SYSTEMD-PCRLOCK(8) systemd-pcrlock SYSTEMD-PCRLOCK(8) BEZEICHNUNG systemd-pcrlock, systemd-pcrlock-file-system.service, systemd-pcrlock-firmware-code.service, systemd-pcrlock-firmware-config.service, systemd-pcrlock-machine-id.service, systemd-pcrlock-make-policy.service, systemd-pcrlock-secureboot-authority.service, systemd-pcrlock-secureboot-policy.service - TPM-PCR-Zustande analysieren und aus dieser Vorhersage eine Zugriffsrichtlinie erstellen UBERSICHT /usr/lib/systemd/systemd-pcrlock [OPTIONEN] BESCHREIBUNG Hinweis: Dieser Befehl ist derzeit experimentell. Es ist zwar wahrscheinlich, dass er eine regulare Komponente von Systemd wird, aber sein Verhalten und seine Schnittstellen konnen sich noch andern. systemd-pcrlock ist ein Werkzeug, das zur Analyse und Vorhersage von TPM2-PCR-Messungen verwandt werden kann und TPM2-Zugriffsrichtlinien aus der Vorhersage erstellen kann, die es in einem TPM2-NV-Index speichert (d.h. in dem nichtfluchtigen TPM2-Speicher). Dies kann dann zur Zugriffsbeschrankung auf TPM2-Objekte (wie Schlussel einer Plattenverschlusselung) fur Systemstarts verwandt werden, bei dem nur bestimmte, vertrauenswurdige Komponenten verwandt werden. Fur seine Analyse und Vorhersage verwendet systemd-pcrlock Folgendes als Eingabe: o Das UEFI-Firmware-TPM2-Ereignisprotokoll (d.h. /sys/kernel/security/tpm0/binary_bios_measurements) des aktuellen Systemstarts. o Das TPM2-Ereignisprotokoll im Anwendungsraum (d.h. /run/log/systemd/tpm2-measure.log) des aktuellen Systemstarts. o Der aktuelle PCR-Zustand des TPM2-Bausteins. o Systemstartkomponentendefinitionsdateien (*.pcrlock und *.pcrlock.d/*.pcrlock, siehe systemd.pcrlock(5)), die jeweils erwartete Messungen fur eine Komponente des Systemstartprozesses und alternative Varianten fur jede definieren. (Varianten konnen dazu verwandt werden, mehrere Kernelversionen oder Systemstartprogrammversionen gleichzeitig freizugeben.) Sie verwendet diese Eingaben, um ein kombiniertes Ereignisprotokoll zu erstellen und es gegen die PCR-Zustande zu validieren. Dann versucht sie, Ereignisprotokollereignisse zu erkennen und vergleicht sie mit den definierten Komponenten. Fur jedes PCR, wo dies umfassend erfolgen kann (d.h. wo alle aufgefuhrten Datensatze und alle definierten Komponenten passen), kann dies dann zur Vorhersage zukunftiger PCR-Messungen verwandt werden. Dabei werden alternative, fur jede Komponente definierte Varianten berucksichtigt. Diese Vorhersage kann dann in eine TPM2-Zugriffsrichtlinie umgewandelt werden (diese besteht aus TPM2-PolicyPCR- und PolicyOR-Eintragen), die dann in einen NV-Index im TPM2 gespeichert wird. Damit konnen dann Geheimnisse (wie Schlussel fur die Festplattenverschlusselung) fur diese Richtlinien gesperrt werden (mittels einer TPM2-PolicyAuthorizeNV-Richtlinie). Verwenden Sie Werkzeuge wie systemd-cryptenroll(1) oder systemd-repart(8), um Plattenverschlusselungen an solch eine systemd-pcrlock-TPM2-Richtlinie zu binden. Siehe insbesondere den Schalter --tpm2-pcrlock= dieser Werkzeuge. Die Zugriffssteuerungsrichtlinienlogik benotigt ein TPM2-Gerat, das den Befehl >>PolicyAuthorizeNV<< implementiert, d.h. das TPM 2.0-Version 1.38 oder neuer implementiert. BEFEHLE Die folgenden Befehle werden verstanden: log Dies liest das kombinierte TPM2-Ereignisprotokoll, validiert es, vergleicht es mit den aktuellen PCR-Werten und gibt beides in