概要
Linuxの主要な初期化システムであるsystemdの最新版「v262」が公開された。今回の目玉は、PID 1およびexecutorバイナリを静的リンクでビルドできるようになった点で、動的ライブラリの読み込みを避けられることから、軽量なコンテナ環境をターゲットにした変更となっている。あわせて仮想化・セキュリティ・ストレージまわりの機能拡張も多数含まれており、幅広い分野にわたる大型アップデートとなった。
仮想化とサービス管理の強化
仮想マシン起動ツールのsystemd-vmspawnは、既存のAMD SEV-SNPに加えて「Intel TDX」による機密仮想マシン(confidential VM)に対応し、セキュアブートの有効化もサポートするようになった。サービス管理面では、複数のサービスが同時に再起動して負荷が集中する事態を避けるためのRestartRandomizedDelaySec=オプションが新設され、再起動前にランダムな遅延を挟めるようになった。またスライスユニットにはActivatingConcurrencyMax=が追加され、同時に活性化できるユニット数を制限できるようになっている。
TPM・暗号化・ジャーナルまわりの改善
セキュリティ面では、TPM封印された認証情報がTPMのStorage Root Key(SRK)にピン留めされるようになり、「interposed TPM device」を用いた攻撃への耐性が向上した。TPM2 PIN登録にはArgon2idのサポートも加わっている。ディスク暗号化まわりでは、systemd-cryptenrollに初回起動ウィザード機能が搭載され、自動化されたディスク復号化メカニズムを組み込みやすくなった。またsystemd-homedは新しいfscrypt v2ポリシーに対応したが、既存のv1ホームディレクトリからのin-placeアップグレード経路は提供されない点には注意が必要だ。ジャーナル関連では、不正シャットダウン後にアクティブなジャーナルファイルから有効なエントリを回復できるようになったほか、ジャーナルシーリングの実装がlibgcryptからOpenSSLへ移行された。
互換性の変更と今後
一方で後方互換性に関わる変更もある。レガシーなudevコントロールソケットプロトコルが削除され、Varlink IPCに一本化されたほか、複数の旧Mesonビルドオプションやコマンド出力フォーマットが変更されている。既存環境からのアップグレード時にはこれらの差分を確認しておく必要があるだろう。静的PID 1ビルドやTDX対応といった今回の拡張は、軽量コンテナや機密コンピューティング基盤でのsystemd活用をさらに後押しするとみられ、今後のディストリビューションでの採用状況が注目される。