Utgivelse av Red Hat Enterprise Linux 8.1

Red Hat-selskapet utgav distribusjon Red Hat Enterprise Linux 8.1. Installasjonene er forberedt for x86_64, s390x (IBM System z), ppc64le og Aarch64, men er tilgjengelige for nedlasting bare registrerte brukere av Red Hat Customer Portal. Kildetekstene til rpm-pakkene for Red Hat Enterprise Linux 8 distribueres gjennom Git-repositorium CentOS. RHEL 8.x-grenen vil bli støttet i det minste frem til 2029.

Red Hat Enterprise Linux 8.1 ble den første utgivelsen forberedt i henhold til den nye forutsigbare utviklingssyklusen, som innebærer utgivelse hvert halvår på forhåndsbestemte tidspunkter. Å ha nøyaktig informasjon om tidspunktet for publiseringen av nye utgivelser gjør det mulig å synkronisere utviklingsplanene for ulike prosjekter, forberede seg tidlig på nye utgivelser og planlegge når oppdateringer skal brukes.

Det bemerkes at den nye livssyklusen for RHEL-produkter dekker flere nivåer, inkludert Fedora som en plattform for implementering av nye funksjoner, CentOS Stream for tilgang til pakkene som er laget for den neste mellomversjonen av RHEL (rolling-varianten av RHEL),
minimalistisk universell basissbilde (UBI, Universal Base Image) for å kjøre applikasjoner i isolerte containere, og RHEL Developer Subscription for gratis bruk av RHEL under utvikling.

Nøkkelfunksjoner endringer:

• Full støtte for Live-patching-mekanismen er sikret (kpatch) for å fikse sårbarheter i Linux-kjernen uten omstart av systemet og uten å stoppe driften. Tidligere var kpatch klassifisert som en eksperimentell funksjon;
• Basert på rammeverket fapolicyd er muligheten for å lage hvite- og svarte lister over applikasjoner implementert, som tillater å skille hvilke programmer som kan kjøres av brukeren, og hvilke som ikke kan (for eksempel for å blokkere kjøring av usikre eksterne kjørbare filer). Beslutningen om å blokkere eller tillate kjøring kan tas basert på navnet på applikasjonen, banen, hash av innholdet og MIME-typen. Regelverifiseringen skjer under systemkallene open() og exec(), så dette kan påvirke ytelsen negativt;
• Inkluderer SELinux-profiler fokusert på bruk med isolerte containere, som gir mulighet for mer presis kontroll over tilgangen til vertssystemets ressurser for tjenester som kjøres i containere. For generering av SELinux-regler for containere er det foreslått et nytt verktøy kalt udica, som, med hensyn til spesifikasjonene for den enkelte container, gir tilgang kun til nødvendige eksterne ressurser, slik som lagringsplass, enheter og nettverk. Verktøyene SELinux (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) er oppdatert til utgave 2.9, mens SETools-pakken er oppdatert til versjon 4.2.2.

  En ny type SELinux er lagt til — boltd_t, som begrenser boltd, prosessen som styrer enheter med Thunderbolt 3-grensesnitt (boltd kjører nå i en SELinux-begrenset container). En ny klasse SELinux-regler er lagt til — bpf, som styrer tilgang til Berkeley Packet Filter (BPF) og inspiserer applikasjoner for eBPF;

