Utgivelsen av distribusjonen Red Hat Enterprise Linux 9.1

Red Hat har publisert utgivelsen av distribusjonen Red Hat Enterprise Linux 9.1. Klare installasjonsbilder er tilgjengelige for registrerte brukere av Red Hat Customer Portal (for å vurdere funksjonaliteten kan man også bruke iso-bilder av CentOS Stream 9). Utgivelsen er laget for arkitekturene x86_64, s390x (IBM System z), ppc64le og Aarch64 (ARM64). Kildekodene til rpm-pakkene av Red Hat Enterprise Linux 9 er plassert i Git-repositoriet til CentOS.

RHEL 9-grenen utvikles med en mer åpen utviklingsprosess og bruker pakkegrunnlaget til CentOS Stream 9 som basis. CentOS Stream posisjoneres som et upstream-prosjekt for RHEL, som gir tredjepartsaktører mulighet til å kontrollere forberedelsen av pakker for RHEL, foreslå sine endringer og påvirke beslutningene som tas. I tråd med den 10-årige støtteperioden for distribusjonen vil RHEL 9 bli støttet frem til 2032.

Nøkkelendringer:

• Server- og systempakker er oppdatert: firewalld 1.1.1, chrony 4.2, unbound 1.16.2, frr 8.2.2, Apache httpd 2.4.53, opencryptoki 3.18.0, powerpc-utils 1.3.10, libvpd 2.2.9, lsvpd 1.7.14, ppc64-diag 2.7, PCP 5.3.7, Grafana 7.5.13, samba 4.16.1.
• Det er inkludert nye versjoner av kompilatorer og verktøy for utviklere: GCC 11.2.1, GCC Toolset 12, LLVM Toolset 14.0.6, binutils 2.35.2, PHP 8.1, Ruby 3.1, Node.js 18, Rust Toolset 1.62, Go Toolset 1.18.2, Maven 3.8, java-17-openjdk (java-11-openjdk og java-1.8.0-openjdk fortsetter også å bli levert), .NET 7.0, GDB 10.2, Valgrind 3.19, SystemTap 4.7, Dyninst 12.1.0, elfutils 0.187.
• Det er gjort forbedringer i eBPF (Berkeley Packet Filter) subsystemet, implementert i Linux-kjernene 5.15 og 5.16. For eksempel er det for BPF-programmer lagt til muligheten for å forespørre og behandle tidtakinghendelser, støtte for å hente og sette socket-alternativer for setsockopt, støtte for å kalle funksjoner fra kjernemoduler, introdusert en sannsynlighetsstruktur for datalagring (BPF map) bloom filter, og det er lagt til muligheten for å knytte merker til funksjonsparametere.
• Sett med patcher for sanntidssystemer, brukt i kernel-rt, er oppdatert til å være i tråd med kernel 5.15-rt.
• Implementeringen av protokollen MPTCP (MultiPath TCP), brukt for å organisere TCP-tilkoblinger med samtidig levering av pakker over flere ruter via forskjellige nettverksgrensesnitt, er oppdatert. Endringene er integrert fra Linux-kjernen 5.19 (for eksempel er støtte for å vurdere MPTCP-tilkoblinger tilbake til vanlig TCP lagt til, samt et API for å kontrollere MPTCP-strømmer fra brukerrommet).
• På systemer med 64-bits prosessorer fra ARM, AMD og Intel er det mulig å endre Real-Time-modusens oppførsel i kjernen mens den kjører ved å skrive navnet på modusen til filen "/sys/kernel/debug/sched/preempt" eller under oppstart ved å bruke kjernens parameter "preempt=" (moduser none, voluntary og full støttes).
• GRUB-innstillingene er endret for å skjule oppstartsmenuen som standard, og menyen vises hvis den forrige oppstarten feiler. For å vise menyen under oppstart kan du holde nede Shift-tasten eller trykke på Esc eller F8-tastene sporadisk. For å deaktivere hemmeligheten kan du bruke kommandoen «grub2-editenv — unset menu_auto_hide».
• PTP (Precision Time Protocol) -driveren har fått støtte for oppretting av virtuelle maskinvareklokker (PHC, PTP Hardware Clocks).
• Kommandoen modulesync er lagt til, som laster RPM-pakker fra moduler og oppretter et katalog med metadata som kreves for å installere modul pakker.
• I tuned, tjenesten for å overvåke systemtilstanden og optimalisere profiler for maksimal ytelse etter gjeldende belastning, er det nå mulig å bruke pakken tuned-profiles-realtime for å isolere CPU-kjerner og gi applikasjonstråder alle tilgjengelige ressurser.
