Systemd 260: TPM2, liivakast ja uued võimalused Linuxis

Riistvara juhend » Juhendite ostmine » Systemd 260: TPM2, liivakast ja uued võimalused Linuxis

Saabumisel systemd 260 Linuxi distributsioonid astuvad järjekordse olulise sammu moodsama ja turvalisema ökosüsteemi suunas, mis on suunatud pilvekeskkondadele, virtualiseerimisele ja automatiseerimisele. See versioon ei lihvi ainult detaile: see toob kaasa olulisi muudatusi käivitamises, teenuste haldamises, võrgustamises, TPM2 kasutamises terviklikkuse ja krüptimise tagamiseks ning draivi tasemel liivakastifunktsioonides.

Samal ajal tugevdab projekt oma dokumentatsiooni ja töömeetodit tehisintellekti agendidSee teeb selgeks, et systemd on kriitilise tähtsusega tugisammas, millega ühendub üha rohkem arendus- ja jälgimistööriistu. Kui haldate Linuxi süsteeme serverites, pilves, ettevõtte töölaudadel või laborites, tasub võtta hetk, et vaadata üle kõik need uued funktsioonid, et planeerida värskendusi ja konfiguratsiooni kohandusi.

Lõplik hüvastijätt System V-ga ja täielik sõltuvus natiivketastest

Üks silmatorkavamaid muudatusi systemd 260-s on System V skriptide toe täielik lõpetamineKlassikaline /etc/init.d-l põhinev käivitusprotsess oli aastaid järk-järgult kadumas, kuid nüüd kaob see systemd koodist sisuliselt ära.

See tähendab, et SysV skriptide ja natiivüksuste vahelise ühenduse eest vastutavad komponendid on eemaldatud: systemd-rc-local-generator, rc-local.service, systemd-sysv-generator ja systemd-sysv-install Need lakkavad eksisteerimast. Selle tagajärjel ei käivitu ükski teenus, mis endiselt sõltub nendest pärandmehhanismidest, süsteemides, mis võtavad kasutusele systemd 260.

Puhastusprotsessi käigus on mitu Mesoni ehitusvalikut märgitud vananenuks või eemaldatuks. Lipud -Drc-local=, -Dsysvinit-path= ja -Dsysvrcnd-path= mõned on mälestuste pagasiruumi surutud, teised aga meeldivad -Dintegration-tests= ja -Dcryptolib= Need eemaldatakse otse. See on selge sõnum: kõik peab käima läbi natiivsete üksuste ja moodsa systemd infrastruktuuri.

Paljude Euroopa infrastruktuuride jaoks, mis endiselt tuginevad vanematele komponentidele, nõuab see muudatus sisemiste teenuste, kohandatud skriptide ja pärandjuurutuste ülevaatamist. Täpselt määratletud ühikfailidele migreerimine pole enam lihtsalt soovitatav; see on kohustuslik, kui soovite teenuseid jätkata systemd 260 integreerivates distributsioonides.

Kõrgemad kerneli nõuded ja keskendumine praegustele keskkondadele

Uus versioon tõstab kerneli jaoks lati kõrgemale: nüüdsest alates... Minimaalne toetatud Linuxi versioon on 5.10jättes maha väga vanad harud nagu 5.4. Lisaks näitab projekt, et ideaalis on töötada a kernel 5.14 või uuemja eriti soovitab seeria 6.6 et ära kasutada kõiki saadaolevaid funktsioone.

See nõuete suurenemine ei ole tänapäevastes distributsioonides tavaliselt probleem, kuid see võib asju keerulisemaks muuta väga konservatiivsetes keskkondades või aastaid hooldatud manussüsteemides. Enne systemd 260-le uuendamist on soovitatav kontrollida, millist kerneli kasutatakse, eriti ... Euroopa andmekeskused pikaajaliste juurutustega või kohandatud piltidel.

Spektri teises otsas on sellised jooksvalt välja antud distributsioonid nagu Arch Linux või openSUSE Tumbleweed, mis on väga populaarsed nende seas, kes soovivad uusimaid funktsioone, ning kipuvad kiiresti lisama nii uued tuumad kui ka systemd uued harud. Teised, näiteks Fedora, säilitavad systemd põhiversiooni teatud stabiilsuse kogu iga väljalaske elutsükli jooksul, mis annab migratsioonide planeerimiseks veidi rohkem aega.

