Megjelent a Red Hat Enterprise Linux 9.4 disztribúció.

A Red Hat kiadta a Red Hat Enterprise Linux 9.4 disztribúcióját. Az elkészült telepítő képfájlok elérhetők a Red Hat Customer Portal regisztrált felhasználói számára (a funkciók értékeléséhez a CentOS Stream 9 ISO-képfájlok és ingyenes fejlesztői RHEL verziók is használhatók). A kiadás x86_64, s390x (IBM System z), ppc64le és Aarch64 (ARM64) architektúrákra készült.

A RHEL 9 ág egy nyitottabb fejlesztési folyamat során fejlődik, és a CentOS Stream 9 csomag alapját használja. A CentOS Stream upstream projektként van pozicionálva a RHEL számára, lehetőséget adva a harmadik feleknek, hogy ellenőrizzék a RHEL csomagok előkészítését, javasolják módosításaikat és befolyásolják a hozott döntéseket. A RHEL 9 disztribúciót 10 éves támogatási ciklus keretében 2032-ig fogják támogatni.

A RHEL 9.4 RPM csomagok forráskódjai nem találhatók a git.centos.org nyilvános tárolójában, és a cég ügyfelei csak a weboldal zárt részén keresztül férhetnek hozzá, ahol felhasználói szerződés (EULA) van érvényben, amely megtiltja az adatok továbbosztását, így ezek a csomagok nem használhatók leágazásos disztribúciók létrehozására. A forráskódok továbbra is elérhetőek a CentOS Stream tárolójában, de az teljesen nem szinkronizálva van a RHEL-lel, és nem mindig a legfrissebb verziók egyeznek meg a RHEL csomagjaival. A Rocky Linux, Oracle és a SUSE reprodukálják a RHEL kiadások RPM csomagjainak forráskódjait az OpenELA projekt keretében.

A RHEL 9.4 kulcsfontosságú változásai:

• Teljes támogatás a Intel SGX (Software Guard Extensions) által létrehozott elszigetelt zónák technológiájához. Támogatottak az SGX 1 és 2 verziói, amelyek lehetővé teszik az FLC (Flexible Launch Control) és az EDMM (Enclave Dynamic Memory Management) mechanizmusainak használatát az zónák memóriaoldalainak hozzáférési jogainak módosítására, memóriaoldalak dinamikus hozzáadására/eltávolítására az zónához, valamint az zóna bővítésére.
• Stabil állapotba került az IDXD (Data Streaming Accelerator) meghajtó, amely lehetővé teszi az Intel CPU-kba beépített adatátviteli gyorsítók használatát. Korábban az SGX és az IDXD kísérleti funkcióknak számítottak (Technology Preview).
• Az eBPF alrendszer megvalósítása szinkronizálva van a Linux 6.6 kernel verzióval (az előző kiadás a Linux 6.3 kernel eBPF megvalósítását használta).
• A GRUB indítóprogramba és a shim rétegbe beépítették a DEP (Data Execution Prevention), NX (No Execute) és XD (Execute Disable) memóriavédelmi mechanizmusok alkalmazásának lehetőségét, amely megtiltja az utasítások végrehajtását a memória bizonyos területein a rendszer betöltése előtt.
• Új verziók kerültek be a fejlesztői eszközökbe: GCC Toolset 13, LLVM Toolset 17.0.6, Rust Toolset 1.75.1 és Go Toolset 1.21.7.
• Új csomagok (Application Streams) kerültek hozzáadásra a Python 3.12, Ruby 3.3, PHP 8.2, nginx 1.24, MariaDB 10.11 és PostgreSQL 16 legújabb verzióival.
• Frissítve lettek a Git 2.43.0, Git LFS 3.4.1, Valgrind 3.22, SystemTap 5.0, elfutils 0.190, cmake 3.26 verziók. Új maven-openjdk21 és libzip-tools csomagok kerültek hozzáadásra.
• Frissítve lettek a biztonsággal kapcsolatos csomagok: GnuTLS 3.8.3, nettle 3.9.1, p11-kit 0.25.3, libkcapi 1.4.0, stunnel 5.71, audit 3.1.2, SSG (SCAP Security Guide) 0.1.72, openCryptoki 3.22.0, ipa 4.11.
