Plan global. Sécurité des infrastructures de virtualisation. Plan. SystemV et sysinit. systemd : system and service manager for Linux.

Transcription

1 Sécurité des infrastructures de virtualisation systemd : system and service manager for Linux Plan global Timothée Ravier LIFO, ENSIB/INSA-CVL, LIPN 3 e année cycle ingénieur STI, option 2SU / 32 Plan SystemV et sysinit Ubuntu : Upstart Mac OS X : launchd et les autres... 2 / 32 SystemV et sysinit Runlevels (/etc/inittab) ; Script shell pour chaque service (/etc/init.d/nginx) ; Beaucoup de répétitions ; Démarrage séquentiel, arrêt séquentiel ; Aucune surveillance de l état du système ; Difficile de suivre les processus dans la durée (/var/run/nginx.pid?) ; Le processus PID 1 ne sert plus à rien une fois le système démarré ; Chaque distribution a ses propres scripts pour chaque service. 3 / 32

2 Ubuntu : Upstart Mac OS X : launchd Démarrage des service à la suite d événements ; La carte bluetooth est disponible démarre le service bluetooth ; Le réseau est disponible montage des disques distants ; Difficile d empêcher un service de démarrer automatiquement ; Meilleur que SysV, mais pas assez puissant. Introduit avec Mac OS X 10.4 ; Démarre le système et gère les services ; Démarrage des services en parallèle et à la demande ; Démon launchd (PID 1) et «télécommande» launchctl pour gérer le les services ; Gestion des daemons par utilisateur possible ; Configuration en XML. 4 / 32 5 / 32 et les autres... Plan D autres systèmes sont présentés dans l article [1]. Ils reposent généralement sur un langage de script : OpenRC (Gentoo) ; rcng (NetBSD, FreeBSD et DragonFlyBSD) ; runit (disponible sous Debian) ; Service Management Facility (SMF, OpenIndiana). Design et fonctionnalités Configuration et exemples Commandes usuelles 6 / 32 7 / 32

3 Warning! Troll detected! Beaucoup de rumeurs et fausses informations circulent à propose de systemd [2] ; Adopté par presque toutes les distributions majeures (RHEL/CentOS 7+, Fedora 15+, OpenSuse 12.1+, Arch Linux, Mageia...) ; Exceptions : Ubuntu/Mint (Upstart), Debian ; Adapté à tous les environnements : Distributions embarquées, voitures, téléphones, tablettes, supercalculateurs, desktops... Cette partie est fortement inspirée par la présentation [3]. Design et fonctionnalités : Units systemd est un gestionnaire de service ; systemd est aussi le gestionnaire du système : pas limité au démarrage, gère le cycle de vie du système ; Introduit le concept des «units» : Services ; Sockets ; Targets ; Devices ; Mounts ; Automounts ; Snapshots ; Timers ; Swaps ; Paths ; Slices. 8 / 32 9 / 32 Design et fonctionnalités : Dépendances Gestion des dépendances explicites entre les services ; Exemple : 1 Attends qu un disque devienne accessible ; 2 Vérifie le système de fichiers ; 3 Monte le système de fichier ; 4 Fait cette opération pour chaque système de fichier, en parallèle, au fur et à mesure qu ils deviennent disponibles. Réduit les temps de boot ; Améliore la fiabilité du système (+ prévisible) ; Facilite le debug. 10 / 32 Design et fonctionnalités : Services Trace les processus et les relie à un service ; S assure que tous les processus liés à un service sont bien terminés lorsque nécessaire ; Surveille les processus et peut les redémarrer si ils crashent : Désactivé par défaut, très facile à activer service par service. Gère les watchdogs et fonctionne comme watchdog pour les services. 11 / 32

4 Design et fonctionnalités : Ressources Design et fonctionnalités : * Activation Gère les ressources avec les cgroups ; Par défaut, répartie les ressources équitablement entre les services (limites soft/hard) ; Gestion dynamique appliquée à la volée ou permanente ; Exploite la hiérarchie des cgroups avec les «slices» ; Interface un peu plus au niveau pour utiliser les cgroups. Il n est plus nécessaire de maintenir tous les services démarrés en permanence : Socket Activation ; Hardware Activation ; Bus Activation ; Timer Activation ; Path Activation. Une partie de ces fonctionnalités étaient disponibles avec xinetd, cron, ou at. 12 / / 32 Design et fonctionnalités : Logs Design et fonctionnalités : Debugging Plus aucun message de log n est perdu ; Récupère les logs le plus tôt possible au démarrage et le plus tard à l extinction ; Récupère la sortie standard, erreur, noyau, syslog de tous les services et les agrège avec toutes les «métadonnées» liées à ces services ; Stockage par le journal ou transféré à une instance de syslog. Démarrage interactif ; Trace de toutes les opérations effectuées sur le systèmes ; Garde la mesure du temps nécessaire au démarrage du système et permet ainsi de déterminer quels services prennent le plus de temps à démarrer ; L état de la configuration de chaque service est disponible à tout moment. 14 / / 32

