🥇De release van de distributie Red Hat Enterprise Linux 9.1

Red Hat heeft de release van de distributie Red Hat Enterprise Linux 9.1 aangekondigd. De kant-en-klare installatiedistributies zijn beschikbaar voor geregistreerde gebruikers van het Red Hat Customer Portal (de ISO-images van CentOS Stream 9 kunnen ook worden gebruikt om functionaliteit te evalueren). De release is gemaakt voor de architecturen x86_64, s390x (IBM System z), ppc64le en Aarch64 (ARM64). De bronnen van de RPM-pakketten van Red Hat Enterprise Linux 9 zijn geplaatst in de Git-repository van CentOS.

De RHEL 9-tak ontwikkelt zich met een opener ontwikkelingsproces en gebruikt de pakketbasis van CentOS Stream 9 als basis. CentOS Stream wordt gepositioneerd als een upstream-project voor RHEL, dat externe deelnemers in staat stelt om de voorbereiding van pakketten voor RHEL te controleren, wijzigingen voor te stellen en invloed uit te oefenen op de genomen beslissingen. In overeenstemming met de 10-jarige ondersteuningscyclus van de distributie zal RHEL 9 worden ondersteund tot 2032.

Belangrijkste wijzigingen:

De server- en systeempakketten zijn bijgewerkt: firewalld 1.1.1, chrony 4.2, unbound 1.16.2, frr 8.2.2, Apache httpd 2.4.53, opencryptoki 3.18.0, powerpc-utils 1.3.10, libvpd 2.2.9, lsvpd 1.7.14, ppc64-diag 2.7, PCP 5.3.7, Grafana 7.5.13, samba 4.16.1.
Nieuwe versies van compilers en ontwikkelaarstools zijn opgenomen: GCC 11.2.1, GCC Toolset 12, LLVM Toolset 14.0.6, binutils 2.35.2, PHP 8.1, Ruby 3.1, Node.js 18, Rust Toolset 1.62, Go Toolset 1.18.2, Maven 3.8, java-17-openjdk (java-11-openjdk en java-1.8.0-openjdk worden ook nog steeds aangeboden), .NET 7.0, GDB 10.2, Valgrind 3.19, SystemTap 4.7, Dyninst 12.1.0, elfutils 0.187.
De eBPF-subsysteem (Berkeley Packet Filter) heeft verbeteringen gekregen die zijn geïmplementeerd in de Linux-kernen 5.15 en 5.16. Bijvoorbeeld, voor BPF-programma's is de mogelijkheid toegevoegd om gebeurtenissen van timer op te vragen en te verwerken, en het is mogelijk om socketopties voor setsockopt te verkrijgen en in te stellen, ondersteuning voor het aanroepen van kernelmodulefuncties is toegevoegd, er is een probabilistische datastructuur (BPF-map) bloom filter voorgesteld, en de mogelijkheid om tags aan functieparameters te binden is toegevoegd.
Een set patches voor real-time systemen, toegepast in de kernel kernel-rt, is bijgewerkt naar de status die overeenkomt met kernel 5.15-rt.
De implementatie van het MPTCP-protocol (MultiPath TCP) is bijgewerkt, wat wordt gebruikt voor het organiseren van TCP-verbindingen met gelijktijdige pakketlevering via meerdere routes over verschillende netwerkinterfaces. Wijzigingen zijn overgenomen uit de Linux-kernel 5.19 (bijvoorbeeld ondersteuning voor het terugvallen van MPTCP-verbindingen naar gewone TCP en een API is voorgesteld voor het beheren van MPTCP-stromen vanuit de gebruikersruimte).
Op systemen met 64-bits ARM-, AMD- en Intel-processors is het mogelijk om het gedrag van de Real-Time-modus in de kernel tijdens de werking te wijzigen door de naam van de modus naar het bestand "\/sys\/kernel\/debug\/sched\/preempt" te schrijven of tijdens het opstarten via de kernelparameter "preempt=" (de modi none, voluntary en full worden ondersteund).
De GRUB-bootloaderinstellingen zijn gewijzigd om het opstartmenu standaard te verbergen, waarbij het menu wordt weergegeven als de vorige opstartpoging is mislukt. Om het menu tijdens het opstarten weer te geven, kunt u de Shift-toets ingedrukt houden of regelmatig de toetsen Esc of F8 indrukken. Om het verbergen uit te schakelen, kunt u het commando «grub2-editenv — unset menu_auto_hide» gebruiken.
De PTP (Precision Time Protocol) driver is uitgebreid met ondersteuning voor het creëren van virtuele hardwareklokken (PHC, PTP Hardware Clocks).
De modulesync-opdracht is toegevoegd, die RPM-pakketten uit modules laadt en een repository met metadata maakt die nodig is voor de installatie van modulepakketten in de werkdirectory.
In tuned, de service voor het volgen van de systeemsstatus en het optimaliseren van profielen om maximale prestaties te bereiken onder rekening van de huidige belasting, is de mogelijkheid toegevoegd om het tuned-profiles-realtime-pakket te gebruiken voor het isoleren van CPU-kernen en het beschikbaar stellen van alle beschikbare middelen aan de applicatiestromen.