• Frissítve lettek a szerver- és rendszerszintű csomagok: chrony 4.5, linuxptp 4.2, Rsyslog 8.2310, iptables 1.8.10, nftables 1.0.9, firewalld 1.3, stratis-cli 3.6.0, boom 1.6.0, 389-ds-base 2.4.5, samba 4.19.4, Podman 4.9.
• A felhasználói térben működő SELinux eszközkészlet (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) 3.6 verzióra frissült, amelyben a CIL (Common Intermediate Language) nyelvbe belekerült a „deny” szabályok és a „notself” és „other” kulcsszavak támogatása. Hozzáadták a getpolicyload végrehajtható fájlt, amely megjeleníti a SELinux szabályok újraindításainak számát. A SELinux védelme alá került az nvme-stas, rust-afterburn, rust-coreos-installer és bootc szolgáltatás, amelyek korábban unconfined_service_t módban futottak. A SELinux szabályai között helyet kaptak a SAP HANA-hoz kapcsolódóak is. Új, SELinux segítségével védett chronyd-restricted szolgáltatás került bevezetésre. Grafana SELinux védelemmel történő futtatásához grafana-selinux csomag került hozzáadásra.
• A Keylime regisztráló és hitelesítő, amelyet külső rendszerek hitelesítésére és folyamatos integritásuk nyomon követésére használnak, mostantól konténerekben is futtatható, a fő rendszertől elszigetelt környezetben.
• A Rsyslog naplózási rendszerben lehetőség nyílt a TLS/SSL titkosítási beállításainak megváltoztatására, és további opciók kerültek hozzáadásra a jogosultságok visszavonásához.
• Az OpenSSL lehetővé teszi a TLS beállítási fájlok külön mappába (/etc/pki/tls/openssl.d) helyezését, ami lehetővé teszi a kiegészítő kriptográfiai modulok paramétereinek felülírását anélkül, hogy a fő OpenSSL konfigurációs fájlt módosítani kellene.
• Az SSSD (System Security Services Daemon) lehetőséget biztosít a jelszó nélküli hitelesítés aktiválására és beállítására, biometrikus érzékelők segítségével, amelyek megfelelnek a FIDO2-specifikációnak, például a YubiKey eszközök által.
• Kísérleti „podman build farm” parancs került hozzáadásra, amely lehetővé teszi a konténerképek egyidejű létrehozását több architektúrához. A Podman teljes támogatást nyújt az SQLite alapú háttérhez, és lehetőséget biztosít a containers.conf modulok használatára a kiválasztott beállítások betöltésére. A Containerfile-ban több soros HereDoc utasítások is engedélyezve lettek. A CNI (Container Network Interface) hálózati stack elavultnak nyilvánításra került. A „podman machine” parancs segítségével USB-eszközök átjárása is megvalósult a virtuális QEMU gépekbe.
• Az IdM (Identitáskezelő) lehetőséget biztosít kötelező kétfaktoros hitelesítés engedélyezésére LDAP-ügyfelek számára, egyszer használatos jelszavakat (OTP) alkalmazva. Stabilizálva lett az IdM API, amely korábban kísérleti jellegű volt. A 389 Directory Serverhez hozzáadták a HAProxy protokoll támogatását, lehetővé téve a proxy-n keresztül csatlakozó ügyfelek IP-címének pontos meghatározását.
• A RHEL image készítőben lehetőség nyílt önkényes csatolási pontok megadására és különböző partíciós felosztási módok létrehozására (auto-lvm, lvm, raw).
• Az 1.0.0 verzió előtt frissült a synce4l protokoll megvalósítása, amely támogatja a SyncE (Szincronizált Ethernet) technológiát, amelyet egyes hálózati kártyák és kapcsolók támogatnak, ezzel növelve az RAN (Rádiós Hozzáférési Hálózat) alkalmazásainak adatcseréjének hatékonyságát a pontosabb időszinkronizáció révén. A DPLL (Digitális Fázislekelt Hurok) interfész támogatását is hozzáadták a kernelhez.
