Veröffentlichung der Red Hat Enterprise Linux 9.3-Distribution

Die Firma Red Hat hat die Version des Betriebssystems Red Hat Enterprise Linux 9.3 veröffentlicht (der neue Branch wurde in der vergangenen Woche angekündigt, die Versionsnotizen wurden jedoch erst gestern veröffentlicht, und zuvor war auf der Website ein Beta-Status sichtbar). Das Update für die vorherige Version RHEL 8.9 wird am 15. November erwartet. Fertige Installationsabbilder sind für registrierte Benutzer im Red Hat Customer Portal verfügbar (zum Testen der Funktionen können auch ISO-Abbilder von CentOS Stream 9 und kostenlose Entwickler-Editionen von RHEL verwendet werden). Der Release wurde für die Architekturen x86_64, s390x (IBM System z), ppc64le und Aarch64 (ARM64) erstellt.

Der Branch RHEL 9 entwickelt sich mit einem offeneren Entwicklungsprozess und nutzt als Basis die Paketbasis von CentOS Stream 9. CentOS Stream wird als upstream-Projekt für RHEL positioniert, das externen Beteiligten die Möglichkeit gibt, die Vorbereitung von Paketen für RHEL zu kontrollieren, eigene Änderungen vorzuschlagen und Einfluss auf die getroffenen Entscheidungen zu nehmen. Entsprechend dem 10-jährigen Unterstützungzyklus wird RHEL 9 bis 2032 unterstützt.

RHEL 9.3 ist der erste Release, dessen Quelltexte der RPM-Pakete nicht im öffentlichen Repository git.centos.org verfügbar sind, und nur über den geschlossenen Bereich der Website den Kunden des Unternehmens zur Verfügung gestellt wird. Dort gilt eine Nutzervereinbarung (EULA), die die Redistribution dieser Daten verbietet, was die Verwendung dieser Pakete zur Erstellung abgeleiteter Distributionen unmöglich macht. Die Quelltexte sind weiterhin im Repository CentOS Stream verfügbar, aber dieses ist vollständig nicht synchronisiert mit RHEL, und nicht immer stimmen die neuesten Versionen der Pakete mit den Paketen aus RHEL überein. Rocky Linux, Oracle und SUSE haben sich zusammengeschlossen und reproduzieren nun die Quelltexte der RPM-Pakete der RHEL-Releases im Rahmen des Projekts OpenELA.

Wichtige Änderungen in RHEL 9.3:

• Enthalten sind neue Versionen von Compilern und Entwicklerwerkzeugen: GCC Toolset 13, LLVM Toolset 16.0.6, Rust Toolset 1.71.1, Go Toolset 1.20.10, GCC 11.4.1 (Systemcompiler), Redis 7, Node.js 20, java-21-openjdk (auch java-17-openjdk, java-11-openjdk und java-1.8.0-openjdk werden weiterhin geliefert), Valgrind 3.21, SystemTap 4.9, elfutils 0.189, PCP 6.0.5, Grafana 9.2.10.
• Server- und Systempakete wurden aktualisiert: samba 4.18.6, iproute 6.2.0, Apache httpd 2.4.57 (+ hinzugefügt das Modul mod_authnz_fcgi), SEtools 4.4.3, OpenSCAP 1.3.8, opencryptoki 3.21.0, NetworkManager 1.44, xdp-tools 1.4.0, perf 6.2, dmpd 1.0.2, nvme-cli 2.4, Pacemaker 2.1.6, 389-ds-base 2.3.4.
• In den Paketmanager DNF wurde der Befehl "reboot" für einen automatischen Neustart nach Abschluss des Updates hinzugefügt. Verfügbare Modi sind: "never" (standardmäßig) — ohne Neustart, "when-changed" — Neustart nach jedem Update (dnf upgrade) und "when-needed" — Neustart nur, wenn die installierten Änderungen dies erfordern (z. B. nach der Installation eines Kernels oder systemd). Für das Ausschalten anstelle eines Neustarts ist die Option "—poweroff" vorgesehen.
• In DNF wurden neue Plugins hinzugefügt: "dnf leaves" zur Anzeige aller installierten Pakete, die keine Abhängigkeiten für andere Pakete sind; "show-leaves" zur Anzeige kürzlich installierter ähnlicher Pakete oder Pakete, die nach einer Transaktion nicht mehr als Abhängigkeiten verwendet werden.
• Die Implementierungen der Protokolle SCTP (Stream Control Transmission Protocol) und MPTCP (Multipath TCP) wurden aus der neuen Kernelversion von Linux übernommen.
• Die Plattform ARM64 unterstützt nun vollständig Kameras mit USB-Schnittstelle sowie drahtlose Adapter (Wi-Fi) und Bluetooth.
