Systemd 260: TPM2, cơ chế hộp cát và các khả năng mới trong Linux

Hướng dẫn phần cứng » Hướng dẫn mua hàng » Systemd 260: TPM2, cơ chế hộp cát và các khả năng mới trong Linux

Với sự xuất hiện của systemd 260 Các bản phân phối Linux đang tiến thêm một bước quan trọng hướng tới một hệ sinh thái hiện đại và an toàn hơn, hướng đến môi trường điện toán đám mây, ảo hóa và tự động hóa. Phiên bản này không chỉ trau chuốt các chi tiết nhỏ: nó còn giới thiệu những thay đổi đáng kể về khởi động, quản lý dịch vụ, mạng, việc sử dụng TPM2 để đảm bảo tính toàn vẹn và mã hóa, cũng như khả năng cách ly ở cấp độ ổ đĩa.

Đồng thời, dự án tăng cường công tác lập hồ sơ và phương thức làm việc của mình. đại lý trí tuệ nhân tạoĐiều này cho thấy rõ rằng systemd là một trụ cột quan trọng mà ngày càng nhiều công cụ phát triển và giám sát đang kết nối đến. Nếu bạn quản lý các hệ thống Linux trên máy chủ, trên đám mây, trên máy tính để bàn của công ty hoặc trong phòng thí nghiệm, bạn nên dành chút thời gian để xem xét tất cả các tính năng mới này để lên kế hoạch cập nhật và điều chỉnh cấu hình.

Lời tạm biệt cuối cùng với System V và sự phụ thuộc hoàn toàn vào ổ đĩa gốc

Một trong những thay đổi nổi bật nhất trong systemd 260 là... Ngừng hỗ trợ hoàn toàn cho các tập lệnh System VQuá trình khởi động truyền thống dựa trên /etc/init.d đã được loại bỏ dần trong nhiều năm, nhưng giờ đây nó đã chính thức biến mất khỏi mã nguồn systemd.

Điều này có nghĩa là các thành phần chịu trách nhiệm kết nối giữa các tập lệnh SysV và các đơn vị gốc đã bị loại bỏ: systemd-rc-local-generator, rc-local.service, systemd-sysv-generator và systemd-sysv-install Chúng không còn tồn tại nữa. Do đó, bất kỳ dịch vụ nào vẫn phụ thuộc vào các cơ chế cũ này sẽ không khởi động được trên các hệ thống sử dụng systemd 260.

Trong quá trình dọn dẹp, một số tùy chọn xây dựng Meson cũng đã được đánh dấu là lỗi thời hoặc bị xóa. Các cờ này -Drc-local=, -Dsysvinit-path= và -Dsysvrcnd-path= Một số bị xếp vào quên lãng, trong khi những người khác thì... -Dintegration-tests= và -Dcryptolib= Chúng bị loại bỏ trực tiếp. Đó là một thông điệp rõ ràng: mọi thứ phải thông qua các đơn vị gốc và cơ sở hạ tầng systemd hiện đại.

Đối với nhiều cơ sở hạ tầng châu Âu vẫn dựa vào các thành phần cũ, sự thay đổi này đòi hỏi phải xem xét lại các dịch vụ nội bộ, các tập lệnh tùy chỉnh và các triển khai cũ. Việc chuyển sang các tập lệnh đơn vị được định nghĩa rõ ràng không còn chỉ được khuyến nghị mà là bắt buộc nếu bạn muốn tiếp tục chạy các dịch vụ trên các bản phân phối tích hợp systemd 260.

Yêu cầu nhân hệ điều hành cao hơn và tập trung vào môi trường hiện tại.

Phiên bản mới nâng cao tiêu chuẩn cho nhân hệ điều hành: kể từ bây giờ, Phiên bản Linux tối thiểu được hỗ trợ là 5.10.để lại những nhánh rất cũ như 5.4. Ngoài ra, dự án chỉ ra rằng lý tưởng là làm việc trên một nhân hệ điều hành 5.14 trở lênvà đặc biệt khuyến nghị Chuỗi 6.6 Để tận dụng tối đa tất cả các tính năng có sẵn.

