Systemd 260: TPM2, sandboxing dan semua perubahan pentingnya

Ketibaan systemd 260 menandakan titik perubahan Keluaran stabil ini memperkenalkan gelombang perubahan yang mempengaruhi pentadbiran sistem tradisional dan persekitaran kontena, virtualisasi, awan dan penggunaan perusahaan, di mana keselamatan dan prestasi semakin penting. Versi ini memberi tumpuan kepada cara perkhidmatan dimulakan, diurus dan diasingkan dalam kebanyakan pengedaran GNU/Linux moden.

Edisi ini menggabungkan keputusan yang telah dibuat sejak sekian lama, seperti persaraan muktamad ahli lama Skrip Sistem V yang memihak kepada unit systemd asliDi samping itu, ciri-ciri baharu telah ditambah untuk mengukuhkan pengasingan perkhidmatan (sandboxing), meningkatkan integrasi dengan perkakasan keselamatan seperti TPM2 dan menyediakan kawalan yang lebih terperinci ke atas CPU, memori dan rangkaian. Semua ini menjadikan systemd 260 versi utama yang harus difahami sepenuhnya sebelum penggunaan dalam pengeluaran.

Selamat tinggal kepada skrip Sistem V: hanya pemacu asli

Salah satu perubahan yang paling diperkatakan ialah penyingkiran sepenuhnya sokongan untuk skrip perkhidmatan Sistem V, juga dikenali sebagai SysV. Sokongan ini telah ditanda sebagai usang selama bertahun-tahun, tetapi dalam systemd 260 ia hilang sepenuhnya, jadi sistem mesti bergantung sepenuhnya pada unit systemd asli untuk memulakan dan mengurus perkhidmatan.

Bagi mereka yang masih bergantung kepada skrip dalam /etc/init.d atau mekanisme permulaan legasiMesejnya jelas: dalam pengedaran yang menggunakan systemd 260, perkhidmatan ini akan berhenti bermula jika ia belum dipindahkan ke fail unit. Tambahan pula, komponen dalaman yang terikat pada legasi ini akan dialih keluar, seperti systemd-rc-local-generator, rc-local.service, systemd-sysv-generator y systemd-sysv-install, yang sehingga kini berfungsi sebagai jambatan ke dunia SysV.

Pemotongan juga ketara dalam proses kompilasi itu sendiri: Pilihan Meson seperti -Drc-local=, -Dsysvinit-path= y -Dsysvrcnd-path= menjadi usang, manakala yang lain, seperti -Dintegration-tests= y -Dcryptolib=Ia hanya dialih keluar. Ini mengukuhkan komitmen projek untuk memudahkan kod, menghapuskan keserasian legasi dan memberi tumpuan kepada model unit natif.

Dalam persekitaran pengeluaran dengan penggunaan jangka panjang atau legasi, Perlu dilihat dengan teliti perkhidmatan mana yang masih bergantung pada SysV. y merancang migrasi Dengan peredaran masa. Dalam infrastruktur Eropah yang sangat konservatif, mungkin masih terdapat komponen penting yang bergantung pada skrip ini, jadi mengabaikan perubahan ini boleh mengakibatkan perkhidmatan gagal dimulakan selepas kemas kini.

Keperluan kernel dan cadangan versi yang lebih mencabar

Systemd 260 juga meningkatkan standard pada tahap kernel: Versi minimum Linux yang disokong kini ialah 5.10, meninggalkan sokongan untuk cabang 5.4. Di samping itu, projek ini mengesyorkan penggunaan sekurang-kurangnya Linux 5.14 dan menunjukkan siri 6.6 sebagai rujukan untuk memanfaatkan semua keupayaan yang diperkenalkan dalam edisi ini.

Peningkatan keperluan ini mempunyai kesan tertentu terhadap pusat data dan penggunaan kitaran yang sangat panjang di mana kernel LTS yang lebih lama masih berjalan. Walaupun kebanyakan pengedaran perusahaan dan komuniti utama kini berada pada 5.10 atau lebih tinggi, dalam persekitaran dengan dasar kemas kini yang sangat ketat, adalah penting untuk menyemak versi kernel yang sedang digunakan sebelum menaik taraf kepada systemd 260.

