systemd 258 bringt zahlreiche Änderungen mit sich, die das Booten, die Sicherheit, die Sitzungsverwaltung und die tägliche Administration unter Linux betreffen. Es handelt sich um ein umfangreiches Release: Es vereinfacht wichtige Kernel-Technologien, entfernt die Kompatibilität mit älteren Systemen, die viele Distributionen noch pflegten, und fügt neue, für praxisnahe Anwendungsfälle entwickelte Hilfsprogramme hinzu.
Wenn Sie mit Servern, Workstations oder Containerumgebungen arbeiten, es lohnt sich, aufzuholen. Von der endgültigen Rücknahme von cgroup v1 bis hin zu einem anspruchsvolleren Kernel-Minimum, über TTY-Berechtigungsanpassungen, Änderungen in systemd-logind und Nachrichten wie systemd-factory-reset o systemd-pty-forward, diese Version ist nicht irgendein Update.
Abschied von cgroup v1: ab sofort nur noch cgroup v2
Der am meisten diskutierte Teil der Markteinführung ist die Vollständige Entfernung der Unterstützung für cgroup v1. Kein Legacy- oder Hybridmodus mehr: Ab systemd 258 wird beim Booten nur noch cgroup v2 gemountet, und dasselbe passiert in Containern, die mit verwaltet werden systemd-nspawnDiese Änderung vereinfacht den Kernel-Ressourcenkontrollstapel und reduziert Angriffsflächen und Konfigurationsmehrdeutigkeiten.
Warum ist das wichtig? cgroup v2 vereinheitlicht das Steuerungsmodell für CPU, Speicher, E/A und mehr in einer einheitlichen Hierarchie und beseitigt so bisherige Inkonsistenzen. Dieser Schritt wurde seit über zwei Jahren erwartet und ist daher nicht völlig unerwartet; dennoch kann er Auswirkungen auf diejenigen haben, die noch ältere Konfigurationen verwenden oder auf Tools angewiesen sind, die nicht an v2 angepasst wurden.
Kernel-Anforderungen an systemd 258: mindestens 5.4, empfohlen 5.7
Mit dieser Bereinigung legt systemd 258 die minimal unterstützte Kernelversion auf Linux 5.4 fest und empfiehlt 5.7. Ältere Versionen werden dadurch nicht mehr unterstützt: In der Praxis ist jede Distribution selbst dafür verantwortlich, kompatible Kernel anzubieten. Wenn Sie jedoch Systeme mit älteren Versionen verwenden, müssen Sie ein Kernel-Upgrade planen, um mit systemd kompatibel zu bleiben.
Neben der Ermöglichung moderner Funktionen bringt ein neuer Kernel in der Regel auch Verbesserungen in puncto Sicherheit und Leistung mit sich, was dem Ziel dieser Version entspricht: das Verhalten zu standardisieren und schwer zu wartende Sonderfälle zu reduzieren.
Sicherheit: Restriktivere TTY-Berechtigungen und einheitliche Kryptografie
In puncto Sicherheit verstärkt systemd 258 standardmäßig den Zugriff auf TTY/PTS-Geräte . Erstellte Knoten erhalten die Berechtigung 0600 anstelle von 0620, wodurch verhindert wird, dass andere Benutzer auf das Terminal schreiben können. Diese Maßnahme beseitigt mehrere lästige und potenziell gefährliche Situationen in Mehrbenutzerumgebungen.
Auch bei den Verschlüsselungsabhängigkeiten gibt es eine Vereinheitlichung: systemd-resolved y systemd-importd unterstützen jetzt ausschließlich OpenSSLGnuTLS und libgcrypt sind von diesen Komponenten ausgeschlossen, um die Kompatibilitätsmatrix zu vereinfachen und Duplikate zu vermeiden. Wenn Sie davon ausgegangen sind, dass GnuTLS oder libgcrypt in Ihren Builds oder Distributionsrichtlinien enthalten sind, ist es an der Zeit, diese zu überprüfen.
Sitzungsverwaltung: Hintergrundaufgaben neu klassifiziert
Eine weitere wichtige Neuerung ist in systemd-logind. Ab dieser Version bestimmte Hintergrundaufgaben wie Cron- oder FTP-Sitzungen werden in neue „Light“-Kategorien umklassifiziert. Was bedeutet das? ein Full-Service-Manager wird nicht mehr gestartet für sie, sofern nicht ausdrücklich konfiguriert. Für den Endbenutzer ändert sich nicht viel, aber für Verwaltungs- und Prüfzwecke ist es wichtig, dies im Hinterkopf zu behalten, da es Auswirkungen auf die Sitzungsabrechnung und den Ressourcenverbrauch hat.
systemd 258 entfernt Legacy-Unterstützung: Ende der System V-Skripte
Der Reinigungsvorgang wird fortgesetzt: Startskripte im System-V-Stil werden dauerhaft entfernt. Daneben gibt es klassische Befehle wie initctl o telinitDies ist ein erwarteter Schritt und entspricht der Realität des aktuellen Linux-Ökosystems, in dem systemd in den meisten Distributionen frühere Mechanismen ersetzt hat.
