Systemd 260: TPM2, sandboxing, dan kemampuan baru di Linux

Panduan Perangkat Keras » Panduan Membeli » Systemd 260: TPM2, sandboxing, dan kemampuan baru di Linux

Dengan kedatangan systemd 260 Distribusi Linux mengambil langkah penting lainnya menuju ekosistem yang lebih modern dan aman yang diarahkan pada lingkungan cloud, virtualisasi, dan otomatisasi. Versi ini tidak hanya memoles detail: ia memperkenalkan perubahan signifikan pada proses booting, manajemen layanan, jaringan, penggunaan TPM2 untuk integritas dan enkripsi, serta kemampuan sandboxing tingkat drive.

Pada saat yang sama, proyek ini memperkuat dokumentasinya dan cara kerjanya. agen kecerdasan buatanHal ini memperjelas bahwa systemd merupakan pilar penting yang semakin banyak dihubungkan oleh berbagai alat pengembangan dan pengamatan. Jika Anda mengelola sistem Linux di server, di cloud, di desktop perusahaan, atau di laboratorium, ada baiknya meluangkan waktu sejenak untuk meninjau semua fitur baru ini guna merencanakan pembaruan dan penyesuaian konfigurasi.

Selamat tinggal terakhir untuk System V dan ketergantungan total pada drive bawaan.

Salah satu perubahan paling mencolok dalam systemd 260 adalah Penghentian total dukungan untuk skrip System VProses booting klasik yang didasarkan pada /etc/init.d telah dalam proses penghapusan bertahap selama bertahun-tahun, tetapi sekarang secara efektif menghilang dari kode systemd.

Ini berarti bahwa komponen yang bertanggung jawab untuk menjembatani antara skrip SysV dan unit asli telah dihapus: systemd-rc-local-generator, rc-local.service, systemd-sysv-generator dan systemd-sysv-install Mereka tidak lagi ada. Akibatnya, layanan apa pun yang masih bergantung pada mekanisme lama ini tidak akan dapat dijalankan pada sistem yang mengadopsi systemd 260.

Selama proses pembersihan, beberapa opsi build Meson juga telah ditandai sebagai usang atau dihapus. Bendera-bendera tersebut -Drc-local=, -Dsysvinit-path= dan -Dsysvrcnd-path= sebagian terpendam dalam ingatan, sementara yang lain seperti -Dintegration-tests= dan -Dcryptolib= Mereka langsung dihapus. Ini pesan yang jelas: semuanya harus melalui unit asli dan infrastruktur systemd modern.

Bagi banyak infrastruktur Eropa yang masih mengandalkan komponen lama, perubahan ini mengharuskan peninjauan ulang layanan internal, skrip kustom, dan penerapan lama. Migrasi ke file unit yang terdefinisi dengan baik bukan lagi sekadar rekomendasi; ini wajib jika Anda ingin terus menjalankan layanan pada distribusi yang mengintegrasikan systemd 260.

Persyaratan kernel yang lebih tinggi dan fokus pada lingkungan saat ini.

Versi baru ini meningkatkan standar untuk kernel: mulai sekarang, Versi Linux minimum yang didukung adalah 5.10.meninggalkan cabang yang sangat lama seperti 5.4. Selain itu, proyek tersebut menunjukkan bahwa yang ideal adalah mengerjakan sebuah kernel 5.14 atau lebih tinggidan khususnya merekomendasikan seri 6.6 untuk memanfaatkan semua fitur yang tersedia.

Peningkatan persyaratan ini biasanya bukan masalah pada distribusi modern, tetapi dapat mempersulit keadaan di lingkungan yang sangat konservatif atau pada solusi tertanam yang telah dipelihara selama bertahun-tahun. Sebelum melakukan upgrade ke systemd 260, disarankan untuk memeriksa kernel mana yang sedang digunakan, terutama pada Pusat data Eropa dengan implementasi jangka panjang atau dalam gambar kustom.

Di sisi lain, distribusi rilis bergulir seperti Arch Linux atau openSUSE Tumbleweed, yang sangat populer di kalangan mereka yang menginginkan fitur terbaru, cenderung dengan cepat menggabungkan kernel baru dan cabang systemd baru. Yang lain, seperti Fedora, mempertahankan tingkat stabilitas pada versi utama systemd sepanjang siklus hidup setiap rilis, yang memungkinkan lebih banyak waktu untuk merencanakan migrasi.

