De release van de distributie Red Hat Enterprise Linux 9.4

Het bedrijf Red Hat heeft de release van de distributie Red Hat Enterprise Linux 9.4 aangekondigd. Klaar om te installeren, zijn de beelden beschikbaar voor geregistreerde gebruikers van de Red Hat Customer Portal (voor functionaliteitsevaluatie kunnen ook de iso-beelden van CentOS Stream 9 en gratis RHEL-ontwikkelversies worden gebruikt). De release is geoptimaliseerd voor de architecturen x86_64, s390x (IBM System z), ppc64le en Aarch64 (ARM64).

De RHEL 9-tak ontwikkelt zich met een opener ontwikkelingsproces en gebruikt de pakketbasis van CentOS Stream 9 als basis. CentOS Stream wordt gepositioneerd als een upstream-project voor RHEL, dat externe deelnemers in staat stelt om de voorbereiding van pakketten voor RHEL te controleren, wijzigingen voor te stellen en invloed uit te oefenen op de genomen beslissingen. In overeenstemming met de 10-jarige ondersteuningscyclus van de distributie zal RHEL 9 worden ondersteund tot 2032.

De broncodes van de rpm-pakketten voor RHEL 9.4 zijn niet beschikbaar in de openbare repository git.centos.org en worden alleen aan klanten van het bedrijf geleverd via een gesloten gedeelte van de website, waar een gebruikersovereenkomst (EULA) van kracht is die herdistributie van gegevens verbiedt. Dit maakt het onmogelijk om deze pakketten te gebruiken voor het maken van afgeleide distributies. De broncodes blijven beschikbaar in de repository van CentOS Stream, maar deze is niet volledig gesynchroniseerd met RHEL en niet altijd komen de meest recente versies van pakketten overeen met die van RHEL. Rocky Linux, Oracle en SUSE reproduceren de broncodes van rpm-pakketten van RHEL-releases binnen het OpenELA-project.

Belangrijke wijzigingen in RHEL 9.4:

• Volledige ondersteuning voor de technologie voor het creëren van geïsoleerde enclaves door Intel SGX (Software Guard Extensions) is verzekerd. Versies SGX 1 en 2 worden ondersteund, waarmee gebruik kan worden gemaakt van de mechanismen van FLC (Flexible Launch Control) en EDMM (Enclave Dynamic Memory Management) voor het wijzigen van de toegangsrechten tot afzonderlijke geheugenpagina's van de enclave, dynamisch toevoegen/verwijderen van geheugenpagina's aan de enclave en het uitbreiden van de enclave.
• De driver IDXD (Data Streaming Accelerator) is omgezet naar een stabiele versie voor het benutten van dataoverdrachtsversnellers die in Intel CPU's zijn ingebouwd. Eerder werden SGX en IDXD geclassificeerd als experimentele functies (Technology Preview).
• De implementatie van het eBPF-subsysteem is gesynchroniseerd met de Linux-kernel 6.6 (in de vorige release was een eBPF-implementatie van Linux-kernel 6.3 in gebruik).
• De GRUB-bootloader en de shim-laag zijn uitgerust met de mogelijkheid om mechanismen voor geheugenbescherming toe te passen zoals DEP (Data Execution Prevention), NX (No Execute) en XD (Execute Disable) om de uitvoering van instructies in bepaalde geheugenlocaties te verbieden vóór het opstarten van het systeem.
• Nieuwe versies van compilers en ontwikkelaarstools zijn toegevoegd: GCC Toolset 13, LLVM Toolset 17.0.6, Rust Toolset 1.75.1 en Go Toolset 1.21.7.
• Er zijn afzonderlijke pakketten (Application Streams) toegevoegd met nieuwe versies van Python 3.12, Ruby 3.3, PHP 8.2, nginx 1.24, MariaDB 10.11, PostgreSQL 16.
• De versies van Git 2.43.0, Git LFS 3.4.1, Valgrind 3.22, SystemTap 5.0, elfutils 0.190, cmake 3.26 zijn bijgewerkt. Nieuwe pakketten maven-openjdk21 en libzip-tools zijn toegevoegd.
