🥇Rilascio della distribuzione Red Hat Enterprise Linux 8.1

Azienda Red Hat ha rilasciato distribuzione Red Hat Enterprise Linux 8.1. Le versioni di installazione sono preparate per le architetture x86_64, s390x (IBM System z), ppc64le e Aarch64, ma sono disponibili per download solo per gli utenti registrati del Red Hat Customer Portal. I codici sorgente dei pacchetti rpm di Red Hat Enterprise Linux 8 sono distribuiti tramite repository Git CentOS. La versione RHEL 8.x sarà supportata almeno fino al 2029.

Red Hat Enterprise Linux 8.1 è stata la prima versione preparata secondo il nuovo ciclo di sviluppo prevedibile, che prevede il rilascio ogni sei mesi in tempi prestabiliti. La disponibilità di informazioni accurate sulle tempistiche di pubblicazione di una nuova versione consente di sincronizzare i programmi di sviluppo di diversi progetti, di prepararsi in anticipo al nuovo rilascio e di pianificare i tempi per l'applicazione delle aggiornamenti.

Si segnala che il nuovo ciclo di vita prodotto RHEL copre vari livelli, compreso Fedora come piattaforma per l'implementazione di nuove funzionalità, CentOS Stream per l'accesso ai pacchetti creati per il prossimo rilascio intermedio di RHEL (versione rolling di RHEL),
un'immagine di base minimale universale (UBI, Universal Base Image) per eseguire applicazioni in contenitori isolati e RHEL Developer Subscription per l'uso gratuito di RHEL durante il processo di sviluppo.

Chiave modifiche:

È stata garantita il pieno supporto per il meccanismo di applicazione dei Live patch (kpatch) per risolvere le vulnerabilità nel kernel di Linux senza riavviare il sistema e senza interrompere il funzionamento. In precedenza, kpatch rientrava nella categoria delle funzionalità sperimentali;
Basato sul framework fapolicyd è stata implementata la possibilità di creare liste bianche e nere di applicazioni, che consentono di delimitare quali programmi possono essere eseguiti dall'utente e quali no (ad esempio, per bloccare l'esecuzione di file eseguibili esterni non verificati). La decisione di bloccare o consentire l'esecuzione può essere presa sulla base del nome dell'applicazione, del percorso, dell'hash del contenuto e del MIME type. Il controllo delle regole avviene durante l'esecuzione delle chiamate di sistema open() e exec(), quindi potrebbe influire negativamente sulle prestazioni;
Sono inclusi profili SELinux focalizzati sull'uso con contenitori isolati e che consentono una gestione più fine dell'accesso dei servizi eseguiti nei contenitori alle risorse del sistema host. È stata proposta una nuova utility udica per la generazione delle regole SELinux per i contenitori, che, tenendo conto della specificità del contenitore, consente di fornire accesso solo alle risorse esterne necessarie, come archivi, dispositivi e rete. Gli strumenti SELinux (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) sono stati aggiornati alla versione 2.9, mentre il pacchetto SETools è passato alla versione 4.2.2.
È stato aggiunto un nuovo tipo SELinux — boltd_t, che limita boltd, il processo per la gestione dei dispositivi con interfaccia Thunderbolt 3 (boltd ora viene eseguito in un contenitore limitato da SELinux). È stata aggiunta una nuova classe di regole SELinux — bpf, che gestisce l'accesso al Berkeley Packet Filter (BPF) e ispeziona le applicazioni per eBPF;
È incluso uno stack di protocolli di routing FRRouting (BGP4, MP-BGP, OSPFv2, OSPFv3, RIPv1, RIPv2, RIPng, PIM-SM/MSDP, LDP, IS-IS), che ha sostituito il pacchetto Quagga precedentemente utilizzato (FRRouting è un fork di Quagga, quindi la compatibilità non è stata compromessa);
Per le partizioni criptate in formato LUKS2 è stata aggiunta la supporto per la ristrutturazione dei dispositivi a blocchi in tempo reale, senza interrompere il loro utilizzo nel sistema (ad esempio, ora è possibile cambiare la chiave o l'algoritmo di crittografia senza smontare la partizione);
Nel framework OpenSCAP è stato aggiunto il supporto per la nuova versione del protocollo SCAP 1.3 (Security Content Automation Protocol);
Sono state aggiornate le versioni di OpenSSH 8.0p1, Tuned 2.12, chrony 3.5, samba 4.10.4. Nel repository AppStream sono stati aggiunti moduli con i nuovi rami di PHP 7.3, Ruby 2.6, Node.js 12 e nginx 1.16 (l'aggiornamento dei moduli con i rami precedenti è stato continuato). Nel set di Software Collection sono stati aggiunti pacchetti con GCC 9, LLVM 8.0.1, Rust 1.37 e Go 1.12.8;
Il toolkit di tracciamento SystemTap è stato aggiornato alla release 4.1, e il toolkit di debug della memoria Valgrind alla versione 3.15;
Negli strumenti per il dispiegamento del server di identità (IdM, Identity Management) è stata aggiunta una nuova utility healthcheck, che semplifica l'individuazione dei problemi con il funzionamento degli ambienti con il server di identità. È stata semplificata l'installazione e la configurazione degli ambienti IdM, grazie al supporto dei ruoli Ansible e alla possibilità di installare moduli. È stato aggiunto il supporto per foreste fidate (Active Directory Trusted Forest) basate su Windows Server 2019.
Nella sessione classica GNOME (GNOME Classic) è stato modificato l'interruttore dei desktop virtuali. Il widget per il passaggio tra i desktop si trova ora nella parte destra della barra inferiore ed è designato come una striscia con le miniature dei desktop (per passare a un altro desktop è sufficiente fare clic sulla miniatura che riflette il suo contenuto);
Il sottosistema DRM (Direct Rendering Manager) e i driver grafici di basso livello (amdgpu, nouveau, i915, mgag200) sono stati aggiornati per essere compatibili con il kernel Linux 5.1. È stato aggiunto il supporto per le sottosistemi video AMD Raven 2, AMD Picasso, AMD Vega, Intel Amber Lake-Y e Intel Comet Lake-U;
Nell'insieme degli strumenti per l'aggiornamento da RHEL 7.6 a RHEL 8.1 è stata aggiunta la supporto per l'aggiornamento senza reinstallazione per le architetture ARM64, IBM POWER (little endian) e IBM Z. È stata aggiunta una modalità di pre-verifica del sistema nella console web prima dell'aggiornamento. È stato implementato un plugin cockpit-leapp per il ripristino dello stato in caso di problemi durante l'aggiornamento. È garantita la separazione delle directory /var e /usr in partizioni distinte. È stato aggiunto il supporto per UEFI. Leapp è garantito l'aggiornamento dei pacchetti dal repository Supplementary (che include pacchetti proprietari);
Nell'Image Builder è stato aggiunto il supporto per la creazione di immagini per ambienti cloud Google Cloud e Alibaba Cloud. Durante la creazione delle immagini è stata aggiunta la possibilità di utilizzare repo.git per includere file aggiuntivi da repository Git arbitrari;
In Glibc per malloc sono state aggiunte ulteriori verifiche per identificare situazioni di corruzione dei blocchi di memoria allocati;
