Publication du distributeur Red Hat Enterprise Linux 8.7

La société Red Hat a publié la version Red Hat Enterprise Linux 8.7. Les distributions d'installation sont préparées pour les architectures x86_64, s390x (IBM System z), ppc64le et Aarch64, mais ne sont disponibles en téléchargement que pour les utilisateurs enregistrés du Portail client Red Hat. Les sources des paquets rpm de Red Hat Enterprise Linux 8 sont diffusées via le dépôt Git CentOS. La branche 8.x est accompagnée parallèlement à la branche RHEL 9.x et sera prise en charge au moins jusqu'en 2029.

La préparation des nouvelles versions est effectuée selon un cycle de développement qui implique la création de versions tous les six mois à des moments prédéfinis. Jusqu'en 2024, la branche 8.x sera en phase de support complet, ce qui implique l'inclusion d'améliorations fonctionnelles, après quoi elle passera en phase de maintenance, où les priorités se concentreront sur la correction des bugs et la sécurité, avec des améliorations mineures liées à la prise en charge des systèmes matériels importants.

Principaux changements :

• Les capacités de l'outil de préparation des images systèmes ont été étendues, avec prise en charge du chargement des images vers GCP (Google Cloud Platform), possibilité de placer l'image directement dans le registre des conteneurs, configuration de la taille de la partition /boot et ajustement des paramètres (Blueprint) lors de la génération de l'image (par exemple, ajout de paquets et création d'utilisateurs).
• Il est désormais possible d'utiliser le client Clevis (clevis-luks-systemd) pour le déverrouillage automatique des partitions de disque chiffrées avec LUKS et montées à un stade ultérieur du démarrage, sans avoir besoin d'utiliser la commande « systemctl enable clevis-luks-askpass.path ».
• Un nouveau paquet xmlstarlet a été proposé, comprenant des utilitaires pour analyser, transformer, vérifier, extraire des données et éditer des fichiers XML.
• Une possibilité préliminaire (Technology Preview) d'authentification des utilisateurs avec des fournisseurs externes (IdP, identity provider) prenant en charge l'extension du protocole OAuth 2.0 "Device Authorization Grant" pour fournir des jetons d'accès OAuth aux dispositifs sans utiliser de navigateur a été ajoutée.
• Les fonctionnalités des rôles système ont été étendues, par exemple, le rôle network a ajouté le support pour la configuration des règles de routage et l'utilisation de l'API nmstate, le rôle logging a ajouté le support pour la filtration par expressions régulières (startmsg.regex, endmsg.regex), le rôle storage a ajouté le support pour les partitions pour lesquelles de l'espace est attribué dynamiquement (« thin provisioning »), le rôle sshd a ajouté la possibilité de gestion via /etc/ssh/sshd_config, le rôle metrics a ajouté l'exportation des statistiques de performance de Postfix, et le rôle firewall a mis en œuvre la possibilité de réécrire la configuration précédente ainsi que le support pour l'ajout, la mise à jour et la suppression de services en fonction de leur état.
• Les paquets serveur et système ont été mis à jour : chrony 4.2, unbound 1.16.2, opencryptoki 3.18.0, powerpc-utils 1.3.10, libva 2.13.0, PCP 5.3.7, Grafana 7.5.13, SystemTap 4.7, NetworkManager 1.40, samba 4.16.1.
• La version inclut de nouvelles versions de compilateurs et d'outils pour développeurs : GCC Toolset 12, LLVM Toolset 14.0.6, Rust Toolset 1.62, Go Toolset 1.18, Ruby 3.1, java-17-openjdk (java-11-openjdk et java-1.8.0-openjdk continuent également d'être fournis), Maven 3.8, Mercurial 6.2, Node.js 18, Redis 6.2.7, Valgrind 3.19, Dyninst 12.1.0, elfutils 0.187.
• Le traitement de la configuration sysctl a été aligné avec l'ordre de parsing des répertoires dans systemd — les fichiers de configuration dans le répertoire /etc/sysctl.d ont désormais une priorité plus élevée que dans le répertoire /run/sysctl.d.
• Le logiciel ReaR (Relax-and-Recover) a été étendu pour exécuter des commandes personnalisées avant et après la restauration.
• Le support des clés RSA de moins de 1023 bits a été arrêté dans les bibliothèques NSS.
• Le temps de sauvegarde avec l'outil iptables-save pour de très grands ensembles de règles iptables a été considérablement réduit.
• Le mode de protection contre les attaques SSBD (spec_store_bypass_disable) et STIBP (spectre_v2_utilisateur) a été changé de «seccomp» à «prctl», ce qui a positivement impacté les performances des conteneurs et des applications qui utilisent le mécanisme seccomp pour restreindre l'accès aux appels système.