TPM2, integritas boot, dan dukungan SRK tingkat lanjut.

Salah satu area di mana systemd berkembang paling pesat adalah dalam integrasinya dengan TPM2 (Trusted Platform Module 2.0)Chip ini, yang semakin umum ditemukan pada motherboard UEFI modern dan perangkat keras kelas menengah dan atas, memungkinkan Anda untuk mengaitkan rahasia ke status sistem, mengukur fase booting, dan membuka kunci volume terenkripsi secara otomatis ketika lingkungan sesuai dengan yang diharapkan.

Systemd 260 semakin meningkatkan integrasi ini dengan menambahkan alat dan layanan yang mencakup berbagai tahapan proses booting. Komponen kuncinya adalah... pengaturan systemd-tpm2, bertanggung jawab untuk mempersiapkan infrastruktur di sekitarnya Kunci Akar Penyimpanan (SRK) dari TPM. Kunci utama ini berfungsi sebagai dasar kriptografi untuk mengamankan komunikasi dengan chip dan untuk menyimpan rahasia lainnya dengan aman.

Selama proses startup, dapat dibedakan dua fase: fase yang sangat awal di initrd dan fase lain di sistem root. Pada fase pertama, sebuah layanan bernama “Early TPM SRK Setup” memeriksa apakah TPM sudah memiliki SRK yang tersimpan dan, jika belum ada, akan membuatnya dan menyediakannya sementara di bawah /run/systemd/tpm2-srk-public-key.*Kemudian, setelah sistem file sebenarnya terpasang, layanan akan mengkonsolidasikan SRK dan memverifikasi bahwa kunci yang tersimpan di /var/lib/systemd/tpm2-srk-public-key.pem Hal ini bertepatan dengan yang ada di TPM.

Dalam skenario yang terkonfigurasi dengan baik, entri jurnal seperti ini akan terlihat. "SRK sudah tersimpan di TPM" dan pesan yang menunjukkan bahwa jejak SRK sesuai dengan yang diharapkan. Namun, jika lingkungan tidak selaras (misalnya, dalam pengaturan dengan Yocto atau pada papan seperti Raspberry Pi dengan SPI TPM dan metode boot kustom dengan U-Boot dan boot terukur), situasi dapat muncul di mana systemd gagal membuat file-file ini di bawah /var/lib/systemd, menimbulkan keraguan tentang apakah SRK telah dikonfigurasi dengan benar.

Ketika status TPM berubah, partisi dimodifikasi, atau alur boot diubah, kebijakan terkait mungkin tidak lagi berlaku. Dalam kasus seperti itu, beberapa pengelola merekomendasikan Bersihkan slot atau kebijakan TPM dan daftarkan kembali kuncinya., mengikuti prosedur yang mirip dengan yang dijelaskan dalam panduan enkripsi disk dengan TPM di lingkungan seperti openSUSE, di mana dijelaskan secara rinci cara membuat ulang kebijakan PCR dan menghubungkan kembali pembukaan kunci volume.

Selain SRK, peningkatan praktis lainnya adalah diperkenalkannya utilitas internal di udev yang disebut tpm2_idAlat terintegrasi ini berjalan ketika sistem mendeteksi perangkat TPM2 dan Secara otomatis mengekstrak pengidentifikasi pabrikan dan model.Hal ini menyederhanakan inventaris perangkat keras keamanan, yang sangat berguna di administrasi publik, perusahaan yang diatur, atau infrastruktur kritis di mana perlu diketahui secara tepat modul TPM mana yang digunakan.

Integrasi dengan infrastruktur pengukuran startup juga diperkuat dengan unit-unit spesifik seperti: systemd-pcrextendyang mencatat peristiwa seperti “enter-initrd”, “leave-initrd”, “sysinit”, atau “ready” di PCR yang berbeda (misalnya, PCR 11). Urutan ekstensi ini memungkinkan TPM untuk mengumpulkan catatan alur boot yang dapat diverifikasi secara kriptografis, yang kemudian dapat digunakan untuk kebijakan Trusted Boot atau untuk UKI (Gambar Kernel Terpadu) yang memvalidasi status mesin sebelum melepaskan kunci.