TPM2, alglaadimise terviklikkus ja täiustatud SRK tugi

Üks valdkondi, kus systemd kõige rohkem areneb, on selle integreerimine TPM2 (usaldusväärse platvormi moodul 2.0)See kiip, mis on üha tavalisem tänapäevastes UEFI emaplaatides ning kesk- ja tipptasemel riistvaras, võimaldab teil ankurdada saladusi süsteemi olekusse, mõõta käivitusfaase ja krüpteeritud köidete avamine automaatselt, kui keskkond on ootuspärane.

Systemd 260 täiustab seda integratsiooni veelgi, lisades tööriistu ja teenuseid, mis hõlmavad alglaadimisprotsessi erinevaid etappe. Põhikomponent on... systemd-tpm2-setup, kes vastutab ümbritseva taristu ettevalmistamise eest Salvestusruumi juurvõti (SRK) TPM-ist. See juurvõti toimib krüptograafilise alusena kiibiga suhtlemise turvaliseks tagamiseks ja muude saladuste turvaliseks salvestamiseks.

Käivitamise ajal saab eristada kahte faasi: väga varajane initrd-s ja teine ​​juursüsteemis. Esimeses kontrollib teenus nimega „Early TPM SRK Setup”, kas TPM-il on juba salvestatud SRK ja kui seda pole, loob selle ning teeb ajutiselt kättesaadavaks all /run/systemd/tpm2-srk-public-key.*Hiljem, kui tegelik failisüsteem on ühendatud, koondab teenus SRK ja kontrollib, kas salvestatud võti on õige. /var/lib/systemd/tpm2-srk-public-key.pem See langeb kokku TPM-is olevaga.

Hästi konfigureeritud stsenaariumides nähakse selliseid päevikukirjeid. "SRK on juba TPM-is salvestatud" ja teateid, mis näitavad, et SRK jalajälg vastab oodatule. Kui aga keskkond ei ole joondatud (näiteks Yoctoga seadistustes või Raspberry Pi tahvlitel, millel on SPI TPM ja kohandatud käivitusmeetodid U-Bootiga ning mõõdetud käivitus), võib tekkida olukordi, kus systemd ei suuda neid faile kausta /var/lib/systemd alla luua, tekitades kahtlusi, kas SRK on õigesti konfigureeritud.

Kui TPM-i olekut on muudetud, partitsioone on muudetud või alglaadimisvoogu on muudetud, ei pruugi seotud poliitika enam kehtida. Sellistel juhtudel soovitavad mõned hooldajad Tühjendage TPM-i pesa või poliitika ja registreerige võti uuesti, järgides protseduure, mis on sarnased ketta krüptimise juhendites kirjeldatud protseduuridega, kasutades TPM-i keskkondades nagu openSUSE, kus on üksikasjalikult kirjeldatud, kuidas PCR-poliitikat uuesti luua ja köite avamist uuesti linkida.

Lisaks SRK-le on teiseks praktiliseks täiustuseks udevis sisemise utiliidi kasutuselevõtt nimega tpm2_idSee integreeritud tööriist käivitub, kui süsteem tuvastab TPM2 seadme ja See ekstraheerib automaatselt tootja identifikaatori ja mudeli.See lihtsustab turvariistvara inventuuri, mis on väga kasulik avaliku sektori asutustes, reguleeritud ettevõtetes või kriitilistes infrastruktuurides, kus on vaja täpselt teada, millised TPM-moodulid on juurutatud.

Integratsiooni startupi mõõtmisinfrastruktuuriga tugevdatakse ka spetsiifiliste üksustega, näiteks systemd-pcrextendmis logivad sündmusi nagu „enter-initrd”, „leave-initrd”, „sysinit” või „ready” erinevates PCR-ides (näiteks PCR 11). See laienduste jada võimaldab TPM-il koguda krüptograafiliselt kontrollitavat alglaadimisvoo kirjet, mida saab seejärel kasutada usaldusväärse alglaadimise poliitikate või UKI (ühendatud kerneli kujutised) mis enne klahvide vabastamist masina olekut valideerivad.