• Inkluderer en protokollstakk for ruting FRRouting (BGP4, MP-BGP, OSPFv2, OSPFv3, RIPv1, RIPv2, RIPng, PIM-SM/MSDP, LDP, IS-IS), som har erstattet det tidligere brukte Quagga-pakken (FRRouting er en avlegger av Quagga, så kompatibiliteten er ikke påvirket);
• For krypterte partisjoner i LUKS2-format er det lagt til støtte for on-the-fly omkryptering av blokk-enheter, uten at de må demonteres fra systemet (for eksempel kan man nå endre nøkkel eller krypteringsalgoritme uten å demontere partisjonen);
• OpenSCAP-rammeverket har fått støtte for den nye utgaven av SCAP-protokollen 1.3 (Security Content Automation Protocol);
• Oppdatert versjoner av OpenSSH 8.0p1, Tuned 2.12, chrony 3.5, samba 4.10.4. AppStream-repositoriet har fått moduler med nye grener av PHP 7.3, Ruby 2.6, Node.js 12 og nginx 1.16 (oppdatering av moduler med tidligere grener er fortsatt i gang). Software Collection-settet har fått pakker med GCC 9, LLVM 8.0.1, Rust 1.37 og Go 1.12.8;
• SystemTap-tracingverktøyet er oppdatert til gren 4.1, og minnedebuggingverktøyet Valgrind er oppdatert til versjon 3.15;
• I verktøyene for distribusjon av identitetstjenersystemet (IdM, Identity Management) er det lagt til et nytt verktøy kalt healthcheck, som forenkler oppdagelsen av problemer med driften av miljøene med identitetstjenersystemet. Installeringen og konfigurasjonen av IdM-miljøer er forenklet, takket være støtte for Ansible-roller og muligheten for installasjon av moduler. Det er også lagt til støtte for betrodde skoger (Active Directory Trusted Forest) basert på Windows Server 2019.
• I den klassiske GNOME-sesjonen (GNOME Classic) har veksleren for virtuelle arbeidsflater blitt endret. Widgeten for å veksle mellom arbeidsflatene befinner seg nå til høyre på den nederste panelen og er utformet som en stripe med miniaturebilder av arbeidsflatene (for å veksle til en annen arbeidsflate, er det nok å klikke på miniaturebildet som reflekterer innholdet);
• DRM (Direct Rendering Manager) subsystemet og lavnivågrafikknavnene (amdgpu, nouveau, i915, mgag200) er oppdatert til å samsvare med Linux-kjernen 5.1. Støtte for AMD Raven 2, AMD Picasso, AMD Vega, Intel Amber Lake-Y og Intel Comet Lake-U videoprosessorer er lagt til;
• Verktøysettet for å oppdatere RHEL 7.6 til RHEL 8.1 har fått støtte for oppdatering uten reinstallasjon for ARM64, IBM POWER (little endian) og IBM Z-arkitekturene. Web-konsollen har fått en forhåndskontrollmodus for systemet før oppdateringen. Det er lagt til en cockpit-leapp-plugin for å gjenopprette tilstanden i tilfelle problemer under oppdateringen. Katalogene /var og /usr er delt opp i separate partisjoner. Støtte for UEFI er lagt til. Leapp sikrer oppdatering av pakker fra Supplementary-repositoriet (inkluderer proprietære pakker);
• I Image Builder er det lagt til støtte for å bygge bilder for skyløsninger som Google Cloud og Alibaba Cloud. Ved opprettelse av bildene er det lagt til mulighet for å bruke repo.git for å inkludere ekstra filer fra vilkårlige Git-repositorier;
• I Glibc for malloc er det lagt til ekstra sjekker for å oppdage situasjoner med korrupt minneblokker;
• Pakke dnf-utils er omdøpt til yum-utils for å sikre kompatibilitet (muligheten for å installere dnf-utils er bevart, men denne pakken vil automatisk bli erstattet med yum-utils);
• Den nye utgaven av Red Hat Enterprise Linux System Roles har blitt lagt til, som gir et sett med moduler og roller for distribusjon av et sentralisert konfigurasjonsstyringssystem basert på Ansible og for systemkonfigurasjoner knyttet til spesifikke funksjoner relatert til lagring, nettverksmuligheter, tidssynkronisering, SElinux-regler og anvendelse av kdump-mekanismen. For eksempel lar den nye rollen
  storage utføre oppgaver som filsystemadministrasjon på disker, arbeid med LVM-grupper og logiske partisjoner;