In NetworkManager is de omzetting van verbindingsprofielen van het ifcfg-configuratieformaat ( /etc/sysconfig/network-scripts/ifcfg-* ) naar het keyfile-gebaseerde indeling geïmplementeerd. Voor het migreren van profielen kan het commando «nmcli connection migrate» worden gebruikt.
De SELinux-toolkit is bijgewerkt naar versie 3.4, waarin de prestaties van het opnieuw labelen (relabel) zijn verbeterd door operaties te paralleliseren. In de semodule-tool is de optie «-m» («—checksum») toegevoegd voor het verkrijgen van SHA256-hashes van modules, en mcstrans is overgezet naar de PCRE2-bibliotheek. Nieuwe hulpmiddelen voor het werken met toegangsbeleid zijn toegevoegd: sepol_check_access, sepol_compute_av, sepol_compute_member, sepol_compute_relabel, sepol_validate_transition. SELinux-beleidsregels zijn toegevoegd ter bescherming van de diensten ksm, nm-priv-helper, rhcd, stalld, systemd-network-generator, targetclid en wg-quick.
De mogelijkheid is geboden om de Clevis-client (clevis-luks-systemd) te gebruiken voor het automatisch ontgrendelen van schijfpartities die zijn versleuteld met LUKS en laat in het opstartproces worden gemonteerd, zonder dat het commando «systemctl enable clevis-luks-askpass.path» hoeft te worden gebruikt.
De functionaliteit van de toolkit voor het voorbereiden van systeeme afbeeldingen is uitgebreid, waarbij ondersteuning is toegevoegd voor het opstarten van afbeeldingen in GCP (Google Cloud Platform), het rechtstreeks in de container registry plaatsen van afbeeldingen, het instellen van de partitiegrootte /boot en het aanpassen van parameters (Blueprint) tijdens het genereren van de afbeelding (bijvoorbeeld het toevoegen van pakketten en het creëren van gebruikers).
De keylime-tool is toegevoegd voor de attestatie (authenticiteit en continue integriteitstoezicht) van externe systemen, met behulp van TPM-technologie (Trusted Platform Module), bijvoorbeeld om de authenticiteit van Edge- en IoT-apparaten te verifiëren die zich op ongecontroleerde locaties bevinden waar ongeautoriseerde toegang mogelijk is.
In de 'RHEL for Edge'-editie is de mogelijkheid toegevoegd om de fdo-admin-tool te gebruiken voor het configureren van FDO (FIDO Device Onboard) services en het aanmaken van certificaten en sleutels voor deze services.
In SSSD (System Security Services Daemon) is ondersteuning voor caching van SID-verzoeken (bijvoorbeeld GID/UID-controles) in het RAM toegevoegd, wat heeft geleid tot snellere kopieeroperaties van een groot aantal bestanden via de Samba-server. Integratie met Windows Server 2022 is mogelijk gemaakt.
In OpenSSH is de minimale standaardgrootte voor RSA-sleutels begrensd tot 2048 bits, en in de NSS-bibliotheken is de ondersteuning voor RSA-sleutels van minder dan 1023 bits stopgezet. Om eigen beperkingen in OpenSSH in te stellen, is de parameter RequiredRSASize toegevoegd. Er is ondersteuning toegevoegd voor de sleuteluitwisselingsmethode sntrup761x25519-sha512@openssh.com, die bestand is tegen aanvallen met kwantumcomputers.
In de ReaR (Relax-and-Recover) toolkit is de mogelijkheid toegevoegd om willekeurige commando's voor en na herstel uit te voeren.
In de driver voor Intel E800 Ethernet-adapters is ondersteuning geïmplementeerd voor de iWARP- en RoCE-protocollen.
Er is een nieuw package httpd-core toegevoegd, waarin de basisset van Apache httpd-componenten is verplaatst die nodig zijn voor het draaien van een HTTP-server en die is gerelateerd aan een minimaal aantal afhankelijkheden. Aan het httpd-pakket zijn extra modules toegevoegd, zoals mod_systemd en mod_brotli, en documentatie is inbegrepen.
Er is een nieuw package xmlstarlet toegevoegd, dat tools bevat voor het parseren, transformeren, valideren, extraheren van gegevens en bewerken van XML-bestanden, vergelijkbaar met grep, sed, awk, diff, patch en join, maar niet voor tekstbestanden, maar voor XML.
