Red Hat апублікавала рэліз Red Hat Enterprise Linux 8.7. Усталёвачныя зборкі падрыхтаваны для архітэктур x86_64, s390x (IBM System z), ppc64le і Aarch64, але даступныя для загрузкі толькі зарэгістраваным карыстальнікам Red Hat Customer Portal. Зыходныя тэксты rpm-пакетаў Red Hat Enterprise Linux 8 распаўсюджваюцца праз Git-рэпазітар CentOS. Галінка 8.x суправаджаецца паралельна з галінкай RHEL 9.x і будзе падтрымлівацца як мінімум да 2029 года.
Падрыхтоўка новых выпускаў ажыццяўляецца ў адпаведнасці з цыклам распрацоўкі, які прадугледжвае фармаванне рэлізаў раз у паўгода ў загадзя вызначаны час. Да 2024 года галінка 8.x будзе знаходзіцца на стадыі поўнай падтрымкі, якая мае на ўвазе ўключэнне функцыянальных паляпшэнняў, пасля чаго пяройдзе на стадыю суправаджэння, на якой прыярытэты зрушацца ў бок выпраўлення памылак і бяспекі, з унясеннем нязначных паляпшэнняў, звязаных з падтрымкай важных апаратных сістэм.
Ключавыя змены:
- Пашыраны магчымасці інструментара для падрыхтоўкі сістэмных выяў, у якім з'явілася падтрымка загрузкі выяў у GCP (Google Cloud Platform), памяшканні выявы напроста ў рэестр кантэйнераў, налады памеру часткі /boot і карэкціроўкі параметраў (Blueprint) падчас генерацыі выявы (напрыклад, даданне пакетаў і стварэнне карыстальнікаў).
- Дадзеная магчымасць выкарыстання кліента Clevis (clevis-luks-systemd) для аўтаматычнай разблакіроўкі дыскавых частак, зашыфраваных пры дапамозе LUKS і якія мантуюцца на познім этапе загрузкі, без неабходнасці выкарыстання каманды "systemctl enable clevis-luks-askpass.path".
- Прапанаваны новы пакет xmlstarlet, які ўключае ўтыліты для разбору, пераўтварэнні, праверкі, вымання дадзеных і рэдагаванні XML-файлаў.
- Дададзена папярэдняя (Technology Preview) магчымасць аўтэнтыфікацыі карыстальнікаў з выкарыстаннем знешніх правайдэраў (IdP, identity provider), якія падтрымліваюць пашырэнне пратакола OAuth 2.0 "Device Authorization Grant" для прадастаўлення OAuth-токенаў доступу прыладам без выкарыстання браўзэра.
- Пашыраныя магчымасці сістэмных роляў, напрыклад, у ролю network дададзеная падтрымка налады правіл маршрутызацыі і выкарыстанні API nmstate, у ролю logging дададзеная падтрымка фільтрацыі па рэгулярных выразах (startmsg.regex, endmsg.regex), у ролю storage дададзеная падтрымка частак, для якіх дынамічна вылучаецца месца ў сховішча («thin provisioning»), у ролю sshd дададзена магчымасць кіравання праз /etc/ssh/sshd_config, у ролю metrics дададзены экспарт статыстыкі аб прадукцыйнасці Postfix, у ролі firewall рэалізавана магчымасць перазапісу мінулай канфігурацыі і прадстаўлена падтрымка дадання, абнаўленні і выдаленні сэрвісаў у залежнасці ад стану.
- Абноўлены серверныя і сістэмныя пакеты: chrony 4.2, unbound 1.16.2, opencryptoki 3.18.0, powerpc-utils 1.3.10, libva 2.13.0, PCP 5.3.7, Grafana 7.5.13, SystemTap 4.7, SystemTap 1.40. 4.16.1.
- У склад уключаны новыя версіі кампілятараў і інструментаў для распрацоўшчыкаў: GCC Toolset 12, LLVM Toolset 14.0.6, Rust Toolset 1.62, Go Toolset 1.18, Ruby 3.1, java-17-openjdk (таксама працягваюць пастаўляцца java-11-o- .1.8.0-openjdk), Maven 3.8, Mercurial 6.2, Node.js 18, Redis 6.2.7, Valgrind 3.19, Dyninst 12.1.0, elfutils 0.187.
- Апрацоўка канфігурацыі sysctl прыведзена да адпаведнасці з парадкам разбору каталогаў у systemd - файлы канфігурацыі ў каталогу /etc/sysctl.d зараз маюць больш высокі прыярытэт, чым у каталогу /run/sysctl.d.
- У інструментар ReaR (Relax-and-Recover) дададзена магчымасць выканання адвольных каманд да і пасля ўзнаўлення.
- У бібліятэках NSS спынена падтрымка ключоў RSA, памерам менш за 1023 біт.
- Істотна скарочаны час захавання ўтылітай iptables-save вельмі вялікіх набораў правіл iptables.
