Utgivelse av distribusjonen Red Hat Enterprise Linux 9.3

Red Hat har publisert utgivelsen av distribusjonen Red Hat Enterprise Linux 9.3 (den nye grenen ble annonsert forrige uke, men utgivelsesnotatene ble først lagt ut i går, mens nettstedet tidligere hadde et tegn på beta-versjonen). Oppdateringen av den forrige grenen RHEL 8.9 forventes 15. november. Klargjorte installasjonsbilder er tilgjengelige for registrerte brukere av Red Hat Customer Portal (for å vurdere funksjonaliteten kan man også bruke iso-bilder av CentOS Stream 9 og gratis RHEL-builder for utviklere). Utgivelsen er laget for arkitekturene x86_64, s390x (IBM System z), ppc64le og Aarch64 (ARM64).

RHEL 9-grenen utvikles med en mer åpen utviklingsprosess og bruker pakkegrunnlaget til CentOS Stream 9 som basis. CentOS Stream posisjoneres som et upstream-prosjekt for RHEL, som gir tredjepartsaktører mulighet til å kontrollere forberedelsen av pakker for RHEL, foreslå sine endringer og påvirke beslutningene som tas. I tråd med den 10-årige støtteperioden for distribusjonen vil RHEL 9 bli støttet frem til 2032.

RHEL 9.3 er den første utgivelsen hvis kildekoder for rpm-pakker ikke er tilgjengelige i det offentlige depotet git.centos.org og kun tilbys kundene gjennom den lukkede delen av nettstedet, der det gjelder en brukeravtale (EULA) som forbyr redistribusjon av data, noe som ikke tillater bruk av disse pakkene for å lage avledede distribusjoner. Kildekodene er fortsatt tilgjengelige i depotet CentOS Stream, men det er ikke helt synkronisert med RHEL, og de nyeste versjonene av pakkene stemmer ikke alltid overens med pakkene fra RHEL. Rocky Linux, Oracle og SUSE har slått seg sammen og reproduserer nå kildekodene for rpm-pakkene fra RHEL-utgivelsene gjennom prosjektet OpenELA.

Nøkkelendringer i RHEL 9.3:

