Systemd 262 veröffentlicht – mit Builds mit statischer PID 1 und verbesserter Unterstützung für Container, TPM und VMs

Systemd 262 ist nun verfügbar und bietet Builds mit statischer PID 1 für kleine Container, Unterstützung für Intel TDX, Verbesserungen beim TPM sowie aktualisierte Funktionen zur Dienstverwaltung.
Eine Übersetzung von 🇬🇧 Linuxiac.com

Systemd 262 wurde als neueste stabile Version des weit verbreiteten Linux-System- und Dienstmanagers veröffentlicht und bietet neue Container- und Virtualisierungsfunktionen, Verbesserungen bei TPM und Verschlüsselung, eine verbesserte Journal-Wiederherstellung sowie mehrere Erweiterungen im Bereich der Dienstverwaltung.

Eine bemerkenswerte Neuerung ist die Unterstützung für die Erstellung von systemd als einzelne, statisch verknüpfte PID-1-/Executor-Binärdatei, die in erster Linie für sehr kleine Containerumgebungen gedacht ist. Diese Builds vermeiden das dynamische Laden optionaler Bibliotheken und verwenden vereinfachte Benutzer- und Gruppensuchen anstelle von NSS.

Die Dienstverwaltung wurde um mehrere Funktionen erweitert. Eine neue Option namens RestartRandomizedDelaySec= führt eine zufällige Verzögerung vor dem automatischen Neustart von Diensten ein, wodurch verhindert wird, dass viele Dienste nach einem Ausfall gleichzeitig neu gestartet werden. Slice-Einheiten erhalten zudem die Option ActivatingConcurrencyMax=, die begrenzt, wie viele Einheiten in einer Slice-Hierarchie gleichzeitig aktiviert werden können, wobei zusätzliche Jobs in die Warteschlange gestellt werden, bis Kapazität verfügbar ist.

Im Bereich der Virtualisierung unterstützt systemd-vmspawn nun über die Option --coco= vertrauliche virtuelle Maschinen mit Intel TDX und ergänzt damit die bereits vorhandene Unterstützung für AMD SEV-SNP. Secure Boot kann mit kompatibler Firmware für vertrauliche virtuelle Maschinen aktiviert werden.

Es gibt zudem wichtige Verbesserungen im Zusammenhang mit TPM. TPM-versiegelte Anmeldedaten werden nun an den Storage Root Key des TPM gebunden, was zusätzlichen Schutz vor Angriffen durch ein zwischengeschaltetes TPM-Gerät bietet. Systemd 262 fügt außerdem Argon2id-Unterstützung für die TPM2-PIN-Registrierung hinzu, wodurch das aus der PIN abgeleitete Schlüsselmaterial im Vergleich zum älteren, direkt/PBKDF2-kompatiblen Ansatz gestärkt wird.

Darüber hinaus erhält systemd-cryptenroll einen optionalen Assistenten für den ersten Systemstart, um zusätzliche Mechanismen zur Festplattenentsperrung auf Systemen hinzuzufügen, die auf einer unbeaufsichtigten TPM-basierten Verschlüsselung beruhen. Für automatisierte oder headless-Setups stehen zudem die neuen Optionen --unlock-empty und --unlock-headless zur Verfügung.

Eine weitere bemerkenswerte Änderung im Bereich der Speicherung betrifft systemd-homed. Neu erstellte, mit fscrypt gesicherte Home-Verzeichnisse verwenden standardmäßig fscrypt-v2-Richtlinien. Bestehende v1-Home-Verzeichnisse werden weiterhin unterstützt, allerdings gibt es keinen direkten Upgrade-Pfad zwischen den beiden Formaten.

Der Journal-Stack wurde hinsichtlich der Zuverlässigkeit verbessert. systemd kann nun versuchen, gültige Einträge aus aktiven Journal-Dateien wiederherzustellen, deren Kopf- oder Enddaten bei einem unsauberen Herunterfahren unter hoher Schreiblast abgeschnitten wurden. Wichtig ist, dass die Unterstützung für das Journal-Sealing von libgcrypt zu OpenSSL verlagert wurde.

Im Netzwerkbereich kann systemd-networkd Netzwerkkonfigurationen mit Maschinen-Tags abgleichen, während networkctl reload eine neue Option namens  --no-reconfigure erhält, um Konfigurationsdateien neu zu laden, ohne bestehende Schnittstellen sofort neu zu konfigurieren. Bei einigen gestapelten Netzwerkgeräteeinstellungen können zudem mehrere Gerätenamen gleichzeitig angegeben werden.

Darüber hinaus erweitert systemd 262 systemd-sysupdate weiter, das nun eine persistente Datenbank der installierten Dateien führt und Dateien, die nicht mehr mit der aktuellen Konfiguration übereinstimmen, durch einen neuen Bereinigungsvorgang entfernen kann.

Komponenten und Funktionen erhalten zudem einen Empfehlungsmechanismus, der je nach Architektur, Virtualisierungsumgebung, Firmware-Eigenschaften, Maschinen-Tags und anderen Systemmerkmalen automatisch Elemente empfehlen oder aktivieren kann.

Zu den weiteren Änderungen zählen die Unterstützung von OpenSSL 4, neue run0 Optionen, die mit mehreren bekannten sudo-Verhaltensweisen kompatibel sind, ein headless Modus für systemd.firstboot=, verbessertes FIDO2-PIN-Feedback sowie eine neue experimentelle Option namens  --introspect-cli, die maschinenlesbare Befehlsmetadaten im JSON-Format bereitstellt, anstatt dass Skripte die --help Ausgabe analysieren müssen.

Wie bei einer größeren systemd-Veröffentlichung üblich, führt Version 262 mehrere Kompatibilitätsänderungen und Veraltungshinweise ein. Unter anderem wurde das veraltete udev-Steuerungs-Socket-Protokoll zugunsten von Varlink-IPC entfernt, mehrere alte Meson-Build-Optionen wurden abgeschafft und einige Befehlsausgaben sowie JSON-Schnittstellen wurden geändert.

Weitere Details finden Sie im vollständigen Changelog.

Spendieren Sie Bobby einen ☕ Ko-fi

Ein Service von s3n🧩net