Turvameetmed ja teenuste liivakastiefekt systemd abil

Systemd mitte ainult ei käivita protsesse, vaid pakub ka väga laia valikut liivakasti direktiivid teenuste isoleerimiseks ja kahju piiramiseks ohu korral. See "sügavuskaitse" lähenemisviis tugineb c-gruppidele, nimeruumidele, kerneli võimalustele ja süsteemikõnede filtritele (seccomp).

Konkreetse teenuse oleku hindamiseks sisaldab systemd tööriista süsteemipõhine turvalisuse analüüsimineKäivitamisel genereerib see aruande, mille haavatavusindeks on skaalal 0 kuni 10, kus madalam on parem. Aruanne jaotab lubatud või puuduvad kaitsed (võrgu isolatsioon, failisüsteemi juurdepääs, seadmed jne), muutes haavatavuste tuvastamise väga lihtsaks. milliseid kohandusi on vaja ja kontrollige, kas tehtud muudatused parandavad tegelikult tulemust.

Algse ühiku redigeerimise asemel – mis tulevaste paketivärskenduste korral kaotsi läheks – on soovitatav luua ignoreerimine en /etc/systemd/system/mi-servicio.service.d/ näiteks failiga, sandbox.confPärast muutmist laadige konfiguratsioon lihtsalt uuesti systemctl daemon-reload ja taaskäivitage teenus, et uued piirangud jõustuksid.

Failisüsteemi tasandil on üks olulisemaid valikuid Kaitsesüsteem=Väärtused nagu strict, full o true Nad ühendavad puu erinevad osad kirjutuskaitstud režiimis. Tavapärane praktika on võimaluse korral kasutada Kaitsesüsteem=rangeSee muudab /usr, /boot, /efi ja /etc teenuse jaoks kirjutuskaitstud. Kui rakendusel on vaja kirjutada kindlatesse kataloogidesse, on see lubatud, kasutades ReadWritePaths=/path ühtsuses.

Privaatsuse edasiseks suurendamiseks on soovitatav piirata ka juurdepääsu kasutajakataloogidele, kasutades KaitseKodu=truemis takistab teenusel /home, /root või /run/user lugemist. Lisaks PrivateTmp=true See loob isoleeritud /tmp ja /var/tmp ruumi, takistades ajutiste failide ristnähtavust protsesside vahel.

Seadmetel PrivateDevices=true See peidab tegeliku /dev puu ja asendab selle minimaalse turvaliste pseudoseadmete komplektiga (null, null, juhuslik jne). Kui üksus vajab kindlat seadet (näiteks jadaporti või kettaplokki), saab selle lubada, kasutades DeviceAllow=/dev/xxx rw või kirjutuskaitstud režiimis.

Võrgustik on samuti võtmevektor. Privaatvõrk=true Luuakse isoleeritud võrgu nimeruum, jättes alles ainult tagasihelistamise; teenus ei näe füüsilisi liideseid ega saa välismaailmaga suhelda. Teise võimalusena saate piirata, milliseid aadressiperekondi see saab kasutada, tehes järgmist: RestrictAddressFamilies=lubades IPv4/IPv6 jaoks ainult AF_INET ja AF_INET6, kohalike soklite jaoks AF_UNIX või isegi none võrguvõimaluste täielikuks jaapanipäraseks muutmiseks.

Privileegide osas on direktiiv NoNewPrivileges=true See on üks võimsamaid: see takistab protsessil uute õiguste omandamist setuid-binaarfailide või võimete muutuste kaudu. Lühidalt, isegi kui teenus käivitab haavatavat koodi, ei tohiks see olla võimeline traditsiooniliste mehhanismide kaudu juurkasutajaks eskaleeruma. Koos CapabilityBoundingSet=Lubatud võimaluste täpse loendi määratlemisega (nt madalate portide kuulamiseks ainult CAP_NET_BIND_SERVICE) minimeeritakse rünnakupind.

Veelgi enam, systemd võimaldab süsteemikõnesid filtreerida SystemCallFilter=Süskõnede käsitsi loendi pidamise asemel kasutatakse eelnevalt määratletud rühmi, näiteks @system-service, @network-io, @basic-io või keelata selliseid gruppe nagu ~@privileged. Koos systemd-analyze syscall-filter On võimalik kontrollida, millised konkreetsed kõned igasse gruppi kuuluvad. See võimaldab luua väga piiratud teostusprofiili, sarnaselt sellele, mida pakuks spetsiaalne liivakast.