• NetworkManager har implementert konvertering av tilkoblingsprofiler fra ifcfg-konfigurasjonsformatet ( /etc/sysconfig/network-scripts/ifcfg-* ) til keyfile-basert format. Du kan bruke kommandoen «nmcli connection migrate» for å migrere profiler.
• SELinux-verktøysettet har blitt oppdatert til versjon 3.4, der ytelsen til remerkingen (relabel) har økt ved å parallellisere operasjoner, og semodule-verktøyet har fått alternativet «-m» («—checksum») for å hente SHA256-hashene til modulene; mcstrans har blitt portert til PCRE2-biblioteket. Nye verktøy for arbeidet med tilgangsregler er lagt til: sepol_check_access, sepol_compute_av, sepol_compute_member, sepol_compute_relabel, sepol_validate_transition. Det er lagt til SELinux-regler for å beskytte tjenestene ksm, nm-priv-helper, rhcd, stalld, systemd-network-generator, targetclid og wg-quick.
• Det er nå mulig å bruke Clevis-klienten (clevis-luks-systemd) for automatisk opplåsing av diskpartisjoner som er kryptert med LUKS og monteres på et senere tidspunkt i oppstartsprosessen, uten behov for å bruke kommandoen «systemctl enable clevis-luks-askpass.path».
• Mulighetene til verktøyene for klargjøring av systembilder er utvidet, som nå inkluderer støtte for lastingen av bilder til GCP (Google Cloud Platform), plassering av bildet direkte i containerregisteret, konfigurering av størrelsen på partisjonen /boot og justering av innstillinger (Blueprint) under generering av bildet (for eksempel tillegg av pakker og oppretting av brukere).
• Det er lagt til et verktøy kalt keylime for attestasjon (bekreftelse av ekthet og kontinuerlig overvåking av integriteten) til eksterne systemer, ved hjelp av TPM-teknologi (Trusted Platform Module), for eksempel for å sikre ektheten av Edge- og IoT-enheter plassert på kontrollerte steder hvor uautorisert tilgang kan forekomme.
• I utgaven av «RHEL for Edge» er det lagt til mulighet for å bruke verktøyet fdo-admin for å konfigurere FDO (FIDO Device Onboard)-tjenester og opprette sertifikater og nøkler for dem.
• SSSD (System Security Services Daemon) har fått støtte for caching av SID-forespørsel (for eksempel GID/UID-sjekker) i minnet, noe som har gjort det raskere å kopiere mange filer over Samba-serveren. Støtte for integrasjon med Windows Server 2022 er også sikret.
• I OpenSSH er minimumsstørrelsen for RSA-nøkler som standard begrenset til 2048 biter, og i NSS-bibliotekene er støtten for RSA-nøkler mindre enn 1023 biter fjernet. For å konfigurere egne begrensninger i OpenSSH er parameteren RequiredRSASize lagt til. Støtte for nøkkelutvekslingsmetoden sntrup761x25519-sha512@openssh.com, som er motstandsdyktig mot angrep fra kvantedatamaskiner, er også lagt til.
• Det er lagt til mulighet for å utføre vilkårlige kommandoer før og etter gjenoppretting i ReaR (Relax-and-Recover) verktøysettet.
• I driveren for Intel E800 Ethernet-adaptere er det lagt til støtte for iWARP og RoCE protokoller.
• En ny pakke, httpd-core, er lagt til, som inneholder et grunnleggende sett med Apache httpd-komponenter som er tilstrekkelige for å kjøre en HTTP-server og knyttet til et minimalt antall avhengigheter. Ytterligere moduler, som mod_systemd og mod_brotli, er lagt til i httpd-pakken, og dokumentasjonen er også inkludert.
• En ny pakke, xmlstarlet, er lagt til, som inkluderer verktøy for parsing, transformasjon, validering, datainnhenting og redigering av XML-filer, lik grep, sed, awk, diff, patch og join, men ikke for tekstfiler, bare for XML.
• Funksjonaliteten til systemrollene er utvidet, for eksempel er det i rollen network lagt til støtte for konfigurasjon av rutingsregler og bruk av nmstate API, i rollen logging lagt til støtte for filtrering med regulære uttrykk (startmsg.regex, endmsg.regex), i rollen storage legge til støtte for partisjoner som dynamisk tildeler plass i lagring («thin provisioning»), i rollen sshd tilført mulighet for administrasjon gjennom /etc/ssh/sshd_config, i rollen metrics tilført eksport av ytelsesstatistikk for Postfix, og i rollen firewall implementert støtte for å overskrive tidligere konfigurasjoner og legge til, oppdatere og slette tjenester avhengig av status.