Việc tăng yêu cầu này thường không phải là vấn đề trong các bản phân phối hiện đại, nhưng nó có thể làm phức tạp mọi thứ trong các môi trường rất bảo thủ hoặc trong các giải pháp nhúng được duy trì trong nhiều năm. Trước khi nâng cấp lên systemd 260, nên kiểm tra xem kernel nào đang được sử dụng, đặc biệt là trong Các trung tâm dữ liệu châu Âu với triển khai dài hạn hoặc sử dụng hình ảnh tùy chỉnh.

Ở thái cực đối lập, các bản phân phối phát hành liên tục như Arch Linux hoặc openSUSE Tumbleweed, rất phổ biến đối với những người muốn có các tính năng mới nhất, thường nhanh chóng tích hợp cả nhân hệ điều hành mới và các nhánh systemd mới. Những bản khác, như Fedora, duy trì mức độ ổn định nhất định trong phiên bản chính của systemd trong suốt vòng đời của mỗi bản phát hành, điều này cho phép có thêm thời gian để lên kế hoạch chuyển đổi.

TPM2, tính toàn vẹn khởi động và hỗ trợ SRK nâng cao

Một trong những lĩnh vực mà systemd đang phát triển mạnh mẽ nhất là khả năng tích hợp với... TPM2 (Trusted Platform Module 2.0)Con chip này, ngày càng phổ biến trong các bo mạch chủ UEFI hiện đại và phần cứng tầm trung và cao cấp, cho phép bạn liên kết các thông tin bí mật với trạng thái hệ thống, đo lường các giai đoạn khởi động, và... mở khóa các ổ đĩa được mã hóa Tự động khi môi trường đáp ứng đúng như mong đợi.

Systemd 260 tiếp tục tăng cường sự tích hợp này bằng cách bổ sung các công cụ và dịch vụ bao gồm các giai đoạn khác nhau của quá trình khởi động. Một thành phần quan trọng là... thiết lập systemd-tpm2chịu trách nhiệm chuẩn bị cơ sở hạ tầng xung quanh Khóa gốc lưu trữ (SRK) của TPM. Khóa gốc này đóng vai trò là nền tảng mật mã để bảo mật giao tiếp với chip và lưu trữ an toàn các bí mật khác.

Trong quá trình khởi động, có thể phân biệt hai giai đoạn: một giai đoạn rất sớm trong initrd và một giai đoạn khác trong hệ thống gốc. Trong giai đoạn đầu tiên, một dịch vụ có tên “Early TPM SRK Setup” kiểm tra xem TPM đã có SRK được lưu trữ hay chưa và nếu chưa có, nó sẽ tạo ra SRK đó và cung cấp nó tạm thời dưới dạng tệp cấu hình. /run/systemd/tpm2-srk-public-key.*Sau đó, khi hệ thống tập tin thực tế được gắn kết, dịch vụ sẽ hợp nhất SRK và xác minh rằng khóa được lưu trữ trong /var/lib/systemd/tpm2-srk-public-key.pem Nó trùng khớp với cái trong TPM.

Trong những trường hợp được cấu hình tốt, các mục nhật ký như thế này sẽ xuất hiện. "SRK đã được lưu trữ trong TPM" và các thông báo cho biết dấu vết SRK khớp với dấu vết dự kiến. Mặt khác, nếu môi trường không được đồng bộ (ví dụ: trong các thiết lập với Yocto hoặc trên các bo mạch như Raspberry Pi với SPI TPM và các phương pháp khởi động tùy chỉnh với U-Boot và khởi động đo lường), có thể xảy ra trường hợp systemd không tạo được các tệp này trong /var/lib/systemd, làm dấy lên nghi ngờ về việc SRK đã được cấu hình đúng cách hay chưa.

Khi trạng thái TPM thay đổi, các phân vùng bị sửa đổi hoặc quy trình khởi động bị thay đổi, chính sách liên quan có thể không còn áp dụng được. Trong những trường hợp như vậy, một số nhà bảo trì khuyến nghị nên áp dụng chính sách này. Xóa khe TPM hoặc chính sách và đăng ký lại khóa., theo các quy trình tương tự như được mô tả trong các hướng dẫn mã hóa đĩa với TPM trong các môi trường như openSUSE, trong đó nêu chi tiết cách tạo lại chính sách PCR và liên kết lại việc mở khóa ổ đĩa.

