Red Hat Enterprise Linux 9.3 jaotuse väljund

Ettevõte Red Hat avaldas Red Hat Enterprise Linux 9.3 versiooni (uus haru kuulutati välja eelmisel nädalal, kuid väljalaset märkivad märkmed avaldati alles eile, enne seda oli saidil beetaversiooni kunstik). Eelmise haru RHEL 8.9 uuendamine on oodata 15. novembril. Valmis installifailid on hooldatud Red Hat Customer Portali registreeritud kasutajatele (funktsionaalsuse hindamiseks saab kasutada ka CentOS Stream 9 iso-pilte ja tasuta RHEL arendaja versioone). Väljalase on kohandatud arhitektuuridele x86_64, s390x (IBM System z), ppc64le ja Aarch64 (ARM64).

RHEL 9 haru areng toimub avatud arendusprotsessiga ja põhineb CentOS Stream 9 paketibaasil. CentOS Stream on positsioneeritud RHELi upstream-projektina, mis annab kolmandate osapoolte osalejatele võimaluse jälgida RHELi paketivalmistamist, esitada oma muudatusettepanekud ja mõjutada võetavaid otsuseid. Vastavalt RHEL-i 10-aastasele toe tsüklile toetatakse RHEL 9 kuni 2032. aastani.

RHEL 9.3 on esimene versioon, mille rpm-pakettide lähtekoodid ei ole avalikus repodegit git.centos.org saadaval ning on ettevõtte klientidele saadaval ainult saidi suletud osas, kus kehtib kasutaja leping (EULA), mis keelab andmete taaskasutamise ja ei luba neid pakette kasutada tuletatud distributsioonide loomisel. Lähtekoodid jäävad kättesaadavaks CentOS Streami repositooriumis, kuid see ei ole täielikult sünkroniseeritud RHEL-iga ja seal ei pruugi alati uusimad pakettide versioonid kattuda RHEL-iga. Rocky Linux, Oracle ja SUSE on jõud ühendanud ja nüüd toovad nad RHEL-i väljalaske rpm-pakettide lähtekoodid ellu projekti OpenELA raames.

Peamised muudatused RHEL 9.3:

• Paketti on lisatud uued versioonid arendajate kompilaatoreid ja tööriistu: GCC Toolset 13, LLVM Toolset 16.0.6, Rust Toolset 1.71.1, Go Toolset 1.20.10, GCC 11.4.1 (süsteemi kompilaator), Redis 7, Node.js 20, java-21-openjdk (ka jätkuvalt tarnitakse java-17-openjdk, java-11-openjdk ja java-1.8.0-openjdk), Valgrind 3.21, SystemTap 4.9, elfutils 0.189, PCP 6.0.5, Grafana 9.2.10.
• Uuendatud on serveri- ja süsteemipakette: samba 4.18.6, iproute 6.2.0, Apache httpd 2.4.57 (+ lisatud mod_authnz_fcgi moodul), SEtools 4.4.3, OpenSCAP 1.3.8, opencryptoki 3.21.0, NetworkManager 1.44, xdp-tools 1.4.0, perf 6.2, dmpd 1.0.2, nvme-cli 2.4, Pacemaker 2.1.6, 389-ds-base 2.3.4.
• DNF pakihaldurile on lisatud käsk „reboot“ automaatseks taaskäivitamiseks pärast uuendamise lõpetamist. Saadaval on järgmised režiimid: „never“ (vaikimisi) — ilma taaskäivitamiseta, „when-changed“ — taaskäivitamine pärast igasugust uuendust (dnf upgrade) ja „when-needed“ — taaskäivitamine ainult siis, kui paigaldatud muudatused seda nõuavad (näiteks pärast tuumauuenduse või systemd paigaldamist). Väljalülitamiseks on ette nähtud parameeter „—poweroff“.
• DNF-isse on lisatud uued pluginad: „dnf leaves“, mis kuvab kõik paigaldatud paketid, mis ei ole teiste paketide sõltuvused; „show-leaves“, mis kuvab hiljuti paigaldatud sarnaseid pakette või pakette, mis on pärast tehingut enam mitte sõltuvustena kasutatud.
• Uues Linuxi tuumas on sisse viidud protokollide SCTP (Stream Control Transmission Protocol) ja MPTCP (Multipath TCP) rakendused.
