Релиз на дистрибуцията Red Hat Enterprise Linux 9.3

Компания Red Hat публикува нова версия на дистрибутива Red Hat Enterprise Linux 9.3 (новата версия беше анонсирана миналата седмица, но бележките за версията бяха публикувани едва вчера, а до тогава на сайта оставаше знак за бета версия). Актуализацията на предишната версия RHEL 8.9 се очаква на 15 ноември. Готовите инсталационни образи са достъпни за регистрирани потребители на Red Hat Customer Portal (за оценка на функционалността могат да се използват и iso-образи на CentOS Stream 9 и безплатни версии на RHEL за разработчици). Пускането е създадено за архитектури x86_64, s390x (IBM System z), ppc64le и Aarch64 (ARM64).

Клонът RHEL 9 се развива с по-отворен процес на разработка и използва като основа пакетната база CentOS Stream 9. CentOS Stream е позициониран като upstream-проект за RHEL, предоставяйки възможност на външни участници да контролират подготовката на пакети за RHEL, да предлагат свои промени и да влияят на взетите решения. В съответствие с 10-годишния цикъл на поддръжка, дистрибутивът RHEL 9 ще бъде поддържан до 2032 година.

RHEL 9.3 стана първото издание, чиито изходни кодове на rpm-пакетите не са публикувани в публичното хранилище git.centos.org и се предоставят на клиентите на компанията само чрез частен раздел на сайта, в който действа потребителско споразумение (EULA), забраняващо разпространението на данните, което не позволява използването на тези пакети за създаване на производни дистрибуции. Изходните кодове остават достъпни в хранилището на CentOS Stream, но не е напълно синхронизирано с RHEL и не винаги най-новите версии на пакетите съвпадат с пакетите от RHEL. Rocky Linux, Oracle и SUSE обединиха усилията си и сега произвеждат изходните кодове на rpm-пакетите на изданията RHEL в рамките на проекта OpenELA.

Ключови промени в RHEL 9.3:

• Включени са нови версии на компилатори и инструменти за разработчици: GCC Toolset 13, LLVM Toolset 16.0.6, Rust Toolset 1.71.1, Go Toolset 1.20.10, GCC 11.4.1 (системен компилатор), Redis 7, Node.js 20, java-21-openjdk (също продължават да се предоставят java-17-openjdk, java-11-openjdk и java-1.8.0-openjdk), Valgrind 3.21, SystemTap 4.9, elfutils 0.189, PCP 6.0.5, Grafana 9.2.10.
• Актуализирани са сървърни и системни пакети: samba 4.18.6, iproute 6.2.0, Apache httpd 2.4.57 (+ добавен модул mod_authnz_fcgi), SEtools 4.4.3, OpenSCAP 1.3.8, opencryptoki 3.21.0, NetworkManager 1.44, xdp-tools 1.4.0, perf 6.2, dmpd 1.0.2, nvme-cli 2.4, Pacemaker 2.1.6, 389-ds-base 2.3.4.
• В пакетния мениджър DNF е добавена команда „reboot“ за автоматично презареждане след приключване на актуализацията. Достъпни са следните режими: „never“ (по подразбиране) — без презареждане, „when-changed“ — презареждане след всяка актуализация (dnf upgrade) и „when-needed“ — презареждане, само ако инсталираните промени го изискват (например след инсталирането на актуализация на ядрото или systemd). За изключване вместо презареждане е предвиден параметърът „—poweroff“.
• В DNF са добавени нови приставки: „dnf leaves“ за показване на всички инсталирани пакети, които не са зависимости за други пакети; „show-leaves“ за показване на наскоро инсталирани подобни пакети или пакети, които вече не се използват като зависимости след транзакцията.
• От новата версия на ядрото на Linux са пренесени реализациите на протоколите SCTP (Stream Control Transmission Protocol) и MPTCP (Multipath TCP).
• На платформата ARM64 е реализирана пълна поддръжка на камери с USB интерфейси, безжични адаптери (Wi-Fi) и Bluetooth.
• Осигурена е пълна поддръжка на дискретни видеокарти Intel Arc A-Series (Alchemist или DG2).
• Реализацията на подсистемата eBPF е синхронизирана с ядрото на Linux 6.3.
• Добавен е инструментариум Stratis за управление на локални хранилища, който предоставя възможности като динамично разпределение на пространство за съхранение, моментни снимки, гарантиране на целостта и създаване на слоеве за кеширане.
• В systemd-udevd са направени промени, които позволяват назначаване на постоянни имена за мрежовите интерфейси InfiniBand.
• В Postfix е добавена възможност за проверка на DNS записи SRV за определяне на хоста и порта на пощенския сървър, който ще се използва за предаване на съобщения. Предложената функция може да бъде използвана в инфраструктури, в които за доставката на пощенски съобщения се използват услуги с динамично разпределени номера на мрежови портове.
• В пакета cups-filters е добавен драйвер LF-to-CRLF, който може да се използва за преобразуване на символите „\n“ (превод на ред) в „\r\n“ (връщане на курсора и превод на ред) за принтери, които поддържат само обработка на файлове с край на реда „\r\n“.
• В FUSE3 е добавена възможност за анулиране на елемент от каталога без автоматично демонтиране на свързаните с него точки на монтиране.
• В NetworkManager е добавена поддръжка на опцията „no-aaaa“ в resolv.conf, която изключва изпращането на DNS заявки за записи AAAA (определяне на адрес IPv6 по име на хост). Добавена е поддръжка на опцията „lacp_active“ за управление на обработката на кадри LACPDU (Link Aggregation Control Protocol Data Units). Реализирано е рестартиране на NetworkManager след рестартиране на услугата dbus. Осигурено е извеждане на уведомление при използване на стар формат на конфигурация ifcfg за профилите на свързването. Добавена е поддръжка на свойствата: link.tx-queue-length, link.gro-max-size, link.gso-max-segments и link.gso-max-size.
• За единен мрежов интерфейс в NetworkManager е разрешено използването както на статични, така и на динамични (DHCP) настройки, например, с помощта на утилитата nmstate може да се зададе статичен адрес за интерфейса, на който е активирана поддръжката на DHCP. В nmstate е разрешено свързването на настройки с мрежовия интерфейс по MAC адрес, вместо по името на интерфейса.
• Разширена поддръжка на хардуер. Добавена поддръжка на CPU ARM64 NVIDIA Grace. Драйверът Intel QAT с поддръжка на устройства Intel Quick Assist Technology 401xx/402xx е пренесен от ядро Linux 6.2.
• За защита от атаки Spectre v2, свързани със спекулативното изпълнение на инструкции, е добавен режим AutoIBRS (Automatic Indirect Branch Restricted Speculation), поддържан в CPU AMD, започвайки от семейство EPYC 9004 Genoa.
• За контейнерите е предоставена възможност за използване на виртуални чипове за съхранение на криптографски ключове (vTPM), реализирани на базата на общ физически TPM (Trusted Platform Module).
• В LVM е добавена поддръжка на логически дялове vmcore за дампове на ядрото, създавани от подсистемата kdump.
• В инсталационните сборки е добавен параметърът «inst.wait_for_disks», задаващ времето за изчакване за зареждане на kickstart файла или готовността на драйверите в процеса на зареждане.
• В инсталатора, при инсталиране на системи ARM, е предоставена възможност за избор на варианта на инсталираното ядро (например с 64 Кб страници памет). От минималния режим на инсталация е изключен пакетът s390utils-base и е оставен само s390utils-core.
• В сборщика на образи RHEL е добавена функция за генериране на файлове във формат OVA за VMware VSphere.
• В kickstart файловете в командата network са добавени нови опции «—ipv4-dns-search» и «—ipv6-dns-search» за задаване на основни домейни за директивата «search» в /etc/resolv.conf, както и опции «—ipv4-ignore-auto-dns» и «—ipv6-ignore-auto-dns» за игнориране на получаването на DNS настройки чрез DHCP.
• Подобрена е поддръжката на TLS разширението EMS (Extended Master Secret, RFC 7627), необходимо за спазване на изискванията FIPS-140-3 при TLS 1.2 свързаност.
• В OpenSSH започна избавянето от използването на алгоритми на база хешове SHA-1 в полза на SHA-2. Ако на сървър липсват ключове на база SHA-1, в sshd сега ще се използва само SHA-2 за потвърждение на хостовите ключове, което може да доведе до несъвместимост с клиентите на RHEL 8 и по-стари версии.
• В OpenSSL е добавена поддръжка за настройка на параметри за защитени елиптични криви Brainpool и е реализирана защита от атаки по разшифроване на RSA на база измерване на времето на операциите, използващи вариации на метода Блейхенбахера.