Dalam amalan, ini bermakna bahawa ciri keselamatan, rangkaian dan sandboxing baharu Mereka bergantung pada fungsi kernel yang tidak tersedia dalam cabang lama. Sesiapa yang ingin memanfaatkan sepenuhnya versi ini harus mempertimbangkan kemas kini kernel juga ke cawangan moden, terutamanya jika anda bekerja dengan kontena, virtualisasi intensif atau perkhidmatan berprestasi tinggi.

Mstack dan systemd-mstack: Pilihan baharu untuk lapisan dan bekas

Antara inovasi yang lebih teknikal, kemunculan fungsi mstack dan alat baris arahan systemd-mstackMstack membolehkan anda menentukan sistem lapisan berdasarkan OverlayFS bermula dari direktori khas yang dipanggil .mstack/, mengikuti struktur tertentu yang menetapkan cara lapisan berbeza disusun.

Perintah itu systemd-mstack Ia memudahkan kerja secara interaktif dengan bateri-bateri ini.menjadikannya lebih mudah untuk mencipta, memeriksa dan mengurus tindanan yang bergantung pada ciri ini. Fungsi ini berkaitan secara langsung dengan penambahbaikan dalam systemd-importd, yang memperoleh keupayaan untuk memuat turun dan mengendalikan imej OCI, sekali gus mengukuhkan peranan systemd sebagai komponen utama dalam persekitaran kontena dan sandboxing.

Keseluruhan set perubahan ini direka untuk mengembangkan pilihan penebat dan penggunaan ringan terus daripada systemd, tanpa terlalu bergantung pada alatan luaran. Dalam penyedia awan dan platform pengehosan, terutamanya di Eropah di mana kontena dan perkhidmatan sementara adalah perkara biasa, penyepaduan jenis ini menawarkan fleksibiliti tambahan.

TPM2, udev dan kemajuan dalam sandboxing dengan PrivateUsers

Satu lagi bidang kerja penting dalam systemd 260 ialah memperkukuh sokongan untuk TPM2 (Modul Platform Dipercayai 2.0), cip atau modul keselamatan yang terdapat dalam banyak papan induk dengan firmware UEFI dan selamat bootPerkakasan ini digunakan, antara lain, untuk memudahkan penyahsulitan cakera atau partition yang disulitkan semasa but, meningkatkan keselamatan sistem tanpa menjejaskan pengalaman pengguna.

Dalam versi ini, udev menggabungkan a arahan bersepadu baharu yang dipanggil tpm2_idAlat ini secara automatik mengekstrak pengecam model dan vendor peranti TPM2 sebaik sahaja ia dikesan. Ini memudahkan pengurusan perkakasan keselamatan dalam persekitaran yang dikawal selia, seperti agensi kerajaan atau syarikat yang tertakluk kepada peraturan perlindungan data yang ketat.

Sementara itu, systemd terus memperhalusi mekanisme pengasingannya. Pelaksanaan penuh Pengguna Persendirian melalui PrivateUsers=full Ia telah dikemas kini untuk memetakan julat penuh pengecam pengguna (UID)Hasil daripada perubahan ini, penyelesaian kompromi yang wujud untuk mengesan tika sistem bersarang dengan betul berdasarkan versi sebelum 257 telah dihapuskan.

Bagi mereka yang tidak biasa dengan konsep ini, PrivateUsers ialah ciri yang mewujudkan ruang ID pengguna terpencil Untuk unit tertentu, ini meningkatkan sandboxing dengan menjadikan proses melihat peta pengguna yang berbeza dan dengan itu merangkumnya dengan lebih baik daripada seluruh sistem. Ia merupakan komponen utama dalam strategi pengerasan perkhidmatan systemd.

