🥇Rilascio della distribuzione Red Hat Enterprise Linux 9.3

Red Hat ha rilasciato la distribuzione Red Hat Enterprise. Linux 9.3 (il nuovo ramo è stato annunciato la scorsa settimana, ma le note di rilascio sono state pubblicate solo ieri e, prima di allora, il sito mostrava ancora l'indicazione di una versione beta). Un aggiornamento al ramo precedente, RHEL 8.9, è previsto per il 15 novembre. Le immagini di installazione pronte all'uso sono disponibili per gli utenti registrati del Red Hat Customer Portal (è possibile utilizzare anche immagini ISO per valutare le funzionalità). CentOS Stream 9 e build di sviluppo gratuite di RHEL. La release è progettata per le architetture x86_64, s390x (IBM System z), ppc64le e Aarch64 (ARM64).

Il ramo RHEL 9 viene sviluppato con un processo di sviluppo più aperto e utilizza la base di pacchetti come base CentOS Stream 9. CentOS Stream si posiziona come progetto upstream per RHEL, consentendo a contributori di terze parti di controllare lo sviluppo dei pacchetti RHEL, proporre modifiche e influenzare le decisioni. In conformità con il ciclo di supporto decennale della distribuzione, RHEL 9 sarà supportato fino al 2032.

RHEL 9.3 è stata la prima release i cui sorgenti dei pacchetti RPM non erano ospitati in un repository Git pubblico.centosI pacchetti .org sono forniti ai clienti dell'azienda esclusivamente tramite una sezione riservata del sito web, soggetta a un contratto di licenza per l'utente finale (EULA) che vieta la ridistribuzione dei dati, impedendo l'utilizzo di tali pacchetti per la creazione di distribuzioni derivate. Il codice sorgente rimane comunque disponibile nel repository. CentOS Stream è disponibile, ma non è completamente sincronizzato con RHEL e non sempre dispone delle versioni più recenti dei pacchetti che corrispondono a quelle presenti in RHEL. Rocky LinuxOracle e SUSE hanno unito le forze e stanno ora riproducendo il codice sorgente dei pacchetti RPM della release RHEL nell'ambito del progetto OpenELA.

Modifiche chiave in RHEL 9.3:

La versione include nuove versioni di compilatori e strumenti per sviluppatori: GCC Toolset 13, LLVM Toolset 16.0.6, Rust Toolset 1.71.1, Go Toolset 1.20.10, GCC 11.4.1 (compilatore di sistema), Redis 7, Node.js 20, java-21-openjdk (java-17-openjdk, java-11-openjdk e java-1.8.0-openjdk sono ancora disponibili), Valgrind 3.21, SystemTap 4.9, elfutils 0.189, PCP 6.0.5, Grafana 9.2.10.
Pacchetti server e di sistema aggiornati: samba 4.18.6, iproute 6.2.0, Apache httpd 2.4.57 (+ aggiunto modulo mod_authnz_fcgi), SEtools 4.4.3, OpenSCAP 1.3.8, opencryptoki 3.21.0, NetworkManager 1.44, xdp-tools 1.4.0, perf 6.2, dmpd 1.0.2, nvme-cli 2.4, Pacemaker 2.1.6, 389-ds-base 2.3.4.
Il comando "reboot" è stato aggiunto al gestore pacchetti DNF per il riavvio automatico dopo un aggiornamento. Sono disponibili le seguenti modalità: "never" (predefinita) - nessun riavvio, "when-changed" - riavvio dopo qualsiasi aggiornamento (aggiornamento DNF) e "when-needed" - riavvio solo se richiesto dalle modifiche installate (ad esempio, dopo l'installazione di un aggiornamento del kernel o di systemd). Il parametro "--poweroff" è disponibile per lo spegnimento anziché il riavvio.
Sono stati aggiunti nuovi plugin a DNF: "dnf leaves" per mostrare tutti i pacchetti installati che non sono dipendenze di altri pacchetti; "show-leaves" per mostrare i pacchetti simili installati di recente o i pacchetti che non sono più utilizzati come dipendenze dopo una transazione.
