Vydání distribuce Red Hat Enterprise Linux 9.1

Společnost Red Hat vydala verzi distribuce Red Hat Enterprise Linux 9.1. Hotové instalační obrazy jsou k dispozici pro registrované uživatele Red Hat Customer Portal (pro hodnocení funkčnosti lze také použít iso-obrazy CentOS Stream 9). Vydání bylo sestaveno pro architektury x86_64, s390x (IBM System z), ppc64le a Aarch64 (ARM64). Zdrojové kódy rpm balíčků Red Hat Enterprise Linux 9 jsou umístěny v Git repozitáři CentOS.

Větev RHEL 9 se vyvíjí s otevřenějším procesem vývoje a používá jako základ balíčkovou základnu CentOS Stream 9. CentOS Stream je prezentován jako upstream projekt pro RHEL, který dává možnost třetím stranám ovlivňovat přípravu balíčků pro RHEL, navrhovat své změny a mít vliv na přijatá rozhodnutí. V souladu s 10letým cyklem podpory distribuce RHEL 9 bude doprovázena až do roku 2032.

Klíčové změny:

• Byly aktualizovány serverové a systémové balíčky: firewalld 1.1.1, chrony 4.2, unbound 1.16.2, frr 8.2.2, Apache httpd 2.4.53, opencryptoki 3.18.0, powerpc-utils 1.3.10, libvpd 2.2.9, lsvpd 1.7.14, ppc64-diag 2.7, PCP 5.3.7, Grafana 7.5.13, samba 4.16.1.
• Byly zahrnuty nové verze kompilátorů a nástrojů pro vývojáře: GCC 11.2.1, GCC Toolset 12, LLVM Toolset 14.0.6, binutils 2.35.2, PHP 8.1, Ruby 3.1, Node.js 18, Rust Toolset 1.62, Go Toolset 1.18.2, Maven 3.8, java-17-openjdk (pokračují také dodávky java-11-openjdk a java-1.8.0-openjdk), .NET 7.0, GDB 10.2, Valgrind 3.19, SystemTap 4.7, Dyninst 12.1.0, elfutils 0.187.
• Do subsystému eBPF (Berkeley Packet Filter) byly přeneseny vylepšení implementované v jádrech Linux 5.15 a 5.16. Například pro BPF programy byla zavedena možnost dotazování a zpracování událostí časovače, možnost získávat a nastavovat možnosti socketů pro setsockopt, podpora volání funkcí modulů jádra, nabídnuta pravděpodobnostní struktura pro ukládání dat (BPF map) bloom filter, a přidána možnost vázání tagů na parametry funkcí.
• Sada patchů pro systémy reálného času, používaná v jádře kernel-rt, byla aktualizována na stav odpovídající jádru 5.15-rt.
• Byla aktualizována implementace protokolu MPTCP (MultiPath TCP), používaného pro organizaci fungování TCP spojení s dodáním paketů zároveň po několika trasách přes různé síťové rozhraní. Změny byly přeneseny z jádra Linux 5.19 (například byla přidána podpora přepínání MPTCP spojení na běžný TCP a navržen API pro správu MPTCP toků z uživatelského prostoru).
• Na systémech s 64bitovými procesory ARM, AMD a Intel byla poskytnuta možnost změny chování režimu Real-Time v jádře během provozu zápisem názvu režimu do souboru "/sys/kernel/debug/sched/preempt" nebo během spuštění pomocí parametru jádra "preempt=" (podporovány jsou režimy none, voluntary a full).
• Nastavení zaváděcího programu GRUB bylo změněno tak, aby ve výchozím nastavení skrylo zaváděcí menu. Menu se zobrazí, pokud předchozí zavádění selhalo. Chcete-li zobrazit menu během zavádění, můžete podržet klávesu Shift nebo opakovaně stisknout klávesy Esc nebo F8. Pro vypnutí skrytí můžete použít příkaz „grub2-editenv — unset menu_auto_hide“.
• Do ovladače PTP (Precision Time Protocol) byla přidána podpora pro vytváření virtuálních hardwarových hodin (PHC, PTP Hardware Clocks).
• Byl přidán příkaz modulesync, který načítá RPM balíčky z modulů a vytváří v pracovním adresáři repozitář s metadaty potřebnými pro instalaci modulárních balíčků.
• Ve službě tuned, která sleduje stav systému a optimalizuje profily pro dosažení maximální výkonnosti s ohledem na aktuální zátěž, byla poskytnuta možnost použití balíčku tuned-profiles-realtime pro izolaci jader CPU a poskytnutí aplikacím všech dostupných zdrojů.
