Veröffentlichung der Distribution Red Hat Enterprise Linux 9.4

Die Firma Red Hat hat die Veröffentlichung der Verteilung Red Hat Enterprise Linux 9.4 bekannt gegeben. Fertige Installationsabbilder sind für registrierte Nutzer im Red Hat Customer Portal verfügbar (für Funktionstests können auch die ISO-Abbilder von CentOS Stream 9 und die kostenlosen RHEL-Entwicklerversionen verwendet werden). Die Veröffentlichung ist für die Architekturen x86_64, s390x (IBM System z), ppc64le und Aarch64 (ARM64) verfügbar.

Der Branch RHEL 9 entwickelt sich mit einem offeneren Entwicklungsprozess und nutzt als Grundlage das Paket-Repository CentOS Stream 9. CentOS Stream wird als Upstream-Projekt für RHEL positioniert, das externen Beteiligten die Möglichkeit bietet, die Erstellung der Pakete für RHEL zu überwachen, eigene Änderungen vorzuschlagen und Einfluss auf die getroffenen Entscheidungen zu nehmen. Im Einklang mit dem 10-jährigen Supportzyklus wird RHEL 9 bis 2032 unterstützt.

Die Quelltexte der RPM-Pakete von RHEL 9.4 sind nicht im öffentlichen Repository git.centos.org verfügbar und werden den Kunden des Unternehmens nur über einen geschlossenen Bereich auf der Webseite zur Verfügung gestellt, wo eine Benutzervereinbarung (EULA) gilt, die die Redistribution dieser Daten verbietet. Dies macht es unmöglich, diese Pakete zur Erstellung abgeleiteter Distributionen zu verwenden. Die Quelltexte sind im Repository von CentOS Stream verfügbar, jedoch sind sie nicht vollständig mit RHEL synchronisiert, und die neuesten Versionen der Pakete stimmen nicht immer mit denen aus RHEL überein. Rocky Linux, Oracle und SUSE reproduzieren die Quelltexte der RPM-Pakete der RHEL-Versionen im Rahmen des OpenELA-Projekts.

Wesentliche Änderungen in RHEL 9.4:

• Umfassende Unterstützung der Intel SGX-Technologie (Software Guard Extensions) für die Erstellung isolierter Enklaven ist sichergestellt. Es werden die Versionen SGX 1 und 2 unterstützt, die Mechanismen wie FLC (Flexible Launch Control) und EDMM (Enclave Dynamic Memory Management) nutzen, um die Zugriffsrechte auf einzelne Seiten des Speichers der Enklave zu ändern, Seiten dynamisch hinzufügen oder entfernen zu können und die Enklave zu erweitern.
• Der Treiber IDXD (Data Streaming Accelerator) wurde für die Nutzung der in den Intel-CPUs integrierten Datenübertragungsgeschwindigkeitsbeschleuniger in die stabile Version umgesetzt. Zuvor wurden SGX und IDXD als experimentelle Funktionen (Technology Preview) betrachtet.
• Die Implementierung des eBPF-Subsystems ist mit dem Linux-Kernel 6.6 synchronisiert (in der vorherigen Version wurde die eBPF-Implementierung aus dem Linux-Kernel 6.3 verwendet).
• Im Bootloader GRUB und der Shim-Schicht wurde die Möglichkeit hinzugefügt, Mechanismen zum Speicherschutz DEP (Data Execution Prevention), NX (No Execute) und XD (Execute Disable) anzuwenden, um die Ausführung von Befehlen in bestimmten Speicherbereichen vor dem Start des Systems zu verhindern.
• Es wurden neue Versionen von Compilern und Entwicklerwerkzeugen in das Paket aufgenommen: GCC Toolset 13, LLVM Toolset 17.0.6, Rust Toolset 1.75.1 und Go Toolset 1.21.7.
• Es wurden separate Pakete (Application Streams) mit neuen Versionen von Python 3.12, Ruby 3.3, PHP 8.2, nginx 1.24, MariaDB 10.11 und PostgreSQL 16 hinzugefügt.
• Die Versionen von Git 2.43.0, Git LFS 3.4.1, Valgrind 3.22, SystemTap 5.0, elfutils 0.190 und cmake 3.26 wurden aktualisiert. Neue Pakete wie maven-openjdk21 und libzip-tools wurden hinzugefügt.
• Die sicherheitsrelevanten Pakete wurden aktualisiert: GnuTLS 3.8.3, nettle 3.9.1, p11-kit 0.25.3, libkcapi 1.4.0, stunnel 5.71, audit 3.1.2, SSG (SCAP Security Guide) 0.1.72 und openCryptoki 3.22.0, ipa 4.11.
