Das Unternehmen Red Hat hat die Veröffentlichung der Distribution Red Hat Enterprise Linux 9.1 bekannt gegeben. Fertige Installationsabbilder sind für registrierte Benutzer des Red Hat Customer Portals verfügbar (auch die ISO-Abbilder von CentOS Stream 9 können zur Evaluierung der Funktionalität verwendet werden). Der Release wurde für die Architekturen x86_64, s390x (IBM System z), ppc64le und Aarch64 (ARM64) erstellt. Die Quelltexte der RPM-Pakete von Red Hat Enterprise Linux 9 sind im Git-Repository von CentOS veröffentlicht.
Der Branch RHEL 9 entwickelt sich mit einem offeneren Entwicklungsprozess und nutzt als Basis die Paketbasis von CentOS Stream 9. CentOS Stream wird als upstream-Projekt für RHEL positioniert, das externen Beteiligten die Möglichkeit gibt, die Vorbereitung von Paketen für RHEL zu kontrollieren, eigene Änderungen vorzuschlagen und Einfluss auf die getroffenen Entscheidungen zu nehmen. Entsprechend dem 10-jährigen Unterstützungzyklus wird RHEL 9 bis 2032 unterstützt.
Wesentliche Änderungen:
- Die Server- und Systempakete wurden aktualisiert: firewalld 1.1.1, chrony 4.2, unbound 1.16.2, frr 8.2.2, Apache httpd 2.4.53, opencryptoki 3.18.0, powerpc-utils 1.3.10, libvpd 2.2.9, lsvpd 1.7.14, ppc64-diag 2.7, PCP 5.3.7, Grafana 7.5.13, samba 4.16.1.
- Enthalten sind neue Versionen von Compilern und Entwicklerwerkzeugen: GCC 11.2.1, GCC Toolset 12, LLVM Toolset 14.0.6, binutils 2.35.2, PHP 8.1, Ruby 3.1, Node.js 18, Rust Toolset 1.62, Go Toolset 1.18.2, Maven 3.8, java-17-openjdk (java-11-openjdk und java-1.8.0-openjdk werden weiterhin geliefert), .NET 7.0, GDB 10.2, Valgrind 3.19, SystemTap 4.7, Dyninst 12.1.0, elfutils 0.187.
- Die eBPF-Subsystem (Berkeley Packet Filter) hat Verbesserungen übernommen, die in den Linux-Kernen 5.15 und 5.16 implementiert wurden. Zum Beispiel wurde für BPF-Programme die Möglichkeit zur Anforderung und Verarbeitung von Timerereignissen sowie die Möglichkeit, Socket-Optionen für setsockopt abzurufen und festzulegen, hinzugefügt. Zudem wird die Unterstützung für das Aufrufen von Funktionen von Kernelmodulen angeboten und eine probabilistische Datenstruktur (BPF map) mit Bloom Filter eingeführt, um Tags an Funktionsparametern zu binden.
- Das Patch-Set für Echtzeitsysteme, das im Kernel kernel-rt verwendet wird, wurde auf den Stand des Kernels 5.15-rt aktualisiert.
- Die Implementierung des MPTCP-Protokolls (MultiPath TCP), das für die Organisation von TCP-Verbindungen verwendet wird, die Pakete gleichzeitig über mehrere Routen über verschiedene Netzwerkschnittstellen liefern, wurde aktualisiert. Änderungen wurden aus dem Linux-Kernel 5.19 übernommen (zum Beispiel wurde die Unterstützung für die Rückführung von MPTCP-Verbindungen auf normales TCP hinzugefügt und eine API für die Verwaltung von MPTCP-Streams aus dem Benutzerspeicher vorgeschlagen).
- Auf Systemen mit 64-Bit-Prozessoren von ARM, AMD und Intel wurde die Möglichkeit zur Änderung des Real-Time-Modus im Kernel während des Betriebs eingeführt, indem der Modusname in die Datei "/sys/kernel/debug/sched/preempt" geschrieben oder beim Booten über den Kernel-Parameter "preempt=" (unterstützt werden die Modi none, voluntary und full) festgelegt wird.