Muud asjakohased kohandused on ProtectKernelTunables=true, mis blokeerib kerneli parameetrite muutmise /proc/sys ja /sys failides, KaitseKernelModules=truemis takistab moodulite laadimist või mahalaadimist, ProtectKernelLogs=truemis takistab kerneli registrite lugemist ja Kaitsekontrollgrupid=truemis blokeerib kirjutamise cgroups hierarhiasse. Kõik see ühildub sujuvalt uute kasutajate isoleerimise võimalustega, näiteks PrivateUsers=full, mida versioonis 260 värskendatakse nii, et see kaardistaks kõik kasutajatunnused, kõrvaldades varasemad lahendused, mida oli vaja pesastatud systemd-ga keskkondade jaoks.

PrivateUsers, xaccess ja uute seadmete juurdepääsu kontroll

Mehhanism PrivaatkasutajadSee on loodud teenuste käitamiseks isoleeritud kasutajatunnuste ruumis ja on koondatud systemd 260-sse. Valik PrivateUsers=full See kaardistab nüüd kogu identifikaatorite valiku, lihtsustades asju konteinerites ja süsteemides, millel on vanematel versioonidel (enne 257) põhinevad pesastatud systemd eksemplarid. See täiustus on kõrvaldanud häkkimised, mida kasutati nende vanemate eksemplaride tuvastamiseks.

Paralleelselt sellised komponendid nagu systemd-logind ja systemd-udevd Nad käivitavad kontseptsiooni xaccessSee mehhanism täiendab klassikalist loogikat uaccessxaccess annab kohalikus masinas esiplaanil olevate graafiliste seanssidega kasutajatele juurdepääsu teatud seadmetele (nt heli või video). Õigusi saab xaccessile delegeerida. kaugkasutajad, kellel on spetsiaalselt märgistatud seansidnii et näiteks kaugtöölaua kaudu ühendatud kasutaja saab juurde pääseda kohalikele GPU renderdusseadmetele ilma kogu süsteemile laiaulatuslikke õigusi andmata.

Nende seansside konfigureerimine hõlmab PAM-i kaudu avaldatud keskkonnamuutujaid, täpsemalt PAMXDG_SESSION_EXTRA_DEVICE_ACCESS=See võimaldab määratleda, millised konkreetsed seadmed selle raamistiku alla kuuluvad. See lähenemisviis on suures osas kooskõlas Euroopa Liidu regulatiivse vastavuse ja andmekaitse nõuetega, mis nõuavad tundlikule riistvarale juurdepääsu detailsust ja jälgitavust.

mstack, systemd-mstack ja uued konteineritööriistad

Konteineristamise valdkonnas tutvustab systemd 260 funktsionaalsust mstack ja sellega seotud käsk systemd-mstackMstacki idee seisneb selles, et see võimaldaks defineerida OverlayFS spetsiaalse kataloogi struktuuri põhjal, mida nimetatakse .mstack/, mis järgib oma kihtide korraldamisel spetsiifilist spetsifikatsiooni.

Uus käsurea tööriist systemd-mstack lihtsustab nende failisüsteemide "pinudega" interaktiivset töötamist, lisades paindlikkust konteinerite või väga isoleeritud teenuste jaoks kihiliste keskkondade seadistamisel. See funktsionaalsus on seotud ka täiustustega systemd-importd, mis laiendab oma toetust OCI-piltide allalaadimine ja haldamineSee tugevdab systemd rolli konteinerdamise ja liivakastide mootorina, mis on Euroopa pilveteenuse pakkujate ja kaasaegsete hostimisplatvormide seas väga levinud.

Võrk: Integratsioon ModemManageriga ja uued jõudlusvalikud

Võrgukihil on systemd-networkd tähtsus jätkuvalt kasvamas. Üks selle tähelepanuväärsemaid uusi omadusi on integratsioon ModemManageriga, kasutades protokolli „lihtne ühendus”See võimaldab teil modemeid ja mobiilsideühendusi otse võrgust hallata, ilma et peaksite kasutama väliseid tööriistu.

