Release des Red Hat Enterprise Linux 8.1 Distributionspakets

Das Unternehmen Red Hat hat Distribution Red Hat Enterprise Linux 8.1. Installations-Images wurden für die Architekturen x86_64, s390x (IBM System z), ppc64le und Aarch64 vorbereitet, aber verfügbar sind für den Download nur für registrierte Benutzer des Red Hat Customer Portal. Die Quelltexte der rpm-Pakete von Red Hat Enterprise Linux 8 werden über Git-Repository CentOS. Die RHEL 8.x-Version wird mindestens bis 2029 unterstützt.

Red Hat Enterprise Linux 8.1 war die erste Version, die gemäß dem neuen vorhersehbaren Entwicklungszyklus entwickelt wurde, der die Veröffentlichung alle sechs Monate zu einem festgelegten Zeitpunkt vorsieht. Die Verfügbarkeit genauer Informationen über den Veröffentlichungstermin einer neuen Version ermöglicht es, die Entwicklungszeitpläne verschiedener Projekte zu synchronisieren, sich rechtzeitig auf die neue Version vorzubereiten und die Zeit für die Anwendung von Updates zu planen.

Es wird festgestellt, dass der neue Lebenszyklus der RHEL-Produkte mehrere Ebenen umfasst, einschließlich Fedora als Ausgangspunkt für die Implementierung neuer Funktionen, CentOS Stream für den Zugriff auf Pakete, die für die nächste Zwischenversion von RHEL (Rolling-Variante von RHEL) erstellt werden,
ein minimalistisches universelles Basis-Image (UBI, Universal Base Image) zum Ausführen von Anwendungen in isolierten Containern und RHEL Developer Subscription für die kostenlose Nutzung von RHEL während der Entwicklung.

Hauptmerkmale Änderungen:

• Umfassende Unterstützung für den Einsatz von Live-Patches (kpatch) zur Behebung von Sicherheitsanfälligkeiten im Linux-Kernel ohne Neustart des Systems und ohne Unterbrechung des Betriebs. Zuvor war kpatch Teil der experimentellen Funktionen;
• Auf Basis des Frameworks fapolicyd wurde die Möglichkeit implementiert, weiße und schwarze Listen von Anwendungen zu erstellen, die es ermöglichen, zu unterscheiden, welche Programme ein Benutzer ausführen kann und welche nicht (d.h. um die Ausführung nicht überprüfter externer ausführbarer Dateien zu blockieren). Die Entscheidung über die Sperrung oder Erlaubnis der Ausführung kann auf der Grundlage des Anwendungsnamens, des Pfades, des Hashes des Inhalts und des MIME-Typs getroffen werden. Die Überprüfung der Regeln erfolgt während der Ausführung von Systemaufrufen open() und exec(), was sich negativ auf die Leistung auswirken kann.
• Die Pakete umfassen SELinux-Profile, die sich auf die Nutzung mit isolierten Containern konzentrieren und eine feinere Kontrolle über den Zugriff der in Containern laufenden Dienste auf die Ressourcen des Host-Systems ermöglichen. Für die Erstellung von SELinux-Regeln für Container wurde ein neues Tool namens udica eingeführt, das unter Berücksichtigung der Spezifikationen des jeweiligen Containers nur den erforderlichen Zugriff auf externe Ressourcen wie Speicher, Geräte und Netzwerk gewährt. Die SELinux-Utils (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) wurden auf Version 2.9 aktualisiert, und das Setools-Paket auf Version 4.2.2.

  Ein neuer SELinux-Typ – boltd_t – wurde hinzugefügt, der boltd einschränkt, einen Prozess zur Verwaltung von Geräten mit Thunderbolt 3-Schnittstelle (boltd läuft jetzt in einem von SELinux eingeschränkten Container). Eine neue Klasse von SELinux-Regeln – bpf – wurde eingeführt, die den Zugriff auf den Berkeley Packet Filter (BPF) verwaltet und Anwendungen für eBPF inspiziert;