Langkah-langkah keamanan dan pengujian layanan (sandboxing) dengan systemd

Systemd tidak hanya memulai proses: ia juga menawarkan serangkaian fitur yang sangat lengkap. arahan sandboxing untuk mengisolasi layanan dan membatasi kerusakan jika terjadi pelanggaran keamanan. Pendekatan "pertahanan berlapis" ini bergantung pada cgroups, namespace, kemampuan kernel, dan filter panggilan sistem (seccomp).

Untuk menilai status layanan tertentu, systemd menyertakan alat tersebut. systemd-analisis keamananSaat dijalankan, alat ini menghasilkan laporan dengan indeks paparan pada skala 0 hingga 10, di mana nilai yang lebih rendah lebih baik. Laporan tersebut merinci perlindungan yang diaktifkan atau yang tidak ada (isolasi jaringan, akses sistem file, perangkat, dll.), sehingga sangat mudah untuk mendeteksi kerentanan. penyesuaian apa yang dibutuhkan dan periksa apakah perubahan yang diperkenalkan benar-benar meningkatkan skor.

Daripada mengedit unit asli—yang akan hilang dalam pembaruan paket di masa mendatang—disarankan untuk membuat mengesampingkan en /etc/systemd/system/mi-servicio.service.d/ dengan sebuah file, misalnya, sandbox.confSetelah memodifikasinya, cukup muat ulang konfigurasi dengan systemctl daemon-ulang dan mulai ulang layanan agar pembatasan baru berlaku.

Pada tingkat sistem file, salah satu opsi terpenting adalah ProtectSystem=Nilai-nilai seperti strict, full o true Mereka memasang berbagai bagian pohon dalam mode baca saja. Praktik yang biasa dilakukan, jika memungkinkan, adalah menggunakan ProtectSystem=ketatIni membuat /usr, /boot, /efi, dan /etc hanya dapat dibaca oleh layanan tersebut. Jika sebuah aplikasi perlu menulis ke direktori tertentu, aplikasi tersebut diizinkan untuk melakukannya menggunakan ReadWritePaths=/path dalam kesatuan.

Untuk lebih meningkatkan privasi, disarankan juga untuk membatasi akses ke direktori pengguna melalui ProtectHome=trueyang mencegah layanan tersebut membaca /home, /root, atau /run/user. Selain itu, PrivateTmp=true Ini menciptakan ruang /tmp dan /var/tmp yang terisolasi, mencegah akses silang file sementara antar proses.

Pada perangkat, Perangkat Pribadi=benar Ini menyembunyikan pohon /dev yang sebenarnya dan menggantinya dengan serangkaian perangkat semu yang aman dan minimal (null, zero, random, dll.). Jika suatu unit membutuhkan perangkat tertentu (misalnya, port serial atau blok disk), hal itu dapat diberikan menggunakan DeviceAllow=/dev/xxx rw atau dalam mode baca saja.

Jaringan juga merupakan vektor kunci. Dengan Jaringan Pribadi=benar Ruang nama jaringan terisolasi dibuat, hanya menyisakan loopback; layanan tidak akan melihat antarmuka fisik dan tidak akan dapat berkomunikasi dengan dunia luar. Sebagai alternatif, Anda dapat membatasi keluarga alamat mana yang dapat digunakannya dengan cara... BatasiAlamatKeluarga=hanya mengizinkan AF_INET dan AF_INET6 untuk IPv4/IPv6, AF_UNIX untuk soket lokal atau bahkan none untuk sepenuhnya mengintegrasikan kemampuan jaringan ke dalam budaya Jepang.

Mengenai hak istimewa, arahan tersebut TidakAdaHakIstimewaBaru=benar Ini adalah salah satu yang paling ampuh: ia mencegah proses tersebut memperoleh hak akses baru melalui biner setuid atau perubahan kemampuan. Singkatnya, bahkan jika layanan tersebut menjalankan kode yang rentan, layanan tersebut seharusnya tidak dapat meningkatkan hak aksesnya menjadi root melalui mekanisme tradisional. Dikombinasikan dengan Set Batas Kemampuan=Dengan mendefinisikan daftar kemampuan yang diizinkan secara tepat (misalnya, hanya CAP_NET_BIND_SERVICE yang mendengarkan pada port rendah), potensi serangan dapat diminimalkan.

