Udgivelse af Red Hat Enterprise Linux 9.1 distributionen

Red Hat har udgivet en version af distributionssystemet Red Hat Enterprise Linux 9.1. De færdige installationsbilleder er tilgængelige for registrerede brugere af Red Hat Customer Portal (ISO-billeder fra CentOS Stream 9 kan også bruges til at vurdere funktionaliteten). Udgivelsen er lavet til arkitekturerne x86_64, s390x (IBM System z), ppc64le og Aarch64 (ARM64). Kildekoderne til RPM-pakkerne for Red Hat Enterprise Linux 9 findes i Git-repositoriet CentOS.

RHEL 9-grenen udvikles med en mere åben udviklingsproces og bruger CentOS Stream 9 som basis. CentOS Stream præsenteres som et upstream-projekt for RHEL, hvilket giver tredjeparts deltagere muligheden for at kontrollere forberedelsen af pakker til RHEL, foreslå ændringer og påvirke de beslutninger, der træffes. I overensstemmelse med den 10-årige supportcyklus for distributionssystemet vil RHEL 9 blive understøttet indtil 2032.

Nøgleændringer:

• Server- og systempakkerne er opdateret: firewalld 1.1.1, chrony 4.2, unbound 1.16.2, frr 8.2.2, Apache httpd 2.4.53, opencryptoki 3.18.0, powerpc-utils 1.3.10, libvpd 2.2.9, lsvpd 1.7.14, ppc64-diag 2.7, PCP 5.3.7, Grafana 7.5.13, samba 4.16.1.
• Sammensætningen inkluderer nye versioner af compilerne og værktøjer til udviklere: GCC 11.2.1, GCC Toolset 12, LLVM Toolset 14.0.6, binutils 2.35.2, PHP 8.1, Ruby 3.1, Node.js 18, Rust Toolset 1.62, Go Toolset 1.18.2, Maven 3.8, java-17-openjdk (java-11-openjdk og java-1.8.0-openjdk fortsætter også med at være tilgængelige), .NET 7.0, GDB 10.2, Valgrind 3.19, SystemTap 4.7, Dyninst 12.1.0, elfutils 0.187.
• For eBPF (Berkeley Packet Filter) subsystemet er der blevet implementeret forbedringer fra Linux-kernene 5.15 og 5.16. For eksempel er der blevet introduceret muligheden for at anmode om og behandle timer-hændelser for BPF-programmer, muligheden for at hente og indstille socket-indstillinger for setsockopt, understøttelse af kald til kernelmodulfunktioner, foreslået en probabilistisk datalagringsstruktur (BPF map) bloom filter, og der er blevet tilføjet muligheden for at knytte tags til funktionsparametre.
• Sættet af patches til realtidsystemer, anvendt i kernel-rt, er blevet opdateret til at matche kernel 5.15-rt.
• Implementeringen af MPTCP (MultiPath TCP)-protokollen, der bruges til at organisere TCP-forbindelser med levering af pakker over flere ruter via forskellige netværksinterfaces, er blevet opdateret. Ændringerne er blevet overført fra Linux-kernel 5.19 (for eksempel er der tilføjet støtte til at nedgradere MPTCP-forbindelser til almindelig TCP og et API til styring af MPTCP-strømme fra brugerrummet).
• På systemer med 64-bit ARM, AMD og Intel-processorer er muligheden for at ændre Real-Time tilstande i kernen blevet tilgængelig under kørsel ved at skrive tilstanden i filen "/sys/kernel/debug/sched/preempt" eller ved opstart via kerneparameteren "preempt=" (tilstande såsom none, voluntary og full understøttes).
• GRUB-bootsystemindstillingerne er ændret for at skjule bootmenuen som standard; menuen vises, hvis den forrige opstart mislykkedes. For at vise menuen under opstart kan du holde Shift-tasten nede eller trykke på Esc eller F8 tasterne. For at deaktivere skjul funktionen kan du bruge kommandoen "grub2-editenv — unset menu_auto_hide".
• PTP (Precision Time Protocol) driveren har fået tilføjet støtte til oprettelse af virtuelle hardwareklokker (PHC, PTP Hardware Clocks).
• Der er tilføjet en kommando modulesync, der indlæser RPM-pakker fra moduler og opretter et repository med metadata i arbejdsbiblioteket, som er nødvendige for installation af modulpakker.
• I tuned, en service til overvågning af systemtilstand og optimering af profiler for maksimal ydeevne under hensyntagen til den aktuelle belastning, er det nu muligt at bruge pakken tuned-profiles-realtime til isolering af CPU-kerner og til at give applikationstråde alle tilgængelige ressourcer.