• In das Paket wurde ein Routing-Protokoll-Stack aufgenommen FRRouting (BGP4, MP-BGP, OSPFv2, OSPFv3, RIPv1, RIPv2, RIPng, PIM-SM/MSDP, LDP, IS-IS), der das zuvor verwendete Quagga-Paket ersetzt hat (FRRouting ist ein Ableger von Quagga, sodass die Kompatibilität nicht beeinträchtigt wurde);
• Für verschlüsselte Partitionen im LUKS2-Format wurde die Unterstützung für die On-the-fly-Umverschlüsselung von Blockgeräten hinzugefügt, ohne dass deren Nutzung im System unterbrochen werden muss (zum Beispiel kann der Schlüssel oder der Verschlüsselungsalgorithmus jetzt ohne das Aushängen der Partition geändert werden);
• Der OpenSCAP-Framework unterstützt jetzt die neue Version des SCAP 1.3-Protokolls (Security Content Automation Protocol);
• Die Versionen von OpenSSH 8.0p1, Tuned 2.12, chrony 3.5, samba 4.10.4 wurden aktualisiert. Im AppStream-Repository wurden Module mit neuen Versionen von PHP 7.3, Ruby 2.6, Node.js 12 und nginx 1.16 hinzugefügt (die Aktualisierung der Module mit früheren Versionen wurde fortgesetzt). In das Software Collection-Paket wurden Pakete mit GCC 9, LLVM 8.0.1, Rust 1.37 und Go 1.12.8 aufgenommen;
• Das Systemtap-Tracing-Toolkit wurde auf Version 4.1 aktualisiert und das Debugging-Toolkit für die Speicherverwaltung Valgrind auf Version 3.15;
• Im Deployment-Tool für den Identitätsserver (IdM, Identity Management) wurde das neue Tool healthcheck hinzugefügt, das die Erkennung von Problemen mit Identitätsserver-Umgebungen erleichtert. Die Installation und Konfiguration von IdM-Umgebungen wurde durch die Unterstützung von Ansible-Rollen und die Möglichkeit zur Installation von Modulen vereinfacht. Die Unterstützung für vertrauenswürdige Wälder (Active Directory Trusted Forest) auf Basis von Windows Server 2019 wurde hinzugefügt.
• Im klassischen GNOME-Sitzung (GNOME Classic) wurde der Schalter für die virtuellen Arbeitsflächen geändert. Das Widget zum Wechseln zwischen Arbeitsflächen befindet sich jetzt im rechten Teil der unteren Leiste und ist in Form einer Leiste mit Miniaturansichten der Arbeitsflächen gestaltet (um zu einer anderen Arbeitsfläche zu wechseln, reicht ein Klick auf die Miniatur, die deren Inhalte anzeigt);
• Das DRM (Direct Rendering Manager) subsystem und die Low-Level-Grafiktreiber (amdgpu, nouveau, i915, mgag200) wurden auf den Stand von Linux-Kernel 5.1 aktualisiert. Unterstützung für die AMD Raven 2, AMD Picasso, AMD Vega, Intel Amber Lake-Y und Intel Comet Lake-U Grafiksuiten wurde hinzugefügt;
• Im Tool für das Upgrade von RHEL 7.6 auf RHEL 8.1 wurde die Unterstützung für ein Upgrade ohne Neuinstallation für die Architekturen ARM64, IBM POWER (little endian) und IBM Z hinzugefügt. In der Web-Konsole wurde ein Überprüfungsmodus vor dem Upgrade hinzugefügt. Ein cockpit-leapp Plugin wurde hinzugefügt, um den Status im Falle von Problemen während des Upgrades wiederherzustellen. Die Trennung der Verzeichnisse /var und /usr in separate Partitionen wurde sichergestellt. Unterstützung für UEFI hinzugefügt. Leapp sorgt für das Upgrade von Paketen aus dem Supplementary Repository (beinhaltet proprietäre Pakete);
• Im Image Builder wurde die Unterstützung für die Erstellung von Images für die Cloud-Umgebungen Google Cloud und Alibaba Cloud hinzugefügt. Beim Erstellen der Image-Inhalte wurde die Möglichkeit hinzugefügt, repo.git zu verwenden, um zusätzliche Dateien aus beliebigen Git-Repositories einzubeziehen;
• In Glibc wurden für malloc zusätzliche Prüfungen hinzugefügt, um Situationen der Beschädigung von zugewiesenen Speichereinheiten zu erkennen;
• Das Paket dnf-utils wurde in yum-utils umbenannt, um die Kompatibilität zu gewährleisten (die Möglichkeit, dnf-utils zu installieren, bleibt bestehen, aber dieses Paket wird automatisch durch yum-utils ersetzt);
• Eine neue Auflage der Red Hat Enterprise Linux System Roles wurde hinzugefügt, das ein Satz von Modulen und Rollen für die Bereitstellung eines zentralen Konfigurationsmanagement-Systems auf Basis von Ansible und für die Konfiguration von Subsystemen zur Aktivierung spezifischer Funktionen im Zusammenhang mit Speicherlösungen, Netzwerkfunktionen, Zeitsynchronisation, SElinux-Regeln und der Anwendung des kdump-Mechanismus. Zum Beispiel die neue Rolle
  storage ermöglicht Aufgaben wie die Verwaltung von Dateisystemen auf Laufwerken, die Arbeit mit LVM-Gruppen und logischen Partitionen;