• V NetworkManageru byl realizován převod profilů připojení z formátu nastavení ifcfg (/etc/sysconfig/network-scripts/ifcfg-*) do formátu na bázi souboru keyfile. Pro migraci profilů můžete použít příkaz „nmcli connection migrate“.
• Nástroje SELinux byly aktualizovány na verzi 3.4, která zvyšuje výkon opětovného štítkování (relabel) díky paralelizaci operací. Do utilitky semodule byla přidána volba „-m“ („—checksum“) pro získání SHA256 hash modulů a mcstrans byl převeden na knihovnu PCRE2. Byly přidány nové nástroje pro práci s přístupovými politikami: sepol_check_access, sepol_compute_av, sepol_compute_member, sepol_compute_relabel, sepol_validate_transition. Byly přidány politiky SELinux pro ochranu služeb ksm, nm-priv-helper, rhcd, stalld, systemd-network-generator, targetclid a wg-quick.
• Byla poskytnuta možnost použití klienta Clevis (clevis-luks-systemd) pro automatickou dešifrování diskových oddílů šifrovaných pomocí LUKS a montovaných v pozdním stádiu zavádění, aniž by bylo nutné použít příkaz „systemctl enable clevis-luks-askpass.path“.
• Byly rozšířeny možnosti nástroje pro přípravu systémových obrazů, který nyní podporuje nahrávání obrazů do GCP (Google Cloud Platform), přímé umístění obrazu do registru kontejnerů, nastavení velikosti oddílu "/boot" a úpravu parametrů (Blueprint) během generace obrazu (například přidání balíků a vytváření uživatelů).
• Byla přidána utilita keylime pro atestaci (potvrzení autentičnosti a kontinuální sledování integrity) externího systému pomocí technologie TPM (Trusted Platform Module), například pro zajištění autentičnosti zařízení Edge a IoT nacházejících se na nepřístupných místech, kde je možný neoprávněný přístup.
• V edici „RHEL for Edge“ byla přidána možnost využití nástroje fdo-admin pro konfiguraci služeb FDO (FIDO Device Onboard) a vytváření certifikátů a klíčů pro ně.
• V SSSD (System Security Services Daemon) byla přidána podpora pro ukládání SID dotazů (např. ověřování GID/UID) do operační paměti, což urychlilo operace kopírování velkého množství souborů přes server Samba. Byla zajištěna podpora integrace s Windows Server 2022.
• V OpenSSH je minimální velikost RSA klíčů nyní standardně omezena na 2048 bitů, zatímco v knihovnách NSS byla ukončena podpora RSA klíčů menších než 1023 bitů. Pro nastavení vlastních omezení v OpenSSH byl přidán parametr RequiredRSASize. Byla přidána podpora pro metodu výměny klíčů sntrup761x25519-sha512@openssh.com, odolnou vůči útokům kvantových počítačů.
• Do nástroje ReaR (Relax-and-Recover) byla přidána možnost provádět libovolné příkazy před a po obnově.
• V ovladači pro Ethernet adaptéry Intel E800 byla implementována podpora protokolů iWARP a RoCE.
• Byl přidán nový balíček httpd-core, do kterého byly přesunuty základní komponenty Apache httpd, dostatečné pro spuštění HTTP serveru a související s minimálním počtem závislostí. Do balíčku httpd byly přidány další moduly, jako mod_systemd a mod_brotli, a také byla zahrnuta dokumentace.
• Byl přidán nový balíček xmlstarlet, který zahrnuje nástroje pro analýzu, transformaci, kontrolu, extrakci dat a úpravu XML souborů, podobné grep, sed, awk, diff, patch a join, ale určené pro XML, nikoli pro textové soubory.
• Byly rozšířeny možnosti systémových rolí, například do role network byla přidána podpora pro konfiguraci pravidel směrování a využití API nmstate, do role logging byla přidána podpora pro filtrování podle regulárních výrazů (startmsg.regex, endmsg.regex), do role storage byla přidána podpora pro oddíly, pro které se dynamicky přiděluje místo ve skladu („thin provisioning“), do role sshd byla přidána možnost správy přes /etc/ssh/sshd_config, do role metrics byl přidán export statistik výkonu Postfix, a v roli firewall byla implementována možnost přepsání předchozí konfigurace a poskytnuta podpora pro přidávání, aktualizaci a odstraňování služeb podle stavu.