• Vollständige Unterstützung für diskrete Grafikkarten der Intel Arc A-Serie (Alchemist oder DG2) wurde bereitgestellt.
• Die Implementierung des eBPF-Subsystems wurde mit dem Linux-Kernel 6.3 synchronisiert.
• Das Stratis-Toolset zur Verwaltung lokaler Speicher wurde hinzugefügt und bietet Funktionen wie dynamische Speicherzuweisung, Snapshots, Integritätsprüfung und das Erstellen von Schichten zum Caching.
• In systemd-udevd wurden Änderungen vorgenommen, die es ermöglichen, für InfiniBand-Netzwerkinterfaces unveränderte Namen zuzuweisen.
• In Postfix wurde die Möglichkeit implementiert, DNS-SRV-Einträge zu überprüfen, um den Host und den Port des E-Mail-Servers zu bestimmen, der für die Übertragung von Nachrichten verwendet werden soll. Diese Funktion kann in Infrastrukturen verwendet werden, die Dienstleistungen mit dynamisch zugewiesenen Netzwerkportnummern für die Zustellung von E-Mails nutzen.
• Im Paket cups-filters wurde ein LF-to-CRLF-Treiber hinzugefügt, der verwendet werden kann, um Zeichen "\n" (Zeilenumbruch) in "\r\n" (Wagenrücklauf und Zeilenumbruch) für Drucker umzuwandeln, die nur Dateien mit Zeilenendungen "\r\n" verarbeiten.
• In FUSE3 wurde die Möglichkeit hinzugefügt, Katalogelemente ohne automatisches Aushängen der mit diesem Element verbundenen Mount-Punkte zu annullieren.
• In NetworkManager wurde die Unterstützung der Option "no-aaaa" in resolv.conf hinzugefügt, die das Senden von DNS-Anfragen für AAAA-Einträge (IPv6-Adresse nach Hostnamen) deaktiviert. Außerdem wurde die Unterstützung für die Option "lacp_active" zur Steuerung der Verarbeitung von LACPDU (Link Aggregation Control Protocol Data Units) hinzugefügt. NetworkManager wird nach dem Neustart des dbus-Dienstes neu gestartet. Eine Benachrichtigung wird ausgegeben, wenn für Verbindungseinstellungen das alte Format der ifcfg-Konfiguration verwendet wird. Unterstützung für die Eigenschaften: link.tx-queue-length, link.gro-max-size, link.gso-max-segments und link.gso-max-size wurde hinzugefügt.
• Für dasselbe Netzwerk-Interface im NetworkManager ist sowohl die Verwendung von statischen als auch von dynamischen (DHCP) Einstellungen erlaubt. Zum Beispiel kann mit dem Tool nmstate eine statische Adresse für ein Interface festgelegt werden, auf dem die DHCP-Unterstützung aktiviert ist. In nmstate ist es erlaubt, Einstellungen an das Netzwerk-Interface nach MAC-Adresse zu binden, anstatt nach dem Namen des Interfaces.
• Die Unterstützung für Hardware wurde erweitert. Die Unterstützung für die CPU ARM64 NVIDIA Grace wurde hinzugefügt. Der Intel QAT-Treiber wurde aus dem Linux-Kernel 6.2 für Intel Quick Assist Technology 401xx/402xx übernommen.
• Zum Schutz vor Spectre v2-Angriffen, die mit spekulativer Ausführung von Anweisungen verbunden sind, wurde der Modus AutoIBRS (Automatic Indirect Branch Restricted Speculation) hinzugefügt, der in AMD-CPUs ab der EPYC 9004 Genoa-Serie unterstützt wird.
• Für Container steht die Möglichkeit zur Verfügung, virtuelle Chips zur Speicherung kryptografischer Schlüssel (vTPM) zu nutzen, die auf einem gemeinsamen physischen TPM (Trusted Platform Module) basieren.
• In LVM wurde die Unterstützung für logische Partitionen vmcore für Kernel-Dump-Dateien, die von der kdump-Subsystem erstellt werden, hinzugefügt.
• In die Installations- build wurde der Parameter „inst.wait_for_disks“ hinzugefügt, der die Wartezeit für das Laden der Kickstart-Datei oder die Verfügbarkeit der Treiber während des Bootvorgangs angibt.
• Im Installer wurde bei der Installation auf ARM-Systeme die Möglichkeit hinzugefügt, die zu installierende Kernel-Variante auszuwählen (z. B. mit 64 KB Speicherseiten). Das Paket s390utils-base wurde im Minimalmodus der Installation entfernt, und es bleibt nur s390utils-core.
• Im RHEL-Image Builder wurde die Möglichkeit zur Generierung von Dateien im OVA-Format für VMware VSphere hinzugefügt.
