.\" -*- coding: UTF-8 -*-
'\" t
.\"*******************************************************************
.\"
.\" This file was generated with po4a. Translate the source file.
.\"
.\"*******************************************************************
.TH SYSTEMD\&.IMAGE\-POLICY 7 "" "systemd 255" systemd.image\-policy
.ie  \n(.g .ds Aq \(aq
.el       .ds Aq '
.\" -----------------------------------------------------------------
.\" * Define some portability stuff
.\" -----------------------------------------------------------------
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.\" http://bugs.debian.org/507673
.\" http://lists.gnu.org/archive/html/groff/2009-02/msg00013.html
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.\" -----------------------------------------------------------------
.\" * set default formatting
.\" -----------------------------------------------------------------
.\" disable hyphenation
.nh
.\" disable justification (adjust text to left margin only)
.ad l
.\" -----------------------------------------------------------------
.\" * MAIN CONTENT STARTS HERE *
.\" -----------------------------------------------------------------
.SH BEZEICHNUNG
systemd.image\-policy \- Plattenabbilder\-Analyserichtlinie
.SH BESCHREIBUNG
.PP
In Systemd kann immer, wenn ein Plattenabbild (DDI) aktiviert wird, das die
\m[blue]\fBSpezifikation für auffindbare Partitionen\fP\m[]\&\s-2\u[1]\d\s+2
implementiert, eine Richtlinie festgelegt werden, die festlegt, welche
Partitionen eingehängt werden und welche Art von kryptographischer Schutz
benötigt wird\&. Eine solche Plattenabbild\-Analyserichtlinie ist eine
Zeichenkette, die durch Doppelpunkt (»:«) getrennte Regeln pro Partitionstyp
enthält\&. Die einzelnen Regeln bestehen aus einer Partitionskennzeichnung,
einem Gleichheitszeichen (»=«) und einem oder mehreren Schaltern, die pro
Partition gesetzt werden können\&. Falls pro Partition mehrere Schalter
festgelegt werden, werden diese durch ein Pluszeichen (»+«) getrennt\&.
.PP
Die derzeit definierten Partitionskennzeichnungen sind: \fBroot\fP, \fBusr\fP,
\fBhome\fP, \fBsrv\fP, \fBesp\fP, \fBxbootldr\fP, \fBswap\fP, \fBroot\-verity\fP,
\fBroot\-verity\-sig\fP, \fBusr\-verity\fP, \fBusr\-verity\-sig\fP, \fBtmp\fP,
\fBvar\fP\&. Diese Kennzeichnungen passen auf die entsprechenden
Partitionstypen in der Spezifikation der auffindbaren Partitionen, sind aber
unabhängig bezüglich der CPU\-Architektur\&. Falls die
Partitionskennzeichnung leer gelassen wird, definiert sie die Richtlinie
\fIdefault\fP für Partitionen, die in der Spezifikation der auffindbaren
Partitionen definiert sind und für die keine Richtlinienschalter explizit in
der Richtlinienzeichenkette aufgeführt sind\&.
.PP
Die folgenden Partitionsrichtlinienschalter sind definiert, die die
Existenz/Abwesenheit, die Verwendung und das Schutzniveau von Partitionen
bestimmen:
.sp
.RS 4
.ie  n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fBunprotected\fP für Partitionen, die existieren und verwandt werden, aber
ohne kryptographisches Schutzniveau vorkommen müssen; ihnen fehlt sowohl die
Verity\-Authentifizierung als auch die LUKS\-Verschlüsselung\&.
.RE
.sp
.RS 4
.ie  n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fBverity\fP für Partitionen, die existieren und verwandt werden müssen, mit
Verity\-Authentifizierung\&. (Beachten Sie: Falls ein DDI\-Abbild eine
Datenpartition zusammen mit einer Verity\-Partition und einer zugehörigen
Signatur\-Partition enthält und nur der Schalter \fBverity\fP (und nicht
\fBsigned\fP) gesetzt ist, dann wird das Abbild mit Verity eingerichtet, aber
die Signaturdaten werden nicht verwandt\&. Oder in anderen Worten: Jedes DDI
mit einer Reihe von Partitionen, die für \fBsignature\fP und implizit für
\fBverity\fP geeignet sind, und tatsächlich auch für \fBunprotected\fP)\&.
.RE
.sp
.RS 4
.ie  n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fBsigned\fP für Partitionen, die existieren und verwandt werden müssen, mit
Verity\-Authentifizierung, die von einer PKCS#7\-Signatur des
Verity\-Wurzel\-Hashes begleitet wird\&.
.RE
.sp
.RS 4
.ie  n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fBencrypted\fP für Partitionen, die existieren und verwandt werden müssen und
die mit LUKS verschlüsselt sind\&.