Dalla versione più recente del kernel Linux Sono state effettuate le implementazioni dei protocolli SCTP (Stream Control Transmission Protocol) e MPTCP (Multipath TCP).
La piattaforma ARM64 fornisce supporto completo per fotocamere con interfaccia USB, adattatori wireless (Wi-Fi) e Bluetooth.
È fornito il supporto completo per le schede grafiche discrete Intel Arc A-Series (Alchemist o DG2).
L'implementazione del sottosistema eBPF è sincronizzata con il kernel Linux 6.3
Sono stati aggiunti strumenti di gestione dell'archiviazione locale Stratis, che forniscono funzionalità quali allocazione dinamica dell'archiviazione, snapshot, garanzia dell'integrità e livelli di memorizzazione nella cache.
systemd-udevd è stato aggiornato per consentire l'assegnazione di nomi persistenti alle interfacce di rete InfiniBand.
Postfix è in grado di controllare i record DNS SRV per determinare l'host e la porta del server di posta che verranno utilizzati per trasmettere i messaggi. La funzionalità proposta può essere utilizzata in infrastrutture che utilizzano servizi con numeri di porta di rete allocati dinamicamente per recapitare i messaggi di posta.
Il pacchetto cups-filters è stato aggiornato con un driver LF-to-CRLF che può essere utilizzato per convertire i caratteri "\n" (avanzamento riga) in "\r\n" (avanzamento riga di ritorno a capo) per le stampanti che supportano solo l'elaborazione di file con avanzamenti riga "\r\n".
FUSE3 aggiunge la possibilità di invalidare una voce di directory senza smontare automaticamente i punti di montaggio associati a tale voce.
NetworkManager ora supporta l'opzione "no-aaaa" in resolv.conf, che disabilita le query DNS per i record AAAA (risoluzione degli indirizzi IPv6 basata sul nome host). È stato aggiunto il supporto per l'opzione "lacp_active" per controllare l'elaborazione dei frame LACPDU (Link Aggregation Control Protocol Data Unit). NetworkManager ora si riavvia dopo il riavvio del servizio dbus. Viene ora visualizzata una notifica quando si utilizza il vecchio formato di configurazione ifcfg per i profili di connessione. È stato aggiunto il supporto per le seguenti proprietà: link.tx-queue-length, link.gro-max-size, link.gso-max-segments e link.gso-max-size.
NetworkManager consente impostazioni sia statiche che dinamiche (DHCP) per la stessa interfaccia di rete. Ad esempio, nmstate può essere utilizzato per impostare un indirizzo statico per un'interfaccia con DHCP abilitato. nmstate consente inoltre di associare le impostazioni a un'interfaccia di rete tramite l'indirizzo MAC, anziché tramite il nome dell'interfaccia.
Supporto hardware esteso. Aggiunto supporto per CPU ARM64 NVIDIA Grace. Dal kernel Linux La versione 6.2 ha implementato il driver Intel QAT con supporto per i dispositivi Intel Quick Assist Technology 401xx/402xx.
Per proteggersi dagli attacchi Spectre v2 correlati all'esecuzione speculativa delle istruzioni, è stata aggiunta la modalità AutoIBRS (Automatic Indirect Branch Restricted Speculation), supportata nelle CPU AMD a partire dalla famiglia EPYC 9004 Genoa.
I container ora hanno la possibilità di utilizzare chip virtuali per l'archiviazione delle chiavi crittografiche (vTPM), implementati sulla base di un TPM (Trusted Platform Module) fisico comune.
LVM ora supporta le partizioni logiche vmcore per i dump del kernel creati dal sottosistema kdump.
Il parametro "inst.wait_for_disks" è stato aggiunto agli assembly di installazione. Questo parametro specifica il tempo di attesa per il caricamento di un file kickstart o per la disponibilità dei driver durante il processo di avvio.
Il programma di installazione per i sistemi ARM ora offre la possibilità di selezionare la versione del kernel da installare (ad esempio, con pagine di memoria da 64 KB). Il pacchetto s390utils-base è stato rimosso dalla modalità di installazione minima, lasciando solo s390utils-core.