Lebih jauh lagi, systemd memungkinkan penyaringan panggilan sistem dengan Filter Panggilan Sistem=Alih-alih membuat daftar syscall secara manual, digunakan grup yang telah ditentukan sebelumnya, seperti @system-service, @network-io, @basic-io atau menyangkal kelompok seperti ~@privileged. Dengan systemd-analyze syscall-filter Dimungkinkan untuk memeriksa panggilan spesifik mana yang termasuk dalam setiap grup. Hal ini memungkinkan pembuatan profil eksekusi yang sangat terbatas, mirip dengan apa yang ditawarkan oleh sandbox khusus.

Penyesuaian relevan lainnya adalah ProtectKernelTuables=true, yang memblokir modifikasi parameter kernel di /proc/sys dan /sys, ProtectKernelModules=trueyang mencegah pemuatan atau pembongkaran modul, ProtectKernelLogs=trueyang mencegah pembacaan register kernel, dan ProtectControlGroups=trueyang memblokir penulisan ke hierarki cgroups. Semua ini berpadu sempurna dengan kemampuan isolasi pengguna baru seperti Pengguna Pribadi=penuh, yang pada versi 260 diperbarui untuk memetakan seluruh rentang ID pengguna, menghilangkan solusi sementara yang sebelumnya diperlukan untuk lingkungan dengan systemd bertingkat.

PrivateUsers, xaccess, dan kontrol akses perangkat baru

Mekanismenya Pengguna PribadiDirancang untuk menjalankan layanan dalam ruang ID pengguna yang terisolasi, ini dikonsolidasikan dalam systemd 260. Opsi Pengguna Pribadi=penuh Sekarang, fitur ini memetakan seluruh rentang pengidentifikasi, menyederhanakan berbagai hal dalam kontainer dan pada sistem dengan instance systemd bertingkat berdasarkan versi lama (sebelum 257). Peningkatan ini telah menghilangkan cara-cara yang sebelumnya digunakan untuk mendeteksi instance lama tersebut.

Secara paralel, komponen-komponen seperti systemd-logind dan systemd-udevd Mereka meluncurkan konsep tersebut. xaccessMekanisme ini melengkapi logika klasik dari uaccessxaccess memberikan akses ke perangkat tertentu (misalnya, audio atau video) kepada pengguna dengan sesi grafis latar depan pada mesin lokal. Izin dapat didelegasikan ke xaccess. pengguna jarak jauh dengan sesi yang ditandai secara khusussehingga, misalnya, pengguna yang terhubung melalui remote desktop dapat mengakses perangkat rendering GPU lokal tanpa memberikan izin luas ke seluruh sistem.

Konfigurasi sesi-sesi ini melibatkan variabel lingkungan yang diekspos melalui PAM, khususnya PAMXDG_SESSION_EXTRA_DEVICE_ACCESS=Hal ini memungkinkan untuk menentukan perangkat spesifik mana yang termasuk dalam kerangka kerja ini. Pendekatan ini sangat selaras dengan kepatuhan peraturan dan persyaratan perlindungan data Uni Eropa, yang menuntut ketelitian dan ketertelusuran dalam akses ke perangkat keras yang sensitif.

mstack, systemd-mstack dan alat kontainer baru

Di bidang kontainerisasi, systemd 260 memperkenalkan fungsionalitas mstack dan perintah terkait, systemd-mstackIde di balik mstack adalah untuk memungkinkan pendefinisian sebuah HamparanFS berdasarkan pada struktur direktori khusus yang disebut .mstack/yang mengikuti spesifikasi khusus untuk mengatur lapisan-lapisannya.

Alat baris perintah baru, systemd-mstack, mempermudah bekerja dengan "tumpukan" sistem file ini secara interaktif, menambah fleksibilitas saat menyiapkan lingkungan berlapis untuk kontainer atau layanan yang sangat terisolasi. Fungsionalitas ini juga terkait dengan peningkatan pada systemd-importd, yang memperluas dukungannya untuk Unduh dan kelola citra OCI.Hal ini memperkuat peran systemd sebagai mesin kontainerisasi dan sandboxing, sesuatu yang sangat umum di penyedia cloud Eropa dan platform hosting modern.

Jaringan: Integrasi dengan ModemManager dan opsi performa baru

Pada lapisan jaringan, systemd-networkd terus mendapatkan popularitas. Salah satu fitur barunya yang menonjol adalah kemampuannya untuk... integrasi dengan ModemManager menggunakan protokol “simple connect”Ini memungkinkan Anda untuk mengelola modem dan koneksi seluler langsung dari jaringan tanpa bergantung pada alat eksternal.