Bên cạnh SRK, một cải tiến thiết thực khác là việc giới thiệu trong udev một tiện ích nội bộ có tên gọi là tpm2_idCông cụ tích hợp này sẽ chạy khi hệ thống phát hiện thiết bị TPM2 và Nó tự động trích xuất mã nhận dạng nhà sản xuất và kiểu máy.Điều này giúp đơn giản hóa việc kiểm kê phần cứng bảo mật, rất hữu ích trong các cơ quan hành chính nhà nước, các công ty được quản lý chặt chẽ hoặc các cơ sở hạ tầng trọng yếu, nơi cần phải biết chính xác các mô-đun TPM nào đang được triển khai.

Việc tích hợp với cơ sở hạ tầng đo lường của các công ty khởi nghiệp cũng được tăng cường bằng các đơn vị cụ thể như... systemd-pcrextendCác sự kiện được ghi lại như “enter-initrd”, “leave-initrd”, “sysinit” hoặc “ready” trong các PCR khác nhau (ví dụ: PCR 11). Chuỗi các phần mở rộng này cho phép TPM tích lũy một bản ghi có thể xác minh bằng mật mã về quy trình khởi động, sau đó có thể được sử dụng cho các chính sách Khởi động Tin cậy hoặc cho UKI (Hình ảnh hạt nhân thống nhất) Những bước này xác thực trạng thái của máy trước khi nhả chìa khóa.

Các biện pháp bảo mật và cơ chế cách ly dịch vụ với systemd

Systemd không chỉ khởi động các tiến trình mà còn cung cấp một bộ chức năng rất phong phú. chỉ thị hộp cát Để cô lập các dịch vụ và hạn chế thiệt hại trong trường hợp bị xâm nhập. Phương pháp "phòng thủ nhiều lớp" này dựa trên cgroups, namespaces, khả năng của nhân hệ điều hành và bộ lọc lệnh gọi hệ thống (seccomp).

Để đánh giá trạng thái của một dịch vụ cụ thể, systemd bao gồm công cụ này. phân tích bảo mật systemdKhi chạy, chương trình sẽ tạo ra một báo cáo với chỉ số mức độ phơi nhiễm trên thang điểm từ 0 đến 10, trong đó điểm càng thấp càng tốt. Báo cáo phân tích chi tiết các biện pháp bảo vệ đã được bật hoặc bị thiếu (cách ly mạng, truy cập hệ thống tập tin, thiết bị, v.v.), giúp việc phát hiện lỗ hổng trở nên rất dễ dàng. Cần những điều chỉnh nào? và kiểm tra xem những thay đổi đã thực hiện có thực sự cải thiện điểm số hay không.

Thay vì chỉnh sửa đơn vị gốc — điều này sẽ bị mất trong các bản cập nhật gói phần mềm trong tương lai — bạn nên tạo một đơn vị mới. ghi đè en /etc/systemd/system/mi-servicio.service.d/ Ví dụ, với một tập tin, sandbox.confSau khi chỉnh sửa, chỉ cần tải lại cấu hình bằng lệnh sau: systemcat-daemon-reload và khởi động lại dịch vụ để các hạn chế mới có hiệu lực.

Ở cấp độ hệ thống tập tin, một trong những tùy chọn quan trọng nhất là Hệ thống bảo vệ=Các giá trị như strict, full o true Chúng gắn các phần khác nhau của cây ở chế độ chỉ đọc. Thông thường, khi có thể, người ta sẽ sử dụng ProtectSystem=strictĐiều này khiến các thư mục /usr, /boot, /efi và /etc trở thành chỉ đọc đối với dịch vụ. Nếu một ứng dụng cần ghi vào các thư mục cụ thể, nó được phép thực hiện bằng cách sử dụng lệnh này. ReadWritePaths=/path trong sự thống nhất.

Để tăng cường hơn nữa quyền riêng tư, bạn cũng nên hạn chế quyền truy cập vào thư mục người dùng thông qua ProtectHome=trueĐiều này ngăn dịch vụ đọc các thư mục /home, /root hoặc /run/user. Hơn nữa, PrivateTmp=true Nó tạo ra hai không gian /tmp và /var/tmp riêng biệt, ngăn chặn việc các tiến trình khác nhau có thể nhìn thấy các tập tin tạm thời.

