Red Hat a présenté la version de la distribution Red Hat Enterprise Linux 9. Des images d'installation prêtes à l'emploi seront bientôt disponibles pour les utilisateurs enregistrés du portail client Red Hat (les images ISO CentOS Stream 9 peuvent également être utilisées pour évaluer les fonctionnalités). La version est conçue pour les architectures x86_64, s390x (IBM System z), ppc64le et Aarch64 (ARM64). Le code source des packages Red Hat Enterprise Linux 9 rpm est disponible dans le référentiel CentOS Git. Conformément au cycle de support de 10 ans pour la distribution, RHEL 9 sera pris en charge jusqu'en 2032. Les mises à jour pour RHEL 7 continueront d'être publiées jusqu'au 30 juin 2024, et pour RHEL 8 jusqu'au 31 mai 2029.
Red Hat Enterprise Linux 9 se distingue par son évolution vers un processus de développement plus ouvert. Contrairement aux branches précédentes, la base de construction de la distribution est utilisée comme base de package CentOS Stream 9. CentOS Stream se positionne comme un projet en amont pour RHEL, permettant aux participants tiers de contrôler la préparation des packages pour RHEL, de proposer leurs modifications et d'influencer décisions prises. Auparavant, un instantané de l'une des versions de Fedora était utilisé comme base pour une nouvelle branche RHEL, qui était finalisée et stabilisée à huis clos, sans possibilité de contrôler la progression du développement et les décisions prises. Désormais, sur la base de l'instantané Fedora, avec la participation de la communauté, une branche CentOS Stream est en cours de formation, dans laquelle des travaux préparatoires sont effectués et la base d'une nouvelle branche RHEL importante est en cours de formation.
Changements clés :
- L'environnement système et les outils d'assemblage ont été mis à jour. Pour construire des packages, nous utilisons GCC 11. La bibliothèque C standard a été mise à jour vers la glibc 2.34. Le package du noyau Linux est basé sur la version 5.14. Le gestionnaire de packages RPM a été mis à jour vers la version 4.16 avec prise en charge de la surveillance de l'intégrité via fapolicyd.
- La migration de la distribution vers Python 3 est terminée. La branche Python 3.9 est proposée par défaut. Python 2 a été abandonné.
- Le bureau est basé sur GNOME 40 (RHEL 8 livré avec GNOME 3.28) et la bibliothèque GTK 4. Dans GNOME 40, les bureaux virtuels en mode Aperçu des activités passent en orientation paysage et sont affichés sous la forme d'une chaîne à défilement continu de gauche à droite. Chaque bureau affiché en mode Présentation visualise les fenêtres disponibles et effectue un panoramique et un zoom dynamiques au fur et à mesure que l'utilisateur interagit. Une transition transparente est assurée entre la liste des programmes et les bureaux virtuels.
- GNOME comprend un gestionnaire de démons de profils d'alimentation qui offre la possibilité de basculer à la volée entre le mode d'économie d'énergie, le mode d'équilibrage de puissance et le mode de performances maximales.
- Tous les flux audio ont été déplacés vers le serveur multimédia PipeWire, qui est désormais la valeur par défaut à la place de PulseAudio et JACK. L'utilisation de PipeWire vous permet de fournir des capacités de traitement audio professionnelles dans une édition de bureau standard, de vous débarrasser de la fragmentation et d'unifier l'infrastructure audio pour différentes applications.
- Par défaut, le menu de démarrage GRUB est masqué si RHEL est la seule distribution installée sur le système et si le dernier démarrage a réussi. Pour afficher le menu lors du démarrage, maintenez simplement la touche Maj enfoncée ou appuyez plusieurs fois sur la touche Échap ou F8. Parmi les changements dans le bootloader, on note également le placement des fichiers de configuration GRUB pour toutes les architectures dans un seul répertoire /boot/grub2/ (le fichier /boot/efi/EFI/redhat/grub.cfg est désormais un lien symbolique vers /boot /grub2/grub.cfg), ceux-là. le même système installé peut être démarré à l'aide d'EFI et du BIOS.
- Les composants permettant de prendre en charge différentes langues sont regroupés dans des langpacks, qui vous permettent de faire varier le niveau de prise en charge linguistique installée. Par exemple, langpacks-core-font propose uniquement des polices, langpacks-core fournit les paramètres régionaux de la glibc, la police de base et la méthode de saisie, et langpacks fournit des traductions, des polices supplémentaires et des dictionnaires de vérification orthographique.
