Utgivelse av Red Hat Enterprise Linux 9.4

Selskapet Red Hat har utgitt en versjon av distribusjonen Red Hat Enterprise Linux 9.4. Ferdige installasjonsbilder er tilgjengelige for registrerte brukere av Red Hat Customer Portal (for å vurdere funksjonaliteten kan også iso-bilder av CentOS Stream 9 og gratis RHEL-utgaver for utviklere brukes). Utgivelsen er laget for arkitekturene x86_64, s390x (IBM System z), ppc64le og Aarch64 (ARM64).

RHEL 9-grenen utvikles med en mer åpen utviklingsprosess og bruker CentOS Stream 9 som basispakke. CentOS Stream er posisjonert som et upstream-prosjekt for RHEL, som gir tredjeparts aktører muligheten til å overvåke pakkeopprettelsen for RHEL, foreslå endringer og påvirke beslutningene som tas. I henhold til den 10-årige støtte syklusen for distribusjonen, vil RHEL 9 bli støttet frem til 2032.

Kildetekstene til rpm-pakkene for RHEL 9.4 er ikke tilgjengelige i det offentlige gitte repositoriet git.centos.org og tilbys kundene kun gjennom en lukket del av nettsiden, der det gjelder en brukervilkårene (EULA) som forbyr redistribusjon av data, noe som hindrer bruken av disse pakkene for å lage avledede distribusjoner. Kildetekstene er fortsatt tilgjengelige i CentOS Stream-repositoriet, men dette er ikke helt synkronisert med RHEL, og de nyeste versjonene av pakkene samsvarer ikke alltid med pakkene fra RHEL. Rocky Linux, Oracle og SUSE gjenoppretter kildetekstene til rpm-pakkene fra RHEL-utgivelsene som en del av OpenELA-prosjektet.

Nøkkelendringer i RHEL 9.4:

• Full støtte for teknologien for å opprette isolerte enklaver Intel SGX (Software Guard Extensions) er gitt. Versjoner av SGX 1 og 2 støttes, noe som gjør det mulig å bruke mekanismer som FLC (Flexible Launch Control) og EDMM (Enclave Dynamic Memory Management) for å endre tilgangsrettigheter til enkelt sider i minnet til enklaven, dynamisk legge til/fjerne minnesider til enklaven og utvide enklaven.
• IDXD (Data Streaming Accelerator) driveren for aktivering av dataprosesseringsakseleratorer innebygd i Intel CPU er gått fra eksperimentell status til stabil. Tidligere var SGX og IDXD klassifisert som eksperimentelle muligheter (Technology Preview).
• Implementeringen av eBPF-subsystemet er synkronisert med Linux-kjernen 6.6 (i den forrige utgaven ble eBPF-implementeringen fra Linux-kjernen 6.3 brukt).
• GRUB-innlasteren og shim-laget har fått muligheten til å bruke minnebeskyttelsesmekanismer som DEP (Data Execution Prevention), NX (No Execute) og XD (Execute Disable) for å forby kjøring av instruksjoner i bestemte minneområder før systemoppstart.
• Det er inkludert nye versjoner av kompilatorer og verktøy for utviklere: GCC Toolset 13, LLVM Toolset 17.0.6, Rust Toolset 1.75.1 og Go Toolset 1.21.7.
• Separate pakker (Application Streams) med nye versjoner av Python 3.12, Ruby 3.3, PHP 8.2, nginx 1.24, MariaDB 10.11, PostgreSQL 16 har blitt lagt til.
• Versjonene av Git 2.43.0, Git LFS 3.4.1, Valgrind 3.22, SystemTap 5.0, elfutils 0.190, cmake 3.26 er oppdatert. Nye pakker maven-openjdk21 og libzip-tools er også lagt til.
• Pakker relatert til sikkerhet er oppdatert: GnuTLS 3.8.3, nettle 3.9.1, p11-kit 0.25.3, libkcapi 1.4.0, stunnel 5.71, audit 3.1.2, SSG (SCAP Security Guide) 0.1.72, openCryptoki 3.22.0, ipa 4.11.
• Server- og systempakker er oppdatert: chrony 4.5, linuxptp 4.2, Rsyslog 8.2310, iptables 1.8.10, nftables 1.0.9, firewalld 1.3, stratis-cli 3.6.0, boom 1.6.0, 389-ds-base 2.4.5, samba 4.19.4, Podman 4.9.
• Verktøyene for SELinux som kjører i brukermodus (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) er oppdatert til versjon 3.6, hvor støtten for reglene "deny" og nøkkelordene "notself" og "other" er lagt til i CIL (Common Intermediate Language). Det er lagt til en kjørbar fil getpolicyload for å vise antall oppstarts av SELinux-regler. Tjenestene nvme-stas, rust-afterburn, rust-coreos-installer og bootc, som tidligere kjørte i unconfined_service_t-modus, er nå beskyttet av SELinux. SELinux-regler for SAP HANA er lagt til. En ny tjeneste chronyd-restricted, beskyttet ved hjelp av SELinux, er lagt til. Pakken grafana-selinux er lagt til for å kjøre grafana med SELinux-beskyttelse.
• Registratoren og verifikatoren Keylime, som brukes for å bekrefte autentisitet og kontinuerlig spore integriteten til eksterne systemer, kan nå kjøres i containere isolert fra hovedsystemet.
• I Rsyslog-loggføringssystemet er det lagt til mulighet for å endre krypteringsinnstillingene for TLS/SSL og tilleggsmuligheter for å tilbakestille privilegier.
• I OpenSSL er det nå mulig å plassere filer med TLS-innstillinger i en egen katalog /etc/pki/tls/openssl.d, som lar deg overstyre parametrene for tilleggskryptografiske moduler uten å endre hovedkonfigurasjonsfilen for OpenSSL.
• I SSSD (System Security Services Daemon) er det mulighet for å aktivere og konfigurere passordløs autentisering ved hjelp av biometriske sensorer som støtter FIDO2-spesifikasjonen, for eksempel YubiKey-enheter.
• Det er lagt til en eksperimentell kommando «podman build farm» for å bygge containerbilder for flere arkitekturer samtidig. Podman har fått full støtte for SQLite-basert backend, og det er mulig å bruke moduler fra containers.conf for selektiv lasting av innstillinger. Multi-line HereDoc-instruksjoner er tillatt i Containerfile. CNI (Container Network Interface) nettverksstakken er erklært som utdatert. Med «podman machine»-kommandoen er det mulig å videresende USB-enheter til QEMU-virtuelle maskiner.
• I IdM (Identity Management) er det mulig å aktivere obligatorisk tofaktorautentisering for LDAP-klienter ved hjelp av engangspassord (OTP). IdM APIen, som tidligere ble betraktet som eksperimentell, er nå stabilisert. 389 Directory Server har fått støtte for HAProxy-protokollen, noe som gjør det mulig å korrekt identifisere IP-adressene til klienter som kobler til via proxy.
• I RHEL-bildebyggeren er det nå mulig å angi vilkårlige monteringspunkter og lage ulike partisjonsoppsett (auto-lvm, lvm, raw).
• Frem til versjon 1.0.0 er implementeringen av synce4l-protokollen oppdatert, som gir støtte for SyncE (Synchronous Ethernet) frekvenssynchronisering, støttet av noen nettverkskort og switcher, og som gjør det mulig å forbedre datakommunikasjonseffektiviteten i RAN (Radio Access Network) applikasjoner gjennom mer presis tidsynkronisering. Støtte for DPLL (Digital Phase Locked Loop) grensesnittet tilbydd av kjernen er også lagt til.
• I nftables-subsystemet er muligheten for å sjekke feltene i interne header-felter i pakker som sendes gjennom tunneler, blitt overført. Verktøyet nft har fått muligheten til å bruke kommandoen «nft reset» for å tilbakestille tilstandene til nftables-regler, slik som pakke-tellere og kvoteverdier. I firewalld er det slutt på fjerning av regler lagt til via iptables, hvis nftables-backend brukes og det ikke finnes noen regler opprettet med «—direct» alternativet.
• I ss-verktøyet, som inngår i iproute2-pakken, er det lagt til et alternativ «—bound-inactive» for å vise inaktive TCP-nettverks-sockets som er knyttet til. IP-adresse og nettverksporten (bind-oppringning utført), men ikke tilkoblet (connect-oppringning) eller ikke satt i ventemodus (listen-oppringning).