Trên các thiết bị, PrivateDevices=true Nó ẩn cây thư mục /dev thực tế và thay thế nó bằng một tập hợp tối thiểu các thiết bị giả an toàn (null, zero, random, v.v.). Nếu một đơn vị cần một thiết bị cụ thể (ví dụ: cổng nối tiếp hoặc khối đĩa), nó có thể được cấp quyền bằng cách sử dụng DeviceAllow=/dev/xxx rw hoặc ở chế độ chỉ đọc.

Mạng lưới cũng là một yếu tố quan trọng. Với Mạng riêng tư=true Một không gian tên mạng biệt lập được tạo ra, chỉ còn lại giao diện loopback; dịch vụ sẽ không nhìn thấy các giao diện vật lý và sẽ không thể giao tiếp với thế giới bên ngoài. Ngoài ra, bạn có thể hạn chế các họ địa chỉ mà nó có thể sử dụng bằng cách... Hạn chếĐịa chỉFamilies=chỉ cho phép AF_INET và AF_INET6 cho IPv4/IPv6, AF_UNIX cho socket cục bộ hoặc thậm chí none Để hoàn toàn Nhật Bản hóa khả năng mạng lưới.

Về các đặc quyền, chỉ thị NoNewPrivileges=true Đây là một trong những cơ chế mạnh mẽ nhất: nó ngăn chặn tiến trình giành được các đặc quyền mới thông qua các tập lệnh setuid hoặc thay đổi quyền hạn. Nói tóm lại, ngay cả khi dịch vụ thực thi mã dễ bị tổn thương, nó cũng không thể leo thang lên quyền root thông qua các cơ chế truyền thống. Kết hợp với CapabilityBoundingSet=Bằng cách xác định chính xác danh sách các quyền được cho phép (ví dụ: chỉ CAP_NET_BIND_SERVICE được phép lắng nghe trên các cổng có số hiệu thấp), bề mặt tấn công được giảm thiểu.

Để tiến xa hơn nữa, systemd cho phép lọc các lệnh gọi hệ thống với SystemCallFilter=Thay vì duy trì danh sách các lệnh gọi hệ thống thủ công, người ta sử dụng các nhóm được định nghĩa trước, chẳng hạn như @system-service, @network-io, @basic-io hoặc phủ nhận các nhóm như ~@privileged. Với systemd-analyze syscall-filter Có thể kiểm tra xem các lệnh gọi cụ thể nào thuộc về từng nhóm. Điều này cho phép xây dựng một hồ sơ thực thi rất hạn chế, tương tự như những gì một môi trường thử nghiệm chuyên dụng cung cấp.

Các điều chỉnh liên quan khác là ProtectKernelTunables=true, điều này ngăn chặn việc sửa đổi các tham số kernel trong /proc/sys và /sys, ProtectKernelModules=trueĐiều này ngăn cản việc chất hoặc dỡ các mô-đun. ProtectKernelLogs=trueđiều này ngăn cản việc đọc các thanh ghi nhân hệ điều hành, và ProtectControlGroups=trueĐiều này ngăn chặn việc ghi dữ liệu vào hệ thống phân cấp cgroups. Tất cả những điều này kết hợp liền mạch với các khả năng cách ly người dùng mới như... Người dùng riêng tư=đầy đủTrong phiên bản 260, tính năng này được cập nhật để ánh xạ toàn bộ phạm vi ID người dùng, loại bỏ các giải pháp tạm thời cần thiết trước đây cho các môi trường có systemd lồng nhau.

PrivateUsers, xaccess và các điều khiển truy cập thiết bị mới

Cơ chế Người dùng riêng tưĐược thiết kế để chạy các dịch vụ trong không gian ID người dùng biệt lập, nó được hợp nhất trong systemd 260. Tùy chọn Người dùng riêng tư=đầy đủ Giờ đây, nó có thể ánh xạ toàn bộ các định danh, đơn giản hóa mọi thứ trong container và trên các hệ thống có các phiên bản systemd lồng nhau dựa trên các phiên bản cũ hơn (trước phiên bản 257). Cải tiến này đã loại bỏ các thủ thuật được sử dụng để phát hiện các phiên bản cũ hơn này.