• Det er inkludert nye versjoner av kompilatorer og verktøy for utviklere: GCC Toolset 13, LLVM Toolset 16.0.6, Rust Toolset 1.71.1, Go Toolset 1.20.10, GCC 11.4.1 (systemkompilator), Redis 7, Node.js 20, java-21-openjdk (java-17-openjdk, java-11-openjdk og java-1.8.0-openjdk fortsetter å bli levert), Valgrind 3.21, SystemTap 4.9, elfutils 0.189, PCP 6.0.5, Grafana 9.2.10.
• Server- og systempakker er oppdatert: samba 4.18.6, iproute 6.2.0, Apache httpd 2.4.57 (+ modulen mod_authnz_fcgi er lagt til), SEtools 4.4.3, OpenSCAP 1.3.8, opencryptoki 3.21.0, NetworkManager 1.44, xdp-tools 1.4.0, perf 6.2, dmpd 1.0.2, nvme-cli 2.4, Pacemaker 2.1.6, 389-ds-base 2.3.4.
• Pakkebehandleren DNF har fått kommandoen «reboot» for automatisk omstart etter oppdatering. Følgende moduser er tilgjengelige: «never» (standard) — uten omstart, «when-changed» — omstart etter enhver oppdatering (dnf upgrade) og «when-needed» — omstart kun hvis de installerte endringene krever det (for eksempel etter installasjonen av en kjerneoppdatering eller systemd). For å stenge av i stedet for å omstarte, er parameteren «—poweroff» tilgjengelig.
• I DNF er det lagt til nye plugger: «dnf leaves» for å vise alle installerte pakker som ikke er avhengigheter for andre pakker; «show-leaves» for å vise nylig installerte lignende pakker eller pakker som har sluttet å brukes som avhengigheter etter transaksjonen.
• Implementeringene av SCTP (Stream Control Transmission Protocol) og MPTCP (Multipath TCP) er flyttet fra den nyeste versjonen av Linux-kjernen.
• Det er oppnådd full støtte for kameraer med USB-grensesnitt, trådløse adaptere (Wi-Fi) og Bluetooth på ARM64-plattformen.
• Full støtte for dedikerte grafikkort fra Intel Arc A-Series (Alchemist eller DG2) er nå tilgjengelig.
• Implementeringen av eBPF-subsystemet er synkronisert med Linux-kjerne 6.3.
• Stratis-verktøysettet for administrasjon av lokale lagringsenheter er lagt til, og gir muligheter som dynamisk tildeling av lagringsplass, snapshots, integritetsbeskyttelse og oppretting av lag for caching.
• Endringer er gjort i systemd-udevd for å tildele uforanderlige navn til nettverksgrensesnitt for InfiniBand.
• Postfix har implementert muligheten for å sjekke DNS SRV-poster for å bestemme vert og port for e-posttjeneren som skal brukes til å sende meldinger. Denne muligheten kan brukes i infrastrukturer der tjenester med dynamisk tildelte nettverksporter brukes for levering av e-postmeldinger.
• Pakken cups-filters har fått en driver LF-to-CRLF, som kan brukes til å konvertere tegn «\n» (linjeskift) til «\r\n» (retur og linjeskift) for skrivere som kun støtter behandling av filer med linjeskift i formatet «\r\n».
• I FUSE3 er det lagt til mulighet for å annullere katalogelementer uten automatisk å avmontere tilknyttede monteringspunkter.
• I NetworkManager er det lagt til støtte for alternativet «no-aaaa» i resolv.conf, som deaktiverer sendingen av DNS-forespørsel for AAAA-poster (IPv6-adressebestemmelse etter vertsnavn). Støtte for alternativet «lacp_active» er lagt til for å styre behandlingen av LACPDU (Link Aggregation Control Protocol Data Units). NetworkManager kan nå restartes etter at dbus-tjenesten har blitt restartet. Det er sørget for varsling ved bruk av gamle konfigurasjonsformater for tilkoblingsprofiler ifcfg. Støtte for egenskapene: link.tx-queue-length, link.gro-max-size, link.gso-max-segments og link.gso-max-size er også lagt til.
• For the same network interface in NetworkManager, both static and dynamic (DHCP) settings can be used; for example, the nmstate utility can set a static address for an interface that has DHCP support enabled. In nmstate, it is allowed to bind settings to the network interface by MAC address instead of the interface name.
• Expanded hardware support. Added support for CPU ARM64 NVIDIA Grace. The Intel QAT driver with support for Intel Quick Assist Technology 401xx/402xx was ported from the Linux kernel 6.2.
• For å beskytte mot Spectre v2-angrep knyttet til spekulasjonsutførelse av instruksjoner, er det lagt til AutoIBRS-modus (Automatic Indirect Branch Restricted Speculation), som støttes av AMD CPU, fra EPYC 9004 Genoa familien.
• Containers are provided with the ability to use virtual Trusted Platform Modules (vTPM) for storing cryptographic keys, implemented based on a shared physical TPM.
• LVM has added support for vmcore logical volumes for kernel dumps created by the kdump subsystem.
• The install builds now include the parameter 'inst.wait_for_disks', which sets the waiting time for the kickstart file to load or for driver readiness during boot.
• In the installer for ARM systems, the option to select the type of kernel to install (for example, with 64 KB memory pages) has been provided. The s390utils-base package has been removed from minimal installation mode, leaving only s390utils-core.
• The RHEL image builder has added the ability to generate files in OVA format for VMware vSphere.
• New options '—ipv4-dns-search' and '—ipv6-dns-search' have been added to the network command in kickstart files to specify base domains for the 'search' directive in /etc/resolv.conf, as well as options '—ipv4-ignore-auto-dns' and '—ipv6-ignore-auto-dns' to ignore DNS settings obtained via DHCP.
• Improved support for TLS extension EMS (Extended Master Secret, RFC 7627), necessary for compliance with FIPS-140-3 requirements in TLS 1.2-based connections.
• In OpenSSH, efforts have begun to eliminate the use of SHA-1 hash-based algorithms in favor of SHA-2. If SHA-1 keys are absent on serveren sshd will now use only SHA-2 for host key confirmation, which may lead to incompatibility with RHEL 8 clients and earlier releases.
• In OpenSSL, support for configuring parameters of secure elliptic curves Brainpool has been added, and protection against timing attacks on RSA decryption operations using the Bleichenbacher method has been implemented.