• Az nftables alrendszerbe beépítették a csomagok belső fejlécmezőinek ellenőrzésének lehetőségét, amelyeket alagutakon keresztül továbbítanak. Az nft segédprogramhoz hozzáadták a „nft reset” parancs használatának lehetőségét az nftables szabályok, például csomagellőrzők és kvótaértékek állapotának visszaállításához. A firewalld leállította azoknak a szabályoknak a törlését, amelyeket iptables-en keresztül adtak hozzá, ha a firewalld nftables hátteret használ, és nincsenek „—direct” opcióval létrehozott szabályok.
• Az iproute2 csomagba tartozó ss segédprogramhoz hozzáadva az „—bound-inactive” opció, amely az inaktív TCP hálózati socketek megjelenítésére szolgál, amelyek csatlakoznak a IP-cím alapján határozza meg a helyet és a hálózati port (bind hívás történt), de nem csatlakoztak (connect hívás) vagy nem álltak átkapcsolásra (listen hívás).
• A NetworkManagerbe beépítették a csatornák számának megváltoztatásának lehetőségét (a megszakítási kezelőkhöz rendelt csomagsorok számára) a hálózati interfészekhez, valamint a SwitchDev üzemmód beállítását, amely lehetővé teszi a keretek átirányításának és a hálózati csomagok feldolgozásának delegálását szakosodott hardverchipeknek. A MACsec hálózati interfészek támogatását is hozzáadták. Vezeték nélküli kapcsolatok esetén lehetőség nyílik különálló állandó MAC-cím hozzárendelésére (stabil SSID üzemmód).
• A Nmstate biztosítja a YAML-fájl létrehozását a beállítások korábbi állapotának visszaállításához. Az aggregált hálózati interfészek (bond) prioritásainak kezelésére hozzáadtak egy priority tulajdonságot. További VLAN attribútumok kerültek hozzáadásra: registration-protocol, mvrp, reorder-headers és loose-binding. Lehetőség nyílik VLAN-címkék beállítására SR-IOV (Single Root I/O Virtualization) támogatással rendelkező hálózati eszközökön.
• A visszaállított kernel modul megvalósítja a TCP Illinois túlterhelés-ellenőrzési algoritmust, amely átlagosan nagyobb áteresztőképességet és igazságosabb erőforráselosztást tesz lehetővé.
• Bővültek az rteval, rtla és cyclicdeadline segédeszközök lehetőségei. Az rteval eszközhöz hozzáadták a „+” és „-” előtag használatának lehetőségét a CPU magok megfigyeléséből való hozzáadására és eltávolítására (measurement-cpulist). Az rtla eszköz frissült a 6.6-es Linux kernelnek megfelelő állapotra. Hozzáadták az „rtla -C” opciót, amely lehetővé teszi, hogy további cgroup-okhoz csatlakozzanak a szálak. A cyclicdeadline eszközhöz készült egy lehetőség a késleltetés vizualizálására hisztogram formájában.
• Hozzáadták a maximális fájlrendszerméret megadásának lehetőségét a fájlrendszer dinamikus növelésekor a stratisd szolgáltatással, amely megakadályozza a teljesítménycsökkenést a XFS méretének ellenőrizetlen növekedése után.
• Az lvconvert eszközhöz hozzáadták a támogatást a standard logikai kötetek (LV) dinamikus tárolóhely-kiadást lehetővé tevő verzióba történő átalakításához (thin provisioning).
• A multipathd eszközhöz hozzáadták a FPIN-Li (Fabric Performance Impact Notification) események kezelésének támogatását az NVMe tárolókhoz való hozzáférés optimalizálásához. A multipath.conf alapértelmezett beállításainak szakaszához hozzáadták a max_retries és auto_resize paramétereket. A Device-mapper-multipath esetében beállításokat adtak hozzá a HPE Alletra 9000 NVMeFC tömb használatához és az NVMeoFC ANA (Asymmetric Namespace Access) mód támogatásához.
• Az NVMe/FC (Non-volatile Memory Express (NVMe) over Fibre Channel) adapterek indítási lehetőségét stabilizálták a stabil verzióban.