tabellarischer Form aus. Kombinieren Sie es mit --json=, um Ausgabe im JSON-Format zu erzeugen. Hinzugefugt in Version 255. cel Dies liest das kombinierte TPM2-Ereignisprotokoll und schreibt es in die Standardausgabe im Kanonisches TCG-Ereignisprotokollformat (CEL-JSON)[1]. Hinzugefugt in Version 255. list-components Zeigt eine Liste an Komponentendefinitionen und ihrer Varianten, d.h. die in /var/lib/pcrlock.d/, /usr/lib/pcrlock.d/ und anderen unterstutzten Verzeichnissen erkannten Dateien *.pcrlock. Siehe systemd.pcrlock(5) zu Details dieser Dateien und der vollstandigen Liste der durchsuchten Verzeichnisse. Hinzugefugt in Version 255. predict Sagt den PCR-Zustand fur zukunftige Systemstarts voraus. Dies wird wie oben beschrieben das TPM2-Ereignisprotokoll analysieren, Komponenten erkennen und dann alle moglichen daraus entstehenden PCR-Werte fur alle Kombinationen der Komponentenvarianten erstellen. Beachten Sie, dass fur PCRs, deren Werte nicht auf Datensatze des Ereignisprotokolls passen, fur die unbekannte Messungen erkannt werden oder fur die Komponenten definiert sind, die nicht im Ereignisprotokoll vorhanden sind, keine Vorhersage erfolgt. Dies ist eine Sicherheitsmassnahme, um sicherzustellen, dass jede erstellte Zugriffsrichtlinie korrekt beim aktuellen und zukunftigen Systemstarts erfullt werden kann. Hinzugefugt in Version 255. make-policy Dies sagt den PCR-Zustand fur zukunftige Systemstarts vorher, ahnlich wie der obige Befehl predict. Es verwendet diese Daten dann, um eine TPM2-Zugriffsrichtlinie zu erstellen, die dann in einem TPM2-NV-Index gespeichert wird. Die Vorhersage und Informationen uber den verwandten TPM2 und dessen NV-Index werden nach /var/lib/systemd/pcrlock.json geschrieben. Der NV-Index wird beim ersten Aufruf reserviert und bei nachfolgenden Aufrufen aktualisiert. Der NV-Index kann durch Angabe einer Zugriffs-PIN geandert (und daher die darin gepspeicherte Richtlinie aktualisiert) werden. Diese PIN wird normalerweise automatisch generiert und in verschlusselter Form in der vorgenannten JSON-Richtliniendatei gespeichert (wobei eine Zugriffsrichtlinie sie an den NV-Index selbst bindet). Diese PIN kann durch den Benutzer uber den Schalter --recovery-pin= gewahlt werden. Falls angegeben, kann sie als alternativer Zugriffspfad zur Aktualisierung der Richtlinie verwandt werden. Falls die neue Vorhersage mit der alten ubereinstimmt, beendet sich der Befehl schnell und fuhrt keine weitere Aktion aus. (Ausser --force wurde angegeben, siehe unten.) Beginnend mit v256 wird eine Kopie der Richtliniendatei /var/lib/systemd/pcrlock.json in die Zugangsberechtigungsdatei kodiert (siehe systemd-creds(1) zu Details) und in die EFI-Systempartition oder die XBOOTLDR-Partition im Unterverzeichnis /loader/credentials/ subdirectory geschrieben werden. Dort wird sie wahrend des Systemstarts von systemd-stub(7) aufgenommen und an die aufgerufene Initrd ubergeben, wo sie dann zum Entsperren des Wurzeldateisystems verwandt wird (das Wurzeldateisystem enthalt typischerweise /var/, wo sich die primare Kopie der Richtlinie befindet, die daher nicht zum Entsperren des Wurzeldateisystems verwandt werden kann). Die Zugangsberechtigungsdatei wird nach dem Systemstarteintragsmerkmal der Installation benannt (siehe bootctl(1)). Dies kann, wie nachfolgend beschrieben, uber den Schalter --entry-token= konfiguriert