Il pacchetto dnf-utils è stato rinominato in yum-utils per garantire compatibilità (la possibilità di installare dnf-utils è mantenuta, ma questo pacchetto sarà automaticamente sostituito da yum-utils);
È stata aggiunta una nuova edizione di Red Hat Enterprise Linux System Roles, che fornisce un insieme di moduli e ruoli per il deployment di un sistema di gestione centralizzata della configurazione basato su Ansible e per la configurazione di sottosistemi per attivare funzioni specifiche riguardanti storage, capacità di rete, sincronizzazione del tempo, regole SElinux e applicazione del meccanismo kdump. Ad esempio, il nuovo ruolo
storage consente di eseguire operazioni come la gestione dei file system su disco, lavorare con gruppi LVM e partizioni logiche;
Nello stack di rete per VXLAN e tunnel GENEVE è stata implementata la possibilità di gestire i pacchetti ICMP 'Destination Unreachable', 'Packet Too Big' e 'Redirect Message', risolvendo il problema dell'impossibilità di utilizzare i reindirizzamenti delle rotte e il Path MTU Discovery in VXLAN e GENEVE.
È stata implementata un'implementazione sperimentale del sottosistema XDP (eXpress Data Path), che consente l'esecuzione di programmi BPF a livello del driver di rete in Linux con accesso diretto al buffer DMA dei pacchetti e in fase precedente all'allocazione del buffer skbuff dal stack di rete, e i componenti eBPF sono stati sincronizzati con il kernel Linux 5.0. È stato aggiunto il supporto sperimentale per il sottosistema del kernel AF_XDP (eXpress Data Path);
è stato fornito il supporto completo per il protocollo di rete TIPC (Transparent Inter-process Communication), progettato per organizzare l'interazione tra processi in un cluster. Il protocollo fornisce strumenti per un'interazione rapida e affidabile tra applicazioni, indipendentemente da quali nodi nel cluster esse vengano eseguite;
È stata aggiunta una nuova modalità di salvataggio del dump del kernel in caso di crash in initramfs — 'early kdump' che funziona nelle fasi iniziali di avvio;
È stato aggiunto un nuovo parametro del kernel ipcmni_extend, che estende il limite degli identificatori IPC da 32 KB (15 bit) a 16 MB (24 bit), consentendo alle applicazioni di utilizzare più segmenti di memoria condivisa;
Ipset è stato aggiornato alla versione 7.1 con supporto per le operazioni IPSET_CMD_GET_BYNAME e IPSET_CMD_GET_BYINDEX;
Il demone rngd, che riempie il pool di entropia del generatore di numeri pseudocasuali, non ha più bisogno di essere eseguito con i diritti di root;
È stato fornito il supporto completo per Intel OPA (Omni-Path Architecture) per il hardware con Host Fabric Interface (HFI) e il supporto completo per i dispositivi di memoria persistente Intel Optane DC Persistent Memory.
Nuclei di debug compilati di default con un rilevatore di comportamento indefinito UBSAN (Undefined Behavior Sanitizer), che aggiunge controllo alla codice compilato per individuare situazioni in cui il comportamento del programma diventa indefinito (ad esempio, uso di variabili non statiche prima della loro inizializzazione, divisione intera per zero, overflow di tipi interi firmati, dereferenziazione di puntatori NULL, problemi di allineamento dei puntatori, ecc.);
L'albero dei sorgenti del kernel con estensioni per il funzionamento in tempo reale (kernel-rt) è stato sincronizzato con il codice principale del kernel RHEL 8;
È stato aggiunto un driver ibmvnic per il controller di rete vNIC (Virtual Network Interface Controller) con implementazione della tecnologia delle reti virtuali PowerVM. Quando applicato insieme a NIC SR-IOV, il nuovo driver consente di gestire la larghezza di banda e la qualità del servizio a livello del'interfaccia di rete virtuale, riducendo significativamente le sovraccarichi dovuti alla virtualizzazione e diminuendo il carico sulla CPU;
Aggiunta la supporto per le estensioni di controllo dell'integrità dei dati (Data Integrity Extensions), che proteggono i dati da possibili danni durante la scrittura negli archivi tramite il salvataggio di ulteriori blocchi correttivi;
È stato aggiunto il supporto sperimentale (Technology Preview) per il pacchetto nmstate, che fornisce una libreria e uno strumento nmstatectl per la gestione delle impostazioni di rete attraverso un'API dichiarativa (lo stato della rete è descritto in forma di uno schema predeterminato);
Aggiunta il supporto sperimentale per l'implementazione del protocollo TLS a livello kernel (KTLS) con crittografia basata su AES-GCM, e anche supporto sperimentale per OverlayFS, cgroup v2, Stratis, mdev (Intel vGPU) e DAX (accesso diretto al FS senza passare per la cache di pagina senza utilizzare il livello dei dispositivi a blocchi) in ext4 e XFS;
È stata annunciata la deprecazione del supporto per DSA, TLS 1.0 e TLS 1.1, che sono stati esclusi dall'insieme DEFAULT e trasferiti in LEGACY ('update-crypto-policies —set LEGACY');
Annunciati come obsoleti i pacchetti 389-ds-base-legacy-tools,
authd,
custodia,
hostname,
libidn,
net-tools,
network-scripts,
nss-pam-ldapd,
sendmail,
yp-tools,
ypbind e ypserv. In una futura versione importante, la loro fornitura potrebbe essere interrotta;
Gli script ifup e ifdown sono stati sostituiti da wrapper che chiamano NetworkManager tramite nmcli (per ripristinare gli script originali è necessario eseguire 'yum install network-scripts').

Fonte: opennet.ru