• A webes konzolon egyszerűsítették a tárolókezelést és a partíciók méretének módosítását. Támogatást kaptak a shell-scriptek és Ansible szkriptek generálása a kdump konfigurálásához. A Virtuális Gépek szakaszában lehetővé tették SSH nyilvános kulcsok hozzáadását és már formázott blokkeszközök csatlakoztatását. A virtuális gépekhez való csatlakozáshoz a SPICE protokoll helyett VNC-t használnak.
• Új rendszer szerepköröket adtak hozzá a fapolicyd és a Microsoft SQL Server 2022 elindításához, kezeléséhez és konfigurálásához. Snapshot szerepkört adtak hozzá az LVM pillanatképek létrehozásához és kezeléséhez. Az sshd szerepkörhöz hozzáadták a tanúsítványok szerinti hitelesítés lehetőségét.
• A virtualizálás támogatását stabilizálták ARM64 rendszereken a KVM hypervisor használatával.
• Hozzáadva a virtuális gépek migrálásának támogatása Multi-FD módban (több fájl leíró), amely lehetővé teszi, hogy a virtuális gép áthelyezése több párhuzamos kapcsolat létrehozásával történjen, így felgyorsítva az adatátvitelt nagy sebességű hálózati kapcsolatok (20 Gbps és ennél nagyobb) esetén.
• Javult a live-migráció teljesítménye Postcopy módban, amelyben a virtuális környezet szinte azonnal elindul, míg minden hiányzó adat a még nem másolt memóriablokkok elérésével töltődik be.
• Hozzáadva a toolbx segédprogram, amely lehetővé teszi egy további elszigetelt környezet indítását, amely bármilyen módon testreszabható a szokásos DNF csomagkezelő segítségével, és kísérleti csomagok telepítésére használható anélkül, hogy hatással lenne a fő rendszerre.
• Hozzáadva a Linux kernel parancssori opcióinak támogatása: accept_memory, ia32_emulation, arm64.nomops, cgroup_favordynmods, early_page_ext, fw_devlink.sync_state, kunit.enable, mtrr=debug, rcupdate.rcu_cpu_stall_cputime, rcupdate.rcu_exp_stall_task_details, spec_rstack_overflow és workqueue.unbound_cpus.
• Új sysctl paraméterek kerültek hozzáadásra: io_uring_group és numa_balancing_promote_rate_limit_MBps.
• Az io_uring mechanizmus használata alapértelmezés szerint le van tiltva minden folyamat számára (sysctl io_uring_disabled=2).
• Bővült a hardver támogatása. Új meghajtók lettek hozzáadva az Intel QuickAssist Technology, Intel TPMI, Intel Uncore Frequency, AMD HSMP, AMD XCP, AMD Platform Management és Mellanox PMC technológiákhoz. Hozzáadva az octeon_ep meghajtó a Marvell Octeon PCIe Endpoint Network Interface Controller vezérlők számára.
• A kísérleti (Technology Preview) támogatás folytatódik:
  • VPN WireGuard,
  • kTLS (kernel szintű TLS),
  • aszimmetrikus bemeneti/kimeneti io_uring interfész,
  • DAX (Direct Access) az ext4 és XFS fájlrendszerhez.
  • AMD SEV és SEV-ES a KVM hypervisorban,
  • a systemd-resolved szolgáltatás,
  • a Sigstore mechanizmusa a konténerek digitális aláírások szerinti ellenőrzésére,
  • a PRP (Parallel Redundancy Protocol) és HSR (High-availability Seamless Redundancy) protokollok,
  • IPsec hardveres gyorsítása a csomagok beágyazási műveleteinek a hálózati kártyára történő áthelyezésével,
  • az ACME tanúsítványmenedzsment protokoll, amelyet a Let’s Encrypt használ,
  • SRv6 (Segment Routing over IPv6),
  • a GIMP 2.99.8 grafikus szerkesztő csomag,
  • MPTCP (Multipath TCP) beállítások a NetworkManager-en keresztül,
  • DNSSEC az IdM-ben,
  • virtio-mem,
  • Socket API a TuneD számára,
  • Soft-iWARP (Internet Wide-area RDMA Protocol),
  • GNOME ARM64 és IBM Z számára.

Forrás: opennet.ru