• ARM64 platvormil on täielikult toetatud USB liidesega kaameraid, traadita adaptereid (Wi-Fi) ja Bluetoothi.
• Täielik tugi Intel Arc A-seeria (Alchemist või DG2) eraldiseisvatele graafikakaartidele on tagatud.
• eBPF alamsüsteemi rakendamine on sünkroonitud Linuxi tuuma 6.3-ga.
• Stratis tööriistakomplekt on lisatud kohalike salvestusseadmete haldamiseks, pakkudes selliseid funktsioone nagu salvestusruumi dünaamiline eraldamine, snapshot’id, andmete terviklikkuse tagamine ja kiiruskihtide loomine.
• systemd-udevd-s on tehtud muudatused, mis võimaldavad määrata muutumatuid nimesid InfiniBand võrgu liidestele.
• Postfixisse on rakendatud DNS SRV-kirjete kontrollimise võimalus, et määrata postiserveri host ja port, mida kasutatakse sõnumite edastamiseks. Ettepanekut saab kasutada sellistes infrastruktuurides, kus sõnumite edastamiseks kasutatakse teenuseid, millel on dünaamiliselt määratud võrgu portide numbrid.
• Paketti cups-filters on lisatud LF-to-CRLF draiver, mida saab kasutada sümbolite „\n“ (reavahetus) muutmiseks „\r\n“ (sümboli tagasiviimine ja reavahetus) jaoks printeritele, mis toetavad ainult faile, mille lõpus on „\r\n“.
• FUSE3 on lisatud kataloogelementide tühistamise võimalus automaatse järelpuhastamise vältimiseks sellega seotud mount'ide jaoks.
• NetworkManagerisse on lisatud tugi valikule „no-aaaa“ resolv.conf-is, mis keelab DNS-päringute saatmise AAAA kirjeid (IPv6 aadressi määramine hostinime järgi). Lisatud on toetus valikule „lacp_active“ LACPDU (Link Aggregation Control Protocol Data Units) kaadrite töötlemise haldamiseks. NetworkManagerit taaskäivitamiseks on rakendatud dbus teenuse uuesti käivitamine. Teavituste väljund on tagatud juhul, kui ühenduse profiilide jaoks kasutatakse vana vorminguga ifcfg konfiguratsiooni. Toetatakse omadusi: link.tx-queue-length, link.gro-max-size, link.gso-max-segments ja link.gso-max-size.
• Ühe ja sama võrguliidese jaoks on NetworkManageris lubatud nii staatiliste kui dünaamiliste (DHCP) seadistuste kasutamine, näiteks saab utiliidi nmstate abil määrata staatilise aadressi liidesele, millel on lubatud DHCP toe. Nmstate'is on lubatud seadistuste sidumine võrgu liidese MAC-aadressiga, mitte liidese nimega.
• Riistvara tugi on laienenud. Lisatud ARM64 CPU NVIDIA Grace tugi. Linuxi tuumast 6.2 on edastatud Intel QAT draiver, mis toetab Intel Quick Assist Technology 401xx/402xx seadmeid.
• Spectre v2 rünnakute, mis on seotud spekulatiivse käskude täitmisega, kaitsmiseks on lisatud režiim AutoIBRS (automaatne kaudne haru piiratud spekuleerimine), mida toetavad AMD CPU-d alates EPYC 9004 Genoa perest.
• Konteineritele on antud võimalus kasutada virtuaalseid kiipe krüptograafiliste võtmete (vTPM) hoidmiseks, mida teostatakse füüsilise TPM (Trusted Platform Module) alusel.
• LVM-is on lisatud vmcore loogiliste jaotiste tugi kdumpi alusel genereeritud tuumadumppide jaoks.
• Installikogudele on lisatud parameeter „inst.wait_for_disks”, mis määrab ootamisaja kickstart-faili laadimiseks või draiverite valmiduseks laadimise käigus.
• Installeerijasse, kui installida ARM süsteemidele, on lisatud võimalus valida paigaldatava tuuma variant (näiteks 64 KB mälulehed). Minimaalsest installeerimismoodulist on eemaldatud pakett s390utils-base ja jäetud alles s390utils-core.
• RHEL piltide generaatorisse on lisatud võimalus genereerida faile OVA formaadis VMware VSphere jaoks.