werden. Hinzugefugt in Version 255. remove-policy Entfernt eine vorher erstellte Richtlinie. Loscht die Datei /var/lib/systemd/pcrlock.json und gibt den NV-Index frei. Hinzugefugt in Version 255. is-supported Uberpruft, ob der lokale TPM2 alle Funktionalitat unterstutzt, damit systemd-pcrlock korrekt funktioniert. Damit werden ahnliche Tests wie systemd-analyze has-tpm2 durchgefuhrt, aber auch auf Unterstutzung fur TPM2-Operationen gepruft, die von systemd-pcrlock benotigt werden. Gibt entweder >>no<<, >>partial<< (falls einige Teile der TPM2-Unterstutzung in Hardware, Firmware, dem Betriebsysystem vorhanden aber nicht vollstandig sind), >>obsolete<< (falls TPM2-Unterstutzung in Hardware, Firmware und dem Betriebsysystem vorhanden sind, aber die fur systemd-pcrlock benotigten Operationen fehlen) oder >>yes<< aus. Liefert einen Exit-Status von Null zuruck, falls vollstandige Unterstutzung verfugbar ist, und ansonsten einen von Null verschiedenen Wert. Kombinieren Sie dies mit --quiet, um die Ausgabe der Zeichenkette zu unterdrucken. Derzeit pruft dies auf die Unterstutzung fur den TPM2-Befehl PolicAuthorizeNV, sowie fur Unterstutzung des SHA-256-Hash-Algorithmus. Hinzugefugt in Version 258. lock-firmware-code, unlock-firmware-code Erstellt/Entfernt Dateien .pcrlock basierend auf dem TPM2-Ereignisprotokoll des aktuellen Systemstarts, die alle Datensatze fur PCRs 0 (>>Plattform-Code<<) und 2 (>>externer-Code<<) abdecken. Diese Aktion ermoglicht das Sperren des Systemstarts auf die aktuelle Version der Firmware des Systems und seiner Erweiterungskarten. Diese Aktion sollte nur verwandt werden, falls der Systemlieferant vorab keine geeigneten pcrlock-Daten bereitstellt. Beachten Sie, dass dies nur auf die aktuelle Version der Firmware passt. Falls eine Aktualisierung der Firmware erfolgt, sind diese Daten veraltet und jede daraus erstellte Zugriffsrichtlinie wird nicht mehr bestehen. Es wird daher empfohlen, unlock-firmware-code aufzurufen, bevor eine Firmware-Aktualisierung erfolgt, gefolgt von make-policy, um die Richtlinie zu aktualisieren. systemd-pcrlock lock-firmware-code wird, falls aktiviert, automatisch beim Systemstart mittels der Unit systemd-pcrlock-firmware-code.service aufgerufen. Das stellt sicher, dass eine durch systemd-pcrlock verwaltete Zugriffsrichtlinie automatisch auf die neue Firmware-Version gesperrt wird, wann immer die Richtlinie temporar gelockert wurde, um wie oben beschrieben Firmware-Aktualisierungen abzudecken. Die Dateien werden nur aus dem Ereignisprotokoll erstellt, falls das Ereignisprotokoll auf den aktuellen TPM2-PCR-Zustand passt. Dies schreibt/entfernt die Dateien /var/lib/pcrlock.d/250-firmware-code-early.pcrlock.d/generated.pcrlock und /var/lib/pcrlock.d/550-firmware-code-late.pcrlock.d/generated.pcrlock. Hinzugefugt in Version 255. lock-firmware-config, unlock-firmware-config Dies ist zu lock-firmware-code/unlock-firmware-code ahnlich, sperrt aber die Firmwarekonfiguration ab, d.h. PCR 1 (>>platform-config<<) und 3 (>>external-config<<). Diese Funktionalitat sollte vorsichtig verwandt werden, da in den meisten Fallen eine kleine Firmwarekonfigurationsanderung nicht die Zugriffsregeln auf TPM2-Objekte ungultig machen sollte. Beachten Sie auch, dass manche Systeme instabile und unvorhersehbare Informationen in diese PCRs messen (z.B. aktuelle CPU-Spannungen, -Temperaturen als Teil der