• Die Server- und Systempakete wurden aktualisiert: chrony 4.5, linuxptp 4.2, Rsyslog 8.2310, iptables 1.8.10, nftables 1.0.9, firewalld 1.3, stratis-cli 3.6.0, boom 1.6.0, 389-ds-base 2.4.5, samba 4.19.4, Podman 4.9.
• Das SELinux-Toolkit, das im Benutzermodus läuft (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans), wurde auf Version 3.6 aktualisiert. Diese Version bietet Unterstützung für die 'deny'-Regeln und die Schlüsselwörter 'notself' und 'other' in der CIL (Common Intermediate Language). Eine ausführbare Datei getpolicyload wurde hinzugefügt, um die Anzahl der Regelneustarts von SELinux anzuzeigen. Die Dienste nvme-stas, rust-afterburn, rust-coreos-installer und bootc, die zuvor im Modus unconfined_service_t liefen, werden nun durch SELinux geschützt. Es wurden SELinux-Regeln für SAP HANA hinzugefügt. Ein neuer Dienst chronyd-restricted wurde konzipiert, der durch SELinux geschützt ist. Das Paket grafana-selinux wurde hinzugefügt, um grafana mit SELinux-Schutz zu starten.
• Der Keylime-Registrar und -Verifikator, die zur Bestätigung der Authentizität und zur kontinuierlichen Überwachung der Integrität externer Systeme verwendet werden, können jetzt innerhalb von Containern gestartet werden, die von dem Hauptsystem isoliert sind.
• Im Ladesystem Rsyslog wurde die Möglichkeit hinzugefügt, die Verschlüsselungseinstellungen für TLS/SSL zu ändern, und zusätzliche Optionen zum Zurücksetzen von Berechtigungen wurden hinzugefügt.
• In OpenSSL besteht die Möglichkeit, TLS-Konfigurationsdateien in einem separaten Verzeichnis /etc/pki/tls/openssl.d abzulegen. Dadurch können die Parameter zusätzlicher Kryptomodules geändert werden, ohne die Hauptkonfigurationsdatei von OpenSSL zu modifizieren.
• In SSSD (System Security Services Daemon) wurde die Funktion zur Aktivierung und Konfiguration der passwortlosen Authentifizierung hinzugefügt, die biometrische Sensoren unterstützt, die die FIDO2-Spezifikation erfüllen, wie beispielsweise YubiKey-Geräte.
• Ein experimenteller Befehl «podman build farm» zur Erstellung von Container-Images für mehrere Architekturen wurde hinzugefügt. Podman unterstützt nun vollständig den SQLite-basierten Backend und ermöglicht die Verwendung von containers.conf-Modulen für eine selektive Konfiguration. In Containerfiles sind mehrzeilige HereDoc-Anweisungen erlaubt. Der CNI (Container Network Interface) Netzwerkstack wurde als veraltet erklärt. Über den Befehl «podman machine» wurde die Möglichkeit implementiert, USB-Geräte in QEMU-VMs weiterzuleiten.
• In IdM (Identity Management) wurde die Möglichkeit zur Aktivierung der verpflichtenden Zwei-Faktor-Authentifizierung für LDAP-Clients mithilfe von Einmalpasswörtern (OTP) bereitgestellt. Die API von IdM, die zuvor als experimentell galt, wurde stabilisiert. Im 389 Directory Server wurde die Unterstützung des HAProxy-Protokolls hinzugefügt, wodurch die IP-Adressen von Clients, die über einen Proxy verbunden sind, korrekt ermittelt werden können.
• Im RHEL-Image-Builder wurde die Möglichkeit hinzugefügt, beliebige Mount-Punkte anzugeben und verschiedene Partitionierungsmodi (auto-lvm, lvm, raw) zu erstellen.
• Bis zur Version 1.0.0 wurde die Implementierung des Protokolls synce4l aktualisiert, um die Unterstützung der Synchronisationsfrequenztechnologie SyncE (Synchronous Ethernet) zu gewährleisten, die in einigen Netzwerkkarten und -switches unterstützt wird und die Effizienz des Datenaustauschs in RAN-Anwendungen (Radio Access Network) durch genauere Zeit-Synchronisierung erhöhen kann. Es wurde Unterstützung für die vom Kernel bereitgestellte DPLL-Schnittstelle (Digital Phase Locked Loop) hinzugefügt.
