Red Hat Enterprise Linux 9.4 väljaanne

Red Hat on avaldanud Red Hat Enterprise Linux 9.4 jaotuse. Valmis installi pildid on saadaval registreeritud kasutajatele Red Hat Customer Portal'is (funktsionaalsuse hindamiseks saab kasutada ka CentOS Stream 9 iso-pilte ja tasuta RHEL arendajate komplekte). Väljaanne on loodud arhitektuuridele x86_64, s390x (IBM System z), ppc64le ja Aarch64 (ARM64).

RHEL 9 haru areng toimub avatud arendusprotsessiga ja põhineb CentOS Stream 9 paketibaasil. CentOS Stream on positsioneeritud RHELi upstream-projektina, mis annab kolmandate osapoolte osalejatele võimaluse jälgida RHELi paketivalmistamist, esitada oma muudatusettepanekud ja mõjutada võetavaid otsuseid. Vastavalt RHEL-i 10-aastasele toe tsüklile toetatakse RHEL 9 kuni 2032. aastani.

RHEL 9.4 rpm-pakettide lähtekoodi ei hoita avalikus git.centos.org hoidlas ning see antakse klientidele ettevõtte kaudu ainult läbi saidi suletud osa, mis sisaldab kasutajalepingut (EULA), mis keelab andmete edastamise, mistõttu ei saa neid pakette kasutada derivatiivsete jaotiste loomiseks. Lähtekoodid on endiselt saadaval CentOS Stream'i hoidlas, kuid see ei ole täielikult sünkroonitud RHEL-iga ning seal ei ühti alati uusimad paketid RHEL-i pakettidega. Rocky Linux, Oracle ja SUSE taastavad RHEL-i väljaannete rpm-pakettide lähtekoodid OpenELA projekti raames.

RHEL 9.4 peamised muudatused:

• Kaitse on täielikult tagatud Intel SGX (Software Guard Extensions) isoleeritud enclave'ide loomise tehnoloogia poolest. Toetatakse SGX versioone 1 ja 2, mis võimaldavad kasutada FLC (Flexible Launch Control) ja EDMM (Enclave Dynamic Memory Management) mehhanisme, et muuta juurdepääsuõigusi konkreetsetele enclave'i mälu lehtedele, dünaamiliselt lisada/emaeada mälu lehti ja laiendada enclave'i.
• Stabiilseks on muudetud IDXD (Data Streaming Accelerator) draiver, et kasutada Intel'i protsessoritesse sisseehitatud andmeedastuskiirendajaid. Varem oli SGX ja IDXD nimetatud katsetamiseks (Technology Preview).
• eBPF alamsüsteemi teostus on sünkroonitud Linux 6.6 tuumaga (eelmisel väljaandel kasutati eBPF-i teostust Linux 6.3 tuumas).
• GRUB laadijasse ja shim kihti on lisatud võimalus rakendada mälu kaitsemehhanisme DEP (Data Execution Prevention), NX (No Execute) ja XD (Execute Disable) käskluste täitmise keeldumise jaoks teatud mälu aladel enne süsteemi käivitamist.
• Komplekti on lisatud uued versioonid arendajatele mõeldud kompilatsioonidest ja tööriistadest: GCC Toolset 13, LLVM Toolset 17.0.6, Rust Toolset 1.75.1 ja Go Toolset 1.21.7.
• Uute versioonidega Python 3.12, Ruby 3.3, PHP 8.2, nginx 1.24, MariaDB 10.11, PostgreSQL 16 on lisatud eraldi paketid (Application Streams).
• Uuendatud on versioone Git 2.43.0, Git LFS 3.4.1, Valgrind 3.22, SystemTap 5.0, elfutils 0.190, cmake 3.26. Uued paketid maven-openjdk21 ja libzip-tools on lisatud.
• Uuendatud on turvalisuse pakette: GnuTLS 3.8.3, nettle 3.9.1, p11-kit 0.25.3, libkcapi 1.4.0, stunnel 5.71, audit 3.1.2, SSG (SCAP Security Guide) 0.1.72, openCryptoki 3.22.0, ipa 4.11.