.RE
.sp
.RS 4
.ie  n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fBunused\fP für Partitionen, die existieren müssen, aber nicht verwandt werden
dürfen\&.
.RE
.sp
.RS 4
.ie  n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fBabsent\fP für Partitionen, die im Abbild nicht existieren dürfen\&.
.RE
.PP
Durch Setzen einer Kombination der obigen Schalter können Alternativen
erklärt werden\&. Die Kombination »unused+absent« bedeutet beispielsweise:
Die Partition darf existieren (dann darf sie aber nicht benutzt werden) oder
kann abwesend sein\&. Die Kombination
»unprotected+verity+signed+encrypted+unused+absent« kann über die besondere
Abkürzung »open« festgelegt werden und zeigt an, dass die Partition
existieren oder abwesend sein darf, aber falls sie existiert, wird sie
unabhängig von dem Schutzniveau verwandt\&.
.PP
Und die besondere Regel: Falls keine der obigen Schalter für eine
aufgelistete Partitionskennzeichnung gesetzt ist, ist die Standardrichtlinie
\fBopen\fP impliziert, d\&.h\&. wird keine dieser oben dargestellten Schalter
gesetzt werden effektiv alle oben aufgeführten Schalter gesetzt\&.
.PP
Die folgenden Partitionsrichtlinienschalter sind definiert, die den Zustand
konkreter GPT\-Partitionsschalter bestimmen:
.sp
.RS 4
.ie  n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fBread\-only\-off\fP, \fBread\-only\-on\fP um zu verlangen, dass bei den Partitionen
der Partitions\-Schreibschutzschalter aus oder an ist\&.
.RE
.sp
.RS 4
.ie  n \{\
\h'-04'\(bu\h'+03'
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
\fBgrowfs\-off\fP, \fBgrowfs\-on\fP um zu verlangen, dass bei den Partitionen der
Partitions\-Wachstumsschalter aus oder an ist\&.
.RE
.PP
Wenn für eine Partition sowohl \fBread\-only\-off\fP als auch \fBread\-only\-on\fP
gesetzt sind, dann wird der Zustand des Schreibschutzschalters für die
Partition nicht durch die Richtlinie bestimmt\&. Wird keiner der Schalter
gesetzt ist dies äquivalent zum Setzen von beiden, d\&.h\&. Setzen keiner
dieser Schalter bedeutet effektiv das Setzen beider\&. Eine ähnliche Logik
gilt für \fBgrowfs\-off\fP/\fBgrowfs\-on\fP\&.
.PP
Falls Partitionen nicht innerhalb einer Abbild\-Richtlinien\-Zeichenkette
aufgeführt sind, dann werden die Standard\-Richtlinienschalter angewandt
(konfigurierbar über eine leere Partitionskennzeichnung, siehe
oben)\&. Falls keine Standard\-Richtlinien\-Schalter in der
Richtlinienzeichenkette konfiguriert sind, wird sie als »absent+unused«
impliziert, außer für die Verity\-Partition und ihre Signatur\-Partitionen, wo
die Richtlinie automatisch vom minimalen Schutzniveau der Daten\-Partition,
die sie schützt und dies in deren Richtlinie kodiert ist, abgeleitet wird\&.
.SH "BESONDERE RICHTLINIEN"
.PP
Die besondere Abbild\-Richtlinienzeichenkette »*« ist kurz für »alles
verwenden«, d\&.h\&. sie ist äquivalent zu:
.sp
.if  n \{\
.RS 4
.\}
.nf
=verity+signed+encrypted+unprotected+unused+absent
.fi
.if  n \{\
.RE
.\}
.PP
Die besondere Abbild\-Richtlinienzeichenkette »\-« ist kurz für »nichts
verwenden«, d\&.h\&. sie ist äquivalent zu:
.sp
.if  n \{\
.RS 4
.\}
.nf
=unused+absent
.fi
.if  n \{\
.RE
.\}
.PP
Die besondere Abbild\-Richtlinienzeichenkette »~« ist kurz für »alles muss
abwesend sein«, d\&.h\&. sie ist äquivalent zu:
.sp
.if  n \{\
.RS 4
.\}
.nf
=absent
.fi
.if  n \{\
.RE
.\}
.SH USE
.PP
Die meisten Systemd\-Komponenten, die den Betrieb mit Plattenabbildern
unterstützen, unterstützen auch die Befehlszeilenoption \fB\-\-image\-policy=\fP,
um die zu verwendende Abbildrichtlinie festzulegen\&. Dabei ist die Vorgabe
eine recht offene Richtlinie (typischerweise die oben beschriebene
Richtlinie »*«) unter der Annahme, dass das Vertrauen in Plattenabbilder
etabliert wird, bevor die Abbilder an das entsprechende Programm übergeben
werden\&.
