Vydání distribuce Red Hat Enterprise Linux 9.3

Společnost Red Hat vydala verzi distribuce Red Hat Enterprise Linux 9.3 (nová větev byla oznámena minulý týden, avšak poznámky k vydání byly zveřejněny až včera, do té doby byla na stránkách viditelná beta verze). Aktualizace předchozí větve RHEL 8.9 se očekává 15. listopadu. Hotové instalační obrazy jsou k dispozici pro registrované uživatele portálu Red Hat Customer Portal (pro hodnocení funkčnosti lze také využít iso-obrazy CentOS Stream 9 a bezplatné verze RHEL pro vývojáře). Vydání je sestaveno pro architektury x86_64, s390x (IBM System z), ppc64le a Aarch64 (ARM64).

Větev RHEL 9 se vyvíjí s otevřenějším procesem vývoje a používá jako základ balíčkovou základnu CentOS Stream 9. CentOS Stream je prezentován jako upstream projekt pro RHEL, který dává možnost třetím stranám ovlivňovat přípravu balíčků pro RHEL, navrhovat své změny a mít vliv na přijatá rozhodnutí. V souladu s 10letým cyklem podpory distribuce RHEL 9 bude doprovázena až do roku 2032.

RHEL 9.3 se stal prvním vydáním, jehož zdrojové kódy rpm balíčků nejsou umístěny v veřejném repozitáři git.centos.org a jsou poskytovány zákazníkům společnosti pouze prostřednictvím uzavřené sekce webových stránek, na které platí uživatelské smlouvy (EULA), zakazující redistribuci těchto dat, což neumožňuje použít tyto balíčky pro výrobu odvozených distribucí. Zdrojové kódy zůstávají dostupné v repozitáři CentOS Stream, ale ten není plně synchronizován s RHEL a v něm se ne vždy nejnovější verze balíčků shodují s balíčky z RHEL. Rocky Linux, Oracle a SUSE spojily síly a nyní reprodukují zdrojové kódy rpm balíčků vydání RHEL v rámci projektu OpenELA.

Klíčové změny v RHEL 9.3:

• Součástí jsou nové verze kompilátorů a nástrojů pro vývojáře: GCC Toolset 13, LLVM Toolset 16.0.6, Rust Toolset 1.71.1, Go Toolset 1.20.10, GCC 11.4.1 (systémový kompilátor), Redis 7, Node.js 20, java-21-openjdk (také pokračují v dodávkách java-17-openjdk, java-11-openjdk a java-1.8.0-openjdk), Valgrind 3.21, SystemTap 4.9, elfutils 0.189, PCP 6.0.5, Grafana 9.2.10.
• Byly aktualizovány serverové a systémové balíčky: samba 4.18.6, iproute 6.2.0, Apache httpd 2.4.57 (+ přidán modul mod_authnz_fcgi), SEtools 4.4.3, OpenSCAP 1.3.8, opencryptoki 3.21.0, NetworkManager 1.44, xdp-tools 1.4.0, perf 6.2, dmpd 1.0.2, nvme-cli 2.4, Pacemaker 2.1.6, 389-ds-base 2.3.4.
• Do správce balíčků DNF byla přidána příkaz „reboot“ pro automatické restartování po dokončení aktualizace. Jsou k dispozici následující režimy: „never“ (výchozí) — bez restartu, „when-changed“ — restart po jakékoli aktualizaci (dnf upgrade) a „when-needed“ — restart pouze v případě, že to vyžadují provedené změny (například po instalaci aktualizace jádra nebo systemd). Pro vypnutí místo restartu je k dispozici parametr „—poweroff“.
• V DNF byly přidány nové pluginy: „dnf leaves“ pro zobrazení všech nainstalovaných balíčků, které nejsou závislostmi pro jiné balíčky; „show-leaves“ pro zobrazení nedávno nainstalovaných podobných balíčků nebo balíčků, které přestaly být používány jako závislosti po transakci.
