Rilascio della distribuzione Red Hat Enterprise Linux 9.1

La società Red Hat ha pubblicato il rilascio della distribuzione Red Hat Enterprise Linux 9.1. Le immagini di installazione pronte sono disponibili per gli utenti registrati del Red Hat Customer Portal (per valutare le funzionalità si possono utilizzare anche le immagini iso di CentOS Stream 9). Il rilascio è stato creato per le architetture x86_64, s390x (IBM System z), ppc64le e Aarch64 (ARM64). I codici sorgente dei pacchetti rpm di Red Hat Enterprise Linux 9 sono disponibili in un repository Git di CentOS.

Il ramo RHEL 9 si sviluppa con un processo di sviluppo più aperto e utilizza come base la distribuzione di pacchetti CentOS Stream 9. CentOS Stream è posizionato come progetto upstream per RHEL, consentendo ai partecipanti esterni di controllare la preparazione dei pacchetti per RHEL, proporre modifiche e influenzare le decisioni adottate. In conformità con il ciclo di supporto di 10 anni, RHEL 9 sarà supportato fino al 2032.

Principali modifiche:

• Aggiornati i pacchetti server e di sistema: firewalld 1.1.1, chrony 4.2, unbound 1.16.2, frr 8.2.2, Apache httpd 2.4.53, opencryptoki 3.18.0, powerpc-utils 1.3.10, libvpd 2.2.9, lsvpd 1.7.14, ppc64-diag 2.7, PCP 5.3.7, Grafana 7.5.13, samba 4.16.1.
• Nel pacchetto sono incluse nuove versioni di compilatori e strumenti per sviluppatori: GCC 11.2.1, GCC Toolset 12, LLVM Toolset 14.0.6, binutils 2.35.2, PHP 8.1, Ruby 3.1, Node.js 18, Rust Toolset 1.62, Go Toolset 1.18.2, Maven 3.8, java-17-openjdk (continua anche la fornitura di java-11-openjdk e java-1.8.0-openjdk), .NET 7.0, GDB 10.2, Valgrind 3.19, SystemTap 4.7, Dyninst 12.1.0, elfutils 0.187.
• Nella sottosistema eBPF (Berkeley Packet Filter) sono stati trasferiti miglioramenti realizzati nei kernel Linux 5.15 e 5.16. Ad esempio, per i programmi BPF è stata implementata la possibilità di richiedere e gestire eventi del timer, la possibilità di ottenere e impostare opzioni dei socket tramite setsockopt, supporto per la chiamata di funzioni dei moduli del kernel, proposta di una struttura di archiviazione probabilistica dei dati (BPF map) chiamata bloom filter, e aggiunta la possibilità di legare tag ai parametri delle funzioni.
• Il set di patch per i sistemi in tempo reale, utilizzato nel kernel kernel-rt, è stato aggiornato allo stato corrispondente al kernel 5.15-rt.
• Aggiornata l'implementazione del protocollo MPTCP (MultiPath TCP), utilizzato per organizzare il funzionamento delle connessioni TCP con la consegna dei pacchetti simultaneamente su più percorsi tramite diversi interfacce di rete. Le modifiche sono state trasferite dal kernel Linux 5.19 (ad esempio, è stata aggiunta la possibilità di retrocedere le connessioni MPTCP a TCP standard e proposto un'API per la gestione dei flussi MPTCP dallo spazio utente).
• Sui sistemi con processori ARM, AMD e Intel a 64 bit è possibile modificare il funzionamento della modalità Real-Time nel kernel durante l'esecuzione scrivendo il nome della modalità nel file "/sys/kernel/debug/sched/preempt" oppure durante il caricamento tramite il parametro del kernel "preempt=" (sono supportate le modalità none, voluntary e full).
• Le impostazioni del bootloader GRUB sono state modificate per nascondere il menu di avvio per impostazione predefinita, mentre il menu viene visualizzato se l'ultimo avvio si è concluso con un errore. Per visualizzare il menu durante il caricamento è possibile tenere premuto il tasto Shift oppure premere ripetutamente i tasti Esc o F8. Per disabilitare la funzione di nascondimento, è possibile utilizzare il comando "grub2-editenv --unset menu_auto_hide".
• Aggiunta la supporto per la creazione di orologi hardware virtuali (PHC, PTP Hardware Clocks) nel driver PTP (Precision Time Protocol).
• Aggiunto il comando modulesync, che carica pacchetti RPM dai moduli e crea nella directory di lavoro un repository con metadati necessari per l'installazione di pacchetti modulari.
• Nel servizio tuned, per il monitoraggio dello stato del sistema e l'ottimizzazione dei profili per il massimo delle prestazioni in base al carico attuale, è stata aggiunta la possibilità di utilizzare il pacchetto tuned-profiles-realtime per isolare i core CPU e fornire ai thread delle applicazioni tutte le risorse disponibili.