Song song đó, các thành phần như systemd-logind và systemd-udevd Họ đang khởi xướng ý tưởng về xaaccessCơ chế này bổ sung cho logic cổ điển của uaccessXaccess cấp quyền truy cập vào một số thiết bị nhất định (ví dụ: âm thanh hoặc video) cho người dùng có phiên đồ họa chạy nền trên máy cục bộ. Quyền có thể được ủy quyền cho Xaccess. người dùng từ xa với các phiên được đánh dấu đặc biệtVí dụ, người dùng kết nối từ xa qua máy tính có thể truy cập các thiết bị kết xuất GPU cục bộ mà không cần cấp quyền rộng rãi cho toàn bộ hệ thống.

Cấu hình của các phiên này liên quan đến các biến môi trường được hiển thị thông qua PAM, cụ thể là: PAMXDG_SESSION_EXTRA_DEVICE_ACCESS=Điều này cho phép xác định cụ thể những thiết bị nào thuộc phạm vi này. Đây là một cách tiếp cận hoàn toàn phù hợp với các yêu cầu tuân thủ quy định và bảo vệ dữ liệu của Liên minh Châu Âu, vốn đòi hỏi sự chi tiết và khả năng truy vết trong việc truy cập vào phần cứng nhạy cảm.

mstack, systemd-mstack và các công cụ container mới

Trong lĩnh vực container hóa, systemd 260 giới thiệu chức năng này. mstack và một lệnh liên quan, systemd-mstackÝ tưởng đằng sau mstack là cho phép định nghĩa một Lớp phủFS dựa trên cấu trúc của một thư mục đặc biệt có tên là .mstack/, tuân theo một quy chuẩn cụ thể về cách tổ chức các lớp của nó.

Công cụ dòng lệnh mới, systemd-mstack, giúp dễ dàng làm việc với các "ngăn xếp" hệ thống tệp này một cách tương tác, tăng tính linh hoạt khi thiết lập môi trường phân lớp cho container hoặc các dịch vụ được cách ly cao. Chức năng này cũng liên quan đến những cải tiến trong systemd-importd, điều này mở rộng sự hỗ trợ của nó cho Tải xuống và quản lý hình ảnh OCIĐiều này củng cố vai trò của systemd như một công cụ tạo container và hộp cát, một điều rất phổ biến trong các nhà cung cấp dịch vụ đám mây châu Âu và các nền tảng lưu trữ hiện đại.

Mạng: Tích hợp với ModemManager và các tùy chọn hiệu năng mới

Ở tầng mạng, systemd-networkd tiếp tục khẳng định tầm quan trọng của mình. Một trong những tính năng mới đáng chú ý của nó là... Tích hợp với ModemManager bằng giao thức “kết nối đơn giản”.Điều này cho phép bạn quản lý modem và kết nối di động trực tiếp từ mạng mà không cần dựa vào các công cụ bên ngoài.

Để hỗ trợ luồng thông tin này, một phần mới đã được thêm vào. vào các tệp cấu hình, với các tham số như sau: APN=, AllowedAuthenticationMechanisms=, User=, Password=, IPFamily=, AllowRoaming=, PIN=, OperatorId=, RouteMetric= y UseGateway=Điều này tạo điều kiện thuận lợi cho việc triển khai trong các khu vực nông thôn hoặc môi trường có kết nối dựa trên mạng di độngRất phổ biến ở một số khu vực của châu Âu, nơi không phải lúc nào cũng có cáp quang hoặc đường dây điện thoại cố định chất lượng cao.

Về mặt hiệu năng, các tệp tin .liên kết systemd-networkd tích hợp các tùy chọn mới dành riêng cho thiết bị Ethernet. Trong số đó có: ScatterGather, ScatterGatherFragmentList, TCPECNSegmentationOffload, TCPMangleIdSegmentationOffload, GenericReceiveOffloadList và GenericReceiveOffloadUDPForwardingCác tùy chọn này cho phép tinh chỉnh việc phân bổ công việc cho phần cứng và trình điều khiển, điều vô cùng quan trọng trong các mạng doanh nghiệp, trung tâm dữ liệu và nhà cung cấp dịch vụ cần giảm thiểu từng mili giây độ trễ.

Hơn nữa, các giao diện Varlink và JSON systemd-networkd hiện có khả năng báo cáo địa chỉ IP ở định dạng sau: dễ đọc đối với con người (chuỗi ký tự) trong khi vẫn duy trì dạng biểu diễn là một mảng số nguyên. Điều này giúp đơn giản hóa việc tích hợp với các bảng điều khiển giám sát, tập lệnh quản trị hoặc các công cụ của bên thứ ba không muốn xử lý các định dạng số không trực quan.