• Z nové verze jádra Linux byly přeneseny implementace protokolů SCTP (Stream Control Transmission Protocol) a MPTCP (Multipath TCP).
• Na platformě ARM64 byla plně implementována podpora kamer s rozhraním USB, bezdrátových adaptérů (Wi-Fi) a Bluetooth.
• Byla zajištěna plná podpora diskrétních grafických karet Intel Arc A-Series (Alchemist nebo DG2).
• Implementace subsystému eBPF byla synchronizována s jádrem Linux 6.3.
• Byl přidán nástroj Stratis pro správu lokálních úložišť, který poskytuje možnosti jako dynamické přidělování místa ve skladu, snímky, zajištění integrity a vytváření vrstev pro mezipaměť.
• Do systemd-udevd byly provedeny změny, které umožňují přiřazování neměnných názvů pro síťové rozhraní InfiniBand.
• V Postfix byla implementována možnost kontroly DNS záznamů SRV k určení hostitele a portu poštovního serveru, který bude použit pro přenos zpráv. Tuto funkci lze využít v infrastrukturách, kde se pro doručování poštovních zpráv používají služby s dynamicky přidělovanými čísly síťových portů.
• Do balíčku cups-filters byl přidán ovladač LF-to-CRLF, který lze použít pro převod znaků „\n“ (nový řádek) na „\r\n“ (návrat vozíku a nový řádek) pro tiskárny, které podporují pouze zpracování souborů s koncem řádku „\r\n“.
• Ve FUSE3 byla přidána možnost zrušení prvku katalogu bez automatického odmontování montážních bodů souvisejících s tímto prvkem.
• V NetworkManager byla přidána podpora možnosti „no-aaaa“ v resolv.conf, která zakazuje odesílání DNS dotazů na záznamy AAAA (určení IPv6 adresy podle názvu hostitele). Byla přidána podpora možnosti „lacp_active“ pro řízení zpracování rámců LACPDU (Link Aggregation Control Protocol Data Units). Bylo realizováno restartování NetworkManageru po restartování služby dbus. Byla zajištěna výstupní notifikace v případě použití starého formátu konfigurace ifcfg pro profily připojení. Byla přidána podpora vlastností: link.tx-queue-length, link.gro-max-size, link.gso-max-segments a link.gso-max-size.
• Pro jedno a to samé síťové rozhraní v NetworkManageru je povoleno použít jak statické, tak dynamické (DHCP) nastavení, například pomocí nástroje nmstate lze nastavit statickou adresu pro rozhraní, na kterém je povolena podpora DHCP. V nmstate je povoleno přiřazení nastavení k síťovému rozhraní podle MAC adresy namísto jména rozhraní.
• Byla rozšířena podpora hardwaru. Přidána podpora CPU ARM64 NVIDIA Grace. Z jádra Linux 6.2 byl přenesen ovladač Intel QAT s podporou zařízení Intel Quick Assist Technology 401xx/402xx.
• Aby bylo možné chránit proti útokům Spectre v2 souvisejícím s spekulativním vykonáváním instrukcí, byl přidán režim AutoIBRS (Automatická nepřímá pobočka omezená spekulací), podporovaný v CPU AMD, počínaje rodinou EPYC 9004 Genoa.
• Pro kontejnery byla poskytnuta možnost použití virtuálních čipů pro ukládání kryptografických klíčů (vTPM), které jsou realizovány na základě sdíleného fyzického TPM (Trusted Platform Module).
• V LVM byla přidána podpora logických oddílů vmcore pro výpisy jádra vytvářené subsystémem kdump.
• Do instalačních sestav byl přidán parametr „inst.wait_for_disks“, který určuje dobu čekání na načtení kickstart souboru nebo připravenost ovladačů během zavádění.
• V instalátoru při instalaci na systémy ARM byla poskytnuta možnost výběru varianty instalovaného jádra (např. s 64 KB stránkami paměti). Z minimálního režimu instalace byl vyloučen balíček s390utils-base a zanechán pouze s390utils-core.
• Ve sběrném nástroji pro obrazy RHEL byla přidána možnost generování souborů ve formátu OVA pro VMware VSphere.