• I NetworkManager er oversættelsen af forbindelsesprofiler fra ifcfg-indstillingsformatet (/etc/sysconfig/network-scripts/ifcfg-*) til keyfile-baseret format blevet implementeret. For at migrere profiler kan kommandoen "nmcli connection migrate" bruges.
• SELinux-værktøjet er blevet opdateret til version 3.4, hvor ydeevnen ved geninstallation af mærker (relabel) er forbedret ved at parallelisere operationer, og semodule-værktøjet har fået tilføjet optionen "-m" ("—checksum") for at få SHA256-hash af moduler, mcstrans er blevet overført til PCRE2-biblioteket. Nye værktøjer til politikker er blevet tilføjet: sepol_check_access, sepol_compute_av, sepol_compute_member, sepol_compute_relabel, sepol_validate_transition. Der er også blevet tilføjet SELinux-politikker til beskyttelse af tjenesterne ksm, nm-priv-helper, rhcd, stalld, systemd-network-generator, targetclid og wg-quick.
• Muligheden for at bruge Clevis-klienten (clevis-luks-systemd) til automatisk at låse diskpartitioner, der er krypteret med LUKS og monteres på et senere tidspunkt under opstart, er blevet tilføjet, uden behov for at bruge kommandoen "systemctl enable clevis-luks-askpass.path".
• Funktionaliteten i værktøjet til forberedelse af systembilleder er blevet udvidet, med støtte til at uploade billeder til GCP (Google Cloud Platform), gemme billedet direkte i containerregisteret, justere størrelsen på partitionen /boot og tilpasse indstillingerne (Blueprint) under dannelsen af billedet (for eksempel tilføjelse af pakker og oprettelse af brugere).
• Der er tilføjet et værktøj kaldet keylime til attestation (bekræftelse af autenticitet og kontinuerlig overvågning af integritet) af eksterne systemer ved hjælp af TPM-teknologi (Trusted Platform Module), for eksempel for at bekræfte autenticiteten af Edge- og IoT-enheder, der findes på ukontrollerede steder, hvor uautoriseret adgang er muligt.
• I udgaven 'RHEL for Edge' er der mulighed for at bruge værktøjet fdo-admin til at konfigurere FDO-tjenester (FIDO Device Onboard) og oprette certifikater og nøgler til dem.
• I SSSD (System Security Services Daemon) er der tilføjet støtte til caching af SID-forespørgsler (for eksempel tjek af GID/UID) i RAM, hvilket har gjort operationer med kopiering af et stort antal filer via Samba-serveren hurtigere. Der er opnået støtte til integration med Windows Server 2022.
• I OpenSSH er den minimale størrelse på RSA-nøgler nu begrænset til 2048 bits som standard, og i NSS-bibliotekerne er understøttelsen af RSA-nøgler, der er mindre end 1023 bits, blevet ophævet. For at konfigurere egne begrænsninger i OpenSSH er parameteren RequiredRSASize blevet tilføjet. Der er tilføjet støtte til nøgleudvekslingsmetoden sntrup761x25519-sha512@openssh.com, som er modstandsdygtig over for angreb fra kvantecomputere.
• Der er tilføjet mulighed for at udføre vilkårlige kommandoer før og efter genoprettelsen i værktøjet ReaR (Relax-and-Recover).
• I driveren til Intel E800 Ethernet-adaptere er der implementeret understøttelse af iWARP- og RoCE-protokoller.
• Der er tilføjet en ny pakke, httpd-core, som indeholder det grundlæggende sæt af Apache httpd-komponenter, der er nødvendige for at køre en HTTP-server og relateret til et minimum af afhængigheder. Den eksisterende httpd-pakke har fået tilføjet yderligere moduler, såsom mod_systemd og mod_brotli, samt inkluderet dokumentation.
• Der er tilføjet en ny pakke xmlstarlet, som inkluderer værktøjer til parsing, transformation, validering, dataudtræk og redigering af XML-filer, svarende til grep, sed, awk, diff, patch og join, men ikke til tekstfiler, kun til XML.