Untuk mendukung alur ini, bagian baru ditambahkan. ke file konfigurasi, dengan parameter seperti APN=, AllowedAuthenticationMechanisms=, User=, Password=, IPFamily=, AllowRoaming=, PIN=, OperatorId=, RouteMetric= y UseGateway=Hal ini mempermudah penerapan dalam daerah pedesaan atau lingkungan dengan konektivitas berbasis jaringan seluler, sangat umum terjadi di wilayah-wilayah tertentu di Eropa di mana tidak selalu tersedia fiber optik atau saluran telepon rumah yang berkualitas.

Dari segi performa, file-file tersebut .tautan systemd-networkd menggabungkan opsi baru khusus untuk perangkat Ethernet. Di antaranya adalah: ScatterGather, ScatterGatherFragmentList, TCPECNSegmentationOffload, TCPMangleIdSegmentationOffload, GenericReceiveOffloadList dan GenericReceiveOffloadUDPForwardingOpsi-opsi ini memungkinkan penyempurnaan pengalihan beban kerja ke perangkat keras dan driver, sesuatu yang sangat penting dalam jaringan perusahaan, pusat data, dan penyedia layanan yang perlu meminimalkan setiap milidetik latensi.

Selanjutnya, antarmuka Varlink dan JSON systemd-networkd sekarang dapat melaporkan alamat IP dalam format tertentu. mudah dibaca manusia (string) sambil mempertahankan representasi sebagai larik bilangan bulat. Ini menyederhanakan integrasi dengan dasbor pemantauan, skrip administrasi, atau alat pihak ketiga yang tidak ingin berurusan dengan format numerik yang tidak intuitif.

Portabilitas layanan, mesin virtual sementara, dan layanan tanpa hak istimewa.

Potongan sistemd portabelPerangkat lunak yang bertanggung jawab untuk mengelola layanan "portabel" yang dikemas dalam image memperoleh kemampuan yang sangat menarik: perangkat lunak tersebut dapat berjalan sebagai layanan tingkat penggunaIni berarti bahwa pengguna biasa, dalam sesi normal mereka, dapat meluncurkan dan mengelola layanan portabel di dalam ruang kerja mereka sendiri tanpa perlu menggunakan sudo atau hak akses yang lebih tinggi.

Selain itu, mulai dari versi ini, portabel dapat menghasilkan kebijakan dan membangun citra yang terkait dengan layanan portabel.Hal ini mencegah citra dimodifikasi tanpa memasangnya kembali. Dengan demikian, pengguna dapat menyiapkan lingkungan mandiri dengan jaminan tambahan akan kekebalan terhadap perubahan, yang cukup menarik untuk laboratorium, lingkungan pengembangan, dan lingkungan pengujian.

Selain itu, systemd-vmspawn —alat yang dirancang untuk meluncurkan mesin virtual secara terintegrasi dengan systemd— memperluas kemampuannya untuk mendaftar di systemd-machined dalam sesi penggunaIni juga memperkenalkan sebuah opsi. -tdk kekal untuk menciptakan mesin sementara yang dihancurkan setelah masa penggunaannya berakhir. Ini sangat cocok dengan pipeline CI/CD, ruang kelas virtual, atau platform pendidikan Eropa yang membutuhkan untuk mengangkat dan menarik mesin dengan cepat dan terkendali..

Kontrol yang disempurnakan terhadap CPU, memori, dan penjadwalan dengan SCHED_EXT dan THP.

Systemd 260 juga membahas kontrol kinerja dengan kebijakan baru. Opsi layanan Kebijakan Penjadwalan CPU= sekarang terima nilainya ext, yang mengaktifkan penjadwal SCHED_EXTPerencana alternatif ini membuka pintu menuju eksperimen dengan kebijakan perencanaan yang berbeda sesuai dengan standar kernel, sesuatu yang mungkin menarik di laboratorium R&D atau dalam penerapan yang sangat khusus.

Di area memori muncul MemoriTHP=yang memungkinkan pengelolaan penggunaan Halaman Besar Transparan (THP) per layanan. Alih-alih memiliki perilaku global untuk seluruh sistem, dapat diputuskan apakah unit tertentu harus memanfaatkan THP, menonaktifkannya, atau mengadopsi mode perantara. Untuk aplikasi penting di bidang perbankan, asuransi, atau administrasi publik, kontrol granular ini dapat membuat perbedaan dalam latensi, konsumsi memori, dan kinerja.