• Nel NetworkManager è stata implementata la migrazione dei profili di connessione dal formato di configurazione ifcfg ("/etc/sysconfig/network-scripts/ifcfg-*") al formato basato su file keyfile. Per migrare i profili è possibile utilizzare il comando "nmcli connection migrate".
• L'ecosistema SELinux è stato aggiornato alla versione 3.4, che migliora le prestazioni della reinstallazione delle etichette (relabel) grazie alla parallelizzazione delle operazioni, è stata aggiunta all'utilità semodule l'opzione "-m" ("--checksum") per ottenere gli hash SHA256 dei moduli, mcstrans è stato portato sulla libreria PCRE2. Sono state aggiunte nuove utilità per la gestione delle politiche di accesso: sepol_check_access, sepol_compute_av, sepol_compute_member, sepol_compute_relabel, sepol_validate_transition. Sono state aggiunte politiche SELinux per proteggere i servizi ksm, nm-priv-helper, rhcd, stalld, systemd-network-generator, targetclid e wg-quick.
• È stata fornita la possibilità di utilizzare il client Clevis (clevis-luks-systemd) per lo sblocco automatico delle partizioni del disco cifrate con LUKS e montate in un secondo momento durante il caricamento, senza la necessità di utilizzare il comando "systemctl enable clevis-luks-askpass.path".
• Sono state ampliate le funzionalità degli strumenti per la preparazione delle immagini di sistema, che ora supportano il caricamento delle immagini in GCP (Google Cloud Platform), l'inserimento diretto dell'immagine nel registro dei container, la configurazione della dimensione della partizione /boot e l'aggiustamento dei parametri (Blueprint) durante la generazione dell'immagine (ad esempio, l'aggiunta di pacchetti e la creazione di utenti).
• È stata aggiunta l'utilità keylime per l'attestazione (verifica dell'autenticità e monitoraggio continuo dell'integrità) di sistemi esterni, utilizzando la tecnologia TPM (Trusted Platform Module), ad esempio per verificare l'autenticità di dispositivi Edge e IoT situati in aree non controllate, dove può esserci accesso non autorizzato.
• Nella versione ‘RHEL for Edge’ è stata fornita la possibilità di utilizzare l'utilità fdo-admin per la configurazione dei servizi FDO (FIDO Device Onboard) e per la creazione di certificati e chiavi.
• In SSSD (System Security Services Daemon) è stata aggiunta la supporto per il caching delle richieste SID (ad esempio, verifica di GID/UID) in memoria, il che ha consentito di accelerare le operazioni di copia di un gran numero di file attraverso il server Samba. È stato garantito il supporto per l'integrazione con Windows Server 2022.
• In OpenSSH, la dimensione minima delle chiavi RSA per impostazione predefinita è limitata a 2048 bit e nelle librerie NSS è stata interrotta la supporto per le chiavi RSA di dimensioni inferiori a 1023 bit. Per la configurazione di limitazioni personalizzate in OpenSSH è stato aggiunto il parametro RequiredRSASize. È stato aggiunto il supporto per il metodo di scambio di chiavi sntrup761x25519-sha512@openssh.com, resistente agli attacchi dei computer quantistici.
• Nell'insieme di strumenti ReaR (Relax-and-Recover) è stata aggiunta la possibilità di eseguire comandi arbitrari prima e dopo il ripristino.
• Nel driver per gli adattatori Ethernet Intel E800 è stato implementato il supporto per i protocolli iWARP e RoCE.
• È stato aggiunto un nuovo pacchetto httpd-core, che include il set di base dei componenti Apache httpd necessari per avviare un server HTTP e collegato al numero minimo di dipendenze. Sono stati aggiunti ulteriori moduli al pacchetto httpd, come mod_systemd e mod_brotli, e inclusa la documentazione.
• È stato aggiunto un nuovo pacchetto xmlstarlet, che include utilità per l'analisi, la trasformazione, la convalida, l'estrazione dei dati e la modifica di file XML, simili a grep, sed, awk, diff, patch e join, ma non per file di testo, bensì per XML.