• Kickstart-failidesse on lisatud käsule network uued valikud „—ipv4-dns-search” ja „—ipv6-dns-search”, et määrata alused domeenid direktiivile „search” faili /etc/resolv.conf jaoks, samuti valikud „—ipv4-ignore-auto-dns” ja „—ipv6-ignore-auto-dns”, et ignoreerida DNS-seadistuste saamist DHCP kaudu.
• Parandatud on TLS laienduse EMS toe (Extended Master Secret, RFC 7627, mis on vajalik FIPS-140-3 nõuete täitmiseks TLS 1.2 alusel ühendustes).
• OpenSSH-s on alustatud SHA-1-põhiste algoritmide kaotamist SHA-2 kasuks. Kui serveris SHA-1-põhiseid võtmeid pole olemas, siis sshd kasutab nüüd ainult SHA-2 hostide võtmete kinnitamiseks, mis võib põhjustada ühilduvuse probleeme RHEL 8 klientide ja varasemate väljaannetega.
• OpenSSL-is on lisatud toetus Brainpooli kaitstud elliptiliste kõverate konfigureerimisele ja RSA dekodeerimise rünnakute kaitsmiseks, mis põhinevad operatsioonide ajamõõtmisel.
• RPCSEC GSS Kerberos V5-is on lisatud toetus krüptimise meetodite camellia128-cts-cmac, camellia256-cts-cmac, aes128-cts-hmac-sha256-128 ja aes256-cts-hmac-sha384-192 kasutamiseks.
• Audititööriistadesse on lisatud toetus FANOTIFY sündmustele ning ellu on viidud logisse salvestamine väljade fan_type (sündmuse tüüp), fan_info (seotud teave), sub_trust ja obj_trust (usaldusväärsuse tasemed sündmuse subjekti ja objekti jaoks). Fapolicyd teenuses, et lihtsustada probleemide tõrkeotsingut, on lisatud reeglite numbrite edastamine API fanotify tagasi lükatud päringutele.
• Lisatud süsteemne roll keylime tööriistade jaoks, mis lihtsustab Keylime registraatori ja verifitseerija seadistamist, mida kasutatakse välist süsteemi autentimise ja pideva terviklikkuse jälgimise kinnitamiseks. Näiteks saab autentida Edge- ja IoT-seadmeid, mis asuvad kontrollimatutes kohtades, kus juurdepääs on volitamata. On kasutusele võetud uus keylime versioon 7.3.
• Lisatud süsteemne roll systemd üksuste haldamiseks ja nende seadistamiseks. Lisatud süsteemne roll PostgreSQL andmebaasi õiguste seadmise, seadistamise, haldamise ja käivitamise jaoks. Tuleb lisada süsteemse rolli tulemüüri toetus ipset-ide määramiseks, muutmiseks ja kustutamiseks.
• SELinuxisse on lisatud valik virt_qemu_ga_run_unconfined, mis võimaldab qemu-ga (QEMU Külaliste Agent) protsessil käivitada käske, nagu mount, algselt krüptimisega SELinuxi kaudu piiratud unconfined_t domeenis. Lisatud on SELinuxi poliitikad qat, systemd-pstore, boothd, fdo-manufacturing-server, fdo-rendezvous-server, fdo-client-linuxapp ja fdo-owner-onboarding-server teenuste kaitsmiseks.
• Lisatud on tuge virtualiseerimisele neljanda põlvkonna Intel Xeon Scalable (Sapphire Rapids) protsessorite jaoks, mis võimaldab kasutada virtuaalmasinates CPU SapphireRapids mudelit ja kasutada nende protsessorite saadaval olevaid täiustatud virtualiseerimise võimalusi.
• Podmanisse on lisatud toetus konteinerite jaoks, mis on tihendatud zstd algoritmi abil. Lisatud on võimalus kasutada Quadlets automaatseks systemd teenuste genereerimiseks konteinerite kirjeldustest. Lisatud on podmansh shell, mida saab kasutada kasutaja seansi käivitamiseks konteineris, asendades /usr/bin/bash. Uuendatud on versioonid Podman, Buildah, Skopeo, crun ja runc.