• Verktøysettet for administrasjon av isolerte containere er oppdatert, inkludert pakker som Podman, Buildah, Skopeo, crun og runc. Støtte for GitLab Runner i containere med Podman-runtime er lagt til. For konfigurasjon av containere sitt nettverksundersystem er verktøyet netavark og DNS-serveren Aardvark tilgjengelig.
• I mdevctl er støtte for ap-check-kommandoen for konfigurasjon av passering innført i virtuelle maskiner tilgang til kryptokontrollere.
• Det er lagt til en forhåndsvisning (Technology Preview) av muligheten for brukergodkjenning ved hjelp av eksterne leverandører (IdP, identity provider) som støtter OAuth 2.0-protokollens utvidelse "Device Authorization Grant" for å gi OAuth-tilgangstokens til enheter uten å bruke nettleser.
• For the GNOME session based on Wayland, there are Firefox builds that use Wayland. The builds based on X11, running in a Wayland environment through the XWayland component, have been moved to a separate package firefox-x11.
• The Wayland session is enabled by default for systems with Matrox GPUs (previously, Wayland was not used with Matrox GPUs due to limitations and performance issues, which have now been resolved).
• Support has been implemented for GPUs integrated into Intel Core 12th generation processors, including Intel Core i3 12100T — i9 12900KS, Intel Pentium Gold G7400 and G7400T, Intel Celeron G6900 and G6900T, Intel Core i5-12450HX — i9-12950HX, and Intel Core i3-1220P — i7-1280P. Support for GPU AMD Radeon RX 6[345]00 and AMD Ryzen 5/7/9 6[689]00 has also been added.
• For å håndtere aktivering av beskyttelse mot sårbarheter i MMIO (Memory Mapped Input Output)-mekanismen er det implementert en oppstartparameter for kjernen kalt «mmio_stale_data», som kan ta verdiene «full» (aktiverer rengjøring av buffere ved overgang til brukerramme og i VM), «full,nosmt» (som «full» plus å deaktivere SMT/Hyper-Threads) og «off» (beskyttelsen er deaktivert).
• For å håndtere aktivering av beskyttelse mot Retbleed-sårbarheten er det implementert en oppstartparameter for kjernen kalt «retbleed», som tillater deaktivering av beskyttelsen («off») eller valg av algoritme for å blokkere sårbarheten (auto, nosmt, ibpb, unret).
• I oppstartparameteren for kjernen acpi_sleep er det lagt til støtte for nye alternativer for håndtering av overgang til hvilemodus: s3_bios, s3_mode, s3_beep, s4_hwsig, s4_nohwsig, old_ordering, nonvs, sci_force_enable og nobl.
• A large batch of new drivers for network devices, storage systems, and graphics chips has been added.
• The experimental (Technology Preview) support for KTLS (implementation of TLS at the kernel level) continues. VPN WireGuard, Intel SGX (Software Guard Extensions), Intel IDXD (Data Streaming Accelerator), DAX (Direct Access) for ext4 and XFS, AMD SEV and SEV-ES in the KVM hypervisor, systemd-resolved service, Stratis storage manager, Sigstore for container verification via digital signatures, package with the graphic editor GIMP 2.99.8, MPTCP (Multipath TCP) settings through NetworkManager, ACME (Automated Certificate Management Environment) server, virtio-mem, KVM hypervisor for ARM64.
• The GTK 2 toolkit and its associated packages adwaita-gtk2-theme, gnome-common, gtk2, gtk2-immodules, and hexchat have been declared deprecated. The X.org Server has also been deprecated (the default in RHEL 9 offers a GNOME session based on Wayland), which is planned to be removed in the next major branch of RHEL, but will maintain the ability to run X11 applications from the Wayland session using the DDX server XWayland.

Kilde: opennet.ru