• Do kickstart souborů byla do příkazu network přidána nová volba „—ipv4-dns-search“ a „—ipv6-dns-search“ pro určení základních domén pro direktivu „search“ v /etc/resolv.conf, jakož i volby „—ipv4-ignore-auto-dns“ a „—ipv6-ignore-auto-dns“ pro ignorování příjmu nastavení DNS prostřednictvím DHCP.
• Byla vylepšena podpora TLS rozšíření EMS (Extended Master Secret, RFC 7627), které je nezbytné pro zajištění dodržování požadavků FIPS-140-3 v TLS 1.2 spojeních.
• V OpenSSH začalo odstraňování používání algoritmů na bázi hashů SHA-1 ve prospěch SHA-2. Pokud na serveru neexistují klíče na bázi SHA-1, sshd nyní použije pouze SHA-2 pro potvrzení hostitelských klíčů, což může vést k nekompatibilitě se staršími klienty RHEL 8 a předchozích verzí.
• V OpenSSL byla přidána podpora nastavení parametrů zabezpečených eliptických křivek Brainpool a byla implementována ochrana před útoky na dešifrování RSA založené na měření času operací, které používají varianty metody Bleichenbacha.
• Do RPCSEC GSS Kerberos V5 byla přidána podpora šifrovacích metod camellia128-cts-cmac, camellia256-cts-cmac, aes128-cts-hmac-sha256-128 a aes256-cts-hmac-sha384-192.
• Do auditorských nástrojů byla přidána podpora událostí FANOTIFY a byla implementována možnost uchování polí fan_type (typ události), fan_info (příslušné informace), sub_trust a obj_trust (úrovně důvěry pro subjekt a objekt události) do logu. Do služby fapolicyd byla přidána možnost předávat čísla pravidel pro odmítnuté API požadavky za účelem usnadnění ladění problémů.
• Byla přidána systémová role pro nástroj keylime, která usnadňuje nastavení registru a ověřovatele Keylime používaného pro autentizaci a nepřetržité sledování integrity externího systému. Například je možné ověřit autenticitu Edge a IoT zařízení nacházejících se na nezabezpečených místech, kde je možný neoprávněný přístup. Byla vydána nová verze keylime 7.3.
• Byla přidána systémová role pro správu jednotek systemd a jejich instalaci. Byla přidána systémová role pro instalaci, nastavení, správu a spuštění databázového systému PostgreSQL. Do systémové role firewall byla přidána podpora definice, změny a odstranění ipsetů.
• Do SELinux byla přidána možnost virt_qemu_ga_run_unconfined, která umožňuje procesu qemu-ga (QEMU Guest Agent) vykonávat příkazy, jako je mount, v nechráněném režimu (domena unconfined_t), které byly původně omezeny pomocí SELinux. Byly přidány politiky SELinux pro ochranu služeb qat, systemd-pstore, boothd, fdo-manufacturing-server, fdo-rendezvous-server, fdo-client-linuxapp a fdo-owner-onboarding-server.
• Byla přidána podpora virtualizace 4. generace procesorů Intel Xeon Scalable (Sapphire Rapids), která umožňuje použít v virtuálních strojích model CPU SapphireRapids a využít pokročilé virtualizační možnosti těchto procesorů.
• V Podman byla přidána podpora kontejnerů komprimovaných pomocí algoritmu zstd. Byla přidána možnost použití Quadlets pro automatickou generaci systemd služeb z popisů kontejnerů. Byla přidána shell podmansh, kterou lze použít namísto /usr/bin/bash pro spuštění uživatelského sezení v kontejneru. Byly aktualizovány verze Podman, Buildah, Skopeo, crun a runc.
• Byly přidány nové parametry příkazové řádky jádra:
  • amd_pstate pro řízení režimů spotřeby energie CPU AMD;
  • arm64.nosve pro vypnutí SVE (Scalable Vector Extension);
  • arm64.nosme pro vypnutí SME (Scalable Matrix Extension);
  • gather_data_sampling pro řízení režimu ochrany proti útokům GDS (Gather Data Sampling neboli Downfall);
  • nospectre_bhb pro vypnutí ochrany Spectre-BHB;
  • trace_clock pro nastavení časovače událostí sledování.