.PP
Für das Hauptbetriebssystemabbild selbst ist
\fBsystemd\-gpt\-auto\-generator\fP(8) für die Verarbeitung der
GPT\-Partitionstabelle verantwortlich\&. Es verwendet dabei die enthaltenen,
auffindbaren Partitionen\&. Es akzeptiert eine Abbildrichtlinie über die
Kernelbefehlszeilenoption \fBsystemd\&.image\-policy=\fP\&.
.PP
Beachten Sie, dass Plattenabbildrichtlinien nicht vorgeben, wie die
Komponenten die Plattenabbilder einhängen und verwenden \(en sie geben nur
vor, welche Teile vermieden werden sollen und welches Schutzniveau und
\-Arrangement benötigt wird, während sie sie einhängen\&. Beispielsweise
kümmert sich \fBsystemd\-sysext\fP(8) nur um die Bäume /usr/ und /opt/ innerhalb
eines Plattenabbildes und ignoriert in allen Fällen sämtliche
/home/\-Partitionen (und ähnliche), die im Abbild enthalten sein könnten,
unabhängig davon, ob die konfigurierte Abbildrichtlinie den Zugriff darauf
erlauben würde oder nicht\&. In gleicher Weise wird \fBsystemd\-nspawn\fP(1)
keinerlei erkannte Auslagerungsgeräte verwenden, unabhängig davon, ob die
Richtlinie es erlauben würde oder nicht\&.
.PP
Verwenden Sie den Befehl \fBimage\-policy\fP des Werkzeugs
\fBsystemd\-analyze\fP(8), um Abbildrichtlinienzeichenketten zu untersuchen und
zu bestimmen, was eine bestimmte Richtlinienzeichenkette für eine bestimmte
Partition bedeutet\&.
.SH BEISPIELE
.PP
Die folgende Abbildrichtlinienzeichenkette bestimmt, dass nur eine
schreibgeschützte Verity\-aktivierte usr/\-Partition existieren darf, sowie
verschlüsselte Wurzel\- und Auslagerungspartitionen\&. Alle anderen
Partitionen müssen ignoriert werden:
.sp
.if  n \{\
.RS 4
.\}
.nf
usr=verity+read\-only\-on:root=encrypted:swap=encrypted
.fi
.if  n \{\
.RE
.\}
.PP
Die folgende Abbildrichtlinienzeichenkette bestimmt, dass ein
verschlüsseltes, schreibbares Wurzeldateisystem und optional
/srv/\-Dateisystem, dass bei Existenz verschlüsselt sein muss, existieren
dürfen und keine Auslagerungspartition existieren darf:
.sp
.if  n \{\
.RS 4
.\}
.nf
root=encrypted+read\-only\-off:srv=encrypted+absent:swap=absent
.fi
.if  n \{\
.RE
.\}
.PP
Die folgende Abbildrichtlinienzeichenkette bestimmt, dass eine einzelne,
möglicherweise verschlüsselte Wurzelpartion existiert und
Auslagerungspartitionen ignoriert werden und alle anderen Paritionen
verwandt werden, falls sie (möglicherweise verschlüsselt) verfügbar sind\&.
.sp
.if  n \{\
.RS 4
.\}
.nf
root=unprotected+encrypted:swap=absent+unused:=unprotected+encrypted+absent
.fi
.if  n \{\
.RE
.\}
.SH "SIEHE AUCH"
.PP
\fBsystemd\fP(1), \fBsystemd\-dissect\fP(1), \fBsystemd\-gpt\-auto\-generator\fP(8),
\fBsystemd\-sysext\fP(8), \fBsystemd\-analyze\fP(8)
.SH ANMERKUNGEN
.IP " 1." 4
Spezifikation für auffindbare Partitionen
.RS 4
\%https://uapi\-group.org/specifications/specs/discoverable_partitions_specification
.RE
.PP
.SH ÜBERSETZUNG
Die deutsche Übersetzung dieser Handbuchseite wurde von
Helge Kreutzmann <debian@helgefjell.de>
erstellt.
.PP
Diese Übersetzung ist Freie Dokumentation; lesen Sie die
.UR https://www.gnu.org/licenses/gpl-3.0.html
GNU General Public License Version 3
.UE
oder neuer bezüglich der
Copyright-Bedingungen. Es wird KEINE HAFTUNG übernommen.
.PP
Wenn Sie Fehler in der Übersetzung dieser Handbuchseite finden,
schicken Sie bitte eine E-Mail an die
.MT debian-l10n-german@lists.debian.org
Mailingliste der Übersetzer
.ME .