• Byl aktualizován nástroj pro správu izolovaných kontejnerů, zahrnující balíčky jako Podman, Buildah, Skopeo, crun a runc. Byla přidána podpora pro GitLab Runner v kontejnerech s runtime Podman. Pro nastavení síťového subsystému kontejnerů byla poskytnuta utilita netavark a DNS server Aardvark.
• Do mdevctl byla přidána podpora pro příkaz ap-check pro konfiguraci přesměrování do virtuální stroje přístupu k kryptoakcelerátorům.
• Byla přidána předběžná (Technology Preview) možnost ověřování uživatelů pomocí externích poskytovatelů identity (IdP), kteří podporují rozšíření protokolu OAuth 2.0 „Device Authorization Grant“ pro poskytování OAuth tokenů přístupu zařízením bez použití prohlížeče.
• Pro sezení GNOME založeném na Waylandu jsou k dispozici verze Firefoxu, které využívají Wayland. Verze založené na X11, provozované v prostředí Wayland pomocí komponenty XWayland, byly přesunuty do samostatného balíčku firefox-x11.
• Sezení založené na Waylandu je ve výchozím nastavení aktivováno pro systémy s GPU Matrox (dříve nebyl Wayland používán s GPU Matrox kvůli omezením a problémům s výkonem, které byly nyní vyřešeny).
• Byla realizována podpora GPU integrovaných v procesorech Intel Core 12. generace, včetně Intel Core i3 12100T – i9 12900KS, Intel Pentium Gold G7400 a G7400T, Intel Celeron G6900 a G6900T, Intel Core i5-12450HX – i9-12950HX a Intel Core i3-1220P – i7-1280P. Přidána podpora GPU AMD Radeon RX 6[345]00 a AMD Ryzen 5/7/9 6[689]00.
• Pro správu zapnutí ochrany proti zranitelnostem v mechanismu MMIO (Memory Mapped Input Output) byl realizován zaváděcí parametr jádra „mmio_stale_data“, který může přijímat hodnoty „full“ (zapnutí vyčištění bufferů při přechodu do uživatelského prostoru a do VM), „full,nosmt“ (jak „full“ + navíc se vypne SMT/Hyper-Threads) a „off“ (ochrana je vypnuta).
• Pro správu zapnutí ochrany proti zranitelnosti Retbleed byl realizován zaváděcí parametr jádra „retbleed“, přes který lze ochranu vypnout („off“) nebo zvolit algoritmus blokování zranitelnosti (auto, nosmt, ibpb, unret).
• V zaváděcím parametru jádra acpi_sleep byla realizována podpora nových možností pro řízení přechodu do spánkového režimu: s3_bios, s3_mode, s3_beep, s4_hwsig, s4_nohwsig, old_ordering, nonvs, sci_force_enable a nobl.
• Byl přidán velký počet nových ovladačů pro síťová zařízení, úložiště a grafické čipy.
• Bylo pokračováno v poskytování experimentální (Technology Preview) podpory KTLS (implementace TLS na úrovni jádra). VPN WireGuard, Intel SGX (Software Guard Extensions), Intel IDXD (Data Streaming Accelerator), DAX (Direct Access) pro ext4 a XFS, AMD SEV a SEV-ES v hypervisoru KVM, služba systemd-resolved, manažer úložišť Stratis, Sigstore pro ověřování kontejnerů na základě digitálních podpisů, balíček s grafickým editorem GIMP 2.99.8, nastavení MPTCP (Multipath TCP) prostřednictvím NetworkManageru, server ACME (Automated Certificate Management Environment), virtio-mem, hypervisor KVM pro ARM64.
• Toolkit GTK 2 a s ním související balíčky adwaita-gtk2-theme, gnome-common, gtk2, gtk2-immodules a hexchat byly prohlášeny za zastaralé. X.org Server (ve výchozím nastavení je v RHEL 9 nabízeno sezení GNOME založené na Waylandu) byl prohlášen za zastaralý a má být odstraněn v další významné verzi RHEL, ale bude zachována možnost spuštění aplikací X11 ze sezení Wayland pomocí DDX-serveru XWayland.

Zdroj: opennet.ru