Khả năng di chuyển dịch vụ, máy ảo tạm thời và dịch vụ không có đặc quyền

Mảnh systemd-portabledPhần mềm chịu trách nhiệm quản lý các dịch vụ "di động" được đóng gói trong các ảnh hệ thống có được một khả năng rất thú vị: nó có thể chạy... như một dịch vụ cấp người dùngĐiều này có nghĩa là người dùng không có đặc quyền, trong phiên làm việc thông thường của họ, có thể khởi chạy và quản lý các dịch vụ di động trong không gian làm việc của riêng họ mà không cần sử dụng sudo hoặc quyền quản trị cao hơn.

Hơn nữa, bắt đầu từ phiên bản này, tính năng di động có thể được sử dụng. Xây dựng chính sách và thiết lập hình ảnh liên quan đến dịch vụ di động.Điều này ngăn chặn việc chỉnh sửa hình ảnh mà không cần gắn lại. Nhờ đó, người dùng có thể thiết lập các môi trường khép kín với sự đảm bảo bổ sung về tính bất biến, điều này khá hấp dẫn đối với các phòng thí nghiệm, môi trường phát triển và môi trường thử nghiệm.

Hơn nữa, systemd-vmspawn —công cụ được thiết kế để khởi chạy máy ảo một cách tích hợp với systemd— mở rộng khả năng của nó để đăng ký trong systemd-machined trong phiên người dùngNó cũng giới thiệu một tùy chọn -không lâu Tạo ra các máy móc dùng một lần, sẽ bị phá hủy khi kết thúc quá trình sử dụng. Điều này hoàn toàn phù hợp với các quy trình CI/CD, lớp học ảo hoặc các nền tảng giáo dục châu Âu yêu cầu Nâng và kéo máy móc một cách nhanh chóng và có kiểm soát..

Kiểm soát tối ưu CPU, bộ nhớ và lập lịch với SCHED_EXT và THP.

Systemd 260 cũng đi sâu vào việc kiểm soát hiệu năng với các chính sách mới. Tùy chọn dịch vụ CPUSchedulingPolicy= bây giờ hãy chấp nhận giá trị ext, điều này kích hoạt bộ lập lịch SCHED_EXTCông cụ lập kế hoạch thay thế này mở ra cánh cửa cho các thí nghiệm với các chính sách quy hoạch khác nhau theo các tiêu chuẩn hạt nhân, điều này có thể hữu ích trong các phòng thí nghiệm nghiên cứu và phát triển hoặc trong các triển khai chuyên biệt cao.

Trong vùng nhớ xuất hiện MemoryTHP=cho phép quản lý việc sử dụng Trang lớn trong suốt (THP) cho mỗi dịch vụ. Thay vì có một hành vi chung cho toàn bộ hệ thống, có thể quyết định xem một đơn vị cụ thể có nên tận dụng THP, vô hiệu hóa nó hay áp dụng các chế độ trung gian hay không. Đối với các ứng dụng quan trọng trong lĩnh vực ngân hàng, bảo hiểm hoặc hành chính công, khả năng kiểm soát chi tiết này có thể tạo ra sự khác biệt. độ trễ, mức tiêu thụ bộ nhớ và hiệu năng.

Các lệnh mới trong systemctl và việc mở rộng sử dụng Varlink

Người lính biệt kích nổi tiếng hệ thống giành được đơn đặt hàng mới: đánh dấu hàng đợiThao tác này tự động gọi phương thức D-Bus bên trong hệ thống. EnqueueMarkedJobs() và cho phép làm việc với hàng đợi các công việc và dịch vụ đã được chọn trước. Mặc dù điều này có vẻ là một chi tiết nhỏ, nhưng nó rất quan trọng đối với các nhóm vận hành điều phối hoạt động. trang trại máy chủ quy mô lớn Đây là một công cụ khác để tinh chỉnh quy trình triển khai và tự động hóa.

Song song đó, dự án tiếp tục mở rộng việc sử dụng Varlink Như một cơ chế giao tiếp giữa các thành phần. Nhiều phần của systemd cung cấp các giao diện Varlink ổn định, tạo điều kiện thuận lợi cho việc tích hợp với các công cụ bên ngoài, bảng điều khiển tùy chỉnh hoặc các tác nhân giám sát cần truy cập có cấu trúc vào thông tin hệ thống.