• Beveiligingsgerelateerde pakketten zijn bijgewerkt: GnuTLS 3.8.3, nettle 3.9.1, p11-kit 0.25.3, libkcapi 1.4.0, stunnel 5.71, audit 3.1.2, SSG (SCAP Security Guide) 0.1.72, openCryptoki 3.22.0, ipa 4.11.
• Server- en systeem pakketten zijn bijgewerkt: chrony 4.5, linuxptp 4.2, Rsyslog 8.2310, iptables 1.8.10, nftables 1.0.9, firewalld 1.3, stratis-cli 3.6.0, boom 1.6.0, 389-ds-base 2.4.5, samba 4.19.4, Podman 4.9.
• De SELinux-toolset werkzaam in de gebruikersruimte (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) is bijgewerkt naar versie 3.6, waar ondersteuning voor 'deny'-regels en de sleutelwoorden 'notself' en 'other' zijn toegevoegd in de CIL (Common Intermediate Language). Een uitvoerbaar bestand getpolicyload is toegevoegd om het aantal herstarts van SELinux-regels weer te geven. Diensten als nvme-stas, rust-afterburn, rust-coreos-installer en bootc, die voorheen in unconfined_service_t modus draaiden, zijn onder SELinux-beveiliging gebracht. SELinux-regels voor SAP HANA zijn toegevoegd. Een nieuwe dienst chronyd-restricted, beveiligd door SELinux, is toegevoegd. Het pakket grafana-selinux is toegevoegd om grafana met SELinux-beveiliging te draaien.
• De registrar en verifier Keylime, gebruikt voor de authenticatie en continue integriteitsbewaking van externe systemen, kunnen nu binnen containers worden uitgevoerd, geïsoleerd van het hoofdsysteem.
• In het Rsyslog-loggingsysteem is de mogelijkheid toegevoegd om versleuteling instellingen voor TLS/SSL te wijzigen en extra opties voor privilege-dropping zijn toegevoegd.
• In OpenSSL is de mogelijkheid toegevoegd om configuratiebestanden voor TLS in een aparte map /etc/pki/tls/openssl.d te plaatsen, waardoor parameters van aanvullende cryptografische modules kunnen worden overruled zonder het hoofdconfiguratiebestand van OpenSSL te wijzigen.
• In SSSD (System Security Services Daemon) is de mogelijkheid toegevoegd voor het inschakelen en configureren van wachtwoordloze authenticatie, met behulp van biometrische sensoren die de FIDO2-specificatie ondersteunen, zoals YubiKey-apparaten.
• Er is een experimentele opdracht "podman build farm" toegevoegd voor het creëren van containerafbeeldingen voor meerdere architecturen tegelijkertijd. Podman heeft volledige ondersteuning voor de SQLite-gebaseerde backend toegevoegd en biedt de mogelijkheid om modules containers.conf te gebruiken voor selectieve laadinstellingen. In Containerfile zijn meerregelige HereDoc-instructies toegestaan. De CNI (Container Network Interface) netstack is als verouderd gemarkeerd. Met de opdracht "podman machine" is het mogelijk gemaakt om USB-apparaten in QEMU virtuele machines door te geven.
• In IdM (Identity Management) is de mogelijkheid om verplichte tweefactorauthenticatie voor LDAP-clients in te schakelen toegevoegd, met gebruik van unieke wachtwoorden (OTP). De IdM API, die eerder als experimenteel werd gepresenteerd, is gestabiliseerd. In de 389 Directory Server is ondersteuning voor het HAProxy-protocol toegevoegd, waardoor het mogelijk is om IP-adressen van clients die via proxy verbinding maken correct te identificeren.
• In de beeldverzamelaar van RHEL is de mogelijkheid toegevoegd om willekeurige mountpunten op te geven en verschillende indelingsmodi te creëren (auto-lvm, lvm, raw).
• Voor versie 1.0.0 is de implementatie van het synce4l-protocol bijgewerkt, dat ondersteuning biedt voor de SyncE (Synchronous Ethernet) synchronisatietechnologie, ondersteund door sommige netwerkkaarten en switches, waardoor de gegevensuitwisseling in RAN (Radio Access Network) applicaties kan worden verbeterd door een nauwkeurigere tijdsynchronisatie. Ondersteuning voor de door de kernel geleverde DPLL (Digital Phase Locked Loop) interface is toegevoegd.