SMBIOS-Daten), wodurch diese Art von Absperrung fur solche Systeme nicht zuverlassig verwandt werden kann. Verwenden Sie diese Funktionalitat nur, falls das System und die Hardware gut bekannt sind und nicht diesen Beschrankungen unterliegen, beispielsweise in virtualisierten Umgebungen. Verwendet unlock-firmware-config vor Anderungen der Firmwarekonfiguration. Falls die Unit systemd-pcrlock-firmware-config.service aktiviert ist, wird sie automatisch eine Pcrlock-Datei aus den neuen Messungen erstellen. Dies schreibt/entfernt die Dateien /var/lib/pcrlock.d/250-firmware-config-early.pcrlock.d/generated.pcrlock und /var/lib/pcrlock.d/550-firmware-config-late.pcrlock.d/generated.pcrlock. Hinzugefugt in Version 255. lock-secureboot-policy, unlock-secureboot-policy Erstellt/Entfernt eine .pcrlock-Datei auf der Basis der aktuell durchgesetzten Richtlinie zum sicheren Systemstart. Dies schaut auf die EFI-Variablen SecureBoot, PK, KEK, db, dbx, dbt und dbr und sagt ihre Messungen in PCR 7 (>>secure-boot-policy<<) fur den nachsten Systemstart vorher. Verwendet unlock-firmware-config vor der Anwendung von Aktualisierungen der Richtlinie fur den sicheren Systemstart. Falls die Unit systemd-pcrlock-secureboot-policy.service aktiviert ist, wird sie automatisch eine Pcrlock-Datei aus der erkannten Richtlinie erstellen. Dies schreibt/entfernt die Datei /var/lib/pcrlock.d/230-secureboot-policy.pcrlock.d/generated.pcrlock. Hinzugefugt in Version 255. lock-secureboot-authority, unlock-secureboot-authority Erstellt/Entfernt eine .pcrlock-Datei auf der Basis der Autoritaten des sicheren Systemstarts, die zur Validierung des Systemstartpfades verwandt wurden. Autoritaten des sicheren Systemstarts sind die bestimmten SecureBoot-Datenbankeintrage, die zur Validierung der beim Systemstart ausgefuhrten UEFI-PE-Programme verwandt wurden. Dies schaut auf das Ereignisprotokoll des aktuellen Systemstarts und verwendet die relevanten Messungen auf PCR 7 (>>secure-boot-policy<<). Dies schreibt/entfernt die Datei /var/lib/pcrlock.d/620-secureboot-authority.pcrlock.d/generated.pcrlock. Hinzugefugt in Version 255. lock-gpt [GERAT], unlock-gpt Erstellt/Entfernt eine .pcrlock-Datei auf der Basis der GPT-Partitionstabelle der angegebenen Platte. Falls keine Platte angegeben ist, wird automatisch das Blockgerat bestimmt, das dem Wurzeldateisystem zugrundeliegt. Dies sperrt den Zustand der Plattenpartitionierung des gestarteten Mediums, den die Firmware in PCR 5 (>>boot-loader-config<<) einmisst. Dies schreibt/entfernt die Datei /var/lib/pcrlock.d/600-gpt.pcrlock.d/generated.pcrlock. Hinzugefugt in Version 255. lock-pe [PROGRAMM], unlock-pe Erstellt/Entfernt eine .pcrlock-Datei auf der Basis des angegebenen PE-Programms. Dies ist zur Vorhersage der Messungen der Firmware in PCR 4 (>>boot-loader-code<<) nutzlich, falls das angegebene Programm Teil des UEFI-Systemstartprozesses ist. Verwenden Sie diese Option fur Systemstartprogramme und ahnliches. Verwenden Sie lock-uki (siehe unten) fur PE-Programme, die vereinigte Kernelabbilder (UKIs) sind. Erwartet als Argument einen Pfad zu einem PE-Programm. Falls nicht angegeben, wird das Programm stattdessen von Stdin gelesen. Die zu schreibende Pcrlock-Datei muss mit dem Schalter --pcrlock= angegeben werden. Hinzugefugt in Version 255. lock-uki [UKI], unlock-uki Erstellt/Entfernt eine .pcrlock-Datei auf der Basis