- Die GRUB-Bootloader-Einstellungen wurden geändert, um das Standard-Startmenü auszublenden; das Menü wird angezeigt, wenn der vorherige Bootvorgang mit einem Fehler endet. Um das Menü während des Bootens anzuzeigen, kann die Shift-Taste gedrückt gehalten oder die Tasten Esc oder F8 mehrmals gedrückt werden. Um das Ausblenden zu deaktivieren, kann der Befehl „grub2-editenv — unset menu_auto_hide“ verwendet werden.
- Im PTP (Precision Time Protocol)-Treiber wurde die Unterstützung für die Erstellung virtueller Hardware-Uhren (PHC, PTP Hardware Clocks) hinzugefügt.
- Der Befehl modulesync wurde hinzugefügt, der RPM-Pakete aus Modulen lädt und ein Repository mit Metadaten im Arbeitsverzeichnis erstellt, das für die Installation von Modul-Paketen erforderlich ist.
- Im tuned-Dienst, der den Systemstatus verfolgt und Profile für eine optimale Leistung unter Berücksichtigung der aktuellen Last optimiert, wurde die Möglichkeit hinzugefügt, das Paket tuned-profiles-realtime zu verwenden, um CPU-Kerne zu isolieren und den Anwendungs-Threads alle verfügbaren Ressourcen bereitzustellen.
- Im NetworkManager wurde die Migration von Verbindungsprofilen aus dem ifcfg-Konfigurationsformat ( /etc/sysconfig/network-scripts/ifcfg-*) in das auf Keyfile basierende Format implementiert. Zur Migration von Profilen kann der Befehl „nmcli connection migrate“ verwendet werden.
- Das SELinux-Toolkit wurde auf Version 3.4 aktualisiert, in der die Leistung der Neuinstallation von Labels (relabel) durch Parallelisierung der Operationen verbessert wurde. Im Tool semodule wurde die Option „-m“ („—checksum“) zur Abrufung von SHA256-Hashes für Module hinzugefügt, und mcstrans wurde auf die Bibliothek PCRE2 portiert. Neue Tools zur Verwaltung von Zugriffspolitiken wurden hinzugefügt: sepol_check_access, sepol_compute_av, sepol_compute_member, sepol_compute_relabel, sepol_validate_transition. Zudem wurden SELinux-Richtlinien zum Schutz der Dienste ksm, nm-priv-helper, rhcd, stalld, systemd-network-generator, targetclid und wg-quick hinzugefügt.
- Es wurde die Möglichkeit geschaffen, den Clevis-Client (clevis-luks-systemd) zur automatischen Entsperrung von Partitionen zu verwenden, die mit LUKS verschlüsselt sind und in einem späteren Bootvorgang eingebunden werden, ohne den Befehl „systemctl enable clevis-luks-askpass.path“ verwenden zu müssen.
- Die Möglichkeiten des Tools zur Erstellung von Systemabbildern wurden erweitert, wobei die Unterstützung für das Laden von Abbildern in GCP (Google Cloud Platform), das direkte Einfügen des Abbilds in das Container-Registry, die Anpassung der Partitionierungsgröße \/boot und die Anpassung der Parameter (Blueprint) während der Erstellung des Abbilds (zum Beispiel das Hinzufügen von Paketen und das Erstellen von Benutzern) hinzugekommen ist.
- Das Dienstprogramm keylime zum Attestieren (Verifizierung der Authentizität und kontinuierliche Überwachung der Integrität) eines externen Systems wurde hinzugefügt, unter Verwendung der TPM-Technologie (Trusted Platform Module), um die Authentizität von Edge- und IoT-Geräten zu bestätigen, die sich an unkontrollierten Orten befinden, wo unbefugter Zugriff möglich ist.
- In der Ausgabe 'RHEL for Edge' wird die Verwendung des Dienstprogramms fdo-admin zur Konfiguration von FDO-Diensten (FIDO Device Onboard) und zur Erstellung von Zertifikaten und Schlüsseln ermöglicht.