• I netstacken for VXLAN og GENEVE-tunneler er det implementert muligheter for å håndtere ICMP-pakker «Destination Unreachable», «Packet Too Big» og «Redirect Message», noe som løste problemet med manglende mulighet for å bruke ruteomdirigeringer og Path MTU Discovery i VXLAN og GENEVE.
• Eksperimentell implementering av XDP (eXpress Data Path) subsystemet, som lar BPF-programmer kjøre i Linux på nettverksdrivernivå med direkte tilgang til DMA-pakkebufferen og i stadiet før skabbufferne tildeles nettverksstakken, samt eBPF-komponenter synkronisert med Linux-kjernen 5.0. Eksperimentell støtte for AF_XDP-kjernsunderområdet er lagt til.eXpress Data Path);
• Full støtte for nettverksprotokollen TIPC (Transparent Inter-process Communication), designet for å organisere mellomprosess kommunikasjon i klynger. Protokollen gir midler for rask og pålitelig kommunikasjon mellom applikasjoner, uavhengig av hvilken node i klyngen de kjører på;
• En ny modus for kjerne dump-lagring er lagt til i initramfs i tilfelle feil — «early kdump«, som fungerer i de tidlige lastetrinnene;
• En ny kjernparameter ipcmni_extend er lagt til, som utvider grensen for IPC-ID-er fra 32 KB (15 biter) til 16 MB (24 biter), noe som lar applikasjoner bruke flere segmenter av delt minne;
• Ipset er oppdatert til versjon 7.1 med støtte for operasjonene IPSET_CMD_GET_BYNAME og IPSET_CMD_GET_BYINDEX;
• Demonen rngd, som fyller entropi-poolen for generatoren av pseudotilfeldige tall, trenger ikke lenger å kjøre med root-rettigheter;
• Full støtte for Intel OPA (Omni-Path Architecture) for utstyr med Host Fabric Interface (HFI) og full støtte for Intel Optane DC Persistent Memory.
• I debug-kjerner er standardkompilering aktivert med detectoren for ubestemt oppførsel UBSAN (Undefined Behavior Sanitizer), som legger til ekstra sjekker i den kompilerte koden for å identifisere situasjoner der programmets oppførsel blir ubestemt (f.eks. bruk av ikke-statisk variabler før de er initialisert, deling av heltall med null, overflyt av signerte heltallstyper, dereferensiering av NULL-pekere, problemer med justering av pekere osv.);
• Kildekoden til kjernen med utvidelser for sanntidsdrift (kernel-rt) er synkronisert med koden til hovedkjernen RHEL 8;
• Ibmvnic-driveren for nettverkskontrolleren vNIC (Virtual Network Interface Controller) er lagt til, med implementering av PowerVMs virtuelle nettverksteknologi. Når den brukes sammen med SR-IOV NIC, gir den nye driveren mulighet for håndtering av båndbredde og tjenestekvalitet på nivået til den virtuelle nettverksadapteren, noe som betydelig reduserer overhead fra virtualisering og reduserer belastningen på CPU;
• Støtte for Data Integrity Extensions er lagt til, som beskytter data mot skader ved skriving til lagringen ved å bevare tilleggskorrigerende blokker;
• Eksperimentell støtte (Technology Preview) for pakken nmstate, som tilbyr et bibliotek og verktøyet nmstatectl for å administrere nettverksinnstillinger via et deklarativt API (nettverksstatusen beskrives i form av et forhåndsdefinert skjema);
• Eksperimentell støtte for implementering av TLS-protokollen på kjernenivå (KTLS) er lagt til, sammen med eksperimentell støtte for OverlayFS, cgroup v2, Stratis, mdev (Intel vGPU), og DAX (direkte tilgang til FS uten å gå gjennom sidetekstbufferet uten bruk av blokkdevice-nivå) i ext4 og XFS;
• Støtten for DSA, TLS 1.0 og TLS 1.1 er erklært utdatert, og er fjernet fra DEFAULT-settet og lagt inn i LEGACY ("update-crypto-policies —set LEGACY");
• Pakkene 389-ds-base-legacy-tools,
  authd,
  custodia,
  hostname,
  libidn,
  net-tools,
  network-scripts,
  nss-pam-ldapd,
  sendmail,
  yp-tools,
  ypbind og ypserv er erklært utdatert. I fremtidige større utgivelser kan distribusjonen av dem bli stoppet;
• Scriptene ifup og ifdown er erstattet med innpakninger som kaller NetworkManager via nmcli (for å gjenopprette de gamle skriptene, må "yum install network-scripts" kjøres).

Kilde: opennet.ru