Vydání distribuce Red Hat Enterprise Linux 9.4

Společnost Red Hat vydala distribuci Red Hat Enterprise Linux 9.4. Hotové instalační obrazy jsou k dispozici pro registrované uživatele Red Hat Customer Portal (pro vyhodnocení funkčnosti lze také použít iso-obrazy CentOS Stream 9 a bezplatné sestavení RHEL pro vývojáře). Vydání je určeno pro architektury x86_64, s390x (IBM System z), ppc64le a Aarch64 (ARM64).

Větev RHEL 9 se vyvíjí s otevřenějším procesem vývoje a používá jako základ balíčkovou základnu CentOS Stream 9. CentOS Stream je prezentován jako upstream projekt pro RHEL, který dává možnost třetím stranám ovlivňovat přípravu balíčků pro RHEL, navrhovat své změny a mít vliv na přijatá rozhodnutí. V souladu s 10letým cyklem podpory distribuce RHEL 9 bude doprovázena až do roku 2032.

Zdrojové texty rpm-balíčků RHEL 9.4 nejsou umístěny v veřejném repozitáři git.centos.org a jsou poskytovány klientům společnosti pouze prostřednictvím uzavřené části webu, kde platí uživatelská smlouva (EULA), která zakazuje redistribuci těchto dat, což neumožňuje používat tyto balíčky k vytváření odvozených distribucí. Zdrojové texty zůstávají k dispozici v repozitáři CentOS Stream, ale ten není plně synchronizován s RHEL a ne vždy nejnovější verze balíčků odpovídají balíčkům z RHEL. Rocky Linux, Oracle a SUSE reprodukují zdrojové texty rpm-balíčků vydání RHEL v rámci projektu OpenELA.

Klíčové změny v RHEL 9.4:

• Byla zajištěna plná podpora technologie pro vytváření izolovaných enclaves Intel SGX (Software Guard Extensions). Podporovány jsou verze SGX 1 a 2, které umožňují využití mechanismů FLC (Flexible Launch Control) a EDMM (Enclave Dynamic Memory Management) pro změnu oprávnění k jednotlivým stránkám paměti enclavy, dynamické přidávání/odebírání stránek paměti k enclavě a rozšíření enclavy.
• Do stabilní verze byl zařazen ovladač IDXD (Data Streaming Accelerator) pro využití zrychlovačů přenosu dat integrovaných v CPU Intel. Dříve byly SGX a IDXD klasifikovány jako experimentální možnosti (Technology Preview).
• Realizace subsystému eBPF byla synchronizována s jádrem Linux 6.6 (v minulém vydání byla použita realizace eBPF z jádra Linux 6.3).
• Do zaváděcího programu GRUB a vrstvy shim byla přidána možnost aplikovat mechanismy ochrany paměti DEP (Data Execution Prevention), NX (No Execute) a XD (Execute Disable) k zákazu vykonávání instrukcí v určitých oblastech paměti ve fázi před zahájením zavádění systému.
• Byly zařazeny nové verze kompilátorů a nástrojů pro vývojáře: GCC Toolset 13, LLVM Toolset 17.0.6, Rust Toolset 1.75.1 a Go Toolset 1.21.7.
• Byly přidány samostatné balíčky (Application Streams) s novými verzemi Python 3.12, Ruby 3.3, PHP 8.2, nginx 1.24, MariaDB 10.11, PostgreSQL 16.
• Byly aktualizovány verze Git 2.43.0, Git LFS 3.4.1, Valgrind 3.22, SystemTap 5.0, elfutils 0.190, cmake 3.26. Přidány nové balíčky maven-openjdk21 a libzip-tools.
• Byly aktualizovány balíčky související s bezpečností: GnuTLS 3.8.3, nettle 3.9.1, p11-kit 0.25.3, libkcapi 1.4.0, stunnel 5.71, audit 3.1.2, SSG (SCAP Security Guide) 0.1.72, openCryptoki 3.22.0, ipa 4.11.
• Byly aktualizovány serverové a systémové balíčky: chrony 4.5, linuxptp 4.2, Rsyslog 8.2310, iptables 1.8.10, nftables 1.0.9, firewalld 1.3, stratis-cli 3.6.0, boom 1.6.0, 389-ds-base 2.4.5, samba 4.19.4, Podman 4.9.
• Nástroje SELinux pracující v uživatelském prostoru (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) byly aktualizovány na verzi 3.6, ve které byl do jazyka CIL (Common Intermediate Language) přidán support pro pravidla „deny“ a klíčová slova „notself“ a „other“. Byl přidán spustitelný soubor getpolicyload pro zobrazení počtu restartů pravidel SELinux. Služby nvme-stas, rust-afterburn, rust-coreos-installer a bootc, které dříve běžely v režimu unconfined_service_t, byly převedeny pod ochranu SELinux. Byla přidána SELinux pravidla pro SAP HANA. Přidána nová služba chronyd-restricted, chráněná pomocí SELinux. Přidán balíček grafana-selinux pro spuštění grafana s ochranou SELinux.
• Registrátor a ověřovatel Keylime, používán pro potvrzení autenticity a neustálé sledování integrity externích systémů, lze nyní spustit uvnitř kontejnerů, izolovaných od hlavního systému.
• V systému pro správu protokolů Rsyslog byla poskytnuta možnost změny nastavení šifrování pro TLS/SSL a byly přidány další možnosti pro resetování oprávnění.
• V OpenSSL byla poskytnuta možnost umístit soubory s nastavením TLS do samostatného adresáře /etc/pki/tls/openssl.d, což umožňuje přepsat parametry dodatečných kryptografických modulů bez změny hlavního konfiguračního souboru OpenSSL.
• V SSSD (System Security Services Daemon) byla poskytnuta možnost povolit a nastavit bezheslovou autentizaci s využitím biometrických senzorů podporujících specifikaci FIDO2, jako jsou zařízení YubiKey.
• Byla přidána experimentální příkaz „podman build farm“ pro tvorbu obrazů kontejnerů najednou pro více architektur. Do Podman byla přidána plná podpora backendu založeného na SQLite a umožněno využití modulů containers.conf pro selektivní načítání nastavení. V Containerfile jsou povoleny vícerozměrné příkazy HereDoc. Byl vyhlášen zastaralým síťový stack CNI (Container Network Interface). Pomocí příkazu „podman machine“ byla implementována možnost přesměrování USB zařízení do virtuálních strojů QEMU.
• V IdM (Identity Management) byla poskytnuta možnost povolit povinnou dvoufaktorovou autentifikaci LDAP klientů pomocí jednorázových hesel (OTP). API IdM bylo stabilizováno, dříve prezentované jako experimentální. Do 389 Directory Server byla přidána podpora protokolu HAProxy, což umožňuje správné určování IP adres klientů připojujících se přes proxy.
• Ve sběračích obrazů RHEL byla poskytnuta možnost určení libovolných bodů připojení a vytváření různých režimů rozdělení na oddíly (auto-lvm, lvm, raw).
• Až do verze 1.0.0 byla aktualizována implementace protokolu synce4l, který poskytuje podporu technologie synchronizace frekvence SyncE (Synchronous Ethernet), podporované v některých síťových kartách a přepínačích, a umožňuje zvýšit efektivitu výměny dat v aplikacích RAN (Radio Access Network) díky přesnější synchronizaci času. Byla přidána podpora jádrem poskytovaného rozhraní DPLL (Digital Phase Locked Loop).
• Do pod systému nftables byla přesunuta možnost kontroly polí interních hlaviček paketů přenášených skrz tunely. Do utilit nft byla přidána možnost využít příkaz „nft reset“ pro obnovení stavů pravidel nftables, jako jsou počítadla paketů a hodnoty kvót. V firewalld bylo přerušeno odstraňování pravidel přidaných přes iptables, pokud je v firewalld používán backend nftables a nejsou přítomna pravidla vytvořená s volbou „—direct“.
• Do utilitiy ss, která je součástí balíku iproute2, byla přidána možnost „—bound-inactive“ pro zobrazení neaktivních síťových socketů TCP, které jsou připojené k IP adresu a síťovému portu (byl proveden příkaz bind), ale nejsou spojena (příkaz connect) nebo nejsou převedena do režimu čekání na spojení (příkaz listen).
