Udgivelsen af Red Hat Enterprise Linux 9.3-distributionen

Red Hat har offentliggjort en opdatering af distribuerede Red Hat Enterprise Linux 9.3 (den nye version blev annonceret i sidste uge, men release-noterne blev først offentliggjort i går, og tidligere var der et tegn på beta-versionen på hjemmesiden). Opdateringen af den tidligere version RHEL 8.9 forventes den 15. november. Færdige installationsbilleder er tilgængelige for registrerede brugere af Red Hat Customer Portal (der kan også bruges iso-billeder fra CentOS Stream 9 og gratis versioner af RHEL til udviklere til at vurdere funktionerne). Udgivelsen er lavet til arkitekturerne x86_64, s390x (IBM System z), ppc64le og Aarch64 (ARM64).

RHEL 9-grenen udvikler sig med en mere åben udviklingsproces og bruger CentOS Stream 9 som basis. CentOS Stream positionerer sig som et upstream-projekt for RHEL, hvilket giver eksterne deltagere mulighed for at kontrollere forberedelsen af pakker til RHEL, foreslå deres ændringer og påvirke de beslutninger, der træffes. I overensstemmelse med supportcyklussen på 10 år vil RHEL 9 blive understøttet indtil 2032.

RHEL 9.3 er den første udgivelse, hvis kildefiler til rpm-pakker ikke findes i det offentlige repository git.centos.org, og som kun gives til kundene gennem et lukket område på hjemmesiden, hvor der gælder en brugeraftale (EULA), der forbyder redistribuering af data, hvilket forhindrer brugen af disse pakker til at skabe afledte distributioner. Kildekoderne er stadig tilgængelige i CentOS Stream-repositoriet, men de er ikke helt synkroniseret med RHEL, og de nyeste versioner af pakkerne stemmer ikke altid overens med pakkerne fra RHEL. Rocky Linux, Oracle og SUSE har samlet deres kræfter og reproducerer nu kildefilerne til rpm-pakkerne fra RHEL-versionerne inden for projektet OpenELA.

Nøgleændringer i RHEL 9.3:

• Der er inkluderet nye versioner af compilere og værktøjer til udviklere: GCC Toolset 13, LLVM Toolset 16.0.6, Rust Toolset 1.71.1, Go Toolset 1.20.10, GCC 11.4.1 (systemkompilator), Redis 7, Node.js 20, java-21-openjdk (java-17-openjdk, java-11-openjdk og java-1.8.0-openjdk leveres også fortsat), Valgrind 3.21, SystemTap 4.9, elfutils 0.189, PCP 6.0.5, Grafana 9.2.10.
• Server- og systempakker er blevet opdateret: samba 4.18.6, iproute 6.2.0, Apache httpd 2.4.57 (+ tilføjet mod_authnz_fcgi-modulet), SEtools 4.4.3, OpenSCAP 1.3.8, opencryptoki 3.21.0, NetworkManager 1.44, xdp-tools 1.4.0, perf 6.2, dmpd 1.0.2, nvme-cli 2.4, Pacemaker 2.1.6, 389-ds-base 2.3.4.
• Der er tilføjet kommandoen «reboot» til DNF-pakken, der muliggør automatisk genstart efter opdateringen. Følgende tilstande er tilgængelige: «never» (standard) — uden genstart, «when-changed» — genstart efter enhver opdatering (dnf upgrade) og «when-needed» — genstart, kun hvis de installerede ændringer kræver det (f.eks. efter installation af en kernel- eller systemd-opdatering). For at slukke i stedet for at genstarte er der en parameter «—poweroff».
• DNF har fået nye plugins: "dnf leaves" til at vise alle installerede pakker, der ikke er afhængigheder for andre pakker; "show-leaves" til at vise nyligt installerede lignende pakker eller pakker, der ikke længere bruges som afhængigheder efter transaktionen.
• Overførslerne fra den nye version af Linux-kernen inkluderer implementeringer af SCTP (Stream Control Transmission Protocol) og MPTCP (Multipath TCP) protokoller.
• Platformen ARM64 har fået fuld support for kameraer med USB-interface, trådløse adaptere (Wi-Fi) og Bluetooth.
• Der er blevet tilføjet fuld support for diskrete grafikkort Intel Arc A-Series (Alchemist eller DG2).
• Implementeringen af eBPF-underopgaven er synkroniseret med Linux-kernen 6.3.
• Stratis-værktøjet er blevet tilføjet til administration af lokale lagerenheder, hvilket giver funktioner som dynamisk tildeling af lagerplads, snapshots, sikring af integritet og oprettelse af lag til caching.
• Der er blevet foretaget ændringer i systemd-udevd, der gør det muligt at tildele uforanderlige navne til InfiniBand-netværksgrænseflader.
• I Postfix er muligheden for at kontrollere DNS SRV-poster blevet implementeret for at bestemme værten og porten til e-mailserveren, der skal anvendes til overførsel af meddelelser. Denne funktion kan bruges i infrastrukturer, der anvender tjenester med dynamisk tildelte netværksportnumre til levering af e-mails.
• Pakke cups-filters har fået en LF-to-CRLF-driver tilføjet, som kan bruges til at konvertere tegnene "\n" (line feed) til "\r\n" (carriage return og line feed) for printere, der kun understøtter filer med slutningen "\r\n".
• I FUSE3 er muligheden for at annullere et katalogelement uden automatisk at afmontere de monteringspunkter, der er relateret til dette element, blevet tilføjet.
• NetworkManager har fået support for indstillingen "no-aaaa" i resolv.conf, der deaktiverer afsendelse af DNS-anmodninger til AAAA-poster (IPv6 adresseopslag via værtens navn). Der er tilføjet support til indstillingen "lacp_active" for at styre behandlingen af LACPDU (Link Aggregation Control Protocol Data Units). NetworkManager genstarter efter genstart af dbus-servicen. Der gives en meddelelse, hvis der anvendes gamle konfigurationsfiler ifcfg til forbindelsesprofiler. Der er tilføjet support for egenskaberne: link.tx-queue-length, link.gro-max-size, link.gso-max-segments og link.gso-max-size.
• For the same network interface in NetworkManager, both static and dynamic (DHCP) settings are allowed. For example, using the nmstate utility, a static address can be set for an interface that has DHCP support enabled. In nmstate, it is allowed to bind settings to the network interface by MAC address instead of the interface name.
• Extended hardware support. Added support for ARM64 CPU NVIDIA Grace. The Intel QAT driver, supporting Intel Quick Assist Technology 401xx/402xx devices, has been backported from the Linux kernel 6.2.
• To protect against Spectre v2 attacks related to speculative instruction execution, the AutoIBRS (Automatic Indirect Branch Restricted Speculation) mode has been added, supported in AMD CPUs starting from the EPYC 9004 Genoa family.
• For containers, the possibility of using virtual chips for storing cryptographic keys (vTPM) based on a shared physical TPM (Trusted Platform Module) has been provided.
• LVM has added support for logical vmcore partitions for kernel dumps created by the kdump subsystem.
• An option 'inst.wait_for_disks' has been added to the installation builds, specifying the waiting time for loading the kickstart file or the readiness of drivers during boot.
• In the installer, when installing on ARM systems, an option to select the kernel variant to be installed (e.g., with 64 KB memory pages) has been provided. The package s390utils-base has been removed from the minimal installation mode, leaving only s390utils-core.
• In the RHEL image builder, the capability to generate files in OVA format for VMware vSphere has been added.
• New options '--ipv4-dns-search' and '--ipv6-dns-search' have been added to the network command in kickstart files to specify base domains for the 'search' directive in /etc/resolv.conf, as well as options '--ipv4-ignore-auto-dns' and '--ipv6-ignore-auto-dns' to ignore obtaining DNS settings via DHCP.
• Improved support for the TLS EMS extension (Extended Master Secret, RFC 7627), necessary to ensure compliance with FIPS-140-3 requirements in TLS 1.2 based connections.
• In OpenSSH, the process of phasing out the use of SHA-1 hash-based algorithms in favor of SHA-2 has begun. serveren If SHA-1-based keys are absent in sshd, only SHA-2 will be used for host key confirmation, which may lead to incompatibility with RHEL 8 clients and older releases.
• OpenSSL har fået tilføjet support til konfiguration af parametre for de sikre elliptiske kurver Brainpool og implementeret beskyttelse mod tidsmålingangreb på RSA-afkodning ved hjælp af Bloyhenbach-metoden.