des angegebenen UKI-PE-Programms. Dies ist zur Vorhersage der Messungen der Firmware in PCR 4 (>>boot-loader-code<<) und von systemd-stub(7) in PCR 11 (>>kernel-boot<<) nutzlich, falls das angegebene UKI gestartet wurde. Dies ist eine Obermenge von lock-pe. Erwartet als Argument einen Pfad zu einem UKI-PE-Programm. Falls nicht angegeben, wird das Programm stattdessen von Stdin gelesen. Die zu schreibende Pcrlock-Datei muss mit dem Schalter --pcrlock= angegeben werden. Hinzugefugt in Version 255. lock-machine-id, unlock-machine-id Erstellt/Entfernt eine .pcrlock-Datei auf der Basis von /etc/machine-id. Dies ist zur Vorhersage der Messungen durch systemd-pcrmachine.service(8) in PCR 15 (>>system-identity<<) nutzlich. Dies schreibt/entfernt die Datei /var/lib/pcrlock.d/820-machine-id.pcrlock. Hinzugefugt in Version 255. lock-file-system [PFAD], unlock-file-system [PFAD] Erstellt/Entfernt eine .pcrlock-Datei auf der Basis der Dateisystemidentitat. Dies ist zur Vorhersage der Messungen durch systemd-pcrfs@.service(8) in PCR 15 (>>system-identity<<) fur die Wurzel- und /var/-Dateisysteme nutzlich. Dies schreibt/entfernt die Dateien /var/lib/pcrlock.d/830-root-file-system.pcrlock und /var/lib/pcrlock.d/840-file-system-Pfad.pcrlock. Hinzugefugt in Version 255. lock-kernel-cmdline [DATEI], unlock-kernel-cmdline Erstellt/Entfernt eine .pcrlock-Datei auf der Basis von /proc/cmdline (oder falls angegeben der angegebenen Datei). Dies ist zur Vorhersage der Messungen, die der Linux-Kernel in PCR 9 (>>kernel-initrd<<) durchfuhrt, nutzlich. Dies schreibt/entfernt die Datei /var/lib/pcrlock.d/710-kernel-cmdline.pcrlock/generated.pcrlock. Hinzugefugt in Version 255. lock-kernel-initrd DATEI, unlock-kernel-initrd Erstellt/Entfernt eine .pcrlock-Datei auf der Basis eines Kernel-Initrd-CPIO-Archivs. Dies ist zur Vorhersage der Messungen, die der Linux-Kernel in PCR 9 (>>kernel-initrd<<) durchfuhrt, nutzlich. Verwenden Sie dies nicht fur systemd-stub(7)-UKIs, da die Initrd dynamisch aus verschiedenen Quellen kombiniert wird und daher nicht - wie dieser Befehl - eine einzelne Eingabe akzeptiert. Dies schreibt/entfernt die Datei /var/lib/pcrlock.d/720-kernel-initrd.pcrlock/generated.pcrlock. Hinzugefugt in Version 255. lock-raw [DATEI], unlock-raw Erstellt/Entfernt eine .pcrlock-Datei auf der Basis roher binarer Daten. Die Daten werden entweder aus der angegebenen Datei oder von Stdin (falls keine Datei angegeben ist) gelesen. Dies benotigt die Angabe von --pcrs=. Die erstellte .pcrlock-Datei wird in die mittels --pcrlock= angegebene Datei oder in Stdout (falls keine Datei angegeben ist) geschrieben. Hinzugefugt in Version 255. OPTIONEN Die folgenden Optionen werden verstanden: --raw-description Bei der Anzeige des TPM2-Ereignisprotokolls wird nicht versucht, die Datensatze zu dekodieren, um eine freundliche Ereignisprotokoll-Beschreibungszeichenkette zu erhalten. Stattdessen werden die binaren Nutzlastdaten in maskierter Darstellung angezeigt. Hinzugefugt in Version 255. --pcr= Gibt die zu verwendende PCR-Nummer an. Kann mehr als einmal angegeben werden, um mehrere PCRs auszwahlen. Dies wird von lock-raw und lock-pe verwandt, um den PCR auszuwahlen, gegen den gesperrt werden soll. Falls dies mit predict und make-policy verwandt wird, wird dies die in der Vorhersage und Richtlinie einzuschliessenden PCRs ausser Kraft setzen. Falls nicht