• Im nftables-Subsystem wurde die Möglichkeit zur Überprüfung der Felder interner Paket-Header, die durch Tunnel übertragen werden, implementiert. Das Tool nft wurde um den Befehl „nft reset“ erweitert, um den Zustand der nftables-Regeln zurückzusetzen, einschließlich der Paketzählungen und Quotenwerte. In firewalld wurde das Löschen von Regeln, die über iptables hinzugefügt wurden, eingestellt, wenn der nftables-Backend verwendet wird und keine Regeln mit der Option „—direct“ erstellt wurden.
• In das Tool ss, das im Paket iproute2 enthalten ist, wurde die Option «—bound-inactive» hinzugefügt, um inaktive TCP-Netzwerksockets anzuzeigen, die an die IP-Adresse gebunden sind und dem Netzwerkport (bind-Aufruf) erfolgt, aber nicht verbunden sind (connect-Aufruf) oder in den Verbindungswarte-Modus versetzt wurden (listen-Aufruf).
• Im NetworkManager wurde die Möglichkeit hinzugefügt, die Anzahl der Kanäle (Warteschlangen von Paketen, die an Interrupt-Handler gebunden sind) für Netzwerkinterfaces zu ändern und den SwitchDev-Modus zu konfigurieren, der es ermöglicht, die Weiterleitungsoperationen von Frames sowie die Verarbeitung von Netzwerkpaketen spezialisierten Hardware-Chips zu delegieren. Die Unterstützung für MACsec-Netzwerkinterfaces wurde hinzugefügt. Für drahtlose Verbindungen besteht die Möglichkeit, eine separate feste MAC-Adresse (stable-ssid-Modus) zuzuweisen.
• In Nmstate wurde die Erstellung einer YAML-Datei zur Wiederherstellung eines früheren Konfigurationszustands ermöglicht. Um Prioritäten in aggregierten Netzwerk-Interfaces (Bond) zu steuern, wurde die Eigenschaft priority hinzugefügt. Weitere Attribute für VLAN wurden hinzugefügt: registration-protocol, mvrp, reorder-headers und loose-binding. Die Möglichkeit zur Konfiguration von VLAN-Tags auf Netzwerkgeräten mit Unterstützung für SR-IOV (Single Root I/O Virtualization) wurde bereitgestellt.
• Das Kernel-Modul mit der Implementierung des TCP-Überlastkontrollalgorithmus Illinois wurde zurückgebracht, der im Durchschnitt eine höhere Bandbreite und eine gerechtere Verteilung der Ressourcen ermöglicht.
• Die Funktionalitäten der Tools rteval, rtla und cyclicdeadline wurden erweitert. In rteval wurde die Verwendung von Präfixen „+“ und „-“ zur Anheftung und Ablösung von CPU-Kernen aus der Liste der überwachten Kerne (measurement-cpulist) hinzugefügt. Das Tool rtla wurde auf den Stand des Linux-Kernels 6.6 aktualisiert. Eine Option „rtla -C“ wurde hinzugefügt, um zusätzliche cgroups an Threads anzuhängen. Im Tool cyclicdeadline wurde die Möglichkeit zur Visualisierung von Latenzen in Form eines Histogramms hinzugefügt.
• Es wurde die Möglichkeit hinzugefügt, eine maximale Größe des Dateisystems (FS) beim dynamischen Erhöhen der Größe des Dateisystems durch den Dienst stratisd festzulegen, was eine Leistungseinbuße nach ungeplanter Vergrößerung des XFS vermeidet.
• Im Tool lvconvert wurde die Unterstützung für die Umwandlung von Standard-Logischen Volumen (LV) in eine Variante hinzugefügt, die dynamische Speicherzuweisung (thin provisioning) ermöglicht.
• In multipathd wurde die Unterstützung für die Verarbeitung von FPIN-Li (Fabric Performance Impact Notification) Ereignissen hinzugefügt, um den Zugriff auf NVMe-Speicher zu optimieren. Die Parameter max_retries und auto_resize wurden in den standardmäßigen Konfigurationseinstellungen in multipath.conf hinzugefügt. Für Device-mapper-multipath wurden Einstellungen zur Nutzung des HPE Alletra 9000 NVMeFC Arrays und zur Unterstützung des ANA (Asymmetric Namespace Access) Modus in NVMeoFC hinzugefügt.
• Die Möglichkeit, von NVMe/FC (Non-volatile Memory Express (NVMe) über Fibre Channel) Adaptern zu starten, wurde in die stabile Version überführt.
