden tason parametrilla log-level en loader.conf tai SMBIOS-kentän avulla io.systemd.boot.loglevelLisäksi tiukempia vaatimuksia yhdistetään osioille, kuten XBOOTLDR:lle, jonka on nyt oltava VFAT-muodossa, nykyaikaisten UEFI-järjestelmien ESP:lle jo asetettujen vaatimusten mukaisesti.
Edistyneellä verkkotasolla systemd-networkd lisää EmitDomain- ja Domain-asetukset DHCP-palvelimelle ja toteuttaa ohjaimen, joka määrittää DHCP:n kautta myönnetyt isäntänimet DNS-selvityksen avulla. Samaan aikaan systemd-modules-load lataa ytimen moduulit rinnakkain , mikä lyhentää käynnistysaikoja järjestelmissä, joissa on useita ajureita.
Lopuksi, eheysosiossa systemd-integrity-setup lisää tuen HMAC-SHA256-, PHMAC-SHA256- ja PHMAC-SHA512-algoritmeille , laajentaen järjestelmän eheyden suojaamiseen käytettävissä olevien kryptografisten vaihtoehtojen valikoimaa.
Kaikkien näiden muutosten myötä systemd 259 vahvistaa asemaansa erittäin teknisenä, vaativana ja selvästi tulevaisuuteen suuntautuneena versiona . Se kannustaa käyttäjiä hylkäämään vanhat teknologiat, kuten SysV init, iptables ja TPM 1.2, vahvistaa tietoturvaa ja resurssienhallintaa, parantaa sisäistä modulaarisuutta ja avaa oven uusille musl-kokoonpanoille, vaikkakin osittain ja ehdollisesti. Pistejulkaisuja käyttäville loppukäyttäjille monet näistä uusista ominaisuuksista jäävät lähes huomaamatta; järjestelmänvalvojien ja projektien, jotka käyttävät jatkuvasti uusinta versiota, on aika tarkastella huolellisesti skriptejä, yksiköitä ja laitteistovaatimuksia ennen vaihtoa.