• Mulighederne for systemroller er blevet udvidet, for eksempel er der tilføjet support til konfiguration af routeregler og brug af API nmstate i netværksrollen, tilføjet support til filtrering med regulære udtryk (startmsg.regex, endmsg.regex) i loggingrollen, tilføjet support til partitioner, der tildeles dynamisk plads i lageret ("thin provisioning") i storage-rollen, mulighed for styring via /etc/ssh/sshd_config i sshd-rollen, eksport af statistik om Postfix-ydeevne i metrics-rollen, og i firewall-rollen er muligheden for at skrive tidligere konfigurationer om implementeret samt støtte til at tilføje, opdatere og slette tjenester afhængigt af tilstanden.
• Værktøjerne til administration af isolerede containere er blevet opdateret, og omfatter pakker som Podman, Buildah, Skopeo, crun og runc. Understøttelse af GitLab Runner i containere med runtime Podman er blevet tilføjet. Til konfiguration af containerens netværkssystem er der tilført værktøjet netavark og DNS-serveren Aardvark.
• I mdevctl er der tilføjet support til ap-check kommandoen til konfiguration af viderekobling til virtuelle maskiner adgang til kryptoakseleratorer.
• En forhåndsvisning (Technology Preview) af muligheden for brugerautentifikation ved hjælp af eksterne udbydere (IdP, identity provider), der understøtter udvidelsen af OAuth 2.0 protokollen "Device Authorization Grant" til at levere OAuth-adgangstokens til enheder uden brug af en browser, er blevet tilføjet.
• Til GNOME-sessionen baseret på Wayland er der lavet versioner af Firefox, der bruger Wayland. Versioner baseret på X11, der køres i Wayland-miljøet ved hjælp af komponenten XWayland, er blevet flyttet til en separat pakke firefox-x11.
• Wayland-sessionen er som standard aktiveret for systemer med Matrox GPU (tidligere blev Wayland ikke brugt med Matrox GPUer på grund af begrænsninger og ydeevneproblemer, som nu er løst).
• Understøttelse af GPU'er integreret i Intel Core 12. generation processorer, inklusive Intel Core i3 12100T — i9 12900KS, Intel Pentium Gold G7400 og G7400T, Intel Celeron G6900 og G6900T, Intel Core i5-12450HX — i9-12950HX og Intel Core i3-1220P — i7-1280P er blevet implementeret. Der er tilføjet support for GPU'er fra AMD Radeon RX 6[345]00 og AMD Ryzen 5/7/9 6[689]00.
• For at styre aktiveringen af sårbarhedsbeskyttelse i MMIO (Memory Mapped Input Output) mekanismen er der implementeret en opstartparameter for kernen kaldet "mmio_stale_data", som kan tage værdierne "full" (aktiverer rensning af buffere, når der skiftes til brugerens rum og i VM), "full,nosmt" (som "full" + deaktivering af SMT/Hyper-Threads) og "off" (beskyttelsen er deaktiveret).
• For managing the activation of protection against the Retbleed vulnerability, a boot parameter in the kernel called "retbleed" has been implemented, through which you can disable protection ("off") or select the blocking algorithm for the vulnerability (auto, nosmt, ibpb, unret).
• The kernel boot parameter acpi_sleep has been enhanced with support for new options for managing sleep transitions: s3_bios, s3_mode, s3_beep, s4_hwsig, s4_nohwsig, old_ordering, nonvs, sci_force_enable, and nobl.
• A large batch of new drivers for network devices, storage systems, and graphics chips has been added.
• The experimental (Technology Preview) support for KTLS (TLS implementation at the kernel level) continues. VPN WireGuard, Intel SGX (Software Guard Extensions), Intel IDXD (Data Streaming Accelerator), DAX (Direct Access) for ext4 and XFS, AMD SEV and SEV-ES in the KVM hypervisor, systemd-resolved service, Stratis storage manager, Sigstore for verifying containers with digital signatures, GIMP 2.99.8 graphical editor package, MPTCP (Multipath TCP) settings via NetworkManager, ACME (Automated Certificate Management Environment) server, virtio-mem, KVM hypervisor for ARM64.
• The GTK 2 toolkit and related packages adwaita-gtk2-theme, gnome-common, gtk2, gtk2-immodules, and hexchat have been deprecated. The X.org Server has also been deprecated (the GNOME session based on Wayland is the default in RHEL 9), which is planned to be removed in the next major branch of RHEL, although it will retain the capability to run X11 applications from the Wayland session via the DDX server XWayland.

Kilde: opennet.ru