In diesem Sinne werden traditionelle Routen zurückgezogen, wie zum Beispiel /forcefsck y /fastbootStattdessen wird empfohlen, Kernelparameter oder Anmeldeinformationen verwenden um diese Vorgänge anzuzeigen. Weniger Magie und eine transparentere und überprüfbarere Konfiguration.
Neue Tools: Werksreset und PTY-Weiterleitung
systemd 258 enthält interessante Dienstprogramme für die Praxis. Das bemerkenswerteste ist systemd-factory-reset, mit dem Sie einen vollständigen Werksreset direkt aus dem Benutzerbereich anfordern oder abbrechen können. Das ist Gold wert in Labore, Appliances oder Serverumgebungen wo es notwendig ist, kontrolliert in einen sauberen Zustand zurückzukehren.
Neben ihr erscheint systemd-pty-forward, ein Werkzeug für Pseudoterminals (PTY) zuweisen und weiterleitenEs ist praktisch für die Automatisierung, das Debuggen und die Verwaltung von Hintergrundprozessen, die sicher und flexibel an ein TTY angeschlossen werden müssen.
Startup, UKIs und TPM2: Veränderungen, die den Weg ebnen
Im Boot-Bereich gibt es Verbesserungen in systemd-boot und insbesondere relevante Änderungen in der Integration mit TPM2. Von nun an Richtlinien sind nicht mehr standardmäßig auf PCR 7 angewiesen, wodurch die Verwaltung von Schlüsseln und Richtlinien für verifizierte Startvorgänge geändert wird. Diese Anpassung reduziert Einschränkungen bei bestimmten Metriken und ermöglicht anpassungsfähigere Sicherheitsschemata.
Darüber hinaus wurden die Unified Kernel Images (UKIs) verbessert . In dieser Version können UKIs UEFI-Firmware-Images einbetten , was die Verteilung eigenständiger Boot-Pakete vereinfacht und die Vertrauenskette stärkt. Diese Verbesserung ist besonders interessant für Administratoren, die mit verifizierten Bootvorgängen, Secure Boot und reproduzierbaren Bereitstellungen arbeiten.
Systemd 258-Kompatibilität und -Verwaltung: Was zu überprüfen ist
Vor diesem Hintergrund sollten Sie einige sinnvolle Prüfungen durchführen. Überprüfen Sie zunächst den Kernel auf Ihren Systemen : Falls Sie eine Version unter 5.4 verwenden, sollten Sie ein Upgrade planen; idealerweise aktualisieren Sie auf Version 5.7 oder höher, um der Empfehlung des Projekts zu entsprechen.
Prüfen Sie andererseits die kryptografischen Abhängigkeiten , falls Sie Builds mit GnuTLS oder libgcrypt für die betroffenen Komponenten pflegen. Und falls noch Reste von System-V-Skripten in Ihrem Workflow integriert sind, migrieren Sie zu nativen systemd-Units mit korrekt deklarierten Abhängigkeiten. Dies verbessert die Nachvollziehbarkeit und die langfristige Wartbarkeit.
Achtung: gelöst, DNSSEC und der Pi-Hole-Fall
Ein praktisches Problem ist zu beachten: Wenn Sie einen Nameserver verwenden, der DNSSEC nicht implementiert (z. B. Pi-hole in der Standardkonfiguration), kann ein Upgrade auf systemd 258-2 die Namensauflösung beeinträchtigen . Es handelt sich dabei nicht um einen völlig mysteriösen Fehler: Da die DNSSEC-Validierung erforderlich ist, schlägt `resolved` fehl, wenn der Upstream-Server diese Funktion nicht unterstützt.
Es gibt zwei einfache Lösungswege, je nach Ihren Vorlieben:
- Deaktivieren Sie DNSSEC in systemd-resolved: bearbeiten
/etc/systemd/resolved.conf, fügen Sie die Zeile hinzu oder entfernen Sie das KommentarzeichenDNSSEC=no, speichern Sie die Änderungen und starten Sie den Dienst mit neusystemctl restart systemd-resolvedDies ist die Überholspur, wenn Sie den Host kontrollieren und die Auflösung so schnell wie möglich wiederherstellen müssen. - Aktivieren Sie DNSSEC auf Pi-hole: Gehen Sie zur Pi-hole-Oberfläche und aktivieren Sie DNSSEC unter Einstellungen -> Erweiterte DNS-Einstellungen. Wenn Ihr Upstream-Server DNSSEC unterstützt, können Sie mit dieser Option die DNSSEC-Validierung beibehalten und trotzdem von der zusätzlichen Sicherheit profitieren.
Wählen Sie wie immer die Option, die am besten zu Ihrer Netzwerktopologie passt . In Heim- oder Labornetzwerken kann die vorübergehende Deaktivierung von DNSSEC pragmatisch sein; in Produktionsumgebungen ist die Aktivierung der durchgängigen DNSSEC-Unterstützung die bevorzugte Option.