angegeben ist die Vorgabe PCRs 0-5, 7, 11, 13-15. Beachten Sie, dass diese Befehle keine PCRs in die Vorhersage/Richtlinie einschliessen werden (selbst wenn sie explizit festgelegt wurden), falls es Messungen im Ereignisprotokoll gibt, die nicht auf den aktuellen PCR-Wert passen oder es nicht erkannte Messungen in dem Ereignisprotokoll gibt, oder Komponenten Messungen definieren, die im Ereignisprotokoll nicht gefunden werden konnen. Hinzugefugt in Version 255. --nv-index= Legt den NV-Index fest, in dem die Richtlinie gespeichert werden soll. Wird von make-policy berucksichtigt. Falls nicht angegeben, wird der Befehl automatisch einen freien NV-Index auswahlen. Hinzugefugt in Version 255. --components= Akzeptiert einen Pfad, aus dem Dateien *.pcrlock und *.pcrlock.d/*.pcrlock gelesen werden. Kann mehr als einmal verwandt werden, um mehrere solcher Verzeichnisse anzugeben. Falls nicht angegeben ist die Vorgabe /etc/pcrlock.d/, /run/pcrlock.d/, /var/lib/pcrlock.d/, /usr/local/lib/pcrlock.d/, /usr/lib/pcrlock.d/. Hinzugefugt in Version 255. --location= Akzeptiert entweder eine Zeichenkette oder ein durch Doppelpunkt getrenntes Paar an Zeichenketten. Konfiguriert bis zu welchem Punkt in der sortierten Liste der definierten Komponenten die PCRs analysiert/vorhergesagt werden sollen. Typischerweise wird das Werkzeug systemd-pcrlock von einem vollstandig gestarteten System nach dem Hochfahren und vor dem Herunterfahren gestartet. Dies bedeutet, dass verschiedene Komponenten, die fur das Herunterfahren definiert sind, noch nicht gemessen wurden und daher nach ihnen nicht gesucht werden sollte. Diese Option ermoglicht es zu beschranken, welche Komponenten fur die Analyse betrachtet werden (wobei nur Komponenten vor einem bestimmten Punkt berucksichtigt und Komponenten danach ignoriert werden). Die erwartete Zeichenkette wird gegen die Dateinamen der definierten Komponenten sortiert. Jede Komponente, deren Name lexikographisch dahinter sortiert, wird ignoriert. Diese Logik wird fur die Unterbefehle log, predict und make-policy angewandt. Falls ein durch Doppelpunkt getrenntes Paar an Zeichenketten angegeben ist, dann wahlen diese aus, welche Phasen des Systemstarts in der Vorhersage/Richtlinie aufgenommen werden soll. Die erste Zeichenkette definiert, wo die erste Vorhersage gemacht werden soll und die zweite Zeichenkette definiert, wo die letzte Vorhersage gemacht werden soll. Alle solche Vorhersagen werden dann in einen Satz kombiniert. Bei der Verwendung mit list-components wird der ausgewahlte Lagebereich in der Komponentenliste hervorgehoben. Standardmassig >>760-:940-<<. Dies bedeutet, dass die standardmassig erstellten Richtlinien im wesentlichen die gesamte Laufzeit des Anwendungsraums des Betriebssystems, von der Initrd (da >>760-<< eng auf 750-enter-initrd.pcrlock folgt) bis (und einschliesslich) der Hauptlaufzeit des Systems (da >>940-<< eng von 950-shutdown.pcrlock gefolgt wird) abdeckt. Siehe systemd.pcrlock(5) fur eine vollstandige Liste der gut bekannten Komponenten, die beleuchtet, wo dieser Bereich standardmassig angeordnet ist. Hinzugefugt in Version 255. --recovery-pin= Akzeptiert entweder >>hide<<, >>show<< oder >>query<<. Standardmassig >>hide<<. Wird von make-policy berucksichtigt. Falls >>query<<, wird der Benutzer nach einer PIN zum Entsperren des TPM2-NV-Indexes gefragt. Falls bisher keine Richtline