🥇Релиз на дистрибуция Red Hat Enterprise Linux 9.3

Компания Red Hat публикува издание на дистрибуцията Red Hat Enterprise Linux 9.3 (новата версия беше анонсирана миналата седмица, но бележките по изданието бяха публикувани само вчера, а до тогава на сайта оставаше знак за бета-версия). Актуализацията на предишната версия RHEL 8.9 се очаква на 15 ноември. Готовите инсталационни образи са налични за регистрирани потребители на Red Hat Customer Portal (за оценка на функционалността също могат да се използват iso-образи на CentOS Stream 9 и безплатни версии на RHEL за разработчици). Издаването е формировано за архитектури x86_64, s390x (IBM System z), ppc64le и Aarch64 (ARM64).

Версията RHEL 9 се развива с по-отворен процес на разработка и използва за основа пакетната база CentOS Stream 9. CentOS Stream е позиционирана като upstream-проект за RHEL, даващ възможност на външни участници да контролират подготовката на пакети за RHEL, да предлагат свои изменения и да влияят на взиманите решения. В съответствие с 10-годишния цикъл на поддръжка, дистрибуцията RHEL 9 ще се поддържа до 2032 година.

RHEL 9.3 стана първото издание, чийто изходни текстове на rpm-пакетите не са публикувани в публичния репозиторий git.centos.org и се предоставят на клиентите на компанията само чрез закритата част на сайта, където важи споразумение за потребителите (EULA), забраняващо повторното разпространение на данни, което не позволява използването на тези пакети за създаване на производни дистрибуции. Изходните текстове остават достъпни в репозитория CentOS Stream, но той не е напълно синхронизиран с RHEL и в него не винаги най-новите версии на пакетите съвпадат с тези от RHEL. Rocky Linux, Oracle и SUSE обединиха усилията си и сега възпроизвеждат изходните текстове на rpm-пакетите на изданията RHEL в рамките на проекта OpenELA.

Ключови промени в RHEL 9.3:

Включени са нови версии на компилатори и инструменти за разработчици: GCC Toolset 13, LLVM Toolset 16.0.6, Rust Toolset 1.71.1, Go Toolset 1.20.10, GCC 11.4.1 (системен компилатор), Redis 7, Node.js 20, java-21-openjdk (также продължават да се предлагат java-17-openjdk, java-11-openjdk и java-1.8.0-openjdk), Valgrind 3.21, SystemTap 4.9, elfutils 0.189, PCP 6.0.5, Grafana 9.2.10.
Актуализирани са сървърни и системни пакети: samba 4.18.6, iproute 6.2.0, Apache httpd 2.4.57 (+ добавен модул mod_authnz_fcgi), SEtools 4.4.3, OpenSCAP 1.3.8, opencryptoki 3.21.0, NetworkManager 1.44, xdp-tools 1.4.0, perf 6.2, dmpd 1.0.2, nvme-cli 2.4, Pacemaker 2.1.6, 389-ds-base 2.3.4.
В пакетный менеджер DNF добавлена команда «reboot» для автоматической перезагрузки после завершения обновления. Доступны следующие режимы: «never» (по умолчанию) — без перезагрузки, «when-changed» — перезагрузка после любого обновления (dnf upgrade) и «when-needed» — перезагрузка, только если того требуют установленные изменения (например, после установки обновления ядра или systemd). Для выключения вместо перезагрузки предусмотрен параметр «—poweroff».
В DNF добавлены новые плагины: «dnf leaves» для показа всех установленных пакетов, которые не являются зависимостями для других пакетов; «show-leaves» для показа недавно установленных подобных пакетов или пакетов, которые перестали использоваться как зависимости после транзакции.
От новата версия на ядрото на Linux са пренесени реализации на протоколите SCTP (Stream Control Transmission Protocol) и MPTCP (Multipath TCP).
На платформата ARM64 е реализирана пълна поддръжка на камери с USB интерфейс, безжични адаптери (Wi-Fi) и Bluetooth.
Осигурена е пълна поддръжка на дискретни графични карти Intel Arc A-Series (Alchemist или DG2).
Реализацията на подсистемата eBPF е синхронизирана с ядрото на Linux 6.3.
Добавен е инструментариум Stratis за управление на локални хранилища, който предоставя опции като динамично разпределение на място в хранилището, snapshot-и, осигуряване на целостност и създаване на слоеве за кеширане.
В systemd-udevd са направени промени, които позволяват задаване на неизменяеми имена за мрежовите интерфейси InfiniBand.
В Postfix е реализирана възможност за проверка на DNS записи SRV за определяне на хоста и порта на пощенския сървър, който ще се използва за предаване на съобщения. Въпросната възможност може да се използва в инфраструктури, в които за доставяне на пощенски съобщения се използват услуги с динамично разпределени номера на мрежови портове.
В пакет cups-filters добавлен драйвер LF-to-CRLF, который можно использовать для преобразования символов «\n» (перевод строки) в «\r\n» (возврат каретки и перевод строки) для принтеров, поддерживающих только обработку файлов с концом строки «\r\n».
В FUSE3 е добавена възможността за анулиране на елемент от каталога без автоматично да се отмонтират свързаните с него точки на монтиране.
В NetworkManager добавлена поддержка опции «no-aaaa» в resolv.conf, отключающей отправку DNS-запросов записей AAAA (определение адреса IPv6 по имени хоста). Добавлена поддержка опции «lacp_active» для управления обработкой кадров LACPDU (Link Aggregation Control Protocol Data Units). Реализован перезапуск NetworkManager после перезапуска сервиса dbus. Обеспечен вывод уведомления в случае использование для профилей соединений старого формата конфигурации ifcfg. Добавлена поддержка свойств: link.tx-queue-length, link.gro-max-size, link.gso-max-segments и link.gso-max-size.
Позволено е използването както на статични, така и на динамични (DHCP) настройки за един и същи мрежов интерфейс в NetworkManager, например, чрез утилитата nmstate може да се зададе статичен адрес за интерфейс, на който е активирана поддръжката на DHCP. В nmstate е разрешена свързаност на настройки към мрежовия интерфейс по MAC адрес, вместо по името на интерфейса.
Разширена е поддръжката на оборудване. Добавена е поддръжка за CPU ARM64 NVIDIA Grace. Драйверът Intel QAT е пренесен от ядро Linux 6.2, с поддръжка на устройства Intel Quick Assist Technology 401xx/402xx.
За защита от атаки Spectre v2, свързани със спекулативно изпълнение на инструкции, е добавен режим AutoIBRS (Automatic Indirect Branch Restricted Speculation), поддържан в процесорите AMD, започвайки от семейството EPYC 9004 Genoa.
Предоставена е възможност за използване на виртуални чипове за съхранение на криптографски ключове (vTPM) за контейнерите, реализирани на основата на общ физически TPM (Trusted Platform Module).
В LVM е добавена поддръжка за логични дялове vmcore за дъмпове на ядрото, създадени от подсистемата kdump.
В установочные сборки добавлен параметр «inst.wait_for_disks», задающий время ожидания загрузки kickstart-файла или готовности драйверов в процессе загрузки.
В инсталатора при инсталация на системи ARM е предоставена възможност за избор на вариант на инсталираното ядро (например, с 64 Кб страници памет). Пакетът s390utils-base е изключен от минималния режим на инсталация и е оставен само s390utils-core.
В сборщика на образи RHEL е добавена възможност за генериране на файлове в OVA формат за VMware VSphere.
В kickstart-файлы в команду network добавлены новые опции «—ipv4-dns-search» и «—ipv6-dns-search» для задания базовых доменов для директивы «search» в /etc/resolv.conf, а также опции «—ipv4-ignore-auto-dns» и «—ipv6-ignore-auto-dns» для игнорирования получения настроек DNS через DHCP.
Подобрена е поддръжката на TLS разширението EMS (Extended Master Secret, RFC 7627), необходимо за прилагане на изискванията на FIPS-140-3 в TLS 1.2 свързвания.
В OpenSSH започна процесът на премахване на алгоритми, базирани на SHA-1, в полза на SHA-2. Ако на сървър липсват ключове, базирани на SHA-1, в sshd сега ще се използва само SHA-2 за потвърждаване на хостовите ключове, което може да доведе до несъвместимост с клиенти от RHEL 8 и по-стари версии.
В OpenSSL е добавена поддръжка за настройка на параметри на защитени елиптични криви Brainpool и е реализирана защита срещу атаки за дешифриране на RSA, основани на измерване на времето на операциите, използващи варианти на метода на Блейхенбахера.