5 Design et fonctionnalités : Compatibilité Design et fonctionnalités : Service files Description d un service. Il n y a plus de shell! Presque complètement compatible avec les scripts d init SysV ; Plus d informations sur le wiki de systemd [4] ; [Unit] Description=Je suis un lapin très serviable [Service] Type=forking ExecStart=/usr/bin/bugsbunny -d --carrotes=2 [Install] WantedBy=multi-user.target 16 / / 32 Design et fonctionnalités : Exécution Design et fonctionnalités : Standardisation Fournis tous les éléments pour préparer le démarrage d un service : Environment ; Working directory ; Resource limits, OOM adjustment, Nice level, IO priority, CPU scheduler priority, CPU affinity ; File system namespacing (r/o file systems, inaccessible systems, mount propagation, private /tmp) ; Umask, UID, GID ; capabilities (inherited set, bounding set, secure bits) ; Private network ; System call filters (seccomp) ;... Standardisation : chaque distribution avait ses propres scripts d init et ses propres fichiers de configurations. Tout est maintenant commun : /etc/hostname hostnamectl ; /etc/locale.conf, /etc/vconsole.conf localectl ; /etc/localtime timedatectl. 18 / / 32

6 Exemple de service I $ cat /etc/systemd/system/owncloud.service [Unit] Description=OwnCloud service via uwsgi-php After=syslog.target [Service] User=owncloud Group=owncloud ExecStart=/usr/bin/uwsgi --plugin php --ini (...) Restart=always Type=notify StandardError=syslog NotifyAccess=main KillSignal=SIGQUIT [Install] WantedBy=multi-user.target 20 / 32 Exemple de service II $ cat /usr/lib/systemd/system/nginx.service [Unit] Description=The nginx HTTP and reverse proxy server After=syslog.target network.target remote-fs.target (...) [Service] Type=forking PIDFile=/run/nginx.pid ExecStartPre=/usr/sbin/nginx -t ExecStart=/usr/sbin/nginx ExecReload=/bin/kill -s HUP $MAINPID ExecStop=/bin/kill -s QUIT $MAINPID PrivateTmp=true [Install] WantedBy=multi-user.target 21 / 32 Fichiers de configuration Ordre de lecture de la configuration propre aux services gérés par systemd : /etc/systemd/system (versions spécifiques) ; /run/systemd/system (services générés automatiquement) ; /usr/lib/systemd/system (fichiers originaux). Il est possible de modifier juste certaines valeurs pour un service en les indiquant dans un fichier nommé *.conf dans le dossier : /etc/systemd/system/nginx.service.d/ (par exemple). 22 / 32 tmpfiles.d systemd a introduit le dossier /run ; Utilise le système de fichier tmpfs pour stocker les données temporairement ; Disponible très tôt au démarrage ; Utilisable pour stocker les informations non permanentes liées aux services ; /{etc,usr}/tmpfiles.d/*.conf : fichiers qui décrivent quels dossiers ou fichiers doivent être créés automatiquement au démarrage du système ; Exemple : $ cat /etc/tmpfiles.d/tuned.conf d /run/tuned 0755 root root - 23 / 32

7 Commandes usuelles systemctl : affiche l état de tous les services sur le système. systemctl state=failed limite l affichage aux services en état d échec ; systemctl [enable disable] nginx(.service) : marque le service pour qu il soit démarré ou non lors au boot ; systemctl [start stop reload] nginx(.service) : démarre ou arrête le service tout de suite ; systemctl daemon-reload : recharge tous les fichiers de configuration des démons. Impératif après avoir modifié un service pour que les changements soient pris en compte! (Il faudra peut-être aussi redémarrer le service suivant les cas). 24 / 32 Plan Design Commandes usuelles 25 / 32 Design Commandes usuelles Similaire à syslog(-ng)/rsyslog : Récupère les messages envoyés par les processus sur la socket /dev/log et les stocke proprement ; Démon lancé très tôt au boot et fortement intégré avec systemd ; Cette intégration permets d obtenir beaucoup plus d informations que ce qui normalement possible avec *syslog* ; Utilise un format de stockage personnalisé et compressé [5] ; 26 / 32 journalctl -e : affiche les logs les plus récents du boot courant ; journalctl -b -1 : affiche les logs du boot précédent ; journalctl -b -0 _PID=333 : limite l affichage aux logs émis par le PID 333 pour ce boot ; journalctl -k : équivalent de dmesg ; journalctl -u nginx(.service) : affiches tous les logs liés au service nginx ; journalctl -f -n 50 : affiche les 50 derniers logs puis affiche les logs au fur et à mesure ; journalctl /usr/bin/dbus-daemon : tous les logs émis par le binaire /usr/bin/dbus-daemon. 27 / 32

8 Plan 28 / 32 Autres projets rattachés et futur logind : gère les sessions utilisateurs (remplace ConsoleKit) ; (futur) consoled : console VT en userspace ; (futur) networkd : gestion minimale «statique» du réseau pour ne plus dépendre de scripts à ce niveau ; (futur) support des Clouds et intégration avec les containers ; (futur) kdbus : remplaçant de DBus intégré dans le noyau Linux ; (futur) support d applications utilisateurs (sandbox...). 29 / 32 Standards! Références I 1 Petit état de l art des systèmes d initialisation : 2 The Biggest Myths about systemd : 3 Red Hat Summit Getting Ready for systemd : systemd Freedesktop.org Wiki : 30 / / 32

9 Références II 5 Journal File Format : journal-files/ 32 / 32