Selle voo toetamiseks on lisatud uus jaotis. konfiguratsioonifailidele selliste parameetritega nagu APN=, AllowedAuthenticationMechanisms=, User=, Password=, IPFamily=, AllowRoaming=, PIN=, OperatorId=, RouteMetric= y UseGateway=See hõlbustab juurutamist maapiirkondades või keskkondades, kus on mobiilsidevõrkudel põhinev ühenduvus, väga levinud teatud Euroopa piirkondades, kus pole alati kiudoptikat või kvaliteetseid lauatelefone.

Jõudluse osas failid .link systemd-networkd sisaldab uusi valikuid spetsiaalselt Etherneti seadmetele. Nende hulgas on: ScatterGather, ScatterGatherFragmentList, TCPECNSegmentationOffload, TCPMangleIdSegmentationOffload, GenericReceiveOffloadList ja GenericReceiveOffloadUDPForwardingNeed valikud võimaldavad riistvarale ja draiveritele töö suunamist peenhäälestada, mis on ülioluline ettevõtete võrkudes, andmekeskustes ja teenusepakkujate puhul, kes peavad minimeerima iga millisekundilist latentsust.

Lisaks liidesed Varlink ja JSON systemd-networkd suudab nüüd IP-aadresse edastada vormingus inimesele loetav (stringid), säilitades samal ajal esituse täisarvude massiivina. See lihtsustab integreerimist jälgimise armatuurlaudade, haldusskriptide või kolmandate osapoolte tööriistadega, mis ei soovi tegeleda ebamõistlike numbrivormingutega.

Teenuse kaasaskantavus, ajutised virtuaalmasinad ja privileegideta teenused

Tükk systemd-portabledPiltide sees pakendatud "kaasaskantavate" teenuste haldamise eest vastutav tarkvara saab väga huvitava võimekuse: see saab töötada kasutajataseme teenusenaSee tähendab, et privileegideta kasutajad saavad oma tavalises seansis käivitada ja hallata kaasaskantavaid teenuseid oma ruumis ilma sudo või kõrgendatud õigusi kasutamata.

Lisaks, alates sellest versioonist, kaasaskantav purk genereerida poliitikaid ja luua kaasaskantava teenusega seotud kuvandiSee hoiab ära pildi muutmise ilma selle uuesti kinnitamata. Kasutajad saavad seega luua iseseisvaid keskkondi, millel on lisagarantiid muutmatusele, mis on üsna atraktiivne laborite, arenduskeskkondade ja testimisliivakastide jaoks.

Lisaks systemd-vmspawn —tööriist, mis on loodud virtuaalsete masinate käivitamiseks integreeritud viisil systemd-ga— laiendab oma registreerimisvõimalusi süsteemi poolt kasutaja seansi sees töödeldudSee tutvustab ka valikuvõimalust –lühiajaline et luua lühiajalisi masinaid, mis hävitatakse nende kasutamise lõppedes. See sobib ideaalselt CI/CD torujuhtmete, virtuaalsete klassiruumide või Euroopa haridusplatvormidega, mis nõuavad masinate kiireks ja kontrollitud viisil tõstmiseks ja tõmbamiseks.

Protsessori, mälu ja ajastamise peenhäälestatud juhtimine SCHED_EXT ja THP abil

Systemd 260 süveneb uute poliitikate abil ka jõudluskontrolli. Teenuse valik CPUSchedulingPolicy= nüüd aktsepteeri väärtust ext, mis aktiveerib ajakava SCHED_EXTSee alternatiivne planeerija avab ukse katsetused erinevate planeerimispoliitikatega kerneli standarditele, mis võib pakkuda huvi teadus- ja arenduslaboritele või kõrgelt spetsialiseeritud juurutustele.

Mälupiirkonda ilmub MäluTHP=mis võimaldab hallata kasutamist Läbipaistvad suured lehed (THP) teenuse kohta. Selle asemel, et kogu süsteemi jaoks oleks globaalne käitumine, saab otsustada, kas konkreetne üksus peaks THP-d ära kasutama, selle keelama või võtma kasutusele vaherežiimid. Panganduse, kindlustuse või avaliku halduse kriitiliste rakenduste puhul võib see detailne kontroll muuta olukorda. latentsus, mälukasutus ja jõudlus.