• Byly rozšířeny možnosti pro clustery a vysoce dostupné systémy: Do agenta LVM-activate byla přidána podpora pro výměnu (failover) skupin oddílů, v nichž chybí fyzické oddíly. Do agentů zdrojů clusteru IPaddr2 a IPsrcaddr byla přidána podpora pro policy routing. Do agenta ocf:heartbeat:Filesystem byla přidána podpora pro FS EFS (Amazon Elastic File System).
• Byly přidány nové kontejnery s nastavením FDO (FIDO Device Onboard): fdo-manufacturing-server, fdo-owner-onboarding-server, fdo-rendezvous-server a fdo-serviceinfo-api-server. Přidána nová kontejnerová image rhel9/squid s proxy serverem Squid. V edici „RHEL for Edge“ byla implementována podpora nových typů obrazů „minimal-raw“, „edge-vsphere“ (*.vmdk) a „edge-ami“ (*.ami).
• Do AMI obrazů pro cloudová prostředí AWS EC2 byla přidána podpora pro spouštění v režimu UEFI.
• Pro práci se smartcardami a USB tokeny CCID (Chip Card Interface Device) a ICCD (Integrated Circuit Card Device) byl zapojen nový vydání ovladače pcsc-lite-ccid 1.5.2, ve kterém byly vyřešeny problémy s řadičem Alcor Micro AU9560 a byla přidána podpora pro nové čtečky smartkaret.
• Byly vyhlášeny za zastaralé balíčky initial-setup a pmdk (Persistent Memory Development Kit).
• Byla přidána experimentální podpora protokolů PRP (Parallel Redundancy Protocol) a HSR (High-availability Seamless Redundancy).
• Byla přidána experimentální možnost hardwarového urychlení IPsec přes delegaci operací encapsulace paketů na síťovou kartu.
• Byla přidána experimentální podpora SRv6 (Segment Routing over IPv6).
• Experimentální implementace kTLS (TLS na úrovni jádra) byla synchronizována s jádrem 6.3. Byla přidána podpora používání kTLS pro zrychlení GnuTLS.
• Byla přidána experimentální podpora rozhraní asynchronního vstupu/výstupu io_uring, které se vyznačuje podporou poling (polling) vstupu/výstupu a možností práce jak s vyrovnáváním paměti, tak bez vyrovnávání paměti. V API io_uring se vývojáři jádra snažili odstranit nedostatky starého rozhraní aio. V výkonu je io_uring velmi blízko SPDK a výrazně předčí libaio při práci s povoleným polingem.
• V IdM (Identity Management) byla přidána experimentální podpora pro protokol správy certifikátů ACME (Automated Certificate Management Environment), používaný v certifikační autoritě Let’s Encrypt.
• V Podman byla přidána experimentální možnost použití backendu úložiště založeného na SQLite (místo BoltDB).
• Pokračovalo se v poskytování experimentální (Technology Preview) podpory:
• VPN WireGuard,
• Intel SGX (Software Guard Extensions),
• Intel IDXD (Data Streaming Accelerator),
• DAX (Direct Access) pro ext4 a XFS,
• AMD SEV a SEV-ES v hypervizoru KVM,
• služby systemd-resolved.
• mechanismu Sigstore pro ověřování kontejnerů pomocí digitálních podpisů,
• balíčku s grafickým editorem GIMP 2.99.8,
• nastavení MPTCP (Multipath TCP) přes NetworkManager,
• DNSSEC v IdM,
• virtio-mem,
• hypervisor KVM pro ARM64,
• instalace na NVMe nad Fibre Channel,
• Socket API pro TuneD,
• Soft-iWARP (Internet Wide-area RDMA Protocol),
• GNOME pro ARM64 a IBM Z.

Zdroj: opennet.ru