- Im SSSD (System Security Services Daemon) wurde die Unterstützung für das Caching von SID-Anfragen (zum Beispiel GID\/UID-Überprüfungen) im Arbeitsspeicher hinzugefügt, was die Vorgänge beim Kopieren einer großen Anzahl von Dateien über den Samba-Server beschleunigt hat. Die Integration mit Windows Server 2022 wurde unterstützt.
- In OpenSSH wurde die Mindestgröße von RSA-Schlüsseln standardmäßig auf 2048 Bit begrenzt, und in den NSS-Bibliotheken wurde die Unterstützung für RSA-Schlüssel mit einer Größe von weniger als 1023 Bit eingestellt. Zur Konfiguration eigener Einschränkungen in OpenSSH wurde der Parameter RequiredRSASize hinzugefügt. Die Unterstützung für den Schlüsselaustausch-Algorithmus sntrup761x25519-sha512@openssh.com, der gegen Angriffe auf Quantencomputern resistent ist, wurde hinzugefügt.
- Im ReaR-Tool (Relax-and-Recover) wurde die Möglichkeit hinzugefügt, beliebige Befehle vor und nach der Wiederherstellung auszuführen.
- Im Treiber für Ethernet-Adapter von Intel E800 wurde die Unterstützung für die Protokolle iWARP und RoCE implementiert.
- Ein neues Paket httpd-core wurde hinzugefügt, in das der grundlegende Satz von Apache httpd-Komponenten verschoben wurde, der ausreicht, um einen HTTP-Server zu betreiben und mit minimalen Abhängigkeiten verbunden ist. Im httpd-Paket wurden zusätzliche Module wie mod_systemd und mod_brotli hinzugefügt sowie die Dokumentation einbezogen.
- Ein neues Paket xmlstarlet wurde hinzugefügt, das Dienstprogramme zum Parsen, Transformieren, Überprüfen, Extrahieren von Daten und Bearbeiten von XML-Dateien enthält, ähnlich wie grep, sed, awk, diff, patch und join, jedoch nicht für Textdateien, sondern für XML.
- Die Möglichkeiten der systemeigenen Rollen wurden erweitert, z.B. wurde in die Rolle network Unterstützung für die Konfiguration von Routing-Regeln und die Verwendung der API nmstate integriert, in die Rolle logging wurde Unterstützung für die Filterung mittels regulärer Ausdrücke (startmsg.regex, endmsg.regex) hinzugefügt, in die Rolle storage wurde Unterstützung für Bereiche implementiert, für die dynamisch Speicherplatz zugewiesen wird ("thin provisioning"), in die Rolle sshd wurde die Möglichkeit der Verwaltung über /etc/ssh/sshd_config eingeführt, in die Rolle metrics wurde der Export von Leistungsstatistiken für Postfix ergänzt, und in der Rolle firewall wurde die Möglichkeit zur Rückschreibung der vorherigen Konfiguration sowie die Unterstützung für das Hinzufügen, Aktualisieren und Löschen von Diensten je nach Zustand bereitgestellt.
- Die Werkzeuge zur Verwaltung von isolierten Containern wurden aktualisiert und umfassen Pakete wie Podman, Buildah, Skopeo, crun und runc. Die Unterstützung für GitLab Runner in Containern mit dem Podman-Runtime wurde hinzugefügt. Für die Konfiguration des Netzwerk-Subsystems für Container steht das Dienstprogramm netavark und der DNS-Server Aardvark zur Verfügung.
- In mdevctl wurde die Unterstützung für den Befehl ap-check zur Konfiguration von Portweiterleitungen hinzugefügt. virtuelle Maschinen Zugriff auf Krypto-Beschleuniger.