• V NetworkManager byla přidána možnost měnit počet kanálů (řad paketů připojených k obsluhám přerušení) pro síťové rozhraní a nastavit režim SwitchDev, který umožňuje delegovat operace přesměrování rámců a zpracování síťových paketů specializovaným hardwarovým čipům. Byla přidána podpora síťových rozhraní MACsec. Pro bezdrátová spojení byla poskytnuta možnost přiřadit samostatnou trvalou MAC adresu (režim stable-ssid).
• V Nmstate bylo zajištěno vytvoření YAML souboru pro návrat k předchozímu stavu nastavení. Pro správu priorit v agregovaných síťových rozhraních (bond) byla přidána vlastnost priority. Byly přidány další atributy pro VLAN: registration-protocol, mvrp, reorder-headers a loose-binding. Byla poskytnuta možnost nastavení VLAN tagů na síťových zařízeních s podporou SR-IOV (Single Root I/O Virtualization).
• Byl vrácen modul jádra s implementací algoritmu kontroly přetížení TCP Illinois, který v průměru umožňuje dosáhnout větší propustnosti a spravedlivějšího rozdělení zdrojů.
• Byly rozšířeny možnosti utilit rteval, rtla a cyclicdeadline. Do rteval byla přidána možnost používání prefixů „+“ a „-“ pro připojení a odpojení jader CPU ze seznamu sledovaných jader (measurement-cpulist). Utilita rtla byla aktualizována na verzi odpovídající jádru Linux 6.6. Byla přidána možnost „rtla -C“ pro připojení k proudům dalších cgroup. Do utilitky cyclicdeadline byla přidána možnost vizualizace zpoždění ve formě histogramu.
• Byla přidána možnost nastavit maximální velikost FS při dynamickém zvyšování velikosti FS službou stratisd, což umožňuje vyhnout se poklesu výkonu po nekontrolovaném zvýšení velikosti XFS.
• Do utilitky lvconvert byla přidána podpora konverze standardních logických objemů (LV) na variantu, která umožňuje dynamické přidělování místa ve skladu (thin provisioning).
• Do multipathd byla přidána podpora zpracování událostí FPIN-Li (Fabric Performance Impact Notification) pro optimalizaci přístupu k uložištím NVMe. Do sekce výchozích nastavení v multipath.conf byly přidány parametry max_retries a auto_resize. Pro Device-mapper-multipath byly přidány nastavení pro použití pole HPE Alletra 9000 NVMeFC a podporu režimu ANA (Asymmetric Namespace Access) v NVMeoFC.
• Byla převedena možnost nahrávání s adaptéry NVMe/FC (Non-volatile Memory Express (NVMe) přes Fibre Channel) do kategorie stabilních.
• V webové konzole bylo zjednodušeno ovládání úložišť a změna velikosti oddílů. Byla přidána podpora generování shell skriptů a scénářů Ansible pro konfiguraci kdump. V sekci Virtuální stroje byla implementována možnost přidání veřejných klíčů SSH a připojení již naformátovaných blokových zařízení. Pro připojení k virtuálním strojům byl místo protokolu SPICE použit VNC.
• Byly přidány nové systémové role pro spuštění, správu a konfiguraci fapolicyd a Microsoft SQL Server 2022. Byla přidána role snapshot pro vytváření a správu snapshotů LVM. Do role sshd byla přidána možnost ověřování pomocí certifikátů.
• Byla stabilizována podpora virtualizace na systémech ARM64 s hypervizorem KVM.
• Byla přidána podpora migrace virtuálních strojů v režimu Multi-FD (více popisovačů souborů), kde při přesunu virtuálního stroje se nastavuje několik paralelních spojení, což umožňuje zrychlení přenosu dat při vysokorychlostním síťovém připojení (20 Gbps a více).
• Byl zvýšen výkon live migrace v režimu Postcopy, při kterém se virtuální prostředí spouští téměř okamžitě, a všechna chybějící data se načítají při přístupu k nekopírovaným stránkám paměti.
• Byla přidána utilita toolbx, která umožňuje spustit další izolované prostředí, které lze uspořádat libovolným způsobem pomocí běžného správce balíčků DNF a používat pro instalaci experimentálních balíků bez vlivu na hlavní systém.
• Byla přidána podpora parametrů příkazového řádku jádra Linux: accept_memory, ia32_emulation, arm64.nomops, cgroup_favordynmods, early_page_ext, fw_devlink.sync_state, kunit.enable, mtrr=debug, rcupdate.rcu_cpu_stall_cputime, rcupdate.rcu_exp_stall_task_details, spec_rstack_overflow a workqueue.unbound_cpus.
• Byly přidány nové parametry sysctl: io_uring_group a numa_balancing_promote_rate_limit_MBps.
• Použití mechanismu io_uring je ve výchozím nastavení zakázáno pro všechny procesy (sysctl io_uring_disabled=2).
• Byla rozšířena podpora hardwaru. Byly přidány ovladače pro podporu technologií Intel QuickAssist Technology, Intel TPMI, Intel Uncore Frequency, AMD HSMP, AMD XCP, AMD Platform Management a Mellanox PMC. Byl přidán ovladač octeon_ep pro řadiče Marvell Octeon PCIe Endpoint Network Interface Controller.
• Pokračovalo se v poskytování experimentální (Technology Preview) podpory:
  • VPN WireGuard,
  • kTLS (TLS na úrovni jádra),
  • rozhraní asynchronního vstupu/výstupu io_uring,
  • DAX (Direct Access) pro ext4 a XFS,
  • AMD SEV a SEV-ES v hypervizoru KVM,
  • služby systemd-resolved.
  • mechanismu Sigstore pro ověřování kontejnerů pomocí digitálních podpisů,
  • protokolů PRP (Parallel Redundancy Protocol) a HSR (High-availability Seamless Redundancy),
  • hardwarové akcelerace IPsec přes přesun operací enkapsulace paketů na stranu síťové karty,
  • protokolu pro správu certifikátů ACME využívaného v Let’s Encrypt,
  • SRv6 (Segment Routing over IPv6,
  • balíčku s grafickým editorem GIMP 2.99.8,
  • nastavení MPTCP (Multipath TCP) přes NetworkManager,
  • DNSSEC v IdM,
  • virtio-mem,
  • Socket API pro TuneD,
  • Soft-iWARP (Internet Wide-area RDMA Protocol),
  • GNOME pro ARM64 a IBM Z.

Zdroj: opennet.ru