• In die Kickstart-Dateien wurden in den Befehl network neue Optionen „—ipv4-dns-search“ und „—ipv6-dns-search“ hinzugefügt, um Basisdomänen für die Direktive „search“ in /etc/resolv.conf zu definieren, sowie die Optionen „—ipv4-ignore-auto-dns“ und „—ipv6-ignore-auto-dns“ zum Ignorieren der DNS-Konfiguration über DHCP.
• Die Unterstützung für das TLS-Extension EMS (Extended Master Secret, RFC 7627), das zur Erfüllung der Anforderungen von FIPS-140-3 in TLS-1.2-Verbindungen erforderlich ist, wurde verbessert.
• In OpenSSH begann die Entfernung der Verwendung von Algorithmen auf Basis von SHA-1 zugunsten von SHA-2. Falls auf Server SHA-1-Basisschlüsseln im sshd jetzt nur SHA-2 zur Bestätigung der Hostschlüssel verwendet wird, kann dies zu Inkompatibilitäten mit RHEL 8-Clients und älteren Versionen führen.
• In OpenSSL wurde die Unterstützung für die Konfiguration von sichereren elliptischen Kurven von Brainpool hinzugefügt, und es wurde ein Schutz gegen Angriffe durch Zeitmessung bei RSA-Entschlüsselungen implementiert.
• In RPCSEC GSS Kerberos V5 wurde die Unterstützung für die Verschlüsselungsmethoden camellia128-cts-cmac, camellia256-cts-cmac, aes128-cts-hmac-sha256-128 und aes256-cts-hmac-sha384-192 hinzugefügt.
• In den Auditing-Tools wurde die Unterstützung für FANOTIFY-Ereignisse hinzugefügt, und es wurde die Speicherung der Felder fan_type (Ereignistyp), fan_info (verwandte Informationen), sub_trust und obj_trust (Vertrauensstufen für Subjekt und Objekt des Ereignisses) im Log implementiert. Im fapolicyd-Dienst wurde zur Vereinfachung der Fehlersuche bei Problemen die Übermittlung der Regelnummern für abgelehnte API-Anfragen an fanotify hinzugefügt.
• Eine systemweite Rolle für das Werkzeugset keylime wurde hinzugefügt, die die Konfiguration des Keylime-Registrators und -Verifiers vereinfacht, das zur Authentifizierung und kontinuierlichen Überwachung der Integrität externer Systeme verwendet wird. Beispielsweise kann die Authentizität von Edge- und IoT-Geräten an nicht kontrollierten Standorten, die möglicherweise unbefugtem Zugriff ausgesetzt sind, überprüft werden. Eine neue Version von keylime 7.3 wurde eingeführt.
• Eine systemweite Rolle für die Verwaltung und Installation von systemd-Einheiten wurde hinzugefügt. Eine systemweite Rolle für die Installation, Konfiguration, Verwaltung und den Betrieb der PostgreSQL-Datenbank wurde hinzugefügt. In die systemweite Rolle firewall wurde die Unterstützung zur Bestimmung, Änderung und Löschung von ipsets integriert.
• In SELinux wurde die Option virt_qemu_ga_run_unconfined hinzugefügt, die es dem qemu-ga-Prozess (QEMU Guest Agent) ermöglicht, im ungeschützten Modus (unconfined_t-Domain) Befehle wie mount auszuführen, die ursprünglich durch SELinux eingeschränkt waren. SELinux-Richtlinien zum Schutz von Diensten wie qat, systemd-pstore, boothd, fdo-manufacturing-server, fdo-rendezvous-server, fdo-client-linuxapp und fdo-owner-onboarding-server wurden hinzugefügt.
• Die Unterstützung für Virtualisierung der 4. Generation von Intel Xeon Scalable Prozessoren (Sapphire Rapids) wurde hinzugefügt, was die Nutzung des CPU-Modells SapphireRapids in virtuellen Maschinen ermöglicht und die erweiterten Virtualisierungsfunktionen dieser Prozessoren aktiviert.
• In Podman wurde die Unterstützung für Container hinzugefügt, die mit dem zstd-Algorithmus komprimiert sind. Die Möglichkeit zur Verwendung von Quadlets zur automatischen Generierung von systemd-Diensten aus Containerbeschreibungen wurde hinzugefügt. Eine podmansh-Shell wurde hinzugefügt, die anstelle von /usr/bin/bash verwendet werden kann, um eine Benutzersitzung im Container zu starten. Die Versionen von Podman, Buildah, Skopeo, crun und runc wurden aktualisiert.
