Rilascio della distribuzione Red Hat Enterprise Linux 9.1

L'azienda Red Hat ha rilasciato la distribuzione Red Hat Enterprise Linux 9.1. Le immagini di installazione pronte sono disponibili per gli utenti registrati del Red Hat Customer Portal (per valutare le funzionalità è possibile utilizzare anche le immagini iso di CentOS Stream 9). Il rilascio è stato creato per le architetture x86_64, s390x (IBM System z), ppc64le e Aarch64 (ARM64). I codici sorgente dei pacchetti rpm di Red Hat Enterprise Linux 9 sono disponibili nel repository Git di CentOS.

La branch RHEL 9 si sviluppa con un processo di sviluppo più aperto e utilizza come base il pacchetto di CentOS Stream 9. CentOS Stream è posizionato come progetto upstream per RHEL, consentendo a terzi di controllare la preparazione dei pacchetti per RHEL, proporre le proprie modifiche e influenzare le decisioni adottate. In conformità con il ciclo di supporto di 10 anni, RHEL 9 sarà supportato fino al 2032.

Principali modifiche:

• Aggiornati i pacchetti server e di sistema: firewalld 1.1.1, chrony 4.2, unbound 1.16.2, frr 8.2.2, Apache httpd 2.4.53, opencryptoki 3.18.0, powerpc-utils 1.3.10, libvpd 2.2.9, lsvpd 1.7.14, ppc64-diag 2.7, PCP 5.3.7, Grafana 7.5.13, samba 4.16.1.
• Sono inclusi nuovi versioni dei compilatori e degli strumenti per sviluppatori: GCC 11.2.1, GCC Toolset 12, LLVM Toolset 14.0.6, binutils 2.35.2, PHP 8.1, Ruby 3.1, Node.js 18, Rust Toolset 1.62, Go Toolset 1.18.2, Maven 3.8, java-17-openjdk (sono ancora forniti anche java-11-openjdk e java-1.8.0-openjdk), .NET 7.0, GDB 10.2, Valgrind 3.19, SystemTap 4.7, Dyninst 12.1.0, elfutils 0.187.
• Nel sottosistema eBPF (Berkeley Packet Filter) sono state implementate delle migliorie realizzate nei kernel Linux 5.15 e 5.16. Ad esempio, per i programmi BPF è stata introdotta la possibilità di richiedere e gestire eventi del timer, di ottenere e impostare opzioni per i socket tramite setsockopt, il supporto per la chiamata di funzioni dei moduli del kernel, è stata proposta una struttura dati probabilistica (BPF map) di tipo bloom filter, e aggiunta la possibilità di associare tag ai parametri delle funzioni.
• Il pacchetto di patch per sistemi in tempo reale, utilizzato nel kernel kernel-rt, è stato aggiornato allo stato corrispondente al kernel 5.15-rt.
• È stata aggiornata l'implementazione del protocollo MPTCP (MultiPath TCP), utilizzato per gestire le connessioni TCP con la consegna dei pacchetti simultaneamente su più percorsi attraverso diverse interfacce di rete. Le modifiche sono state trasferite dal kernel Linux 5.19 (ad esempio, è stata aggiunta la supporto per il rollback delle connessioni MPTCP a TCP normale e un'API per gestire i flussi MPTCP dallo spazio utente).
• Sui sistemi con processori ARM, AMD e Intel a 64 bit è disponibile la possibilità di modificare il funzionamento della modalità Real-Time nel kernel durante il funzionamento, registrando il nome della modalità nel file "/sys/kernel/debug/sched/preempt" o durante il caricamento tramite il parametro del kernel "preempt=" (sono supportate le modalità none, voluntary e full).
• Le impostazioni del bootloader GRUB sono state modificate per nascondere il menu di avvio per impostazione predefinita, mentre il menu viene visualizzato se l'ultimo avvio ha avuto esito negativo. Per visualizzare il menu durante l'avvio, puoi tenere premuto il tasto Shift o premere ripetutamente i tasti Esc o F8. Per disattivare la funzione di occultamento, puoi utilizzare il comando "grub2-editenv — unset menu_auto_hide".
• Nel driver PTP (Precision Time Protocol) è stata aggiunta la supporto per la creazione di orologi hardware virtuali (PHC, PTP Hardware Clocks).
• È stato aggiunto il comando modulesync, che carica i pacchetti RPM dai moduli e crea nella directory di lavoro un repository con i metadati necessari per l'installazione dei pacchetti modulari.
• In tuned, a service for monitoring system status and optimizing profiles for maximum performance based on current load, the use of the tuned-profiles-realtime package has been provided to isolate CPU cores and allocate all available resources to application threads.