Các trường nhận dạng hệ thống và trải nghiệm người dùng

Một tính năng mới thú vị nhưng hữu ích đối với một số bản phân phối là sự ra mắt của trường TÊN_THƯƠNG_MẠI= trong kho lưu trữ /etc/os-releaseTrường này tương tự như PRETTY_NAME, nhưng cho phép... Chuỗi ANSI và các ký tự Unicode phức tạp hơnNhờ vậy, các bản phân phối và phiên bản cụ thể có thể được giới thiệu với những tên gọi bắt mắt hoặc độc đáo hơn.

Giá trị của FANCY_NAME có thể được xem thông qua trình quản lý systemd, bằng cách sử dụng tên máy chủ systemd hoặc khi tham khảo ý kiến hostnamectlMặc dù chỉ là một thay đổi nhỏ, nhưng trong môi trường máy tính để bàn và bảng điều khiển quản trị đồ họa, nó có thể hữu ích cho việc nhận diện hệ thống chỉ trong nháy mắt Điều đó đang được quản lý, đặc biệt là khi xử lý nhiều biến thể phái sinh.

Tài liệu cụ thể dành cho các tác nhân AI và quy trình đánh giá có hỗ trợ.

Một trong những dấu hiệu thú vị nhất cho thấy hướng phát triển của systemd là sự xuất hiện của các tài liệu được biên soạn dành riêng cho việc này. đại lý trí tuệ nhân tạoMột tệp tin được bao gồm trong kho lưu trữ. ĐẠI LÝ.mdđược thiết kế cho các công cụ phân tích mã và trợ lý lập trình, và như một số người đã lưu ý hướng dẫn công nghệGiúp hiểu rõ hơn về kiến ​​trúc, phong cách, quy trình phát triển và hướng dẫn đóng góp của dự án.

Tài liệu này mô tả các thành phần, đường dẫn xây dựng, cách chạy thử nghiệm và tích hợp, cũng như các hướng dẫn để tạo ra các bản vá được chấp nhận. Mục đích là để các tác nhân AI xem xét mã hoặc tạo ra các thay đổi có thể làm việc với... một bối cảnh vững chắc về cách tổ chức của systemd.Giảm thiểu sai sót và những đề xuất không phù hợp.

Bên cạnh AGENTS.md xuất hiện một tệp có tên là CLAUDE.mdĐiều này đề cập rõ ràng đến phần đầu tiên và tập trung vào việc hướng dẫn công cụ Claude Code, một trong những trợ lý phát triển dựa trên trí tuệ nhân tạo được sử dụng rộng rãi nhất. Bằng cách này, dự án đã tích hợp trí tuệ nhân tạo một cách rõ ràng vào chu trình phát triển của mình.

Ngoài ra, một tệp cấu hình cũng được bao gồm. claude-review.ymlTrong đó, quy trình phân tích các yêu cầu thay đổi (pull request) cần được xem xét lại, với sự hỗ trợ của Claude Code, được định nghĩa rõ ràng. Trong bối cảnh này, các đóng góp sử dụng trí tuệ nhân tạo (AI) cần được tích hợp. nhãn tiết lộ như Co-developed-by Trong các bản vá lỗi, để lại bằng chứng cho thấy một công cụ tự động đã tham gia vào việc tạo ra mã.

Với tất cả những thay đổi này—dọn dẹp hệ thống hỗ trợ cũ, tinh chỉnh môi trường thử nghiệm, cải tiến TPM2 và SRK, tích hợp mạng nâng cao, khả năng di động mới và tài liệu được thiết kế cho các tác nhân thông minh— systemd 260 Điều này củng cố vai trò trung tâm của nó trong hệ sinh thái Linux hiện đại. Đối với các quản trị viên và nhà phát triển ở Tây Ban Nha và châu Âu, thách thức trước mắt là xem xét lại nhân hệ điều hành, điều chỉnh cấu hình khởi động và các dịch vụ, cũng như tận dụng các tính năng này để xây dựng cơ sở hạ tầng tự động hóa, an toàn hơn, phù hợp với việc sử dụng hệ thống hiện tại.