• RPCSEC GSS Kerberos V5 har fått støtte for krypteringsmetodene camellia128-cts-cmac, camellia256-cts-cmac, aes128-cts-hmac-sha256-128 og aes256-cts-hmac-sha384-192.
• I revisjonsverktøyene er støtte for FANOTIFY-hendelser lagt til, og logging av feltene fan_type (hendelsestype), fan_info (tilknyttede opplysninger), sub_trust og obj_trust (tillitsnivåer for subjekt og objekt av hendelsen) er implementert. For å forenkle feilsøking av problemer er regelnumrene for avviste API-forespørsel lagt til i fapolicyd-tjenesten.
• En systemrolle for Keylime-verktøysettet har blitt lagt til, noe som forenkler oppsetning av registratoren og verifikatoren Keylime, som brukes for autentisering og kontinuerlig overvåking av integriteten til eksterne systemer. For eksempel kan autentisitet av Edge- og IoT-enheter som befinner seg på uregulerte steder der uautorisert tilgang er mulig, verifiseres. Den nye versjonen keylime 7.3 er aktivert.
• En systemrolle for administrasjon av systemd-enheter og deres installasjon har blitt lagt til. En systemrolle for installasjon, konfigurasjon, administrasjon og oppstart av databasesystemet PostgreSQL har blitt lagt til. Firewall-systemrollen har fått støtte for oppretting, endring og sletting av ipset-er.
• I SELinux er alternativet virt_qemu_ga_run_unconfined lagt til, noe som gjør at qemu-ga (QEMU Guest Agent) kan kjøre kommandoer som mount i usikret modus (unconfined_t domene), som opprinnelig var begrenset av SELinux. SELinux-policyer for beskyttelse av tjenestene qat, systemd-pstore, boothd, fdo-manufacturing-server, fdo-rendezvous-server, fdo-client-linuxapp og fdo-owner-onboarding-server er lagt til.
• Støtte for fjerde generasjons virtualisering på Intel Xeon Scalable-prosessorer (Sapphire Rapids) er lagt til, noe som muliggjør bruk av CPU-modellen SapphireRapids i virtuelle maskiner og utnyttelse av de avanserte virtualiseringsmulighetene som disse prosessorene tilbyr.
• I Podman er støtte for containere komprimert med zstd-algoritmen lagt til. Muligheten til å bruke Quadlets for automatisk generering av systemd-tjenester fra containerbeskrivelser er lagt til. En podmansh-skal er lagt til, som kan brukes i stedet for /usr/bin/bash for å starte en brukerøkt i en container. Versjonene av Podman, Buildah, Skopeo, crun og runc er oppdatert.
• Nye kommandolinjeparametre for kjernen har blitt lagt til:
  • amd_pstate for styring av energibruksmodus for AMD CPUer;
  • arm64.nosve for å deaktivere SVE (Scalable Vector Extension);
  • arm64.nosme for å deaktivere SME (Scalable Matrix Extension);
  • gather_data_sampling for managing protection mode against GDS attacks (Gather Data Sampling or Downfall);
  • nospectre_bhb to disable Spectre-BHB protection;
  • trace_clock for setting the event tracing timer.
• Expanded capabilities for clusters and fault-tolerant systems: The LVM-activate agent has added support for failover of partition groups without physical partitions. The IPaddr2 and IPsrcaddr cluster resource agents have added support for policy routing. The ocf:heartbeat:Filesystem agent has added support for EFS (Amazon Elastic File System).
• New container images with FDO (FIDO Device Onboard) configurations have been added: fdo-manufacturing-server, fdo-owner-onboarding-server, fdo-rendezvous-server, and fdo-serviceinfo-api-server. A new container image rhel9/squid with the Squid proxy server has been added. The 'RHEL for Edge' edition has implemented support for new types of images 'minimal-raw', 'edge-vsphere' (*.vmdk), and 'edge-ami' (*.ami).
• Støtte for oppstart i UEFI-modus har blitt lagt til AMI-bildene for skyløsninger AWS EC2.
• For working with smart cards and USB tokens, the new pcsc-lite-ccid driver version 1.5.2 has been implemented, resolving issues with the Alcor Micro AU9560 controller and adding support for new smart card readers.
• The initial-setup and pmdk (Persistent Memory Development Kit) packages have been deprecated.
• Experimental support for PRP (Parallel Redundancy Protocol) and HSR (High-availability Seamless Redundancy) protocols has been added.
• An experimental capability for hardware acceleration of IPsec has been added by offloading packet encapsulation operations to the network card.
• Experimental support for SRv6 (Segment Routing over IPv6) has been added.
• The experimental implementation of kTLS (TLS at the kernel level) has been synchronized with kernel version 6.3. Support for using kTLS to accelerate GnuTLS has been added.
• Experimental support for the io_uring asynchronous input/output interface has been added, notable for supporting I/O polling and the ability to operate both with and without buffering. In the io_uring API, kernel developers have attempted to eliminate the shortcomings of the old aio interface. In terms of performance, io_uring is very close to SPDK and significantly outperforms libaio when polling is enabled.
• In IdM (Identity Management), experimental support for the ACME (Automated Certificate Management Environment) certificate management protocol used by the Let’s Encrypt certificate authority has been added.
• In Podman, an experimental option for using a storage backend based on SQLite (instead of BoltDB) has been added.
• Det er fortsatt gitt eksperimentell (Technology Preview) støtte:
• VPN WireGuard,
• Intel SGX (Software Guard Extensions),
• Intel IDXD (Data Streaming Accelerator),
• DAX (Direct Access) for ext4 og XFS,
• AMD SEV og SEV-ES i KVM-hypervisoren,
• systemd-resolved-tjenesten,
• Sigstore-mekanismen for verifisering av containere gjennom digitale signaturer,
• pakken med grafisk redigeringsverktøy GIMP 2.99.8,
• MPTCP (Multipath TCP)-innstillinger gjennom NetworkManager,
• DNSSEC i IdM,
• virtio-mem,
• KVM-hypervisor for ARM64,
• installation on NVMe over Fibre Channel,
• Socket API for TuneD,
• Soft-iWARP (Internet Wide-area RDMA Protocol),
• GNOME for ARM64 og IBM Z.

Kilde: opennet.ru