• In NetworkManager, connection profiles can be migrated from the ifcfg settings format (/etc/sysconfig/network-scripts/ifcfg-*) to a keyfile-based format. You can use the command "nmcli connection migrate" for profile migration.
• The SELinux toolkit has been updated to release 3.4, which enhances performance for relabeling operations through parallelization. The semodule utility has added the "-m" ("--checksum") option to produce SHA256 hashes for modules, and mcstrans has been transitioned to the PCRE2 library. New utilities for access policies have been added: sepol_check_access, sepol_compute_av, sepol_compute_member, sepol_compute_relabel, sepol_validate_transition. SELinux policies have been introduced for protecting services such as ksm, nm-priv-helper, rhcd, stalld, systemd-network-generator, targetclid, and wg-quick.
• È stata introdotta la possibilità di utilizzare il client Clevis (clevis-luks-systemd) per sbloccare automaticamente le partizioni disco criptate con LUKS e montate in una fase avanzata di avvio, senza la necessità di utilizzare il comando «systemctl enable clevis-luks-askpass.path».
• Sono state ampliate le possibilità dello strumento per la preparazione delle immagini di sistema, che ora supporta il caricamento delle immagini su GCP (Google Cloud Platform), l'inserimento diretto dell'immagine nel registro dei contenitori, la configurazione delle dimensioni della partizione /boot e la modifica delle impostazioni (Blueprint) durante la generazione dell'immagine (ad esempio, aggiunta di pacchetti e creazione di utenti).
• È stato aggiunto lo strumento keylime per l'attestazione (verifica dell'autenticità e monitoraggio continuo dell'integrità) di un sistema esterno, utilizzando la tecnologia TPM (Trusted Platform Module), ad esempio, per garantire l'autenticità di device Edge e IoT situati in luoghi non controllati, dove potrebbe esserci accesso non autorizzato.
• Nella versione «RHEL for Edge» è stata introdotta la possibilità di utilizzare lo strumento fdo-admin per configurare i servizi FDO (FIDO Device Onboard) e creare i certificati e le chiavi per essi.
• In SSSD (System Security Services Daemon) è stato aggiunto il supporto per la memorizzazione nella cache delle richieste SID (ad esempio, verifica GID/UID) in memoria, il che ha permesso di accelerare le operazioni di copia di un gran numero di file tramite server Samba. È stato garantito il supporto per l'integrazione con Windows Server 2022.
• In OpenSSH, the minimum size of RSA keys is defaulted to 2048 bits, while the NSS libraries have discontinued support for RSA keys smaller than 1023 bits. To configure custom restrictions in OpenSSH, the RequiredRSASize parameter has been added. Support for the key exchange method sntrup761x25519-sha512@openssh.com, resilient against quantum computer attacks, has been included.
• Nell'insieme di strumenti ReaR (Relax-and-Recover) è stata aggiunta la possibilità di eseguire comandi arbitrari prima e dopo il ripristino.
• Nel driver per gli adattatori Ethernet Intel E800 è stata implementata la supporto per i protocolli iWARP e RoCE.
• A new package, httpd-core, has been introduced, moving the basic set of Apache httpd components necessary to run an HTTP server with minimal dependencies. Additional modules such as mod_systemd and mod_brotli have been added to the httpd package, along with included documentation.
• A new package, xmlstarlet, has been introduced, containing utilities for parsing, transforming, validating, extracting data, and editing XML files, similar to grep, sed, awk, diff, patch, and join, but specifically for XML rather than text files.
• Le capacità dei ruoli di sistema sono state ampliate. Ad esempio, nel ruolo di rete è stata aggiunta la possibilità di configurare le regole di routing e utilizzare l'API nmstate; nel ruolo di logging è stata introdotta la filtrazione tramite espressioni regolari (startmsg.regex, endmsg.regex); nel ruolo di storage è stata aggiunta la possibilità di gestire partizioni con allocazione dinamica nello storage (“thin provisioning”); nel ruolo di sshd è stata introdotta la gestione tramite /etc/ssh/sshd_config; nel ruolo metrics è stato incluso l'export delle statistiche sulle prestazioni di Postfix; nel ruolo di firewall è stata realizzata la possibilità di sovrascrivere la configurazione precedente e fornita possibilità di aggiungere, aggiornare e rimuovere servizi in base allo stato.