• Le funzionalità dei ruoli di sistema sono state ampliate, ad esempio, nel ruolo network è stata aggiunta la supporto per la configurazione delle regole di instradamento e l'uso dell'API nmstate, nel ruolo logging è stata aggiunta la supporto per il filtraggio tramite espressioni regolari (startmsg.regex, endmsg.regex), nel ruolo storage è stata aggiunta la supporto per le partizioni per le quali viene assegnato dinamicamente spazio di archiviazione («thin provisioning»), nel ruolo sshd è stata introdotta la possibilità di gestione tramite /etc/ssh/sshd_config, nel ruolo metrics è stata aggiunta l'esportazione delle statistiche sulle prestazioni di Postfix, nel ruolo firewall è stata implementata la possibilità di riscrivere la configurazione precedente e fornita la supporto per l'aggiunta, l'aggiornamento e la rimozione dei servizi in base allo stato.
• È stato aggiornato l'insieme di strumenti per la gestione dei container isolati, che include pacchetti come Podman, Buildah, Skopeo, crun e runc. È stata aggiunta la supporto per GitLab Runner nei container con runtime Podman. Per configurare il sottosistema di rete dei container è stato fornito lo strumento netavark e il server DNS Aardvark.
• Nel mdevctl è stata aggiunta la supporto per il comando ap-check per la configurazione del forwarding in macchine virtuali accesso agli acceleratori crittografici.
• È stata aggiunta una funzionalità preliminare (Technology Preview) per l'autenticazione degli utenti utilizzando fornitori esterni (IdP, identity provider) che supportano l'estensione del protocollo OAuth 2.0 «Device Authorization Grant» per fornire token di accesso OAuth ai dispositivi senza utilizzare un browser.
• Per la sessione GNOME basata su Wayland sono state fornite versioni di Firefox che utilizzano Wayland. Le versioni basate su X11, eseguite nell'ambiente Wayland tramite il componente XWayland, sono state trasferite in un pacchetto separato firefox-x11.
• La sessione basata su Wayland è attivata per impostazione predefinita per i sistemi con GPU Matrox (in precedenza Wayland non era utilizzato con GPU Matrox a causa di limitazioni e problemi di prestazioni, ora risolti).
• È stata implementata la supporto per le GPU integrate nei processori Intel Core di 12° generazione, inclusi Intel Core i3 12100T — i9 12900KS, Intel Pentium Gold G7400 e G7400T, Intel Celeron G6900 e G6900T, Intel Core i5-12450HX — i9-12950HX e Intel Core i3-1220P — i7-1280P. È stata aggiunta la supporto per GPU AMD Radeon RX 6[345]00 e AMD Ryzen 5/7/9 6[689]00.
• Per gestire l'attivazione della protezione contro le vulnerabilità nel meccanismo MMIO (Memory Mapped Input Output) è implementato un parametro di avvio del kernel "mmio_stale_data", che può assumere i valori "full" (attivazione della pulizia dei buffer durante il passaggio allo spazio utente e nella VM), "full,nosmt" (come "full" + disattivazione aggiuntiva di SMT/Hyper-Threads) e "off" (protezione disattivata).
• Per gestire l'attivazione della protezione contro la vulnerabilità Retbleed è implementato un parametro di avvio del kernel "retbleed", attraverso il quale è possibile disattivare la protezione ("off") o scegliere l'algoritmo di blocco della vulnerabilità (auto, nosmt, ibpb, unret).
• Nel parametro di avvio del kernel acpi_sleep è implementato il supporto per le nuove opzioni per gestire la transizione in modalità di sospensione: s3_bios, s3_mode, s3_beep, s4_hwsig, s4_nohwsig, old_ordering, nonvs, sci_force_enable e nobl.
• Aggiunta una grande quantità di nuovi driver per dispositivi di rete, sistemi di archiviazione e chip grafici.
• Prosegue l'offerta di supporto sperimentale (Technology Preview) per KTLS (implementazione di TLS a livello di kernel), VPN WireGuard, Intel SGX (Software Guard Extensions), Intel IDXD (Data Streaming Accelerator), DAX (Direct Access) per ext4 e XFS, AMD SEV e SEV-ES nel hypervisor KVM, servizio systemd-resolved, gestore di archiviazione Stratis, Sigstore per la verifica dei contenitori tramite firme digitali, pacchetto con l'editor grafico GIMP 2.99.8, impostazioni MPTCP (Multipath TCP) tramite NetworkManager, server ACME (Automated Certificate Management Environment), virtio-mem, hypervisor KVM per ARM64.
• Dichiarato obsoleto il toolkit GTK 2 e i pacchetti associati adwaita-gtk2-theme, gnome-common, gtk2, gtk2-immodules e hexchat. Dichiarato obsoleto X.org Server (di default in RHEL 9 viene offerto un sessione GNOME basata su Wayland), che si prevede di rimuovere nella prossima versione significativa di RHEL, ma verrà mantenuta la possibilità di eseguire applicazioni X11 dalla sessione Wayland tramite il server DDX XWayland.

Fonte: opennet.ru