FANCY_NAME dalam keluaran os dan tambahan kebolehgunaan kecil

Dalam Fail /etc/os-releaseMedan baharu muncul, digunakan untuk mengenal pasti pengedaran dan versi sistem, yang dipanggil FANCY_NAME=Bidang ini serupa dengan yang telah diketahui PRETTY_NAMEWalau bagaimanapun, ia menyokong urutan ANSI dan aksara Unicode yang lebih rumit, membolehkan nama yang lebih menarik perhatian atau tersendiri.

Nilai FANCY_NAME boleh dipaparkan melalui pengurus sistem, sudah systemd-hostnamed dan arahan itu hostnamectlIni membuka pintu untuk pengedaran mereka bentuk pengecam yang lebih menarik atau ekspresif untuk persekitaran grafik dan alat pentadbiran. Walaupun ia mungkin kelihatan seperti perincian kecil, dalam persekitaran korporat dengan banyak mesin, ia dapat membantu membezakan edisi, perisa atau tujuan tertentu dengan lebih baik.

systemd-networkd: integrasi dengan ModemManager dan pilihan rangkaian baharu

Dalam bidang rangkaian, systemd-networkd mendapat integrasi dengan ModemManager melalui protokol sambungan mudahGabungan ini memudahkan pengurusan modem dan sambungan mudah alih terus daripada fail konfigurasi rangkaian, yang sangat berguna dalam penggunaan di mana sambungan bergantung pada rangkaian 4G/5G, seperti lokasi luar bandar atau pautan sandaran.

Untuk tujuan ini, satu bahagian baharu diperkenalkan. dalam fail konfigurasiyang menerima parameter seperti APN=, AllowedAuthenticationMechanisms=, User=, Password=, IPFamily=, AllowRoaming=, PIN=, OperatorId=, RouteMetric= y UseGateway=Tetapan ini membolehkan anda menentukan dengan tepat bagaimana sambungan mudah alih diwujudkan dan diuruskan pada setiap antara muka.

Selain itu, fail .link Pekerja systemd-networkd menambah pilihan baharu untuk memperhalusi tingkah laku peranti Ethernet. Antaranya ialah: ScatterGather=, ScatterGatherFragmentList=, TCPECNSegmentationOffload=, TCPMangleIdSegmentationOffload=, GenericReceiveOffloadList= y GenericReceiveOffloadUDPForwarding=Arahan ini membolehkan anda melaraskan ciri pemunggahan lanjutan dan penerimaan generik, yang memberi kesan langsung kepada prestasi tindanan rangkaian.

Antara muka Varlink dan JSON bagi systemd-networkd juga telah diperhalusi supaya Sila laporkan alamat IP dalam format rentetan yang boleh dibaca oleh manusia untuk manusia, sambil mengekalkan perwakilan sebelumnya sebagai tatasusunan integer. Ini memudahkan penyepaduan dengan alat pemantauan, papan pemuka dan skrip pengurusan yang digunakan dalam semua jenis organisasi.

Keselamatan, integriti kelantangan dan pendelegasian akses peranti

Systemd 260 menggabungkan penambahbaikan keselamatan yang ketara. Antaranya, systemd-repart Ia menambah pemeriksaan integriti asas untuk jilid yang disulitkan, yang menyediakan lapisan kepercayaan tambahan apabila bekerja dengan partition yang dilindungi oleh teknologi penyulitan.

Untuk yang lain, systemd-logind y systemd-udevd Mereka memperkenalkan konsep "xaccess"Logik ini membolehkan penggunaan peranti tertentu diwakilkan kepada pengguna dengan sesi yang ditanda khas, melengkapi skema "uaccess" sedia ada, yang memberikan akses kepada peranti kepada pengguna dengan sesi latar depan.

Kes penggunaan utama bagi xaccess memberikan akses terkawal kepada peranti pemaparan GPU kepada sesi grafik setempat yang berkaitan dengan pengguna jauh yang tidak berada secara fizikal di stesen kerja. Konfigurasi dilakukan menggunakan pembolehubah persekitaran PAM XDG_SESSION_EXTRA_DEVICE_ACCESS=yang boleh digunakan dalam tindanan pengesahan PAM untuk memperhalusi perkakasan yang terdedah kepada siapa.