De mogelijkheden van systeemrollen zijn uitgebreid, bijvoorbeeld is in de rol network ondersteuning toegevoegd voor het configureren van routeringsregels en het gebruik van de API nmstate, is in de rol logging ondersteuning toegevoegd voor het filteren op reguliere expressies (startmsg.regex, endmsg.regex), is in de rol storage ondersteuning toegevoegd voor secties waarvoor dynamisch opslagruimte in het opslagmedium wordt toegewezen ("thin provisioning"), is in de rol sshd de mogelijkheid toegevoegd om te beheren via /etc/ssh/sshd_config, is in de rol metrics de export van statistieken over de prestaties van Postfix geïmplementeerd, en in de rol firewall is de mogelijkheid gerealiseerd om de vorige configuratie opnieuw te schrijven en ondersteuning geboden voor het toevoegen, bijwerken en verwijderen van services afhankelijk van de status.
De gereedschappen voor het beheren van geïsoleerde containers zijn bijgewerkt, waaronder pakketten zoals Podman, Buildah, Skopeo, crun en runc. Ondersteuning voor GitLab Runner in containers met runtime Podman is toegevoegd. Voor de configuratie van het netwerksysteem van containers is de tool netavark en de DNS-server Aardvark beschikbaar gesteld.
In mdevctl is ondersteuning voor het commando ap-check toegevoegd voor de configuratie van doorsturen naar virtuele machines toegang tot crypto-accelerators.
Een voorlopige (Technology Preview) mogelijkheid voor gebruikersauthenticatie met behulp van externe aanbieders (IdP, identity provider) die de OAuth 2.0-uitbreiding "Device Authorization Grant" ondersteunen voor het verlenen van OAuth-toegangstokens aan apparaten zonder gebruik van een browser, is toegevoegd.
Voor de GNOME-sessie op basis van Wayland zijn Firefox-builds beschikbaar gesteld die Wayland gebruiken. Buildversies op basis van X11, die uitgevoerd worden in een Wayland-omgeving met behulp van de XWayland-component, zijn in een apart pakket firefox-x11 geplaatst.
De Wayland-sessie is standaard geactiveerd voor systemen met GPU Matrox (voorheen werd Wayland niet gebruikt met GPU Matrox vanwege beperkingen en prestatieproblemen die nu zijn opgelost).
Ondersteuning is geïmplementeerd voor GPU's die zijn geïntegreerd in Intel Core-processors van de 12e generatie, inclusief Intel Core i3 12100T — i9 12900KS, Intel Pentium Gold G7400 en G7400T, Intel Celeron G6900 en G6900T, Intel Core i5-12450HX — i9-12950HX en Intel Core i3-1220P — i7-1280P. Ondersteuning voor GPU AMD Radeon RX 6[345]00 en AMD Ryzen 5/7/9 6[689]00 is toegevoegd.
Voor het beheren van de inschakeling van de bescherming tegen kwetsbaarheden in het MMIO (Memory Mapped Input Output)-mechanisme is de opstartparameter van de kernel "mmio_stale_data" geïmplementeerd, die de waarden "full" (inschakeling van het wissen van buffers bij overgang naar de gebruikersruimte en in VM), "full,nosmt" (zoals "full" + daarnaast SMT/Hyper-Threads uitschakelen) en "off" (bescherming uitgeschakeld) kan aannemen.
Om de bescherming tegen de kwetsbaarheid Retbleed te beheren, is er een opstartparameter voor de kernel «retbleed» geïmplementeerd, waarmee de bescherming kan worden uitgeschakeld («off») of een algoritme voor het blokkeren van de kwetsbaarheid kan worden gekozen (auto, nosmt, ibpb, unret).
In de opstartparameter van de kernel acpi_sleep zijn nieuwe opties geïmplementeerd voor het beheren van de slaapmodus: s3_bios, s3_mode, s3_beep, s4_hwsig, s4_nohwsig, old_ordering, nonvs, sci_force_enable en nobl.
Een grote hoeveelheid nieuwe stuurprogramma's voor netwerkapparaten, opslagsystemen en grafische chips is toegevoegd.
De experimentele (Technology Preview) ondersteuning voor KTLS (TLS-implementatie op kernel niveau) is voortgezet. VPN WireGuard, Intel SGX (Software Guard Extensions), Intel IDXD (Data Streaming Accelerator), DAX (Direct Access) voor ext4 en XFS, AMD SEV en SEV-ES in de hypervisor KVM, de service systemd-resolved, de opslagbeheerder Stratis, Sigstore voor containerverificatie via digitale handtekeningen, het pakket met grafische editor GIMP 2.99.8, MPTCP (Multipath TCP) instellingen via NetworkManager, ACME-server (Automated Certificate Management Environment), virtio-mem, hypervisor KVM voor ARM64.
De GTK 2-toolkit en de bijbehorende pakketten adwaita-gtk2-theme, gnome-common, gtk2, gtk2-immodules en hexchat zijn verouderd verklaard. De X.org Server (standaard wordt in RHEL 9 een GNOME-sessie op basis van Wayland aangeboden) is verouderd verklaard en zal in de volgende belangrijke versie van RHEL worden verwijderd, maar er zal de mogelijkheid blijven bestaan om X11-applicaties uit te voeren vanuit de Wayland-sessie met behulp van de DDX-server XWayland.

Bron: opennet.ru