• De mogelijkheid om de velden van interne header van pakketten die door tunnels worden verzonden te controleren is overgebracht naar het nftables subsysteem. De nft-tool is uitgebreid met de mogelijkheid om de opdracht "nft reset" te gebruiken voor het resetten van de toestand van nftables-regels, zoals pakket tellers en quotawaarden. In firewalld is het verwijderen van regels die via iptables zijn toegevoegd gestopt, wanneer de nftables backend wordt gebruikt en er geen regels zijn gemaakt met de optie "—direct".
• De ss-hulpprogramma, dat onderdeel uitmaakt van het iproute2-pakket, heeft de optie '--bound-inactive' toegevoegd om inactieve TCP-netwerksockets weer te geven die zijn gekoppeld aan het IP-adres en de netpoort (de bind-aanroep is uitgevoerd), maar niet verbonden (connect-aanroep) of niet in de verbinding wachttijd modus geplaatst (listen-aanroep).
• In NetworkManager is toegevoegd de mogelijkheid om het aantal kanalen (wachtrijen van pakketten, gekoppeld aan interrupt-handlers) voor netwerkinterfaces te wijzigen en de SwitchDev-modus in te stellen, waarmee de operaties voor het omleiden van frames en het verwerken van netwerkpakketten aan gespecialiseerde hardwarechips kunnen worden gedelegeerd. Ondersteuning voor netwerkinterfaces met MACsec is toegevoegd. Voor draadloze verbindingen is de mogelijkheid toegevoegd om een aparte permanente MAC-adres toe te wijzen (stable-ssid-modus).
• In Nmstate is de mogelijkheid geïmplementeerd om een YAML-bestand te maken voor terugkeer naar een vorige configuratiestatus. Voor het beheren van prioriteiten in geaggregeerde netwerkinterfaces (bond) is de eigenschap priority toegevoegd. Extra attributen voor VLAN zijn toegevoegd: registration-protocol, mvrp, reorder-headers en loose-binding. De mogelijkheid om VLAN-tags te configureren op netwerkapparaten die SR-IOV (Single Root I/O Virtualization) ondersteunen, is geleverde.
• De kernelmodule met de implementatie van het TCP Illinois congestiecontrolemodule is teruggebracht, die gemiddeld hogere doorvoersnelheden en een eerlijker middelengebruik mogelijk maakt.
• De mogelijkheden van de hulpprogramma's rteval, rtla en cyclicdeadline zijn uitgebreid. In rteval is de mogelijkheid toegevoegd om de voorvoegsels '+' en '-' te gebruiken voor het koppelen en ontkoppelen van CPU-kernen uit de lijst van gemeten kernen (measurement-cpulist). Het hulpprogramma rtla is bijgewerkt naar de staat die overeenkomt met kernel Linux 6.6. De optie 'rtla -C' is toegevoegd voor het koppelen aan extra cgroup-stromen. Het hulpprogramma cyclicdeadline is uitgebreid met de mogelijkheid om vertragingen in histogramvorm te visualiseren.
• De mogelijkheid om de maximale grootte van het bestandssysteem (FS) in te stellen bij de dynamische vergroting van het FS door de service stratisd is toegevoegd, waardoor prestatieverlies na ongecontroleerde vergroting van de XFS-grootte wordt voorkomen.
• In het hulpprogramma lvconvert is ondersteuning toegevoegd voor het omzetten van standaard logische volumes (LV) naar een variant die dynamische opslagtoewijzing (thin provisioning) toestaat.
• In multipathd is ondersteuning toegevoegd voor het verwerken van FPIN-Li (Fabric Performance Impact Notification) gebeurtenissen om de toegang tot NVMe-opslag te optimaliseren. In de sectie met standaardinstellingen in multipath.conf zijn de parameters max_retries en auto_resize toegevoegd. Voor Device-mapper-multipath zijn instellingen toegevoegd voor het gebruik van de HPE Alletra 9000 NVMeFC-array en de ondersteuning van de ANA-modus (Asymmetric Namespace Access) in NVMeoFC.
• De mogelijkheid om te uploaden met NVMe/FC-adapters (Non-volatile Memory Express (NVMe) over Fibre Channel) is in de categorie van stabiele functionaliteiten opgenomen.