• È stato aggiornato l'insieme di strumenti per la gestione dei container isolati, includendo pacchetti come Podman, Buildah, Skopeo, crun e runc. È stata aggiunta la compatibilità con GitLab Runner nei container con runtime Podman. Per configurare la sottosistema di rete dei container è stato fornito lo strumento netavark e il server DNS Aardvark.
• In mdevctl è stata aggiunta la supporto per il comando ap-check per la configurazione del bypass per macchine virtuali l'accesso ai crittoacceleratori.
• È stata aggiunta una funzionalità preliminare (Technology Preview) per l'autenticazione degli utenti utilizzando fornitori esterni (IdP, identity provider) che supportano l'estensione del protocollo OAuth 2.0 «Device Authorization Grant» per fornire token di accesso OAuth a dispositivi senza l'uso del browser.
• Per la sessione GNOME basata su Wayland, sono disponibili versioni di Firefox che utilizzano Wayland. Le versioni basate su X11, eseguite nell'ambiente Wayland tramite il componente XWayland, sono state trasferite in un pacchetto separato firefox-x11.
• La session basata su Wayland è attivata di default per i sistemi con GPU Matrox (in precedenza Wayland non era utilizzato con GPU Matrox a causa di limitazioni e problemi di performance, che ora sono stati risolti).
• È stato implementato il supporto per le GPU integrate nei processori Intel Core di dodicesima generazione, inclusi Intel Core i3 12100T – i9 12900KS, Intel Pentium Gold G7400 e G7400T, Intel Celeron G6900 e G6900T, Intel Core i5-12450HX – i9-12950HX e Intel Core i3-1220P – i7-1280P. È stato aggiunto il supporto per le GPU AMD Radeon RX 6[345]00 e AMD Ryzen 5/7/9 6[689]00.
• Per gestire l'attivazione della protezione contro le vulnerabilità nel meccanismo MMIO (Memory Mapped Input Output) è stato implementato il parametro del kernel all'avvio "mmio_stale_data", che può assumere valori "full" (attivazione della pulizia dei buffer al passaggio nello spazio utente e nella VM), "full,nosmt" (come "full" + disattivazione aggiuntiva di SMT/Hyper-Threads) e "off" (protezione disattivata).
• Per gestire l'attivazione della protezione contro la vulnerabilità Retbleed è stato implementato il parametro del kernel all'avvio "retbleed", tramite il quale è possibile disattivare la protezione ("off") o scegliere l'algoritmo di bloccaggio della vulnerabilità (auto, nosmt, ibpb, unret).
• Nel parametro di avvio del kernel acpi_sleep è stata implementata il supporto per nuove opzioni di gestione della sospensione: s3_bios, s3_mode, s3_beep, s4_hwsig, s4_nohwsig, old_ordering, nonvs, sci_force_enable e nobl.
• È stata aggiunta una grande quantità di nuovi driver per dispositivi di rete, sistemi di archiviazione e chip grafici.
• Continuato il supporto sperimentale (Technology Preview) per KTLS (implementazione di TLS a livello di kernel), VPN WireGuard, Intel SGX (Software Guard Extensions), Intel IDXD (Data Streaming Accelerator), DAX (Direct Access) per ext4 e XFS, AMD SEV e SEV-ES nel hypervisor KVM, servizio systemd-resolved, gestore di storage Stratis, Sigstore per la verifica dei contenitori tramite firme digitali, pacchetto del editor grafico GIMP 2.99.8, configurazioni MPTCP (Multipath TCP) tramite NetworkManager, server ACME (Automated Certificate Management Environment), virtio-mem, hypervisor KVM per ARM64.
• È stata dichiarata obsoleta la toolkit GTK 2 e i pacchetti ad essa associati adwaita-gtk2-theme, gnome-common, gtk2, gtk2-immodules e hexchat. È stato dichiarato obsoleto il server X.org (di default in RHEL 9 viene offerta una sessione GNOME basata su Wayland), che è previsto venga rimosso nella prossima versione importante di RHEL, ma sarà mantenuta la possibilità di eseguire applicazioni X11 dalla sessione Wayland tramite il server DDX XWayland.

Fonte: opennet.ru