Il generatore di immagini RHEL ora supporta la generazione di file OVA per VMware vSphere.
Nei file kickstart, sono state aggiunte le nuove opzioni "--ipv4-dns-search" e "--ipv6-dns-search" al comando network per specificare i domini di base per la direttiva "search" in /etc/resolv.conf, nonché le opzioni "--ipv4-ignore-auto-dns" e "--ipv6-ignore-auto-dns" per ignorare la ricezione delle impostazioni DNS tramite DHCP.
Supporto migliorato per l'estensione TLS EMS (Extended Master Secret, RFC 7627), necessaria per garantire la conformità FIPS-140-3 nelle connessioni basate su TLS 1.2.
OpenSSH ha iniziato a deprecare i suoi algoritmi hash basati su SHA-1 in favore di SHA-2. Se server Le chiavi basate su SHA-1 mancanti in sshd ora utilizzeranno solo SHA-2 per verificare le chiavi host, il che potrebbe causare incompatibilità con RHEL 8 e client precedenti.
OpenSSL aggiunge il supporto per la configurazione dei parametri della curva ellittica sicura Brainpool e implementa la protezione contro gli attacchi di decrittazione RSA basandosi sulla misurazione dei tempi di esecuzione delle operazioni utilizzando varianti del metodo Bleichenbacher.
RPCSEC GSS Kerberos V5 aggiunge il supporto per i metodi di crittografia camellia128-cts-cmac, camellia256-cts-cmac, aes128-cts-hmac-sha256-128 e aes256-cts-hmac-sha384-192.
Gli strumenti di audit sono stati aggiornati per supportare gli eventi FANOTIFY e ora vengono registrati i seguenti campi: fan_type (tipo di evento), fan_info (informazioni correlate), sub_trust e obj_trust (livelli di attendibilità per l'oggetto e il soggetto dell'evento). Per semplificare il debug, il servizio fapolicyd ora supporta il passaggio dei numeri di regola per le richieste rifiutate all'API fanotify.
È stato aggiunto un ruolo di sistema per il toolkit Keylime, semplificando la configurazione del registrar e del verificatore Keylime, utilizzato per confermare l'autenticità e monitorare costantemente l'integrità di un sistema esterno. Ad esempio, può essere utilizzato per verificare l'autenticità di dispositivi edge e IoT situati in un luogo non controllato, dove è possibile l'accesso non autorizzato. Questa versione sfrutta la nuova versione Keylime 7.3.
È stato aggiunto un ruolo di sistema per la gestione e l'installazione delle unità systemd. È stato aggiunto un ruolo di sistema per l'installazione, la configurazione, la gestione e l'avvio del database PostgreSQL. Il ruolo di sistema firewall ora supporta la definizione, la modifica e l'eliminazione degli ipset.
Nel sud-estLinux È stata aggiunta l'opzione virt_qemu_ga_run_unconfined, che consente al processo qemu-ga (QEMU Guest Agent) di eseguire comandi in modalità non vincolata (dominio unconfined_t) come mount, che originariamente erano limitati tramite SE.LinuxPolitiche SE aggiunteLinux per proteggere i servizi qat, systemd-pstore, boothd, fdo-manufacturing-server, fdo-rendezvous-server, fdo-client-linuxapp e fdo-owner-onboarding-server.
Aggiunto supporto per strumenti di virtualizzazione per la quarta generazione di processori Intel Xeon Scalable (Sapphire Rapids), che consente di utilizzare il modello di CPU SapphireRapids nelle macchine virtuali e di sfruttare le funzionalità di virtualizzazione avanzate disponibili in questi processori.
Podman ora supporta i container compressi utilizzando l'algoritmo zstd. I quadlet possono ora essere utilizzati per generare automaticamente servizi systemd dalle definizioni dei container. È stata aggiunta la shell podmansh, che può essere utilizzata al posto di /usr/bin/bash per avviare una sessione utente in un container. Podman, Buildah, Skopeo, crun e runc sono stati aggiornati.