Berechtigungen und Mehrbenutzereinstellungen: Sicherere TTYs in Systemd 258
Zurück zu den TTY-Berechtigungen: Das ist nicht zu unterschätzen: Die Umstellung von 0620 auf 0600 verhindert, dass andere Benutzer in Ihr Terminal schreiben können, selbst in Situationen, in denen Gruppen unerwartete Interaktionen erlaubt haben. Falls Ihre Arbeitsabläufe auf diesem laxen Verhalten beruhten, müssen Sie sie anpassen und explizite IPC-Kanäle, gemeinsam genutztes tmux oder ähnliche Lösungen verwenden, anstatt auf das Schreiben in das TTY eines anderen Benutzers zu vertrauen.
Weitere Änderungen an systemd 258: udev, networkd, journalctl und allgemeine Bereinigung
Wie in jeder Version gibt es viele kleinere Anpassungen verteilt auf udev, networkd, journalctl und andere Teile. Veraltete Optionen werden entfernt, Nachrichten überarbeitet, Verhaltensecken korrigiert und Validierungen hinzugefügt. Obwohl es schwierig ist, sie einzeln zu sehen, die Summe dieser kleinen Verbesserungen trägt zu einem konsistenteren und vorhersehbareren Erlebnis bei.
Wer sich für die Details interessiert, findet sie in den Versionshinweisen auf GitHub . Diese sind allerdings technisch und komplex; dennoch lohnt sich ein Blick darauf für Integratoren und Distributoren, um Änderungen zu identifizieren, die sich auf CI/CD, Paketierungsskripte oder Unternehmensrichtlinien auswirken könnten.
Ausblick auf die nächste Version: Vorbereitung auf den Sprung
Diese Version dient gleichzeitig als Vorbote: systemd 259 wird die Systemanforderungen erhöhen , was Auswirkungen auf sehr alte Hardware und Umgebungen haben könnte. Die Botschaft ist klar: Es ist an der Zeit , Altlasten abzubauen und auf nachhaltige Langzeitlösungen zu setzen. Mit der Migration zu cgroup v2 und der Verwendung aktueller Kernel sind Sie bestens für die Zukunft gerüstet.
Bewährte Methoden und Prüfungen für die Migration
Für alle, die noch Hybrid- oder Legacy-Umgebungen nutzen, ist eine Checkliste hilfreich. Stellen Sie sicher, dass Ihre Container und Services mit cgroup v2 korrekt funktionieren. Die meisten modernen Orchestratoren und Tools unterstützen dies bereits, aber verlassen Sie sich nicht auf die Standardeinstellungen. Prüfen Sie Units mit Ressourcendirektiven (CPUQuota, MemoryMax usw.) und deren tatsächliche Auswirkungen unter v2.
Im Hinblick auf die Sicherheit sollten Sie Dienste prüfen, die auf gemeinsam genutzten Terminals (TTYs) basieren . Falls Automatisierungen das Schreiben auf die Terminals anderer Benutzer ermöglichten, leiten Sie diese auf sichere Methoden mit Berechtigungskontrolle um. Und falls Sie für die betroffenen Komponenten andere Verschlüsselungsbibliotheken als OpenSSL integriert haben, passen Sie Ihre Build-Toolchain an.
Schnelle FAQ
- Kann ich weiterhin System V-Skripte verwenden? Nicht mit systemd 258. Migrieren Sie zu nativen Einheiten und entfernen Sie Abhängigkeiten von
initctlotelinit. - Was ist, wenn mein Kernel älter als 5.4 ist? systemd 258 unterstützt dies nicht. Aktualisieren Sie den Kernel. Wenn dies nicht möglich ist, Sie können diese Version nicht übernehmen.
- Betrifft mich die Änderung der TTY-Berechtigungen? In Mehrbenutzerumgebungen ja: Überprüfen Sie Workflows, die auf die TTYs anderer Benutzer schreiben und ändern Sie sie für explizite Mechanismen.
- Sollte ich DNSSEC aktivieren? Ja, das ist möglich. Wenn Ihr Upstream-DNS-Server dies nicht unterstützt, Deaktivieren Sie es in „Aufgelöst“ oder aktivieren Sie es in Pi-Hole um Schnittverletzungen zu vermeiden.
Systemd 258 ist eindeutig eine bedeutende Version: Sie standardisiert cgroup v2, erhöht die Anforderungen an den Kernel, verbessert die Sicherheit und fügt nützliche Tools wie Werksreset und PTY-Weiterleitung hinzu. Außerdem bringt sie Änderungen an Bootvorgang, UKIs und TPM2 mit sich, die den Weg für zukünftige Anforderungen ebnen, und scheut sich nicht, veraltete Funktionen wie System-V-Skripte zu entfernen. Mit einem kurzen Blick auf Kernel, Verschlüsselungsabhängigkeiten, Berechtigungen und DNS ist der Übergang selbst in anspruchsvollen Umgebungen gut zu bewältigen.
