Vydání distribuce Red Hat Enterprise Linux 8.2

Společnost Red Hat publikovala distribuce Red Hat Enterprise Linux 8.2. Instalační sestavy jsou připraveny pro architektury x86_64, s390x (IBM System z), ppc64le a Aarch64, ale jsou k dispozici pro ke stažení pouze registrovaným uživatelům Red Hat Customer Portal. Zdrojové kódy rpm balíčků Red Hat Enterprise Linux 8 jsou distribuovány prostřednictvím Git repozitáře CentOS. Větev RHEL 8.x bude podporována minimálně do roku 2029.

Původně byl oznámen RHEL 8.2 byla vydána na stránkách Red Hat již 21. dubna, ale oznámení bylo učiněno předčasně a repozitáře pro instalaci aktualizací ještě nebyly připraveny, ve skutečnosti byl vydán až dnes. Větev 8.x se vyvíjí v souladu s novým předvídatelným vývojovým cyklem, který předpokládá vydání každých šest měsíců ve stanoveném termínu. Nový vývojový cyklus produktů RHEL zahrnuje několik úrovní, včetně Fedory jako základny pro realizaci nových funkcí, CentOS Stream pro přístup k balíčkům, které jsou připravovány pro další mezilehlé vydání RHEL (rolling verze RHEL), minimalistický univerzální základní obraz (UBI, Universal Base Image) pro spouštění aplikací v izolovaných kontejnerech a RHEL Developer Subscription pro bezplatné používání RHEL v průběhu vývoje.

Klíčové změny:

• Je zajištěna plná podpora správy zdrojů pomocí unifikované hierarchie cgroups v2, která byla dříve v experimentálním stádiu. Cgroups v2 lze využívat například pro omezení spotřeby paměti, zdrojů CPU a vstupu/výstupu. Klíčovým rozdílem cgroups v2 od v1 je použití společné hierarchie cgroup pro všechny druhy zdrojů, namísto oddělených hierarchií pro distribuci zdrojů CPU, regulaci spotřeby paměti a pro vstup/výstup. Oddělené hierarchie vedly k obtížím při organizaci interakce mezi procesory a k dodatečným nákladům na jádrové zdroje při aplikaci pravidel na procesy, které jsou uvedeny v různých hierarchiích.
• Přidáno nástroj Convert2RHEL pro převod systémů běžících na RHEL-podobných distribucích, jako jsou CentOS a Oracle Linux.
• Byla přidána možnost přizpůsobení obecných politik kryptografických subsystémů (crypto-policies), které se vztahují na protokoly TLS, IPSec, SSH, DNSSec a Kerberos. Administrátor může nyní definovat vlastní politiku nebo změnit určité parametry stávajících. Byly přidány dva nové balíčky setools-gui a setools-console-analyses pro analýzu SELinux politik a inspekci datových toků. Byl přidán profil zabezpečení odpovídající doporučením DISA STIG (Defense Information Systems Agency). Byla přidána nová utilita oscap-podman pro skenování obsahu kontejnerů s cílem zjistit, zda používají zranitelné verze softwaru.
• Ve nástrojích pro správu identit se objevila nová utilita Healthcheck, která umožňuje odhalovat problémy v prostředích IdM (Identity Management). Byla zajištěna podpora rolí a modulů Ansible pro zjednodušení instalace a správy IdM.
• Byl změněn design webové konzole, která byla přepnuta na používání rozhraní PatternFly 4, podobného designu rozhraní OpenShift 4. Bylo přidáno časové omezení neaktivity uživatele, po jehož uplynutí se sezení s webovou konzolí ukončuje. Byla přidána podpora autentizace pomocí klientského certifikátu. Byly aktualizovány sekce pro správu úložišť a virtuálních strojů.
• Byl změněn rozhraní pro přepínání virtuálních pracovních ploch v prostředí GNOME Classic, tlačítko pro přepínání bylo přesunuto do dolního pravého rohu a je nyní zobrazeno jako lišta s miniaturami.
• Grafický subsystém DRM (Direct Rendering Manager) byl synchronizován s verzí jádra Linux 5.1. Byly aktualizovány grafické ovladače, které nyní obsahují podporu pro Intel Comet Lake H a U (HD Graphics 610, 620, 630), Intel Ice Lake U (HD Graphics 910, Iris Plus Graphics 930, 940, 950), AMD Navi 10, Nvidia Turing TU116.
• Sezení GNOME na bázi Wayland je nyní ve výchozím nastavení povoleno pro systémy s více GPU (dříve byla použita X11 na systémech s hybridní grafikou).
• Byla přidána podpora nových parametrů jádra Linuxu souvisejících se správou ochrany před novými útoky na mechanismus spekulativního vykonávání CPU: mds, tsx, mitigations. Byl přidán parametr
  mem_encrypt pro správu zapnutí rozšíření AMD SME (Secure Memory Encryption). Byl přidán parametr cpuidle.governor pro výběr správce stavu spánku CPU (cpuidle governor). Byl přidán parametr /proc/sys/kernel/panic_print pro nastavení informací zobrazovaných při pádu systému (stav panic). Byl přidán parametr
  /proc/sys/kernel/threads-max для определения максимального числа потоков, которые может создать функция fork(). Добавлен параметр /proc/sys/net/bpf_jit_enable для управления включением JIT-компилятора для BPF.
• Byl změněn algoritmus spuštění dnf-automatic.timer pro vyvolání procesu automatické instalace aktualizací. Místo používání monotónního časovače, který aktivoval v nepředvídatelných časech po spuštění, se nyní tato jednotka spouští mezi 6 a 7 hodinou ráno. Pokud je v této době systém vypnutý, ale spuštění probíhá v průběhu hodiny po zapnutí.
• Do repozitáře AppStream byly přidány moduly s novými větvemi Python 3.8 (dříve 3.6) a Maven 3.6. Aktualizovány byly balíčky s GCC 9.2.1, Clang/LLVM 9.0.1, Rust 1.41 a Go 1.13.
• Byly aktualizovány verze balíčků powertop 2.11 (s podporou platforem EHL, TGL, ICL/ICX), opencv 3.4.6, tuned 2.13.0, rsyslog 8.1911.0, audit 3.0-0.14, fapolicyd 0.9.1-2, sudo 1.8.29-3.el8,
  firewalld 0.8, tpm2-tools 3.2.1, mod_md (s podporou ACMEv2), grafana 6.3.6, pcp 5.0.2, elfutils 0.178, SystemTap 4.2, 389-ds-base 1.4.2.4,
  samba 4.11.2.
• Byly přidány nové balíčky whois, graphviz-python3 (distribuováno přes oficiálně nepodporovaný repozitář CRB (CodeReady Linux Builder)), perl-LDAP, perl-Convert-ASN1.
• DNS server BIND byl aktualizován na verzi 9.11.13 a byl přenesen na používání databáze pro mapování adres k lokalizaci GeoIP2 ve formátu libmaxminddb místo zastaralé GeoIP, která již není podporována. Byla přidána konfigurace serve-stale (stale-answer), která umožňuje vracet zastaralé DNS záznamy, pokud není možné získat nové.
• Do rsyslog byl přidán modul omhttp pro interakci skrze rozhraní HTTP REST.
• Do auditorského subsystému byly přeneseny změny, které odpovídají jádru Linux 5.5.
• Do pluginu setroubleshoot byla přidána podpora analýzy selhání přístupu kvůli nedostatku paměti a automatické reakce na odstranění podobných problémů.
• Uživatelům, kterým je omezena činnost pomocí SELinux, byla poskytnuta možnost spravovat služby spojené s uživatelskou relací. Do semanage byla přidána podpora hodnocení a změny síťových portů SCTP a DCCP (dříve byly podporovány TCP a UDP). Byla zajištěna správa pod vlastními doménami SELinux pro služby lvmdbusd (D-Bus API pro LVM), lldpd, rrdcached, stratisd, timedatex.
• Firewalld byl přenesen na JSON rozhraní libnftables při interakci s nftables, což vedlo ke zlepšení výkonu a spolehlivosti. Do nftables byla přidána podpora vícerozměrných typů v IP setu, které mohou zahrnovat unie a intervaly. V pravidlech pro firewalld je nyní možné používat zpracovatele pro sledování spojení u služeb běžících na nestandardních síťových portech.
• V subsystému jádra tc (Traffic Control) byla zajištěna plná podpora.
  eBPF, který umožňuje použití nástroje tc pro připojení eBPF programů pro klasifikaci paketů a zpracování příchozích a odchozích front.
• Byla implementována stabilní podpora některých subsystémů eBPF: nástrojový kit a knihovna BCC (BPF Compiler Collection) pro vytváření BPF programů pro sledování a ladění, podpora eBPF v tc. Komponenty bpftrace a eXpress Data Path (XDP) zůstávají ve stádiu Technology Preview.
• Komponenty pro práci v reálném čase (kernel-rt) jsou synchronizovány s sadou patchů pro jádro 5.2.21-rt13.
• Byla zajištěna možnost spuštění procesu rngd (démona pro doplňování entropie generátoru pseudonáhodných čísel) bez práv root.
• V LVM byla přidána podpora metody caching dm-writecache vedle předtím dostupného dm-cache. Dm-cache ukládá do cache nejčastěji používané operace zápisu a čtení, zatímco dm-writecache ukládá do cache pouze operace zápisu tím, že je nejprve umístí na rychlé nosiče SSD nebo PMEM a poté je na pozadí přesune na pomalý disk.
• V XFS byla přidána podpora režimu odloženého zápisu (writeback), který zohledňuje cgroup.
• Ve FUSE byla přidána podpora operace copy_file_range(), která urychluje kopírování dat z jednoho souboru do druhého díky provedení operace pouze na straně jádra bez předchozího čtení dat do paměti procesu. Optimalizace je dobře viditelná v GlusterFS.
• Do dynamického linkeru byla přidána volba „—preload“, která umožňuje explicitně zadat knihovny pro nucené načítání s aplikací. Tato volba umožňuje obejít použití proměnné prostředí LD_PRELOAD, která je děděna podřízenými procesy.
• Ve hypervisoru KVM byla implementována plná podpora vnořeného spouštění virtuálních strojů.
• Byly přidány nové ovladače, včetně
  gVNIC, Broadcom UniMAC MDIO, Software iWARP, DRM VRAM, cpuidle-haltpoll, stm_ftrace, stm_console,
  Intel Trace Hub, PMEM DAX,
  Intel PMC Core,
  Intel RAPL,
  Intel Runtime Average Power Limit (RAPL).
• Byly vyhlášeny jako zastaralé DSA, TLS 1.0 a TLS 1.1, které jsou ve výchozím nastavení zakázány a dostupné pouze v sadě LEGACY.
• Byla zajištěna experimentální (Technology Preview) podpora nmstate, AF_XDP, XDP, KTLS, dracut, kexec fast reboot, eBPF, libbpf, igc, NVMe over TCP/IP, DAX v ext4 a xfs, OverlayFS, Stratis, DNSSEC, GNOME na systémech ARM, AMD SEV pro KVM, Intel vGPU.

Zdroj: opennet.ru