Dalam konteks pematuhan peraturan dan keperluan perlindungan data yang ketat, seperti yang terdapat di Kesatuan Eropah, dapat mewakilkan akses kepada perkakasan sensitif dengan butiran sedemikian Ia sangat sesuai dengan keperluan pengauditan dan kawalan. Pada masa yang sama, ia mengelakkan pemberian kebenaran peranti secara berlebihan kepada seluruh sistem.

Perkhidmatan mudah alih dan mesin sementara untuk pengguna yang tidak berkemampuan

Dalam bidang kebolehgunaan perkhidmatan, systemd-portabled Ia memperoleh keupayaan untuk dijalankan sebagai perkhidmatan peringkat penggunaIni bermakna akaun yang tidak mempunyai keistimewaan boleh melancarkan perkhidmatan mudah alih dalam ruang mereka sendiri, dengan syarat kernel menyokongnya, tanpa perlu menggunakan sudo mahupun meningkatkan keistimewaan.

Selain itu, systemd-portabled boleh menjana dasar dan menyematkan imej yang berkaitan pada perkhidmatan mudah alih.supaya imej tidak boleh diubah suai kemudian tanpa dilampirkan semula. Perincian ini memperkukuh keselamatan dan kebolehulangan, mencegah kejutan akibat perubahan senyap pada imej.

Bagi pihaknya, systemd-vmspawn Ia berintegrasi dengan lebih baik dengan systemd-machined dalam sesi penggunaIni memudahkan pengurusan mesin maya dengan lebih konsisten dalam ekosistem sistem. Pilihan untuk turut merangkumi --ephemeral perenggan mencipta mesin sementara yang dimusnahkan secara automatik setelah selesai digunakan, sesuatu yang amat menarik untuk makmal, persekitaran CI/CD atau bilik darjah di mana persekitaran sentiasa disediakan dan dibuang.

Penambahbaikan ini sesuai dengan trend mendesentralisasikan sebahagian daripada pengurusan perkhidmatan kepada pengguna sendirimengurangkan kebergantungan pada akaun root dan meningkatkan pengasingan antara persekitaran. Bagi pembangun dan pasukan pengujian, ia menyediakan cara yang mudah untuk bereksperimen tanpa menjejaskan sistem utama.

Penalaan halus kawalan CPU dan memori: SCHED_EXT dan THP setiap perkhidmatan

Systemd 260 mengembangkan set dasar yang tersedia untuk mengurus prestasi. Pilihannya CPUSchedulingPolicy= sekarang terima nilainya extIni membolehkan anda mengaktifkan penjadual SCHED_EXT. Penjadual ini, yang masih dalam percubaan, membuka pintu kepada dasar penjadualan alternatif kepada yang biasa dalam Linux, yang direka untuk senario lanjutan.

Integrasi ini memungkinkan Perkhidmatan khusus dilaksanakan di bawah dasar perancangan khususIni menarik untuk beban kritikal yang memerlukan tingkah laku yang sangat boleh diramal atau yang sedang dinilai dalam persekitaran penyelidikan dan pembangunan.

Di bahagian ingatan, arahan diperkenalkan MemoryTHP= untuk mengawal penggunaan Halaman Besar Telus (THP) bagi setiap perkhidmatanDaripada mendayakan atau melumpuhkan THP secara global, kini anda boleh menentukan dengan tepat pemacu mana yang mendapat manfaat daripada ciri ini dan yang tidak, berdasarkan corak akses memori mereka.

Kebutiran ini amat berharga dalam aplikasi kewangan, insurans atau pentadbiran awamdi mana keseimbangan yang halus dicari antara prestasi, kependaman dan penggunaan sumber. Melaraskan perkhidmatan THP mengikut perkhidmatan membantu mengelakkan kesan sampingan yang tidak diingini dalam proses yang tidak mengendalikan halaman besar dengan baik.

Varlink, utiliti baharu dan penambahbaikan dalam systemctl

Projek ini terus menggalakkan penggunaan Varlink sebagai mekanisme komunikasi antara komponenSystemd 260 terus memperluas protokol ini ke bahagian ekosistem yang berbeza, menyumbang kepada seni bina yang lebih koheren dan penyepaduan yang lebih mudah dengan alat luaran yang ingin berinteraksi dengan systemd secara berstruktur.