Uued käsud systemctl-is ja Varlinki laiendatud kasutus

Tuntud komando systemctl võidab uue tellimuse: järjekorda märgitudSee toiming kutsub sisemiselt esile D-Busi meetodi. EnqueueMarkedJobs() ja võimaldab töötada eelnevalt valitud tööde ja teenuste järjekordadega. Kuigi see võib tunduda väikese detailina, on see ülioluline operatsioonimeeskondadele, kes orkestreerivad suured serverifarmid See on järjekordne tööriist juurutamise ja automatiseerimise töövoogude täiustamiseks.

Paralleelselt jätkab projekt kasutamise laiendamist Varlink komponentide vahelise suhtlusmehhanismina. Paljud systemd osad pakuvad stabiilseid Varlinki liideseid, mis hõlbustavad integratsiooni väliste tööriistade, kohandatud armatuurlaudade või jälgimisagentidega, mis vajavad struktureeritud juurdepääsu süsteemiteabele.

Süsteemi identifitseerimisväljad ja kasutajakogemus

Mõnede distributsioonide jaoks on uudishimulik, kuid kasulik uus funktsioon välja lisamine. VÄGEV_NIMI= arhiivis /etc/os-releaseSee väli sarnaneb väljaga PRETTY_NAME, aga lubab ANSI-jadad ja keerukamad Unicode'i tähemärgidTänu sellele saab konkreetsetele distributsioonidele ja väljaannetele anda pilkupüüdvamaid või iseloomulikumaid nimesid.

FANCY_NAME väärtust saab vaadata systemd halduri kaudu, kasutades systemd-hostnamed või konsulteerimise ajal hostnamektlKuigi see on väike muudatus, võib see töölauakeskkondades ja graafilistes halduspaneelides olla kasulik järgmistel juhtudel: tuvastage süsteem lühidalt mida hallatakse, eriti paljude tuletatud variantidega tegelemisel.

Tehisintellekti agentide ja abistatava ülevaatuse töövoo spetsiifiline dokumentatsioon

Üks huvitavamaid märke systemd arenduse suunast on spetsiaalselt sellele suunatud dokumentatsiooni ilmumine tehisintellekti agendidRepositooriumisse on lisatud fail AGENTID.mdloodud koodianalüüsi tööriistade ja programmeerimisassistentide jaoks ning nagu mõned on märkinud tehnoloogiajuhendid, paremini mõista projekti arhitektuuri, stiili, arendusvoogu ja panustamise juhiseid.

See dokument kirjeldab komponente, ehitusteid, testide ja integratsiooni käivitamist ning juhiseid vastuvõetavate paranduste loomiseks. Eesmärk on, et tehisintellekti agendid, kes koodi üle vaatavad või muudatusi genereerivad, saaksid nendega koostööd teha. kindel kontekst selle kohta, kuidas systemd on korraldatudvigade ja valesti suunatud ettepanekute vähendamine.

Faili AGENTS.md kõrval kuvatakse fail nimega CLAUDE.mdSee viitab selgesõnaliselt esimesele ja keskendub Claude Code'i tööriista juhtimisele, mis on üks enimkasutatavaid tehisintellektil põhinevaid arendusassistente. Sel viisil kaasab projekt tehisintellekti selgesõnaliselt oma arendustsüklisse.

Lisaks on kaasas konfiguratsioonifail. claude-review.ymlkus on määratletud, kuidas tuleks Claude'i koodi abil läbi vaadata muudatuste taotluste (pull requestide) analüüsimise protsess. Selles kontekstis peavad tehisintellekti kasutanud kaastööd sisaldama avalikustamissildid kui Co-developed-by plaastrites, jättes tõendeid selle kohta, et koodi loomisel on osalenud automatiseeritud tööriist.

Kõigi nende muudatustega – pärandtoe puhastamine, liivakastitehnoloogia täiustused, TPM2 ja SRK täiustused, täiustatud võrguintegratsioon, uued kaasaskantavuse võimalused ja intelligentsete agentide jaoks loodud dokumentatsioon – systemd 260 See tugevdab selle keskset rolli tänapäeva Linuxi ökosüsteemis. Hispaania ja Euroopa administraatorite ja arendajate jaoks on esmane väljakutse kernelide ülevaatamine, alglaadimiskonfiguratsioonide ja -teenuste kohandamine ning nende funktsioonide kasutamine turvalisemate ja automatiseeritud infrastruktuuride loomiseks, mis on kooskõlas praeguse süsteemikasutusega.