• RPCSEC GSS Kerberos V5 har fået tilføjet understøttelse af krypteringsmetoderne camellia128-cts-cmac, camellia256-cts-cmac, aes128-cts-hmac-sha256-128 og aes256-cts-hmac-sha384-192.
• Auditværktøjet har fået tilføjet support til FANOTIFY-begivenheder og implementeret logføring af felterne fan_type (begivenhedstype), fan_info (relaterede oplysninger), sub_trust og obj_trust (tillidsniveauer for subjektet og objektet for begivenheden). I fapolicyd-tjenesten er der tilføjet en overførsel af regelnumre for afviste API-anmodninger for at lette fejlfinding.
• Der er tilføjet en systemrolle for keylime-værktøjer, der forenkler opsætningen af registratoren og verifikatoren Keylime, som bruges til autentificering og løbende overvågning af integriteten af eksterne systemer. For eksempel kan autentifikationen af Edge- og IoT-enheder, der befinder sig i usikrede områder, verificeres. Den nye version af keylime 7.3 er taget i brug.
• Der er tilføjet en systemrolle til at administrere systemd-enheder og deres installation. Der er tilføjet en systemrolle til installation, konfiguration, administration og opstart af PostgreSQL-databasesystemet. Systemrollen for firewall har fået tilføjet support til at definere, ændre og slette ipsets.
• I SELinux er der tilføjet en mulighed virt_qemu_ga_run_unconfined, som tillader qemu-ga-processen (QEMU Guest Agent) at udføre kommandoer som mount i en usikret tilstand (unconfined_t domæne), som oprindeligt var begrænset af SELinux. SELinux-politikker er tilføjet for at beskytte tjenesterne qat, systemd-pstore, boothd, fdo-manufacturing-server, fdo-rendezvous-server, fdo-client-linuxapp og fdo-owner-onboarding-server.
• Der er tilføjet support for virtualisering på 4. generation af Intel Xeon Scalable processorer (Sapphire Rapids), hvilket muliggør brug af CPU-modellen SapphireRapids i virtuelle maskiner og udnyttelse af de avancerede virtualiseringsmuligheder, der findes i disse processorer.
• Podman har fået tilføjet support for containere, der er komprimeret ved hjælp af zstd-algoritmen. Der er mulighed for at bruge Quadlets til automatisk generering af systemd-tjenester fra containerbeskrivelser. En podmansh-skall er blevet tilføjet, som kan bruges i stedet for /usr/bin/bash til at starte en brugersession i containeren. Versionerne af Podman, Buildah, Skopeo, crun og runc er blevet opdateret.
• Der er tilføjet nye parametre til kernelens kommandolinje:
  • amd_pstate til styring af AMD CPU's strømmodes;
  • arm64.nosve til deaktivering af SVE (Scalable Vector Extension);
  • arm64.nosme til deaktivering af SME (Scalable Matrix Extension);
  • gather_data_sampling til styring af beskyttelsesmodus mod GDS angreb (Gather Data Sampling eller Downfall);
  • nospectre_bhb til deaktivering af Spectre-BHB beskyttelse;
  • trace_clock til indstilling af tidsur til sporingsbegivenheder.
• Udvidet funktionalitet for klynger og fejlbehæftede systemer: LVM-activate agenten har fået support til failover af partionsgrupper uden fysiske partitioner. Cluster resource agenterne IPaddr2 og IPsrcaddr har fået support til policy routing. I ocf:heartbeat:Filesystem agenten er der tilføjet support til EFS (Amazon Elastic File System).
• Nye containerbilleder med FDO (FIDO Device Onboard) indstillinger er blevet tilføjet: fdo-manufacturing-server, fdo-owner-onboarding-server, fdo-rendezvous-server og fdo-serviceinfo-api-server. Der er også tilføjet et nyt containerbillede rhel9/squid med Squid proxy-server. I 'RHEL for Edge' udgaven er supporten for nye billedtyper 'minimal-raw', 'edge-vsphere' (*.vmdk) og 'edge-ami' (*.ami) blevet implementeret.
• I AMI-billederne til AWS EC2 cloud-miljøer er støtte for boot i UEFI-tilstand blevet tilføjet.
• For arbejde med smartkort og USB-token CCID (Chip Card Interface Device) samt ICCD (Integrated Circuit Card Device) er der anvendt en ny version af driveren pcsc-lite-ccid 1.5.2, hvor problemer med Alcor Micro AU9560-controlleren er blevet løst, og support til nye smartkortlæsere er blevet tilføjet.
• Pakkerne initial-setup og pmdk (Persistent Memory Development Kit) er blevet erklæret forældede.
• Eksperimentel support til PRP (Parallel Redundancy Protocol) og HSR (High-availability Seamless Redundancy) er blevet tilføjet.
• Der er tilføjet eksperimentel mulighed for hardwareaccelerering af IPsec ved at flytte indkapslingsoperationer til netværkskortet.
• Eksperimentel support for SRv6 (Segment Routing over IPv6) er blevet tilføjet.
• Den eksperimentelle implementering af kTLS (TLS på kernel niveau) er blevet synkroniseret med version 6.3. Der er tilføjet support til anvendelse af kTLS til accelerering af GnuTLS.
• Der er tilføjet eksperimentel support for asynkront I/O interface io_uring, som er bemærkelsesværdigt for sin support til polling af I/O og muligheden for at arbejde både med og uden buffering. I io_uring API'en har kerneudviklerne forsøgt at afhjælpe manglerne ved det gamle aio interface. Med hensyn til ydeevne er io_uring meget tæt på SPDK og overgår betydeligt libaio når polling er aktiveret.
• I IdM (Identity Management) er der tilføjet eksperimentel support for ACME-protokollen (Automated Certificate Management Environment), der anvendes i certifikatmyndigheden Let’s Encrypt.
• I Podman er der tilføjet en eksperimentel mulighed for at bruge en SQLite-baseret lagringsbackend (i stedet for BoltDB).
• Den eksperimentelle (Technology Preview) støtte fortsætter:
• VPN WireGuard,
• Intel SGX (Software Guard Extensions),
• Intel IDXD (Data Streaming Accelerator),
• DAX (Direct Access) for ext4 og XFS,
• AMD SEV og SEV-ES i KVM-hypervisoren,
• systemd-resolved-tjenesten,
• Sigstore-mekanismen til validering af containere baseret på digitale signaturer,
• package with the GIMP graphic editor 2.99.8,
• MPTCP (Multipath TCP) settings through NetworkManager,
• DNSSEC in IdM,
• virtio-mem,
• hypervisor KVM til ARM64,
• installationer på NVMe over Fibre Channel,
• Socket API for TuneD,
• Soft-iWARP (Internet Wide-area RDMA Protocol),
• GNOME for ARM64 and IBM Z.

Kilde: opennet.ru