- Рэжым абароны ад нападаў SSBD (spec_store_bypass_disable) і STIBP (spectre_v2_user) пераведзены з "seccomp" на "prctl", што станоўча паўплывала на прадукцыйнасць кантэйнераў і прыкладанняў, у якіх для абмежавання доступу да сістэмных выклікаў выкарыстоўваецца механізм seccomp.
- У драйверы для Ethernet-адаптараў Intel E800 рэалізавана падтрымка пратаколаў iWARP і RoCE.
- У склад уключаная ўтыліта nfsrahead, якую можна выкарыстоўваць для змены параметраў папераджальнага чытання ў NFS.
- У наладах Apache httpd значэнне параметр LimitRequestBody зменена з 0 (без абмежаванняў) на 1 GB.
- Дададзены новы пакет make-latest, які ўключае апошнюю версію ўтыліты make.
- У libpfm і papi дададзена падтрымка маніторынгу прадукцыйнасці на сістэмах з працэсарамі AMD Zen 2 і Zen 3.
- У SSSD (System Security Services Daemon) дададзеная падтрымка кэшавання SID-запытаў (напрыклад, праверкі GID/UID) у аператыўнай памяці, што дазволіла паскорыць аперацыі капіявання вялікай колькасці файлаў праз сервер Samba. Забяспечана падтрымка інтэграцыі з Windows Server 2022.
- Для 64-разрадных сістэм IBM POWER (ppc64le) дададзены пакеты з падтрымкай графічнага API Vulkan.
- Рэалізаваная падтрымка новых GPU AMD Radeon RX 6[345]00 і AMD Ryzen 5/7/9 6[689]00. Уключаная па змаўчанні падтрымка GPU Intel Alder Lake-S і Alder Lake-P, для якіх раней трэба было выстаўляць параметр i915.alpha_support=1 ці i915.force_probe=*.
- У web-кансоль дададзеная падтрымка налады крыптапалітык, прадстаўлена магчымасць загрузкі і ўсталёўкі RHEL у віртуальнай машыне, дададзеная кнопка для асобнай усталёўкі толькі патчаў да ядра Linux, пашыраны справаздачы з дыягностыкай, дададзеная опцыя для перазагрузкі пасля завяршэння ўсталёўкі абнаўленняў.
- У mdevctl дададзеная падтрымка каманды ap-check для налады пракіду ў віртуальныя машыны доступу да крыптаакселератараў.
- Рэалізаваная поўная падтрымка гіпервізара VMware ESXi і пашырэнняў SEV-ES (AMD Secure Encrypted Virtualization-Encrypted State). Дададзена падтрымка хмарных акружэнняў Azure з працэсарамі на базе архітэктуры Ampere Altra.
- Абноўлены інструментар для кіравання ізаляванымі кантэйнерамі, які ўключае такія пакеты, як Podman, Buildah, Skopeo, crun і runc. Дададзена падтрымка GitLab Runner у кантэйнерах з runtime Podman. Для налады сеткавай падсістэмы кантэйнераў прадстаўлена ўтыліта netavark і DNS-сервер Aardvark.
- Для кіравання ўключэннем абароны ад уразлівасцяў у механізме MMIO (Memory Mapped Input Output) рэалізаваны загрузны параметр ядра "mmio_stale_data", які можа прымаць значэнні "full" (уключэнне чысткі буфераў пры пераходзе ў прастору карыстальніка і ў VM), "full, nosmt" ( як "full" + дадаткова адключаецца SMT/Hyper-Threads) і "off" (абарона адключаная).
- Для кіравання ўключэннем абароны ад уразлівасці Retbleed рэалізаваны загрузны параметр ядра "retbleed", праз які можна адключыць абарону ("off") або абраць алгарытм блакавання ўразлівасці (auto, nosmt, ibpb, unret).
- У загрузным параметры ядра acpi_sleep рэалізаваная падтрымка новых опцый для кіравання пераходам у спячы рэжым: s3_bios, s3_mode, s3_beep, s4_hwsig, s4_nohwsig, old_ordering, nonvs, sci_force_enable і nobl.
- Дададзены новыя драйверы для Maxlinear Ethernet GPY (mxl-gpy), Realtek 802.11ax 8852A (rtw89_8852a), Realtek 802.11ax 8852AE (rtw89_8852ae), Modem Host Interface (MHI) _dsp), DRM DisplayPort (drm_dp_helper), Intel Software Defined Silicon (intel_sdsi), Intel PMT (pmt_*), AMD SPI Master Controller (spi-amd).
- Пашыраная падтрымка падсістэмы ядра eBPF.
- Прадоўжана прадастаўленне эксперыментальнай (Technology Preview) падтрымкі AF_XDP, XDP hardware offloading, Multipath TCP (MPTCP), MPLS (Multi-protocol Label Switching), DSA (data streaming accelerator), KTLS, dracut, kexec fast reboot, nis xfs, systemd-resolved, accel-config, igc, OverlayFS, Stratis, Software Guard Extensions (SGX), NVMe / TCP, DNSSEC, GNOME на сістэмах ARM4 і IBM Z, AMD SEV для KVM, Intel vGPU, Toolbox.
Крыніца: opennet.ru