• Uuendatud on serveri ja süsteemi pakette: chrony 4.5, linuxptp 4.2, Rsyslog 8.2310, iptables 1.8.10, nftables 1.0.9, firewalld 1.3, stratis-cli 3.6.0, boom 1.6.0, 389-ds-base 2.4.5, samba 4.19.4, Podman 4.9.
• Kasutaja ruumi SELinux tööriistakomplekt (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) on uuendatud versioonini 3.6, millel on CIL-i (Common Intermediate Language) keeles lisatud toe „deny“ reeglitele ja „notself“ ning „other“ võtmesõnadele. Uus käivitatav fail getpolicyload on lisatud SELinuxi reeglite taaskäivituste arvu kuvamiseks. SELinuxi kaitse alla on viidud teenuseid nvme-stas, rust-afterburn, rust-coreos-installer ja bootc, mis varem töötasid unconfined_service_t režiimis. Lisatud on SELinuxi reeglid SAP HANA jaoks. Uus teenus chronyd-restricted on lisatud ja kaitstud SELinuxi abil. Lisatud on paket grafana-selinux, et käivitada grafana SELinuxi kaitse all.
• Keylime registreerijat ja verifikaatorit, mida kasutatakse väliste süsteemide tõendamise ja pideva terviklikkuse jälgimise jaoks, saab nüüd käivitada konteinerites, mis on isoleeritud põhissüsteemist.
• Rsyslog logimisüsteemis on lisatud võimalus muuta TLS/SSL krüpteerimise seadeid ja on lisatud täiendavad valikud privileegide taastamiseks.
• OpenSSL-is on lisatud võimalus kuvada TLS-i seadistuste faile eraldi kaustas /etc/pki/tls/openssl.d, mis võimaldab ületada täiendavate krüptograafiliste moodulite parameetreid peamise OpenSSL konfiguratsioonifaili muutmata.
• SSSD-s (System Security Services Daemon) on lisatud võimalus aktiveerida ja seadistada paroolivaba autentimine, kasutades FIDO2 spetsifikatsiooniga biomeetrilisi andureid, nagu YubiKey seadmed.
• Lisatud on eksperimentaalne käsk „podman build farm“, et luua konteineripilte mitme arhitektuuri jaoks korraga. Podmanisse on lisatud täielik SQLite-põhise tagaplaani tugi ja võimalus kasutada containers.conf mooduleid seadete valikulisteks laadimiseks. Containerfile-s on lubatud mitmerealised HereDoc juhised. CNI (Container Network Interface) võrgu stakk on kuulutatud aegunuks. Käsku „podman machine“ abil on rakendatud USB-seadmete suunamise võimalus QEMU virtuaalmasinatesse.
• IdM (Identiteedi Halduse) süsteemis on rakendatud kohustusliku kahefaktorilise autentimise võimalus LDAP-klientidele, kasutades ühekordseid salasõnu (OTP). IdM API on stabiliseeritud, mis varem esitati katseversioonina. 389 Directory Serveris on lisatud HAProxy protokolli tugi, mis võimaldab õigesti määrata kliendi IP-aadresse, kui nad ühenduvad läbi proksi.
• RHEL piltide kogujasse on lisatud võimalus määrata suvalisi mountimise kohti ja luua erinevaid partitsioonide jagamise režiime (auto-lvm, lvm, raw).
• Enne versiooni 1.0.0 on uuendatud synce4l protokolli teostust, mis tagab SyncE (Sünkroonne Eeter) tehnoloogia toe, mida toetavad mõned võrgukaardid ja -lülitid, võimaldades tõhustada andmevahetust RAN (Raadio Juurdepääsuvõrgu) rakendustes tänu täpsemale aja sünkroniseerimisele. Lisatud on toe DPLL (Digitaalne Faasi Suletud Silmus) kõrgsageduslikule liidesele, mida pakub kernel.
