- 静的バイナリと埋め込みユニットファイルの使用による、コンテナの抜本的な最適化。
- TPM2へのArgon2idの統合と、新しいfscrypt v2暗号化ポリシーの導入により、セキュリティが強化されました。
- Intel TDXのサポートとホットカーネルアップデートツールによる、機密性の高い仮想化技術の進歩。
Linuxエコシステムは、systemd 262のリリースによって、まさに新鮮な息吹を得ました。このサービスマネージャーに期待されるように、開発チームは一切妥協せず、コンピュータの起動方法から暗号化キーの管理方法まで、システムのほぼすべての側面に対応し、より堅牢で柔軟なシステムを実現しています。
今回のリリースで最も注目すべき点は、仮想化環境とコンテナに重点を置いていることです。これは、サービスの展開を可能な限り軽量かつ効率的にすることを目指しています。単にいくつかの機能を追加するだけでなく、システム管理者や開発者がマシンを最適化するためのツールをより多く利用できるように、特定のアーキテクチャを再考することを目的としています。
コンテナ業界における革命
コンテナをできるだけ小さく保つ必要に日々苦労しているユーザーにとって、systemd 262 はまさに救世主となる機能を提供します。それは、単一の静的バイナリとしてコンパイルできる機能です。これにより、プロセス PID 1 はロードする必要のある多数の動的ライブラリに依存しなくなり、極めて小さく自己完結型のコンテナイメージを作成できるようになり、dlopen() の使用を回避し、ユーザーとグループの解決を簡素化できます。
さらに、設定ファイルが見つからないためにコンテナがハングアップするのを防ぐため、マネージャには組み込みのドライブファイルが含まれるようになりました。これらは、シャットダウン、再起動、マルチユーザーブートなどの重要なタスクの内部バックアップとして機能します。systemd がディスク上でこれらのファイルを見つけられない場合、統合されたファイルを使用するため、すべてのドライブが個別にインストールされていない最小限の環境での操作が大幅に簡素化されます。
サービス管理とシステム安定性
数千台のサーバーで同時にサービスが停止した場合、同時再起動によってドミノ効果が発生し、ネットワークやリソースが過負荷になることがあります。この問題を回避するため、`RestartRandomizedDelaySec`オプションが追加されました。このオプションは、サービスを再起動する前にランダムな遅延を挿入することで、ワークロードを分散します。さらに、システムが多数のプロセスを起動して過負荷になるのを防ぐため、スライサーで`ActivatingConcurrencyMax` ディレクティブを使用してアクティベーションの同時実行数を制限できるようになりました。
高可用性の分野では、Live Update Orchestrator（LUO）との統合が際立っています。新しいLUOSessionオプションのおかげで、Linuxカーネルのライブアップデートを調整することが可能になり、サービスを再起動することなくシステムをアップデートし、プロセスの状態を維持できます。これは、1秒たりともダウンタイムを許容できない重要なサーバーにとって、まさに大きなメリットとなります。
最先端の暗号化とセキュリティ
セキュリティ面では、systemdは対策を強化しました。TPMモジュールに格納された認証情報はストレージルートキー（SRK）に直接リンクされるようになり、データ傍受攻撃の可能性はほぼなくなりました。さらに、TPM2でPINを設定するユーザー向けには、従来の方式よりも総当たり攻撃に対する耐性が大幅に向上したArgon2idアルゴリズムが実装されました。
一方、systemd-homed による暗号化されたホーム ディレクトリの処理は、デフォルトでfscrypt v2 ポリシーを使用するようになりました。これにより、マスター キーをさまざまなマウント 名前空間で表示できるようになりますが、v1 ディレクトリを v2 に自動的に移行する方法はないことに注意してください。また、 systemd-cryptenroll に初回起動ウィザードが追加され、起動直後から追加のロック解除方法を簡単に設定できるようになったことも注目に値します。
仮想化、ネットワーク、および自動展開
systemd-vmspawnツールは、既存のAMD SEV-SNPサポートに加え、 Intel TDXのサポートを追加することで、大きな進歩を遂げました。これにより、仮想マシンをホストインフラストラクチャの他の部分から分離できるため、機密性の高いコンピューティングが強化されます。これは、メモリのプライバシーが最優先されるクラウド環境において非常に重要な機能です。
大規模なデプロイメントを管理するユーザー向けに、systemd-firstboot にヘッドレスモードが追加されました。これにより、ユーザーにプロンプトを表示することなく初期設定を自動的に実行できるため、無人インストールに最適です。ネットワークに関しては、systemd-networkd がマシンタグに基づいて設定をフィルタリングできるようになり、既に稼働中のインターフェースを再起動せずにファイルを再読み込みできるようになりました。
その他の改良点と技術的な興味深い点
sudoの代替となるrun0の進化も忘れてはなりません。run0には、一時的な認証の更新や取り消しなど、管理者にとってより馴染みのあるオプションが追加されました。さらに、アトミックアップデートシステムもsystemd-sysupdateによって改良され、インストールされたファイルに対するより厳格な制御が可能になり、cleanupコマンドを使用して不要になったファイルを削除できるようになりました。
このバージョンの特に興味深い機能の一つは、 AIカナリアの導入です。この仕組みは、プロジェクトに提出される前に人間によるレビューを受けていない言語モデリング（LLM）コードを検出するように設計されています。これは、コードの品質を高く維持し、貢献者がリポジトリにアップロードした内容に責任を持つことを保証するための安全策です。
その他の技術的な強化点としては、 OpenSSL 4のサポート、読み取り専用デバイスクローンを作成するための dm-clone モジュールの統合、そしてジャーナルリカバリ機能の改善が挙げられます。ジャーナルリカバリ機能により、突然のシャットダウン後でも有効なエントリを取得できるようになりました。これらすべてに加え、開発者向けの新しい JSON 形式の CLI も搭載されており、このバージョンは Linux 管理において大きな飛躍を遂げています。
今回のアップデートは、Linuxインフラストラクチャの管理方法を変革し、コンテナの軽量性を最適化し、高度な暗号化と機密性の高い仮想化によってシステムを保護するとともに、サービス再起動時のクラッシュを防ぐためのインテリジェントなメカニズムを導入し、デプロイメントの完全な自動化を容易にします。
