systemd 262 是一次“向内加固、向外瘦身”的更新

systemd 262 是一次“向内加固、向外瘦身”的更新。它把安全信任的根扎进芯片，同时让自身能瘦身成一个小到可以塞进微型容器的静态二进制。以下是这次更新的核心变化。

这次更新在安全上最实质的动作，是把 TPM 凭据的密封机制从软件层下沉到了硬件层。

凭据绑定芯片：systemd 现在将 TPM 凭据绑定到芯片的存储根密钥（SRK）。这意味着，即使攻击者在启动总线上放置了中间人设备试图截获解密数据，也无法解开凭据，因为解密所需的私钥只有该 TPM 芯片自己知道[1][2]。
更强的 PIN 保护：在 systemd-cryptenroll 中，TPM2 PIN 的密钥派生默认算法从 PBKDF2 换成了 Argon2id。这让暴力破解的难度大幅提升，即便 TPM 芯片本身被盗，攻击者也无法轻易恢复卷密钥[3][1]。
无人值守的便捷选项：新增了 --unlock-empty 和 --unlock-headless 开关，方便在无交互的自动化部署场景中，通过空密码或优先使用 TPM 来解锁磁盘[3]。

systemd 正在努力摘掉“臃肿”的帽子，这次更新让它对极简容器环境友好多了。

静态单二进制：现在可以通过 Meson 选项构建一个静态链接的单个 PID 1/执行器二进制文件。它完全避免了运行时的动态链接库调用（dlopen()），非常适合作为极简容器里的唯一进程运行[4][2]。
内置单元文件兜底：systemd 管理器内部直接嵌入了最基础的单元文件（如 basic.target、sysinit.target、multi-user.target）。当磁盘上找不到这些文件时（比如在一个空容器里），它会直接使用内存里的备份来启动，不再强依赖发行版提供单元文件[5][1]。
启动并发控制：新增了 ActivatingConcurrencyMax= 选项，可以限制一个 slice 层级内同时激活的单元数量，防止大量服务同时启动瞬间压垮系统[6][7]。

为了满足服务器“永不宕机”的需求，systemd 在内核热更新（Live Update Orchestrator, LUO） 上迈出了一步。

LUO 会话支持：服务单元新增了 LUOSession= 选项，允许 systemd 在 kexec 切换内核时，保留进程和设备的状态，实现真正的无中断内核热更新[5][1]。
机密计算支持：systemd-vmspawn 的 --coco= 选项除了支持 AMD SEV-SNP，现在也支持 Intel TDX，为运行机密虚拟机提供了更多选择[5][6]。

一些实用工具也得到了增强，让日常运维更可控。

journal 日志恢复：在系统异常断电导致日志文件头部或尾部被截断时，systemd 现在能尝试从损坏的活跃日志文件中恢复出有效的日志条目。这对事后排查崩溃原因非常有帮助[6]。
systemd-sysupdate 追踪：更新工具现在会维护一个已安装文件的持久数据库，并新增了清理命令，可以清除那些不再被当前配置匹配的“孤儿文件”，让原子更新更干净[6]。
headless 首次启动：systemd-firstboot 支持 systemd.firstboot=headless，在云镜像或自动化部署中完全抑制交互式提示，实现无人值守的自动配置[6]。

systemd 262 引入了一个AI/LLM 金丝雀机制，用于检测未经人工审核的 AI 生成代码的提交[5][8]。这反映了开源社区对 AI 生成代码质量与责任归属的日益关注。

作为一个主要版本，v262 包含了一系列破坏性变更，升级前建议仔细阅读官方说明：

Type=notify-reload 服务更严格：这类服务在发送 READY=1 时，必须捕获或屏蔽 ReloadSignal=，否则服务会启动失败[9]。
DNS-SD 注册行为修正：通过 D-Bus 注册的 DNS-SD 服务，现在会在客户端断开总线连接时自动注销。如果希望服务长期注册，需要改用 *.dnssd 文件[9]。
工具输出格式变更：ukify inspect --json= 的输出格式有变，重复的 PE 段现在会以数组形式输出，解析该输出的脚本需要更新[9]。
未来移除预告：实验性的 systemd-sysupdated D-Bus API 计划在 v263 中移除，未来客户端应直接通过 Varlink IPC 与 systemd-sysupdate 通信[9]。

总体来看，systemd 262 的方向很清晰：安全上更“硬”（绑定硬件），体积上更“软”（瘦身容器），运维上更“稳”（增强恢复与更新追踪）。

参考来源

[1] Systemd 262 Release: Hardware-Rooted Security and Live Updates — https://www.linuxcompatible.org/story/systemd-262-release-hardwarerooted-security-and-live-updates/
[2] Systemd 262 arrives with TPM2 security, OpenSSL 4, and static binaries — https://blog.desdelinux.net/en/systemd-262-release-new-features-tpm2-openssl-containers/
[3] Release systemd v262 · systemd/systemd — https://github.com/systemd/systemd/releases/tag/v262
[4] Systemd v262 released — https://lwn.net/Articles/1096204/
[5] systemd 262 Released With AI/LLM Canary For Unreviewed Code, LUO Integration — https://www.phoronix.com/news/systemd-262
[6] systemd 262 Released with Static PID 1, Intel TDX, TPM Improvements, and New Container Features — https://www.linuxjournal.com/content/systemd-262-released-static-pid-1-intel-tdx-tpm-improvements-and-new-container-features
[7] 「systemd 262」リリース ─ PID 1の堅牢化やTPM連携を強化 — https://thinkit.co.jp/news/39570
[8] systemd 262 正式发布，新增面向未审核代码的 AI/LLM 金丝雀检测机制，同时集成 LUO 支持 — http://www.linuxeden.com/a/165244
[9] Releases · systemd/systemd — https://github.com/systemd/systemd/releases?after=v230#1