• Nftables'i alamsüsteemi on kantud võimalus kontrollida pakettide sisemiste peade väljade väärtusi, mis edastatakse tunneli kaudu. Nfti utiliiti on lisatud käsk "nft reset", mis võimaldab lähtestada nftablesi reeglite seisundi, näiteks pakettide loendurid ja kvootide väärtused. Firewalldis on lõpetatud iptables'i kaudu lisatud reeglite eemaldamine, kui firewalld kasutab nftablesi taustsüsteemi ja puuduvad reeglid, mis on loodud valiku "—direct" abil.
• Iproot2 paketti kuuluvasse ss utiliiti on lisatud valik '--bound-inactive' mitteaktiivsete TCP võrgu sokettide kuvamiseks, mis on seotud IP-aadressiga ja võrgupordile (teostatud bind'i kutsung), kuid ei ole ühendatud (connect'i kutsung) ega viidud ühenduse ooterežiimi (listen'i kutsung).
• NetworkManagerisse on lisatud võimalus muuta kanalite arvu (pakettide järjekorrad, mis on seotud katkemiste töötlejatega) võrguliidestele ning SwitchDev režiimi seadistamine, mis võimaldab suunamisoperatsioone ja võrgupakettide töötlemist volitatud riistvaraga. Lisatud on MACsec võrguliideste tugi. Traadita ühenduste jaoks on võimaldatud eraldi püsiva MAC-aadressi määramine (stable-ssid režiim).
• Nmstate'is on tagatud YAML-faili loomine, et naasta varasemale seadistuste olekule. Ahnustatud võrguliideste (bond) prioriteetide haldamiseks on lisatud omadus priority. VLAN-i jaoks on lisatud täiendavad atribuudid: registration-protocol, mvrp, reorder-headers ja loose-binding. Pakutakse VLAN-i siltide seadistamise võimalust võrguseadmetes, mis toetavad SR-IOV (Single Root I/O Virtualization).
• Tagasi pöördus kernelimoodul TCP Illinois ülekoormuse juhtimise algoritmiga, mis keskmiselt võimaldab saavutada suuremat läbilaskevõimet ja õiglasemat ressursside jaotust.
• Rteval, rtla ja cyclicdeadline utiliitide võimalusi on laiendatud. Rteval on lisatud võimalus kasutada «+» ja «-» eesliiteid CPU tuumade jälgimisloendist (measurement-cpulist) tuumade külge ja eemaldamiseks. Rtla utiliit on uuendatud vastavusse Linuxi tuumaga 6.6. Lisatud on võimalus «rtla -C», et ühendada täiendavad cgroupid lõimega. Cyclicdeadline utiliidis on lisatud viibete visualiseerimise võimalus histogrammina.
• Lisatud on võimalus määrata maksimaalne failisüsteemi suurus stratisd teenuse dünaamilise suurendamise korral, mis võimaldab vältida jõudluse langust juhusliku XFS suuruse suurenemise järel.
• Lvconvert utiliidile on lisatud toetus tava loogiliste mahtude (LV) teisendamiseks variandiks, mis lubab dünaamilist ruumi lisandust (thin provisioning).
• Multipathd-sse on lisatud toetus FPIN-Li (Fabric Performance Impact Notification) sündmuste töötlemiseks, et optimeerida NVMe mäluseadmete juurdepääsu. Multipath.conf vaike-seadete sektsiooni on lisatud parameetrid max_retries ja auto_resize. Device-mapperi multipathile on lisatud seaded HPE Alletra 9000 NVMeFC klastrite kasutamiseks ja NVMeoFC ANA (Asymmetric Namespace Access) režiimi toetamiseks.
• Stabiilseks on muudetud NVMe/FC (Non-volatile Memory Express (NVMe) over Fibre Channel) adapterite kaudu käivitamise võimalus.