• NetworkManager har fått muligheten til å endre antall kanaler (pakke-køer, knyttet til avbruddsbehandlere) for nettverksgrensesnitt og konfigurere SwitchDev-modus, som gjør det mulig å delegere operasjoner med omdirigering av rammer og behandling av nettverkspakker til spesialiserte maskinvarebrikker. Støtte for MACsec nettverksgrensesnitt er lagt til. For trådløse tilkoblinger er det blitt mulig å tildele en egen fast MAC-adresse (stable-ssid-modus).
• I Nmstate er det sikret oppretting av en YAML-fil for tilbakestilling til tidligere innstillinger. For å håndtere prioriteter i sammenkoblede nettverksgrensesnitt (bond) er egenskapen priority lagt til. Ytterligere attributter for VLAN er lagt til: registration-protocol, mvrp, reorder-headers og loose-binding. Det er mulig å konfigurere VLAN-tagger på nettverksenheter som støtter SR-IOV (Single Root I/O Virtualization).
• Kjernemodulen med implementeringen av TCP Illinois overbelastningskontroll-algoritmen er gjenopprettet, noe som i gjennomsnitt gir høyere båndbredde og mer rettferdig ressursfordeling.
• Muligheter i verktøyene rteval, rtla og cyclicdeadline er utvidet. I rteval er det lagt til mulighet for bruk av prefikser «+» og «-» for å feste og frigjøre CPU-kjerner fra listen over overvåkede kjerner (measurement-cpulist). Verktøyet rtla er oppdatert til å samsvare med Linux-kjerne 6.6. Muligheten «rtla -C» for å feste til strømmene tilleggs-cgroup er lagt til. Verktøyet cyclicdeadline har fått muligheten til å visualisere forsinkelser som histogram.
• Muligheten for å angi maksimal størrelse på FS ved dynamisk økning av størrelsen på FS av stratisd-tjenesten er lagt til, noe som unngår ytelsestap etter ukontrollert økning av XFS-størrelsen.
• I verktøyet lvconvert er støtte for konvertering av standard logiske volumer (LV) til en variant som tillater dynamisk tildeling av plass i lagring (thin provisioning) lagt til.
• I multipathd er støtte for behandling av FPIN-Li hendelser (Fabric Performance Impact Notification) lagt til for optimalisering av tilgangen til NVMe-lagringsenheter. Parametrene max_retries og auto_resize er lagt til i standardinnstillingene i multipath.conf. For Device-mapper-multipath er det lagt til innstillinger for bruk av HPE Alletra 9000 NVMeFC-arrayet og støtte for ANA-modus (Asymmetric Namespace Access) i NVMeoFC.
• Muligheten for opplasting fra NVMe/FC-adaptere (Non-volatile Memory Express (NVMe) over Fibre Channel) er overført til stabil versjon.
• Administrasjonen av lagringssystemer og endring av partisjonsstørrelser i webkonsollen er forbedret. Støtte for generering av shell-skript og Ansible-skript for konfigurasjon av kdump er lagt til. I seksjonen for Virtuelle Maskiner er det nå mulig å legge til SSH-offentlige nøkler og koble til allerede formaterte blokkenheter. VNC brukes nå istedenfor SPICE-protokollen for å koble til virtuelle maskiner.
• Nye systemroller for oppstart, administrasjon og konfigurasjon av fapolicyd og Microsoft SQL Server 2022 er lagt til. En snapshot-rolle for oppretting og administrasjon av LVM-snapshots har blitt lagt til. I sshd-rollen er muligheten for sertifikatbasert autentisering innført.
• Støtten for virtualisering på ARM64-systemer med KVM-hypervisor er stabilisert.
• Støtten for migrering av virtuelle maskiner i Multi-FD-modus (multiple file descriptors) er lagt til, hvor flere parallelle tilkoblinger etableres under overføringen av den virtuelle maskinen, noe som gir raskere datatransfer ved høyhastighets nettverkstilkoblinger (20 Gbps og mer).
• Ytelsen for live-migrering i Postcopy-modus har blitt forbedret, der det virtuelle miljøet starter nesten umiddelbart, og all manglende data lastes inn ved tilgang til ikke-kopierte minnesider.
• Verktøyet toolbx er lagt til, som lar deg opprette et ekstra isolert miljø, som kan settes opp på valgfritt vis ved hjelp av den vanlige pakkebehandleren DNF og brukes til å installere eksperimentelle pakker uten å påvirke hovedsystemet.
• Støtten for kjernens kommandolinjeparametere i Linux er lagt til: accept_memory, ia32_emulation, arm64.nomops, cgroup_favordynmods, early_page_ext, fw_devlink.sync_state, kunit.enable, mtrr=debug, rcupdate.rcu_cpu_stall_cputime, rcupdate.rcu_exp_stall_task_details, spec_rstack_overflow og workqueue.unbound_cpus.
• Nye sysctl-parametere er lagt til: io_uring_group og numa_balancing_promote_rate_limit_MBps.
• Bruken av io_uring-mekanismen er som standard deaktivert for alle prosesser (sysctl io_uring_disabled=2).
• Utvidet maskinvarestøtte. Lagt til drivere for å støtte Intel QuickAssist Technology, Intel TPMI, Intel Uncore Frequency, AMD HSMP, AMD XCP, AMD Platform Management og Mellanox PMC. Lagt til driver octeon_ep for Marvell Octeon PCIe Endpoint Network Interface Controller.
• Det er fortsatt gitt eksperimentell (Technology Preview) støtte:
  • VPN WireGuard,
  • kTLS (TLS på kjerne-nivå),
  • grensesnitt for asynkron I/O io_uring,
  • DAX (Direct Access) for ext4 og XFS,
  • AMD SEV og SEV-ES i KVM-hypervisoren,
  • systemd-resolved-tjenesten,
  • Sigstore-mekanismen for verifisering av containere gjennom digitale signaturer,
  • PRP (Parallel Redundancy Protocol) og HSR (High-availability Seamless Redundancy)-protokollene,
  • maskinvareakselerasjon av IPsec ved å delegere pakkeinnkapslingsoperasjoner til nettverkskortet,
  • ACME-sertifikatkontrollprotokollen, brukt i Let’s Encrypt,
  • SRv6 (Segment Routing over IPv6,
  • pakken med grafisk redigeringsverktøy GIMP 2.99.8,
  • MPTCP (Multipath TCP)-innstillinger gjennom NetworkManager,
  • DNSSEC i IdM,
  • virtio-mem,
  • Socket API for TuneD,
  • Soft-iWARP (Internet Wide-area RDMA Protocol),
  • GNOME for ARM64 og IBM Z.

Kilde: opennet.ru