- Les composants de sécurité ont été mis à jour. La distribution utilise une nouvelle branche de la bibliothèque cryptographique OpenSSL 3.0. Par défaut, des algorithmes cryptographiques plus modernes et fiables sont activés (par exemple, l'utilisation de SHA-1 dans TLS, DTLS, SSH, IKEv2 et Kerberos est interdite, TLS 1.0, TLS 1.1, DTLS 1.0, RC4, Camellia, DSA, 3DES et FFDHE-1024 sont désactivés). Le package OpenSSH a été mis à jour vers la version 8.6p1. Cyrus SASL a été déplacé vers le backend GDBM au lieu de Berkeley DB. Les bibliothèques NSS (Network Security Services) ne prennent plus en charge le format DBM (Berkeley DB). GnuTLS a été mis à jour vers la version 3.7.2.
- Performances SELinux considérablement améliorées et consommation de mémoire réduite. Dans /etc/selinux/config, la prise en charge du paramètre « SELINUX=disabled » pour désactiver SELinux a été supprimée (ce paramètre désactive désormais uniquement le chargement de la stratégie, et pour désactiver réellement la fonctionnalité SELinux, il faut désormais transmettre le paramètre « selinux=0 » au noyau).
- Ajout d'un support expérimental pour VPN WireGuard.
- Par défaut, la connexion via SSH en tant que root est interdite.
- Les outils de gestion de filtre de paquets iptables-nft (utilitaires iptables, ip6tables, ebtables et arptables) et ipset sont obsolètes. Il est désormais recommandé d'utiliser nftables pour gérer le pare-feu.
- Il comprend un nouveau démon mptcpd pour configurer MPTCP (MultiPath TCP), une extension du protocole TCP pour organiser le fonctionnement d'une connexion TCP avec livraison de paquets simultanément sur plusieurs routes via différentes interfaces réseau associées à différentes adresses IP. L'utilisation de mptcpd permet de configurer MPTCP sans utiliser l'utilitaire iproute2.
- Le package network-scripts a été supprimé ; NetworkManager doit être utilisé pour configurer les connexions réseau. La prise en charge du format des paramètres ifcfg est conservée, mais NetworkManager utilise par défaut le format basé sur le fichier de clés.
- La composition comprend de nouvelles versions de compilateurs et d'outils pour les développeurs : GCC 11.2, LLVM/Clang 12.0.1, Rust 1.54, Go 1.16.6, Node.js 16, OpenJDK 17, Perl 5.32, PHP 8.0, Python 3.9, Ruby 3.0, Git 2.31, Subversion 1.14, binutils 2.35, CMake 3.20.2, Maven 3.6, Ant 1.10.
- Les packages serveur Apache HTTP Server 2.4.48, nginx 1.20, Varnish Cache 6.5, Squid 5.1 ont été mis à jour.
- Les SGBD MariaDB 10.5, MySQL 8.0, PostgreSQL 13, Redis 6.2 ont été mis à jour.
- Pour construire l'émulateur QEMU, Clang est activé par défaut, ce qui a permis d'appliquer certains mécanismes de protection supplémentaires à l'hyperviseur KVM, comme SafeStack pour se protéger contre les techniques d'exploitation basées sur la programmation orientée retour (ROP - Return-Oriented Programming).
- Dans SSSD (System Security Services Daemon), le détail des journaux a été augmenté, par exemple, le temps d'achèvement de la tâche est désormais attaché aux événements et le flux d'authentification est reflété. Ajout d'une fonctionnalité de recherche pour analyser les paramètres et les problèmes de performances.
- La prise en charge de l'IMA (Integrity Measurement Architecture) a été étendue pour vérifier l'intégrité des composants du système d'exploitation à l'aide de signatures numériques et de hachages.
- Par défaut, une seule hiérarchie de groupe de contrôle unifiée (groupe de contrôle v2) est activée. Сgroups v2 peut être utilisé, par exemple, pour limiter la consommation de mémoire, de CPU et d'E/S. La principale différence entre les groupes de contrôle v2 et v1 réside dans l'utilisation d'une hiérarchie de groupes de contrôle commune pour tous les types de ressources, au lieu de hiérarchies distinctes pour l'allocation des ressources CPU, pour la régulation de la consommation de mémoire et pour les E/S. Des hiérarchies séparées entraînaient des difficultés dans l'organisation des interactions entre les gestionnaires et des coûts supplémentaires en ressources du noyau lors de l'application de règles pour un processus référencé dans différentes hiérarchies.
- Ajout de la prise en charge de la synchronisation de l'heure exacte basée sur le protocole NTS (Network Time Security), qui utilise des éléments d'une infrastructure à clé publique (PKI) et permet l'utilisation de TLS et du cryptage authentifié AEAD (Authenticated Encryption with Associated Data) pour la protection cryptographique de interaction client-serveur via le protocole NTP ( Network Time Protocol). Le serveur chrony NTP a été mis à jour vers la version 4.1.
- Prise en charge expérimentale (Technology Preview) de KTLS (implémentation TLS au niveau du noyau), Intel SGX (Software Guard Extensions), DAX (accès direct) pour ext4 et XFS, prise en charge d'AMD SEV et SEV-ES dans l'hyperviseur KVM.
Source: opennet.ru