• Lisatud uued tuuma käsurea parameetrid:
  • amd_pstate, et hallata AMD CPU energiatõhususe režiime;
  • arm64.nosve, et keelata SVE (Scalable Vector Extension);
  • arm64.nosme, et keelata SME (Scalable Matrix Extension);
  • gather_data_sampling, et hallata GDS (Gather Data Sampling või Downfall) rünnakute kaitse režiimi;
  • nospectre_bhb, et keelata Spectre-BHB kaitse;
  • trace_clock, et seadistada jälgimise sündmustega seotud taimer.
• Klusterite ja tõrketaluvate süsteemide võimalused on laienenud: LVM-activate agenti lisati toimetamise (failover) toetamine partiide gruppidele, kus füüsilisi jaotisi ei ole. Klusterite ressursside agentidele IPaddr2 ja IPsrcaddr lisati poliitika marsruutimise tugi. Ocf:heartbeat:Filesystem agendi jaoks lisati EFS (Amazon Elastic File System) toetuse tugi.
• Lisatud uued konteineripildid FDO (FIDO Device Onboard) seadistustega: fdo-manufacturing-server, fdo-owner-onboarding-server, fdo-rendezvous-server ja fdo-serviceinfo-api-server. Uus konteineripilt rhel9/squid, mis sisaldab Squidi vahe-serverit. Redaktsioonis "RHEL for Edge" on rakendatud uute pilditüüpide "minimal-raw", "edge-vsphere" (*.vmdk) ja "edge-ami" (*.ami) tugi.
• AMI-piltidesse AWS EC2 pilvekeskkondade jaoks on lisatud UEFI käivitusrežiimi tugi.
• Nutikaartide ja USB-tokenite CCID (Chip Card Interface Device) ja ICCD (Integrated Circuit Card Device) töötamiseks on kasutusele võetud uus pcsc-lite-ccid 1.5.2 draiveriversioon, kus on lahendatud Alcor Micro AU9560 kontrolleriga seotud probleemid ja lisatud uute nutikaarte lugejate tugi.
• Pakette initial-setup ja pmdk (Persistent Memory Development Kit) on kuulutatud vananenuks.
• Katseline tugi PRP (Parallel Redundancy Protocol) ja HSR (High-availability Seamless Redundancy) protokollide jaoks on lisatud.
• Eksperimentaalne võimalus IPsec-i riistvaralise kiirusandmisettevõtte tuvastamiseks on lisatud, eemaldades pakettide kapseldamise toimingud võrgukaardile.
• Eksperimentaalne tugi SRv6 (Segment Routing over IPv6) jaoks on lisatud.
• Katseline kTLS (TLS südametase) teostus on sünkroniseeritud tuumaga 6.3. Lisatud kTLS-i tugi GnuTLS-i kiirendamiseks.
• Eksperimentaalne tugi asünkroonse sisendi/väljundi liidese io_uring jaoks, mida iseloomustab I/O poling ja võimalus töötada nii vahemäluga kui ilma. io_uring API-s püüdsid tuuma arendajad kõrvaldada vana aio liidese puudusi. Jõudlus on io_uringil SPDK-le väga lähedane ning see ületab libaio-d märkimisväärselt, kui poling on sisse lülitatud.
• IdM (Identity Management) on lisatud katse toetust sertifikaatide haldamise protokollile ACME (Automated Certificate Management Environment), mida kasutatakse Let’s Encrypti sertifitseerimiskeskuses.
• Podman on saanud katse funktsionaalsuse SQLite-põhise salvestusbackend'i kasutamiseks (BoltDB asemel).
• Katse (Technology Preview) toetus on jätkuvalt saadaval:
• VPN WireGuard,
• Intel SGX (Software Guard Extensions),
• Intel IDXD (Data Streaming Accelerator),
• DAX (Direct Access) ext4 ja XFS jaoks,
• AMD SEV ja SEV-ES KVM hipervisoril,
• systemd-resolved teenus,
• Sigstore mehhanism konteinerite digitaalsete allkirjade kaudu kontrollimiseks,
• GIMP 2.99.8 graafilise redaktori pakett,
• MPTCP (Multipath TCP) seadistused NetworkManageris,
• DNSSEC IdM-is,
• virtio-mem,
• KVM hüperviisor ARM64 jaoks,
• NVMe paigaldused Fibre Channel'i peal,
• Socket API TuneD jaoks,
• Soft-iWARP (Internet Wide-area RDMA Protocol),
• GNOME ARM64 ja IBM Z jaoks.

Allikas: opennet.ru