Dalam bidang pentadbiran, arahan yang terkenal systemctl Ia menggabungkan satu susunan baharu yang dipanggil enqueue-markedTindakan ini secara dalaman menggunakan kaedah D-Bus. EnqueueMarkedJobs(), yang membenarkan uruskan barisan kerja yang telah dipilih terlebih dahulu dan membolehkan aliran kerja orkestrasi yang lebih canggih merentasi ladang pelayan yang besar.

Walaupun penambahbaikan ini mungkin tidak disedari oleh pengguna akhir, untuk pasukan operasi yang menguruskan ratusan atau ribuan mesin Mereka memberikan bantuan yang ketara dalam mengautomasikan penggunaan, permulaan semula terkawal dan tugas penyelenggaraan.

Dokumentasi khusus untuk ejen AI dan sumbangan bantuan

Salah satu kejutan barisan pembangunan ini ialah penyertaannya dalam repositori dokumentasi yang direka khas untuk agen kecerdasan buatanSatu fail ditambah AGENTS.md yang menerangkan seni bina dalaman systemd, aliran pembangunan, gaya pengekodan dan garis panduan sumbangan, semuanya bertujuan untuk membantu alatan AI memahami projek dengan lebih baik.

Dokumen ini menyediakan Arahan tentang cara menjalankan arahan, melaksanakan ujian integrasi dan menyemak perubahanTujuannya adalah untuk menjadikan pembantu pengaturcaraan dan semakan automatik lebih tepat dan berguna. Ini merupakan petanda jelas bahawa systemd menganggap AI akan menjadi bahagian penting dalam kitaran hayat pembangunan perisian pada masa hadapan.

Di sebelah fail itu muncul CLAUDE.md, yang merujuk secara langsung kepada AGENTS.md sebagai bahan sokongan untuk alat Claude Code, salah satu pembantu pembangunan berasaskan AI yang paling popular. Fail konfigurasi juga disertakan dalam repositori. claude-review.yml, yang menerangkan bagaimana Kod Claude harus digunakan untuk membantu dalam semakan permintaan tarik.

Keseluruhan set ini dilengkapi dengan keperluan pendedahan eksplisit untuk sumbangan yang menggunakan AIseperti penggunaan label Co-developed-by dalam tampalan. Dengan cara ini, projek ini komited terhadap penyepaduan kecerdasan buatan yang bertanggungjawab ke dalam aliran kerjanya, tanpa kehilangan kebolehkesanan siapa (atau apa) yang telah campur tangan dalam setiap perubahan.

Dengan menggabungkan semua kepingan ini, systemd 260 sedang mengukuhkan dirinya sebagai versi yang membersihkan keserasian lamaIa memperkukuh keselamatan melalui TPM2, sandboxing dan pemeriksaan integriti, mengembangkan keupayaan rangkaian dan kontena serta mengambil langkah yang jelas ke arah ekosistem yang mana automasi, virtualisasi ringan dan kerjasama dengan alatan AI merupakan sebahagian daripada operasi harian. Bagi pentadbir dan pembangun, cabarannya terletak pada menyemak infrastruktur mereka, mengesahkan kernel, menyesuaikan konfigurasi dan memutuskan ciri baharu yang sesuai untuk dimanfaatkan dalam setiap kes.

artikel berkaitan:

Apakah Pengurus MOK, bagaimana ia berfungsi dan bagaimana ia mempengaruhi but selamat?

Ishak

Penulis yang bersemangat tentang dunia bait dan teknologi secara umum. Saya suka berkongsi pengetahuan saya melalui penulisan, dan itulah yang akan saya lakukan dalam blog ini, menunjukkan kepada anda semua perkara yang paling menarik tentang alat, perisian, perkakasan, trend teknologi dan banyak lagi. Matlamat saya adalah untuk membantu anda mengemudi dunia digital dengan cara yang mudah dan menghiburkan.