• Het beheer van opslag in de webconsole is vereenvoudigd en het wijzigen van partitiegrootten is verbeterd. Ondersteuning voor het genereren van shell-scripts en Ansible-scripts voor de configuratie van kdump is toegevoegd. In de sectie Virtuele Machines is de mogelijkheid toegevoegd om SSH-sleutels toe te voegen en al geformatteerde blokapparaten aan te sluiten. Voor de verbinding met virtuele machines wordt in plaats van het SPICE-protocol VNC gebruikt.
• Nieuwe systeemrollen zijn toegevoegd voor het uitvoeren, beheren en configureren van fapolicyd en Microsoft SQL Server 2022. Een snapshot-rol is toegevoegd om LVM-snapshots te maken en te beheren. De sshd-rol heeft nu de mogelijkheid voor certificaatverificatie.
• De ondersteuning voor virtualisatie op ARM64-systemen met de KVM-hypervisor is gestabiliseerd.
• Ondersteuning voor de migratie van virtuele machines in Multi-FD-modus (meerdere bestandsdescriptoren) is toegevoegd, waarbij bij het verplaatsen van een virtuele machine meerdere parallelle verbindingen worden opgezet, wat de gegevensoverdracht versnelt bij een hoogsnelheidsnetwerkverbinding (20 Gbps en hoger).
• De prestaties van live-migratie in de Postcopy-modus zijn verbeterd, waarbij de virtuele omgeving bijna onmiddellijk opstart, terwijl alle ontbrekende gegevens worden geladen wanneer er toegang wordt gezocht tot niet gekopieerde geheugenpagina's.
• De toolbx-utiliteit is toegevoegd, die een extra geïsoleerde omgeving kan opstarten die op verschillende manieren kan worden ingericht met behulp van de standaard pakketbeheerder DNF, en kan worden gebruikt voor het installeren van experimentele pakketten zonder invloed op het basissysteem.
• Ondersteuning voor de volgende kernel-opstartparameters van Linux is toegevoegd: accept_memory, ia32_emulation, arm64.nomops, cgroup_favordynmods, early_page_ext, fw_devlink.sync_state, kunit.enable, mtrr=debug, rcupdate.rcu_cpu_stall_cputime, rcupdate.rcu_exp_stall_task_details, spec_rstack_overflow en workqueue.unbound_cpus.
• Nieuwe sysctl-parameters zijn toegevoegd: io_uring_group en numa_balancing_promote_rate_limit_MBps.
• Het gebruik van het io_uring-mechanisme is standaard uitgeschakeld voor alle processen (sysctl io_uring_disabled=2).
• De hardwareondersteuning is uitgebreid. Er zijn stuurprogramma's toegevoegd voor de ondersteuning van Intel QuickAssist Technology, Intel TPMI, Intel Uncore Frequency, AMD HSMP, AMD XCP, AMD Platform Management en Mellanox PMC. Daarnaast is de octeon_ep-driver toegevoegd voor Marvell Octeon PCIe Endpoint Network Interface Controllers.
• Er is doorgegaan met het aanbieden van experimentele (Technology Preview) ondersteuning:
  • VPN WireGuard,
  • kTLS (TLS op kernniveau),
  • de io_uring-asynchrone I/O-interface,
  • DAX (Direct Access) voor ext4 en XFS,
  • AMD SEV en SEV-ES in de KVM-hypervisor,
  • de systemd-resolved service,
  • de Sigstore-mechanisme voor de verificatie van containers via digitale handtekeningen,
  • de PRP (Parallel Redundancy Protocol) en HSR (High-availability Seamless Redundancy) protocollen,
  • hardwareversnelling van IPsec door encapsulatie-operaties naar de netwerkkaart te verplaatsen,
  • de ACME-certificaatbeheerprotocol dat wordt gebruikt door Let’s Encrypt,
  • SRv6 (Segment Routing over IPv6,
  • het pakket met de grafische editor GIMP 2.99.8,
  • MPTCP (Multipath TCP)-instellingen via NetworkManager,
  • DNSSEC in IdM,
  • virtio-mem,
  • Socket API voor TuneD,
  • Soft-iWARP (Internet Wide-area RDMA Protocol),
  • GNOME voor ARM64 en IBM Z.

Bron: opennet.ru