• Im Netzwerkstapel für VXLAN und GENEVE-Tunnel wurde die Möglichkeit zur Verarbeitung von ICMP-Paketen „Destination Unreachable“, „Packet Too Big“ und „Redirect Message“ implementiert, wodurch das Problem der Nichtverwendbarkeit von Routenweiterleitungen und Path MTU Discovery in VXLAN und GENEVE behoben wurde.
• Eine experimentelle Implementierung des XDP (eXpress Data Path)-Subsystems, die es ermöglicht, BPF-Programme unter Linux auf der Ebene des Netzwerktreibers auszuführen, mit direktem Zugriff auf den DMA-Puffer der Pakete und in der Phase vor der Zuweisung des skbuff-Puffers durch den Netzwerkstack, sowie Komponenten von eBPF, die mit dem Linux-Kernel 5.0 synchronisiert sind. Experimentelle Unterstützung für das Kernel-Subsystem AF_XDP hinzugefügt (eXpress Data Path);
• Vollständige Unterstützung des Netzwerkprotokolls TIPC (Transparent Inter-process Communication), das für die Organisation der zwischenprozesslichen Kommunikation in einem Cluster vorgesehen ist. Das Protokoll bietet Mittel für eine schnelle und zuverlässige Interaktion von Anwendungen, unabhängig davon, auf welchen Knoten im Cluster sie ausgeführt werden;
• Im Initramfs wurde ein neuer Modus zum Speichern eines Kernel-Dumps im Fehlerfall hinzugefügt – „early kdump“, der in den frühen Phasen des Bootvorgangs arbeitet;
• Ein neuer Kernelparameter ipcmni_extend wurde hinzugefügt, der das Limit der IPC-Identifikatoren von 32 KB (15 Bit) auf 16 MB (24 Bit) erweitert, was Anwendungen ermöglicht, mehr Segmente des gemeinsamen Speichers zu verwenden;
• Ipset wurde auf Version 7.1 aktualisiert und unterstützt die Operationen IPSET_CMD_GET_BYNAME und IPSET_CMD_GET_BYINDEX;
• Der Daemon rngd, der den Entropie-Pool des Pseudozufallszahlengenerators füllt, benötigt nicht mehr die Ausführung mit root-Rechten;
• Vollständige Unterstützung für Intel OPA (Omni-Path Architecture) für Hardware mit Host Fabric Interface (HFI) und vollständige Unterstützung für Intel Optane DC Persistent Memory-Geräte.
• In den Debug-Kernen ist standardmäßig die Kompilierung mit dem Uncertainty Behavior Sanitizer (UBSAN) aktiviert, der zusätzliche Überprüfungen im kompilierten Code hinzufügt, um Situationen zu erkennen, in denen das Verhalten des Programms unbestimmt wird (z. B. Verwendung nicht statischer Variablen vor deren Initialisierung, Division durch Null, Überlauf in ganzzahligen Datentypen, Dereferenzierung von NULL-Zeigern, Probleme mit der Ausrichtung von Zeigern usw.);
• Der Quellcodebaum des Kernels mit Erweiterungen für den Echtzeitbetrieb (kernel-rt) ist mit dem Code des Hauptkerns von RHEL 8 synchronisiert.
• Der ibmvnic-Treiber für den vNIC (Virtual Network Interface Controller) wurde hinzugefügt, der die PowerVM Virtual Networking-Technologie implementiert. Bei gleichzeitiger Anwendung mit SR-IOV NIC ermöglicht der neue Treiber ein Management der Bandbreite und Servicequalität auf der Ebene des virtuellen Netzwerkadapters, wodurch die Overheadkosten durch Virtualisierung erheblich gesenkt und die CPU-Belastung verringert wird;
• Die Unterstützung von Data Integrity Extensions wurde hinzugefügt, die es ermöglichen, Daten vor Beschädigungen beim Schreiben in den Speicher zu schützen, indem zusätzliche korrigierende Blöcke gespeichert werden;
• Die experimentelle Unterstützung des Pakets nmstate, das eine Bibliothek und das Dienstprogramm nmstatectl zur Verwaltung von Netzwerkeinstellungen über eine deklarative API bereitstellt (der Netzwerkstatus wird in Form eines vordefinierten Schemas beschrieben);
• Die experimentelle Unterstützung der Implementierung des TLS-Protokolls auf Kernel-Ebene (KTLS) mit AES-GCM-Verschlüsselung sowie die experimentelle Unterstützung von OverlayFS, cgroup v2, Stratis, mdev (Intel vGPU) und DAX (direkter Zugriff auf das Dateisystem ohne Seiten-Cache ohne Verwendung von Blockgeräten) in ext4 und XFS wurde hinzugefügt;
• Die Unterstützung für DSA, TLS 1.0 und TLS 1.1 wurde als veraltet erklärt, die aus dem DEFAULT-Satz entfernt und in LEGACY verschoben wurde („update-crypto-policies —set LEGACY“);
• Die Pakete 389-ds-base-legacy-tools wurden als veraltet erklärt,
  authd,
  custodia,
  Hostname,
  libidn,
  net-tools,
  network-scripts,
  nss-pam-ldapd,
  sendmail,
  yp-tools,
  ypbind und ypserv. In einer zukünftigen größeren Ausgabe kann deren Bereitstellung eingestellt werden;
• Die Skripte ifup und ifdown wurden durch Wrapper ersetzt, die NetworkManager über nmcli aufrufen (zum Zurückkehren zu den alten Skripten muss „yum install network-scripts“ ausgeführt werden).

Quelle: opennet.ru