В RPCSEC GSS Kerberos V5 е добавена поддръжка на методи за криптиране camellia128-cts-cmac, camellia256-cts-cmac, aes128-cts-hmac-sha256-128 и aes256-cts-hmac-sha384-192.
В средствата за одит е добавена поддръжка за събития FANOTIFY и е реализирано запазване в дневника на полета fan_type (тип на събитието), fan_info (свързана информация), sub_trust и obj_trust (нивата на доверие за субекта и обекта на събитието). В услугата fapolicyd, за опростяване на отстраняването на проблеми, е добавена предаване на номера на правила за отхвърлени запитвания към API fanotify.
Добавена е системна роля за инструментария keylime, която опростява настройката на регистратора и верификатора Keylime, използван за потвърждаване на автентичността и непрекъснато проследяване на целостта на външната система. Например, може да се удостоверява автентичността на Edge и IoT устройства, които се намират на недостъпен терен, където може да има несанкциониран достъп. Използван е новият релиз keylime 7.3.
Добавена е системна роля за управление на единиците systemd и тяхното инсталиране. Добавена е системна роля за инсталиране, конфигуриране, управление и стартиране на СУБД PostgreSQL. В системната роля firewall е добавена поддръжка за определяне, промяна и премахване на ipset-ове.
В SELinux е добавена опция virt_qemu_ga_run_unconfined, която позволява на процеса qemu-ga (QEMU Guest Agent) да изпълнява в незащитен режим (домен unconfined_t) команди, като mount, първоначално ограничени чрез SELinux. Добавени са политики SELinux за защита на услугите qat, systemd-pstore, boothd, fdo-manufacturing-server, fdo-rendezvous-server, fdo-client-linuxapp и fdo-owner-onboarding-server.
Добавена е поддръжка за средства за виртуализация на четвърто поколение на процесорите Intel Xeon Scalable (Sapphire Rapids), което позволява използването на модел CPU SapphireRapids в виртуалните машини и активирането на наличните в тези процесори разширени възможности за виртуализация.
В Podman е добавена поддръжка на контейнери, компресирани с алгоритъма zstd. Добавена е възможността за използване на Quadlets за автоматично генериране на системни услуги systemd от описанията на контейнерите. Добавена е обвивка podmansh, която може да се използва вместо /usr/bin/bash за стартиране на потребителска сесия в контейнера. Актуализирани са версиите на Podman, Buildah, Skopeo, crun и runc.
Добавени са нови параметри на командния ред на ядрото:
- amd_pstate за управление на режимите на енергопотребление на CPU AMD;
- arm64.nosve за деактивиране на SVE (Scalable Vector Extension);
- arm64.nosme за деактивиране на SME (Scalable Matrix Extension);
- gather_data_sampling за управление на режима на защита от атаки GDS (Gather Data Sampling или Downfall);
- nospectre_bhb за деактивиране на защитата Spectre-BHB;
- trace_clock за задаване на таймер за събития на трасировка.
Разширени са възможностите за клъстери и отказоустойчиви системи: В агента LVM-activate е добавена поддръжка за замяна (failover) на групи от дялове, в които липсват физически дялове. В агентите за ресурси на клъстера IPaddr2 и IPsrcaddr е добавена поддръжка на policy routing. В агент ocf:heartbeat:Filesystem е добавена поддръжка на файловата система EFS (Amazon Elastic File System).
Добавлены новые образы контейнеров с настройками FDO (FIDO Device Onboard): fdo-manufacturing-server, fdo-owner-onboarding-server, fdo-rendezvous-server и fdo-serviceinfo-api-server. Добавлен новый образ контейнера rhel9/squid с прокси-сервером Squid. В редакции «RHEL for Edge» реализована поддержка новых типов образов «minimal-raw», «edge-vsphere» (*.vmdk) и «edge-ami» (*.ami).
В AMI-образите за облачните среди AWS EC2 е добавена поддръжка за зареждане в режим UEFI.
За работа със смарткарти и USB токени CCID (Chip Card Interface Device) и ICCD (Integrated Circuit Card Device) е използвана нова версия на драйвера pcsc-lite-ccid 1.5.2, в която са решени проблеми с контролера Alcor Micro AU9560 и е добавена поддръжка на нови читатели на смарткарти.
Обявени за остарели са пакетите initial-setup и pmdk (Persistent Memory Development Kit).
Добавена е експериментална поддръжка за протоколите PRP (Parallel Redundancy Protocol) и HSR (High-availability Seamless Redundancy).
Добавена е експериментална възможност за хардуерно ускорение на IPsec чрез извеждане на операциите по инкапсулация на пакетите на страната на мрежовата карта.
Добавена е експериментална поддръжка за SRv6 (Segment Routing over IPv6).
Експерименталната реализация на kTLS (TLS на ниво ядро) е синхронизирана с ядрото 6.3. Добавена е поддръжка за използване на kTLS за ускоряване на GnuTLS.
Добавена експериментална поддръжка на интерфейса за асинхронен вход/изход io_uring, забележителна с поддръжката за полинг (polling) на вход/изход и възможността да работи както с буфериране, така и без него. В API io_uring разработчиците на ядрото са се опитали да отстранят недостатъците на стария интерфейс aio. По производителност io_uring е много близо до SPDK и значително изпреварва libaio при работа с включен полинг.
В IdM (Identity Management) добавлена экспериментальная поддержка протокола управления сертификатами ACME (Automated Certificate Management Environment), применяемого в удостоверяющем центре Let’s Encrypt.
В Podman е добавена експериментална възможност за използване на хранилище на база SQLite (вместо BoltDB).
Продължава предоставянето на експериментална (Technology Preview) подкрепа:
VPN WireGuard,
Intel SGX (Software Guard Extensions),
Intel IDXD (Data Streaming Accelerator),
DAX (Direct Access) за ext4 и XFS,
AMD SEV и SEV-ES в хипервизора KVM,
услугата systemd-resolved,
механизма Sigstore за верификация на контейнери по цифрови подписи,
пакета с графичния редактор GIMP 2.99.8,
настройки на MPTCP (Multipath TCP) чрез NetworkManager,
DNSSEC в IdM,
virtio-mem,
хипервизора KVM за ARM64,
инсталации на NVMe над Fibre Channel,
Socket API за TuneD,
Soft-iWARP (Internet Wide-area RDMA Protocol),
GNOME за ARM64 и IBM Z.

Източник: opennet.ru

Релиз на дистрибутива Red Hat Enterprise Linux 9.3