• In der Web-Konsole wurde die Verwaltung von Speichern und die Größenänderung von Partitionen vereinfacht. Die Unterstützung für die Erstellung von Shell-Skripten und Ansible-Skripten zur Konfiguration von kdump wurde hinzugefügt. Im Abschnitt Virtuelle Maschinen können jetzt SSH-Öffentlichkeits-Schlüssel hinzugefügt und bereits formatierte Blockgeräte verbunden werden. Für den Zugriff auf virtuelle Maschinen wird anstelle des SPICE-Protokolls VNC verwendet.
• Neue systemeigene Rollen zum Starten, Verwalten und Konfigurieren von fapolicyd und Microsoft SQL Server 2022 wurden hinzugefügt. Eine Snapshot-Rolle zur Erstellung und Verwaltung von LVM-Snapshots wurde hinzugefügt. In die Rolle sshd wurde die Möglichkeit zur Authentifizierung via Zertifikaten integriert.
• Die Unterstützung für Virtualisierung auf ARM64-Systemen mit dem KVM-Hypervisor wurde stabilisiert.
• Die Unterstützung für die Migration von virtuellen Maschinen im Multi-FD-Modus (multiple file descriptors) wurde hinzugefügt, bei dem mehrere parallele Verbindungen während des Transfers einer virtuellen Maschine hergestellt werden, was die Datenübertragung bei hochgeschwindigkeits Netzwerken (20 Gbps und mehr) beschleunigt.
• Die Leistung der Live-Migration im Postcopy-Modus wurde verbessert, bei dem die virtuelle Umgebung fast sofort gestartet wird und alle fehlenden Daten beim Zugriff auf nicht kopierte Arbeitsspeicherseiten nachgeladen werden.
• Ein neues Tool namens toolbx wurde hinzugefügt, das es ermöglicht, eine zusätzliche isolierte Umgebung zu starten, die beliebig mit dem üblichen Paketmanager DNF konfiguriert werden kann, um experimentelle Pakete zu installieren, ohne das Hauptsystem zu beeinträchtigen.
• Die Unterstützung für folgende Kernel-Parameter in Linux wurde hinzugefügt: accept_memory, ia32_emulation, arm64.nomops, cgroup_favordynmods, early_page_ext, fw_devlink.sync_state, kunit.enable, mtrr=debug, rcupdate.rcu_cpu_stall_cputime, rcupdate.rcu_exp_stall_task_details, spec_rstack_overflow und workqueue.unbound_cpus.
• Neue sysctl-Parameter wurden hinzugefügt: io_uring_group und numa_balancing_promote_rate_limit_MBps.
• Die Verwendung des io_uring-Mechanismus ist für alle Prozesse standardmäßig deaktiviert (sysctl io_uring_disabled=2).
• Die Unterstützung für Hardware wurde erweitert. Treiber zur Unterstützung von Technologien wie Intel QuickAssist Technology, Intel TPMI, Intel Uncore Frequency, AMD HSMP, AMD XCP, AMD Platform Management und Mellanox PMC wurden hinzugefügt. Ein Treiber für octeon_ep für die Marvell Octeon PCIe Endpoint Network Interface Controller wurde hinzugefügt.
• Die experimentelle (Technology Preview) Unterstützung wird fortgesetzt:
  • VPN WireGuard,
  • kTLS (TLS auf Kernel-Level),
  • Schnittstelle für asynchronen IO-Eingang/Ausgang io_uring,
  • DAX (Direct Access) für ext4 und XFS,
  • AMD SEV und SEV-ES im KVM-Hypervisor,
  • Dienst systemd-resolved,
  • Sigstore-Mechanismus zur Überprüfung von Containern anhand digitaler Signaturen,
  • Protokolle PRP (Parallel Redundancy Protocol) und HSR (High-availability Seamless Redundancy),
  • hardwarebeschleunigte IPsec durch Auslagerung von Paketinkapselungsoperationen auf die Netzwerkkarte,
  • ACME-Zertifikatsmanagementprotokoll, das in Let's Encrypt verwendet wird,
  • SRv6 (Segment Routing über IPv6),
  • Paket mit Grafikeditor GIMP 2.99.8,
  • MPTCP (Multipath TCP)-Einstellungen über NetworkManager,
  • DNSSEC in IdM,
  • virtio-mem,
  • Socket-API für TuneD,
  • Soft-iWARP (Internet Wide-area RDMA-Protokoll),
  • GNOME für ARM64 und IBM Z.

Quelle: opennet.ru