• Le pilote pour les adaptateurs Ethernet Intel E800 a implémenté le support des protocoles iWARP et RoCE.
• L'utilitaire nfsrahead a été inclus, qui peut être utilisé pour modifier les paramètres de prélecture dans NFS.
• Dans les paramètres d'Apache httpd, la valeur du paramètre LimitRequestBody a été modifiée de 0 (sans restrictions) à 1 Go.
• Un nouveau paquet make-latest a été ajouté, incluant la dernière version de l'outil make.
• Le support de la surveillance des performances sur les systèmes avec des processeurs AMD Zen 2 et Zen 3 a été ajouté dans libpfm et papi.
• SSSD (System Security Services Daemon) a ajouté le support de la mise en cache des requêtes SID (par exemple, vérifications de GID/UID) en mémoire, ce qui a permis d'accélérer les opérations de copie d'un grand nombre de fichiers via serveur Samba. Un support pour l'intégration avec Windows Server 2022 a été assuré.
• Des paquets avec support de l'API graphique Vulkan ont été ajoutés pour les systèmes IBM POWER 64 bits (ppc64le).
• Le support de nouveaux GPU AMD Radeon RX 6[345]00 et AMD Ryzen 5/7/9 6[689]00 a été mis en œuvre. Le support des GPU Intel Alder Lake-S et Alder Lake-P est activé par défaut, pour lesquels il fallait auparavant définir le paramètre i915.alpha_support=1 ou i915.force_probe=.
• La console web a été enrichie de la prise en charge de la configuration des politiques de cryptographie, permettant le chargement et l'installation de RHEL dans une machine virtuelle, ajout d'un bouton pour l'installation séparée des patchs du noyau Linux, des rapports de diagnostic étendus, et ajout d'une option pour redémarrer après la fin de l'installation des mises à jour.
• La prise en charge de la commande ap-check a été ajoutée à mdevctl pour la configuration du passage à machines virtuelles l'accès aux accélérateurs cryptographiques.
• Prise en charge complète du hyperviseur VMware ESXi et des extensions SEV-ES (AMD Secure Encrypted Virtualization-Encrypted State) mise en œuvre. Ajout du support pour les environnements cloud Azure avec des processeurs basés sur l'architecture Ampere Altra.
• Outils mis à jour pour gérer des conteneurs isolés, comprenant des paquets tels que Podman, Buildah, Skopeo, crun et runc. Ajout de la prise en charge de GitLab Runner dans des conteneurs avec le runtime Podman. Une utilité netavark et le serveur DNS Aardvark ont été fournis pour la configuration du sous-système réseau des conteneurs.
• Pour gérer l'activation de la protection contre les vulnérabilités dans le mécanisme MMIO (Memory Mapped Input Output), un paramètre de démarrage du noyau "mmio_stale_data" a été mis en œuvre, acceptant les valeurs "full" (activation du nettoyage des tampons lors du passage dans l'espace utilisateur et dans VM), "full,nosmt" (comme "full" + désactivation de SMT/Hyper-Threads) et "off" (protection désactivée).
• Pour gérer l'activation de la protection contre la vulnérabilité Retbleed, un paramètre de démarrage du noyau nommé « retbleed » a été mis en place, permettant de désactiver la protection (« off ») ou de choisir l'algorithme de blocage de la vulnérabilité (auto, nosmt, ibpb, unret).
• Le paramètre de démarrage du noyau acpi_sleep a été amélioré avec le support de nouvelles options pour gérer le passage en mode veille : s3_bios, s3_mode, s3_beep, s4_hwsig, s4_nohwsig, old_ordering, nonvs, sci_force_enable et nobl.
• Ajout de nouveaux pilotes pour Maxlinear Ethernet GPY (mxl-gpy), Realtek 802.11ax 8852A (rtw89_8852a), Realtek 802.11ax 8852AE (rtw89_8852ae), Modem Host Interface (MHI), AMD PassThru DMA (ptdma), Cirrus Logic DSP (cs_dsp), DRM DisplayPort (drm_dp_helper), Intel® Software Defined Silicon (intel_sdsi), Intel PMT (pmt_*), AMD SPI Master Controller (spi-amd).
• Amélioration de la prise en charge du sous-système eBPF du noyau.
• Le support expérimental (Technology Preview) d'AF_XDP, du déchargement matériel XDP, du TCP multipath (MPTCP), du MPLS (Multi-protocol Label Switching), de l'accélérateur de streaming de données (DSA), de KTLS, de dracut, du redémarrage rapide de kexec, de nispor, de DAX dans ext4 et xfs, de systemd-resolved, d'accel-config, d'igc, d'OverlayFS, de Stratis, des Software Guard Extensions (SGX), de NVMe/TCP, de DNSSEC, de GNOME sur les systèmes ARM64 et IBM Z, d'AMD SEV pour KVM, d'Intel vGPU, du Toolbox a été prolongé.

Source : opennet.ru