• В RPCSEC GSS Kerberos V5 е добавена поддръжка за методи за криптиране camellia128-cts-cmac, camellia256-cts-cmac, aes128-cts-hmac-sha256-128 и aes256-cts-hmac-sha384-192.
• В средствата за одит е добавена поддръжка за събития FANOTIFY и е реализирано записване в лог на полета fan_type (тип събитие), fan_info (свързана информация), sub_trust и obj_trust (нива на доверие за субекта и обекта на събитието). В услугата fapolicyd, за улесняване на отстраняването на проблеми, е добавена предаване на номера на правила за отхвърлени обаждания към API fanotify.
• Добавена е системна роля за инструментариума keylime, улесняваща настройката на регистратор и проверител на Keylime, който се използва за удостоверяване и непрекъснато проследяване на целостта на външна система. Например, може да се удостоверява автентичността на Edge и IoT устройства, намиращи се на неподконтролирано място, където е възможен несанкциониран достъп. Използва се ново издание на keylime 7.3.
• Добавена е системна роля за управление на юнитите systemd и тяхната инсталация. Добавена е системна роля за инсталиране, настройка, управление и стартиране на СУБД PostgreSQL. В системната роля firewall е добавена поддръжка за определяне, изменение и изтриване на ipset-ове.
• В SELinux е добавена опция virt_qemu_ga_run_unconfined, позволяваща на процеса qemu-ga (QEMU Guest Agent) да изпълнява в незабранен режим (домен unconfined_t) команди, като mount, първоначално ограничени чрез SELinux. Добавени са политики SELinux за защита на услуги qat, systemd-pstore, boothd, fdo-manufacturing-server, fdo-rendezvous-server, fdo-client-linuxapp и fdo-owner-onboarding-server.
• Добавена е поддръжка на средства за виртуализация на 4-то поколение на процесори Intel Xeon Scalable (Sapphire Rapids), което позволява използването в виртуалните машини на модела CPU SapphireRapids и активиране на наличните в тези процесори разширени възможности за виртуализация.
• В Podman е добавена поддръжка за контейнери, компресирани с помощта на алгоритъма zstd. Добавена е възможност за използване на Quadlets за автоматична генерация на услуги systemd от описания на контейнери. Добавена е черупка podmansh, която може да се използва вместо /usr/bin/bash за стартиране на потребителска сесия в контейнера. Актуализирани са версиите на Podman, Buildah, Skopeo, crun и runc.
• Добавени са нови параметри на командния ред на ядрото:
  • amd_pstate за управление на режими на енергийна консумация на CPU AMD;
  • arm64.nosve за деактивиране на SVE (Scalable Vector Extension);
  • arm64.nosme за деактивиране на SME (Scalable Matrix Extension);
  • gather_data_sampling за управление режима на защита от атаки GDS (Gather Data Sampling или Downfall);
  • nospectre_bhb за деактивиране на защитата Spectre-BHB;
  • trace_clock за задаване на таймера за събития при трасировка.
• Разширени функции за клъстери и системи с отказоустойчивост: В агента LVM-activate е добавена поддръжка за замяна (failover) на групи дялове, в които липсват физически дялове. В агентите за ресурсите на клъстера IPaddr2 и IPsrcaddr е добавена поддръжка за policy routing. В агента ocf:heartbeat:Filesystem е добавена поддръжка за файловата система EFS (Amazon Elastic File System).
• Добавени са нови изображения на контейнери с настройки FDO (FIDO Device Onboard): fdo-manufacturing-server, fdo-owner-onboarding-server, fdo-rendezvous-server и fdo-serviceinfo-api-server. Добавено е ново изображение на контейнер rhel9/squid с прокси сървър Squid. В редакцията ‘RHEL for Edge’ е реализирана поддръжка на нови типове изображения ‘minimal-raw’, ‘edge-vsphere’ (*.vmdk) и ‘edge-ami’ (*.ami).
• В AMI-образите за облачни среди AWS EC2 е добавена поддръжка за зареждане в режим UEFI.
• За работа с смарт карти и USB токени CCID (Chip Card Interface Device) и ICCD (Integrated Circuit Card Device) е активирана нова версия на драйвера pcsc-lite-ccid 1.5.2, в която са решени проблемите с контролера Alcor Micro AU9560 и е добавена поддръжка на нови четци на смарт карти.
• Обявени за остарели пакетите initial-setup и pmdk (Persistent Memory Development Kit).
• Добавена е експериментална поддръжка на протоколите PRP (Parallel Redundancy Protocol) и HSR (High-availability Seamless Redundancy).
• Добавена е експериментална възможност за хардуерно ускорение на IPsec чрез прехвърляне на операциите по инкапсулация на пакети на страната на мрежовата карта.
• Добавена е експериментална поддръжка на SRv6 (Segment Routing over IPv6).
• Експерименталната реализация на kTLS (TLS на ниво ядро) е синхронизирана с ядрото 6.3. Добавена е поддръжка за използване на kTLS за ускорение на GnuTLS.
• Добавена е експериментална поддръжка на интерфейса за асинхронен вход/изход io_uring, с акцент на поддръжка на полинг (polling) на вход/изход и възможност за работа както с буферизация, така и без буферизация. В API io_uring разработчиците на ядрото се опитаха да отстранат недостатъците на стария интерфейс aio. По производителност io_uring е много близък до SPDK и значително изпреварва libaio при активиран полинг.
• В IdM (Identity Management) е добавена експериментална поддръжка на протокола за управление на сертификати ACME (Automated Certificate Management Environment), използван в удостоверяващия център Let’s Encrypt.
• В Podman е добавена експериментална възможност за използване на хранилище на базата на SQLite (вместо BoltDB).
• Продължава предоставянето на експериментална (Technology Preview) поддръжка:
• VPN WireGuard,
• Intel SGX (Software Guard Extensions),
• Intel IDXD (Data Streaming Accelerator),
• DAX (Direct Access) за ext4 и XFS,
• AMD SEV и SEV-ES в хипервизора KVM,
• услугата systemd-resolved,
• механизма Sigstore за верификация на контейнери по цифрови подписи,
• пакета с графичен редактор GIMP 2.99.8,
• настройки на MPTCP (Multipath TCP) чрез NetworkManager,
• DNSSEC в IdM,
• virtio-mem,
• хипервизор KVM за ARM64,
• инсталации на NVMe върху Fibre Channel,
• Socket API за TuneD,
• Soft-iWARP (Internet Wide-area RDMA Protocol),
• GNOME за ARM64 и IBM Z.

Източник: opennet.ru