• Neue Kernel-Befehlszeilenparameter wurden hinzugefügt:
  • amd_pstate zur Steuerung der Energiesparmodi von AMD-CPUs;
  • arm64.nosve zur Deaktivierung von SVE (Scalable Vector Extension);
  • arm64.nosme zur Deaktivierung von SME (Scalable Matrix Extension);
  • gather_data_sampling zur Steuerung des Schutzmodus gegen GDS-Angriffe (Gather Data Sampling oder Downfall);
  • nospectre_bhb zum Deaktivieren des Spectre-BHB-Schutzes;
  • trace_clock zur Festlegung des Zeitgebers für die Ereignistrace.
• Die Möglichkeiten für Cluster und fehlertolerante Systeme wurden erweitert: Der Agent LVM-activate unterstützt nun den Austausch (Failover) von Gruppierungen von Partitionen, in denen physische Partitionen fehlen. Die Ressourcenagenten IPaddr2 und IPsrcaddr unterstützen jetzt das Policy Routing. Der Agent ocf:heartbeat:Filesystem unterstützt jetzt das Dateisystem EFS (Amazon Elastic File System).
• Neue Container-Images mit FDO (FIDO Device Onboard) Einstellungen hinzugefügt: fdo-manufacturing-server, fdo-owner-onboarding-server, fdo-rendezvous-server und fdo-serviceinfo-api-server. Ein neues Container-Image rhel9/squid mit dem Proxy-Server Squid wurde hinzugefügt. In der Edition „RHEL for Edge“ wird die Unterstützung neuer Image-Typen „minimal-raw“, „edge-vsphere“ (*.vmdk) und „edge-ami“ (*.ami) implementiert.
• In die AMI-Images für Cloud-Umgebungen AWS EC2 wurde Unterstützung für das Booten im UEFI-Modus hinzugefügt.
• Für die Arbeit mit Chipkarten und USB-Tokens CCID (Chip Card Interface Device) und ICCD (Integrated Circuit Card Device) wurde eine neue Version des Treibers pcsc-lite-ccid 1.5.2 eingeführt, die Probleme mit dem Controller Alcor Micro AU9560 löst und die Unterstützung neuer Chipkarteleser hinzufügt.
• Die Pakete initial-setup und pmdk (Persistent Memory Development Kit) wurden als veraltet erklärt.
• Experimentelle Unterstützung für die Protokolle PRP (Parallel Redundancy Protocol) und HSR (High-availability Seamless Redundancy) hinzugefügt.
• Experimentelle Möglichkeit zur Hardwarebeschleunigung von IPsec durch Auslagerung von Paketinkapselierungsoperationen auf die Netzwerkkarte hinzugefügt.
• Experimentelle Unterstützung für SRv6 (Segment Routing über IPv6) hinzugefügt.
• Die experimentelle Implementierung von kTLS (TLS auf Kernel-Ebene) wurde mit Kernel 6.3 synchronisiert. Unterstützung für die Verwendung von kTLS zur Beschleunigung von GnuTLS hinzugefügt.
• Experimentelle Unterstützung für die Schnittstelle für asynchronen Input/Output io_uring, bemerkenswert durch die Unterstützung des Pollings und die Möglichkeit, sowohl mit Pufferung als auch ohne Pufferung zu arbeiten. Im API io_uring haben die Kernel-Entwickler versucht, die Mängel der alten aio-Schnittstelle zu beheben. Bei der Leistung ist io_uring sehr nah an SPDK und übertrifft libaio erheblich bei aktivem Polling.
• Im IdM (Identitätsmanagement) wurde eine experimentelle Unterstützung für das ACME-Zertifikatsverwaltungsprotokoll (Automated Certificate Management Environment) hinzugefügt, das im Zertifizierungszentrum Let’s Encrypt verwendet wird.
• In Podman wurde eine experimentelle Möglichkeit zur Nutzung eines Backend-Speichers auf Basis von SQLite (statt BoltDB) hinzugefügt.
• Die experimentelle Unterstützung (Technology Preview) wurde fortgesetzt:
• VPN WireGuard,
• Intel SGX (Software Guard Extensions),
• Intel IDXD (Data Streaming Accelerator),
• DAX (Direct Access) für ext4 und XFS,
• AMD SEV und SEV-ES im KVM-Hypervisor,
• Dienst systemd-resolved,
• Mechanismus Sigstore zur Verifizierung von Containern anhand digitaler Signaturen,
• Paket mit dem Grafikeditor GIMP 2.99.8,
• MPTCP (Multipath TCP) Einstellungen über NetworkManager,
• DNSSEC in IdM,
• virtio-mem,
• KVM-Hypervisor für ARM64,
• Installation auf NVMe über Fibre Channel,
• Socket-API für TuneD,
• Soft-iWARP (Internet Wide-area RDMA-Protokoll),
• GNOME für ARM64 und IBM Z.

Quelle: opennet.ru