Aggiunti nuovi parametri della riga di comando del kernel:
- amd_pstate per la gestione delle modalità di alimentazione della CPU AMD;
- arm64.nosve per disabilitare SVE (Scalable Vector Extension);
- arm64.nosme per disabilitare SME (Scalable Matrix Extension);
- gather_data_sampling per controllare la modalità di protezione dagli attacchi GDS (Gather Data Sampling o Downfall);
- nospectre_bhb per disabilitare la protezione Spectre-BHB;
- trace_clock per impostare il timer dell'evento di traccia.
Funzionalità estese per cluster e sistemi fault-tolerant: l'agente LVM-activate ora supporta il failover di gruppi di partizioni privi di partizioni fisiche. Il supporto per il routing delle policy è stato aggiunto agli agenti di risorse cluster IPaddr2 e IPsrcaddr. Il supporto per EFS (Amazon Elastic File System) è stato aggiunto all'agente ocf:heartbeat:Filesystem.
Sono state aggiunte nuove immagini container con impostazioni FDO (FIDO Device Onboard): fdo-manufacturing-server, fdo-owner-onboarding-server, fdo-rendezvous-server e fdo-serviceinfo-api-server. È stata aggiunta una nuova immagine container rhel9/squid con un server proxy Squid. L'edizione "RHEL for Edge" ora supporta i nuovi tipi di immagine "minimal-raw", "edge-vsphere" (*.vmdk) e "edge-ami" (*.ami).
È stato aggiunto il supporto per l'avvio in modalità UEFI alle immagini AMI per gli ambienti cloud AWS EC2.
Per lavorare con le smart card e i token USB CCID (Chip Card Interface Device) e ICCD (Integrated Circuit Card Device), viene utilizzata la nuova versione del driver pcsc-lite-ccid 1.5.2, che risolve i problemi con il controller Alcor Micro AU9560 e aggiunge il supporto per i nuovi lettori di smart card.
I pacchetti initial-setup e pmdk (Persistent Memory Development Kit) sono stati deprecati.
Aggiunto supporto sperimentale per i protocolli PRP (Parallel Redundancy Protocol) e HSR (High-availability Seamless Redundancy).
Aggiunta la capacità sperimentale per l'accelerazione hardware di IPsec spostando le operazioni di incapsulamento dei pacchetti sul lato della scheda di rete.
Aggiunto supporto sperimentale per SRv6 (Segment Routing over IPv6).
L'implementazione sperimentale di kTLS (TLS a livello di kernel) è stata sincronizzata con il kernel 6.3. È stato aggiunto il supporto per l'utilizzo di kTLS per accelerare GnuTLS.
È stato aggiunto il supporto sperimentale per l'interfaccia di I/O asincrona io_uring. Supporta il polling di I/O e la possibilità di lavorare con I/O sia bufferizzato che non bufferizzato. Nell'API io_uring, gli sviluppatori del kernel hanno tentato di risolvere le carenze della vecchia interfaccia aio. In termini di prestazioni, io_uring è molto simile a SPDK e supera significativamente libaio quando funziona con il polling abilitato.
È stato aggiunto a IdM (Identity Management) il supporto sperimentale per il protocollo di gestione dei certificati ACME (Automated Certificate Management Environment), utilizzato dall'autorità di certificazione Let's Encrypt.
Podman ora dispone di una funzionalità sperimentale per utilizzare un backend di archiviazione basato su SQLite (invece di BoltDB).
Fornitura continua di supporto sperimentale (Anteprima tecnologica):
VPN WireGuard,
Intel SGX (estensioni Software Guard),
Intel IDXD (acceleratore di streaming dati),
DAX (accesso diretto) per ext4 e XFS,
AMD SEV e SEV-ES nell'hypervisor KVM,
servizio risolto da systemd,
Meccanismo Sigstore per verificare i contenitori utilizzando firme digitali,
pacchetto con editor grafico GIMP 2.99.8,
Impostazioni MPTCP (Multipath TCP) tramite NetworkManager,
DNSSEC nell'IdM,
virtio-mem
Hypervisor KVM per ARM64,
installazioni su NVMe su Fibre Channel,
API socket per TuneD,
Soft-iWARP (protocollo Internet Wide Area RDMA),
GNOME per ARM64 e IBM Z.

Fonte: opennet.ru