• Veebikonsoolis on lihtsustatud salvestusruumide haldamist ja sektsioonide suuruse muutmist. Lisatud on shell-skriptide ja Ansible skriptide genereerimise toetus kdump seadistamiseks. Virtuaalmasinate sektsioonis on rakendatud SSH võtmete lisamise ja juba vormindatud plokiseadmete ühendamise võimalus. Virtuaalmasinatele ühendamiseks kasutatakse VNC protokolli SPICE asemel.
• Uued süsteemiroolid on lisatud fapolicyd ja Microsoft SQL Server 2022 käivitamiseks, haldamiseks ja seadistamiseks. Funktsioonina on lisatud snapshoti roll LVMi jäädvustuste loomise ja haldamise jaoks. Sshd rolli on lisatud sertifikaatide kaudu autentimise võimalus.
• Virtuaaliseerimise tugi ARM64 süsteemides on stabiliseeritud KVM hüpervизаatori kasutamisega.
• Lisatud on tugi virtuaalmasinate migreerimiseks Multi-FD režiimis (mitme failikirjeldaja), mille käigus luuakse mitmeid paralleelseid ühendusi virtuaalmasina üleviimise ajal, mis kiirendab andmeedastust, kui on kõrge kiirus võrguühendus (20 Gbps ja rohkem).
• Tõhustatud live-migreerimise jõudlust Postcopy-režiimis, kus virtuaalne keskkond käivitub peaaegu kohe ja kõik puuduvad andmed laaditakse sisse, kui pöördutakse kopeerimata mälu lehtede poole.
• Lisatud tööriist toolbx, mis võimaldab käivitada täiendavat isoleeritud keskkonda, mida saab seadistada omal soovil tavalise paketihalduri DNF abil ning kasutatakse eksperimentaalsete pakettide paigaldamiseks ilma peamise süsteemi mõjutamata.
• Lisatud Linuxi tuuma käsurea parameetrite tugi: accept_memory, ia32_emulation, arm64.nomops, cgroup_favordynmods, early_page_ext, fw_devlink.sync_state, kunit.enable, mtrr=debug, rcupdate.rcu_cpu_stall_cputime, rcupdate.rcu_exp_stall_task_details, spec_rstack_overflow ja workqueue.unbound_cpus.
• Lisatud uued sysctl parameetrid: io_uring_group ja numa_balancing_promote_rate_limit_MBps.
• io_uring mehanismi kasutamine on vaikimisi keelatud kõigile protsessidele (sysctl io_uring_disabled=2).
• Seadme toetust on laiendatud. Lisatud draiverid Intel QuickAssist Technology, Intel TPMI, Intel Uncore Frequency, AMD HSMP, AMD XCP, AMD Platform Management ja Mellanox PMC tehnoloogiate toetamiseks. Lisatud draiver octeon_ep Marvelli Octeon PCIe Endpoint Network Interface Controlleri jaoks.
• Katse (Technology Preview) toetus on jätkuvalt saadaval:
  • VPN WireGuard,
  • kTLS (TLS tuumatasemel),
  • asünkroonse sisendi/väljaande io_uring liides,
  • DAX (Direct Access) ext4 ja XFS jaoks,
  • AMD SEV ja SEV-ES KVM hipervisoril,
  • systemd-resolved teenus,
  • Sigstore mehhanism konteinerite digitaalsete allkirjade kaudu kontrollimiseks,
  • PRP (Parallel Redundancy Protocol) ja HSR (High-availability Seamless Redundancy) protokollid,
  • IPsec riistvaraline kiirus, edastades pakettide kapseldamise operatsioonid võrkaartide poole,
  • sertifikaatide haldamise protokoll ACME, mida kasutatakse Let’s Encryptis,
  • SRv6 (Segment Routing over IPv6),
  • GIMP 2.99.8 graafilise redaktori pakett,
  • MPTCP (Multipath TCP) seadistused NetworkManageris,
  • DNSSEC IdM-is,
  • virtio-mem,
  • Socket API TuneD jaoks,
  • Soft-iWARP (Internet Wide-area RDMA Protocol),
  • GNOME ARM64 ja IBM Z jaoks.

Allikas: opennet.ru