Perintah baru di systemctl dan perluasan penggunaan Varlink

Komando terkenal itu systemctl memenangkan pesanan baru: ditandai antreanTindakan ini secara internal memanggil metode D-Bus. EnqueueMarkedJobs() dan memungkinkan untuk bekerja dengan antrian pekerjaan dan layanan yang telah dipilih sebelumnya. Meskipun ini mungkin tampak seperti detail kecil, ini sangat penting bagi tim operasional yang mengatur pusat data server skala besar Ini adalah alat lain untuk menyempurnakan alur kerja penerapan dan otomatisasi.

Secara paralel, proyek ini terus memperluas penggunaan Varlink Sebagai mekanisme komunikasi antar komponen. Banyak bagian dari systemd mengekspos antarmuka Varlink yang stabil, yang memfasilitasi integrasi dengan alat eksternal, dasbor khusus, atau agen pemantauan yang membutuhkan akses terstruktur ke informasi sistem.

Bidang identifikasi sistem dan pengalaman pengguna

Salah satu fitur baru yang unik namun bermanfaat untuk beberapa distribusi adalah pengenalan bidang ini. NAMA_MEWAH= dalam arsip /etc/os-releaseKolom ini mirip dengan PRETTY_NAME, tetapi memungkinkan Urutan ANSI dan karakter Unicode yang lebih rumitBerkat hal ini, distribusi dan edisi tertentu dapat disajikan dengan nama yang lebih menarik atau khas.

Nilai FANCY_NAME dapat dilihat melalui pengelola systemd, dengan menggunakan systemd-hostnamed atau saat berkonsultasi hostnamectlMeskipun ini perubahan kecil, dalam lingkungan desktop dan panel administrasi grafis, hal ini dapat berguna untuk... mengidentifikasi sistem secara sekilas Hal itu sedang dikelola, terutama ketika berurusan dengan banyak varian turunan.

Dokumentasi khusus untuk agen AI dan alur kerja peninjauan terbantu.

Salah satu tanda paling menarik tentang arah pengembangan systemd adalah munculnya dokumentasi yang secara khusus ditujukan untuk agen kecerdasan buatanSebuah file disertakan dalam repositori. AGEN.mddirancang untuk alat analisis kode dan asisten pemrograman, dan seperti yang telah dicatat oleh beberapa orang panduan teknologi, untuk lebih memahami arsitektur proyek, gaya, alur pengembangan, dan pedoman kontribusi.

Dokumen ini menjelaskan komponen, jalur pembuatan, cara menjalankan pengujian dan integrasi, serta panduan untuk menghasilkan patch yang dapat diterima. Tujuannya adalah agar agen AI yang meninjau kode atau menghasilkan perubahan dapat bekerja dengan konteks yang solid tentang bagaimana systemd diorganisasikanmengurangi kesalahan dan saran yang salah tempat.

Di sebelah AGENTS.md muncul sebuah file bernama CLAUDE.mdHal ini secara eksplisit merujuk pada poin pertama dan berfokus pada panduan untuk alat Claude Code, salah satu asisten pengembangan berbasis AI yang paling banyak digunakan. Dengan cara ini, proyek tersebut secara eksplisit memasukkan AI ke dalam siklus pengembangannya.

Selain itu, file konfigurasi juga disertakan. claude-review.ymlDi mana didefinisikan bagaimana proses analisis permintaan perubahan (pull request) harus ditinjau, dengan bantuan Claude Code. Dalam konteks ini, kontribusi yang telah menggunakan AI diharuskan untuk memasukkan label pengungkapan sebagai Co-developed-by pada tambalan tersebut, meninggalkan bukti bahwa alat otomatis telah berpartisipasi dalam pembuatan kode tersebut.

Dengan semua perubahan ini—pembersihan dukungan lama, penyempurnaan sandboxing, peningkatan pada TPM2 dan SRK, integrasi jaringan tingkat lanjut, kemampuan portabilitas baru, dan dokumentasi yang dirancang untuk agen cerdas— systemd 260 Hal ini memperkuat peran sentralnya dalam ekosistem Linux modern. Bagi administrator dan pengembang di Spanyol dan Eropa, tantangan langsungnya adalah meninjau kernel, menyesuaikan konfigurasi boot dan layanan, serta memanfaatkan fitur-fitur ini untuk membangun infrastruktur yang lebih aman dan otomatis yang selaras dengan penggunaan sistem saat ini.