erstellt wurde, dann wird diese PIN zum Schutz des frisch zugewiesenen NV-Indexes verwandt. Falls eine Richtlinie bereits erstellt wurde, wird die PIN zum Entsperren des Schreibzugriffs auf den NV-Index verwandt. Falls entweder >>hide<< oder >>show<< verwandt wird, wird automatisch eine PIN erstellt und - nur im Falle von >>show<< - auf dem Bildschirm dargestellt. Unabhangig davon, ob vom Benutzer bereitgestellt oder automatisch erstellt, wird die PIN in verschlusselter Form in der Richtlinien-Metadatendatei gespeichert. Die Wiederherstellungs-PIN kann zum Wiedererlangen von Schreibzugriff auf einen NV-Index verwandt werden, falls die Zugriffs-Richtlinie veraltete. Hinzugefugt in Version 255. --pcrlock= Akzeptiert einen Dateisystempfad als Argument. Falls angegeben, wird konfiguriert, wohin die erstellten Pcrlock-Daten geschrieben werden sollen. Wird von verschiedenen Befehlen lock-* berucksichtigt. Falls nicht angegeben wird im Allgemeinen ein Standardpfad, wie oben beschrieben, verwandt. Hinzugefugt in Version 255. --policy= Akzeptiert einen Dateisystempfad als Argument. Falls angegeben, wird konfiguriert, wohin die Pcrlock-Richtlinien-Metadaten geschrieben werden sollen. Falls nicht angegeben ist die Vorgabe /var/lib/systemd/pcrlock.json. Hinzugefugt in Version 255. --force Falls mit make-policy angegeben, wird die vorhergesagte Richtlinie in den NV-Index geschrieben, selbst wenn erkannt wird, dass sie die gleiche wie die bereits gespeicherte ist. Hinzugefugt in Version 255. --entry-token= Setzt das Systemstarteintragsmerkmal, das fur den Dateinamen fur die Pcrlock-Richtlinien-Zugangsberechtigung in der EFI-Systempartition oder der XBOOTLDR-Partition verwandt werden soll. Siehe die gleiche Option fur bootctl(1) zu den erwarteten Werten. Dieser Schalter hat nur fur den Befehl make-policy eine Auswirkung. Hinzugefugt in Version 256. --quiet Unterdruckt, falls angegeben, die Ausgabe beim Aufruf mit is-supported. Hinzugefugt in Version 258. --json=MODUS Zeigt die Ausgabe als JSON formatiert. Erwartet entweder >>short<< (fur die kurzest mogliche Ausgabe ohne unnotigen Leerraum oder Zeilenumbruche), >>pretty<< (fur eine schonere Version der gleichen Ausgabe, mit Einzugen und Zeilenumbruchen) oder >>off<< (um die JSON-Ausgabe auszuschalten, was die Vorgabe ist). --no-pager Leitet die Ausgabe nicht an ein Textanzeigeprogramm weiter. -h, --help Zeigt einen kurzen Hilfetext an und beendet das Programm. --version Zeigt eine kurze Versionszeichenkette an und beendet das Programm. EXIT-STATUS Bei Erfolg wird 0 zuruckgegeben, anderenfalls ein Fehlercode ungleich Null. SIEHE AUCH systemd(1), systemd.pcrlock(5), systemd-cryptenroll(1), systemd-cryptsetup@.service(8), systemd-repart(8), systemd-pcrmachine.service(8), systemd-creds(1), systemd-stub(7), bootctl(1) ANMERKUNGEN 1. Kanonisches TCG-Ereignisprotokollformat (CEL-JSON) https://trustedcomputinggroup.org/resource/canonical-event-log-format/ UBERSETZUNG Die deutsche Ubersetzung dieser Handbuchseite wurde von Helge Kreutzmann erstellt. Diese Ubersetzung ist Freie Dokumentation; lesen Sie die GNU General Public License Version 3 oder neuer bezuglich der Copyright-Bedingungen. Es wird KEINE HAFTUNG ubernommen. Wenn Sie Fehler in der Ubersetzung dieser Handbuchseite finden, schicken Sie bitte eine E-Mail an die Mailingliste der Ubersetzer . systemd 260.2 SYSTEMD-PCRLOCK(8)