- Eine vorläufige (Technology Preview) Möglichkeit zur Authentifizierung von Benutzern unter Verwendung externer Anbieter (IdP, identity provider), die die Erweiterung des OAuth 2.0-Protokolls "Device Authorization Grant" unterstützen, um OAuth-Zugangstoken Geräten ohne Verwendung eines Browsers zur Verfügung zu stellen, wurde hinzugefügt.
- Für GNOME-Sitzungen basierend auf Wayland wurden Firefox-Versionen bereitgestellt, die Wayland nutzen. Die Versionen auf Basis von X11, die in einer Wayland-Umgebung über die Komponente XWayland ausgeführt werden, wurden in ein separates Paket firefox-x11 ausgelagert.
- Die Wayland-Sitzung ist standardmäßig aktiviert für Systeme mit Matrox-GPU (früher wurde Wayland aufgrund von Einschränkungen und Leistungsproblemen nicht mit Matrox-GPUs verwendet, die nun behoben sind).
- Es wurde Unterstützung für GPUs integriert, die in Intel Core-Prozessoren der 12. Generation enthalten sind, einschließlich Intel Core i3 12100T – i9 12900KS, Intel Pentium Gold G7400 und G7400T, Intel Celeron G6900 und G6900T, Intel Core i5-12450HX – i9-12950HX und Intel Core i3-1220P – i7-1280P. Unterstützung für GPUs AMD Radeon RX 6[345]00 und AMD Ryzen 5/7/9 6[689]00 wurde hinzugefügt.
- Um die Aktivierung des Schutzes vor Schwachstellen im MMIO (Memory Mapped Input Output)-Mechanismus zu steuern, wurde der Kernel-Bootparameter „mmio_stale_data“ implementiert, der die Werte „full“ (Aktivierung der Pufferreinigung beim Wechsel in den Benutzermodus und in die VM), „full,nosmt“ (wie „full“, zusätzlich wird SMT/Hyper-Threads deaktiviert) und „off“ (Schutz deaktiviert) annehmen kann.
- Um die Aktivierung des Schutzes vor der Retbleed-Schwachstelle zu steuern, wurde der Kernel-Bootparameter „retbleed“ implementiert, über den der Schutz deaktiviert („off“) oder ein Algorithmus zur Blockierung der Schwachstelle ausgewählt werden kann (auto, nosmt, ibpb, unret).
- Im Kernel-Bootparameter acpi_sleep wurden neue Optionen zur Steuerung des Übergangs in den Energiesparmodus implementiert: s3_bios, s3_mode, s3_beep, s4_hwsig, s4_nohwsig, old_ordering, nonvs, sci_force_enable und nobl.
- Eine große Anzahl neuer Treiber für Netzwerkgeräte, Speicherlösungen und Grafikchips wurde hinzugefügt.
- Die experimentelle (Technology Preview) Unterstützung für KTLS (Implementierung von TLS auf Kernel-Ebene) wurde fortgesetzt. VPN WireGuard, Intel SGX (Software Guard Extensions), Intel IDXD (Data Streaming Accelerator), DAX (Direct Access) für ext4 und XFS, AMD SEV und SEV-ES im KVM-Hypervisor, der Dienst systemd-resolved, der Speicher-Manager Stratis, Sigstore zur Verifizierung von Containern mittels digitaler Signaturen, das Paket mit dem Grafikeditor GIMP 2.99.8, die MPTCP (Multipath TCP)-Einstellungen über NetworkManager, der ACME (Automated Certificate Management Environment)-Server, virtio-mem und der KVM-Hypervisor für ARM64.
- Das GTK 2 Toolkit und die damit verbundenen Pakete adwaita-gtk2-theme, gnome-common, gtk2, gtk2-immodules und hexchat wurden als veraltet erklärt. Der X.org-Server (standardmäßig wird in RHEL 9 eine GNOME-Sitzung basierend auf Wayland angeboten) wird in der nächsten bedeutenden Version von RHEL entfernt, jedoch bleibt die Möglichkeit bestehen, X11-Anwendungen aus einer Wayland-Sitzung mithilfe des DDX-Servers XWayland auszuführen.
Quelle: opennet.ru
