Zaprezentowano dystrybucję Red Hat Enterprise Linux 9

Firma Red Hat zaprezentowała wydanie dystrybucji Red Hat Enterprise Linux 9. Gotowe obrazy instalacyjne będą wkrótce dostępne dla zarejestrowanych użytkowników w Red Hat Customer Portal (do oceny funkcjonalności można również użyć obrazów iso CentOS Stream 9). Wydanie zostało przygotowane dla architektur x86_64, s390x (IBM System z), ppc64le oraz Aarch64 (ARM64). Źródła pakietów rpm Red Hat Enterprise Linux 9 są dostępne w repozytorium Git CentOS. Zgodnie z 10-letnim cyklem wsparcia dystrybucja RHEL 9 będzie wspierana do 2032 roku. Aktualizacje dla RHEL 7 będą wydawane do 30 czerwca 2024 roku, a dla RHEL 8 – do 31 maja 2029 roku.

Dystrybucja Red Hat Enterprise Linux 9 wyróżnia się przejściem na bardziej otwarty proces rozwoju. W przeciwieństwie do wcześniejszych wersji, jako bazę do budowy dystrybucji wykorzystano bazę pakietów CentOS Stream 9. CentOS Stream jest projektowany jako projekt upstream dla RHEL, co daje możliwość zewnętrznym uczestnikom kontrolowania przygotowania pakietów dla RHEL, proponowania własnych zmian i wpływania na podejmowane decyzje. Wcześniej jako baza dla nowej gałęzi RHEL wykorzystywano migawkę jednego z wydań Fedory, która była przetwarzana i stabilizowana za zamkniętymi drzwiami, bez możliwości kontrolowania toku rozwoju i podejmowanych decyzji. Teraz na podstawie migawki Fedory z udziałem społeczności formowana jest gałąź CentOS Stream, w której prowadzone są prace przygotowawcze i tworzy się podstawa dla nowej znaczącej gałęzi RHEL.

Kluczowe zmiany:

• Zaktualizowane środowisko systemowe oraz narzędzia do budowania. Do kompilacji pakietów wykorzystano GCC 11. Standardowa biblioteka C została zaktualizowana do glibc 2.34. Pakiet z jądrem Linux oparty jest na wydaniu 5.14. Menedżer pakietów RPM zaktualizowano do wersji 4.16 z obsługą kontroli integralności przez fapolicyd.
• Zakończono migrację dystrybucji na Python 3. Domyślnie oferowana jest gałąź Python 3.9. Dostarczanie Pythona 2 zostało wstrzymane.
• Pulpit roboczy oparty na GNOME 40 (w RHEL 8 dostarczany był GNOME 3.28) i bibliotece GTK 4. W GNOME 40 wirtualne pulpity w trybie przeglądania (Activities Overview) zostały przekształcone w orientację poziomą i wyświetlane jako nieprzerwana, przewijana lewo-prawo seria. Na każdym pulpicie, wyświetlanym w trybie przeglądania, wizualnie przedstawione są dostępne okna, dla których zastosowano dynamiczne przewijanie i skalowanie podczas interakcji użytkownika. Zapewniono bezszwowe przejście między listą programów a wirtualnymi pulpitami.
• W GNOME wykorzystano narzędzie power-profiles-daemon, które umożliwia płynne przełączanie między trybem oszczędzania energii, trybem zrównoważonego zużycia energii i trybem maksymalnej wydajności.
• Wszystkie strumienie dźwiękowe zostały przeniesione do serwera multimedialnego PipeWire, który teraz jest używany domyślnie zamiast PulseAudio i JACK. Użycie PipeWire pozwala w standardowej edycji pulpitu na zapewnienie możliwości profesjonalnej obróbki dźwięku, eliminuje fragmentację i unifikuje infrastrukturę dźwiękową dla różnych zastosowań.
• Domyślnie menu rozruchowe GRUB jest ukryte, jeśli RHEL jest jedynym zainstalowanym w systemie dystrybucją i jeśli poprzedni rozruch zakończył się pomyślnie. Aby wyświetlić menu podczas uruchamiania, wystarczy przytrzymać klawisz Shift lub kilkakrotnie nacisnąć klawisz Esc lub F8. Wśród zmian w bootloaderze warto również zwrócić uwagę na umiejscowienie plików konfiguracyjnych GRUB dla wszystkich architektur w jednym katalogu /boot/grub2/ (plik /boot/efi/EFI/redhat/grub.cfg jest teraz symbolicznym linkiem do /boot/grub2/grub.cfg), co oznacza, że tę samą zainstalowaną system można uruchamiać zarówno przy użyciu EFI, jak i BIOS.
• Komponenty do wsparcia różnych języków zostały przeniesione do pakietów langpacks, które pozwalają na różnicowanie poziomu zainstalowanej obsługi językowej. Na przykład w pakiecie langpacks-core-font oferowane są tylko czcionki, w langpacks-core — lokalizacja dla glibc, podstawowa czcionka i metoda wprowadzania, a w langpacks — tłumaczenia, dodatkowe czcionki i słowniki do sprawdzania pisowni.
• Zaktualizowano komponenty zapewniające bezpieczeństwo. W dystrybucji wykorzystano nową wersję biblioteki kryptograficznej OpenSSL 3.0. Domyślnie włączone zostały nowocześniejsze i bardziej niezawodne algorytmy kryptograficzne (na przykład zabroniono stosowania SHA-1 w TLS, DTLS, SSH, IKEv2 i Kerberos, wyłączono TLS 1.0, TLS 1.1, DTLS 1.0, RC4, Camellia, DSA, 3DES i FFDHE-1024). Pakiet OpenSSH zaktualizowano do wersji 8.6p1. Cyrus SASL przeniesiono na backend GDBM zamiast Berkeley DB. W bibliotekach NSS (Network Security Services) zaprzestano wsparcia dla formatu DBM (Berkeley DB). GnuTLS zaktualizowano do wersji 3.7.2.
• Znacznie zwiększono wydajność SELinux i zmniejszono zużycie pamięci. W /etc/selinux/config usunięto wsparcie dla ustawienia „SELINUX=disabled” w celu wyłączenia SELinux (podane ustawienie teraz tylko wyłącza ładowanie polityk, a aby faktycznie wyłączyć funkcjonalność SELinux, teraz konieczne jest przekazanie do jądra parametru „selinux=0”).
• Dodano eksperymentalne wsparcie VPN WireGuard.
• Domyślnie zabroniono logowania przez SSH jako użytkownik root.
• Ogłoszono przestarzałymi narzędzia do zarządzania filtrami pakietów iptables-nft (narzędzia iptables, ip6tables, ebtables i arptables) oraz ipset. Do zarządzania zaporą sieciową teraz zaleca się użycie nftables.
• Do zestawu dodano nowy demon mptcpd do konfigurowania MPTCP (MultiPath TCP), rozszerzenia protokołu TCP w celu umożliwienia równoczesnej pracy TCP z dostarczaniem pakietów przez różne trasy przy użyciu różnych interfejsów sieciowych przypisanych do różnych adresów IP. Użycie mptcpd pozwala skonfigurować MPTCP bez korzystania z narzędzia iproute2.
• Usunięto pakiet network-scripts, do konfiguracji połączeń sieciowych należy teraz używać NetworkManager. Wsparcie dla formatu ustawień ifcfg zostało zachowane, ale NetworkManager domyślnie używa formatu opartego na pliku keyfile.
• W skład wchodzą nowe wersje kompilatorów i narzędzi dla deweloperów: GCC 11.2, LLVM/Clang 12.0.1, Rust 1.54, Go 1.16.6, Node.js 16, OpenJDK 17, Perl 5.32, PHP 8.0, Python 3.9, Ruby 3.0, Git 2.31, Subversion 1.14, binutils 2.35, CMake 3.20.2, Maven 3.6, Ant 1.10.
• Zaktualizowano pakiety serwerowe Apache HTTP Server 2.4.48, nginx 1.20, Varnish Cache 6.5, Squid 5.1.
• Zaktualizowano systemy baz danych MariaDB 10.5, MySQL 8.0, PostgreSQL 13, Redis 6.2.
• Do budowy emulatora QEMU domyślnie wykorzystuje się Clang, co pozwoliło zastosować w hipernadzorze KVM dodatkowe mechanizmy ochrony, takie jak SafeStack, w celu ochrony przed metodami eksploatacji opartymi na programowaniu z użyciem powrotów (ROP — Return-Oriented Programming).
• W SSSD (System Security Services Daemon) zwiększono szczegółowość logów, na przykład do wydarzeń teraz dołączany jest czas zakończenia zadania oraz odzwierciedlany jest strumień uwierzytelniania. Dodano funkcje wyszukiwania do analizy problemów z konfiguracją i wydajnością.
• Zwiększono wsparcie dla IMA (Integrity Measurement Architecture) w celu weryfikacji integralności komponentów systemu operacyjnego na podstawie podpisów cyfrowych i hashy.
• Domyślnie wprowadzono jednolitą zharmonizowaną hierarchię cgroup (cgroup v2). Cgroups v2 można wykorzystać, na przykład, do ograniczania zużycia pamięci, zasobów CPU oraz wejścia/wyjścia. Kluczową różnicą między cgroups v2 a v1 jest zastosowanie wspólnej hierarchii cgroup dla wszystkich rodzajów zasobów, zamiast osobnych hierarchii do rozdzielania zasobów CPU, regulowania konsumpcji pamięci oraz dla wejścia/wyjścia. Osobne hierarchie prowadziły do trudności w organizowaniu interakcji między procesami i do dodatkowych obciążeń zasobów jądra przy stosowaniu zasad dla procesów wspomnianych w różnych hierarchiach.
• Dodano wsparcie dla synchronizacji czasu rzeczywistego opartego na protokole NTS (Network Time Security), który wykorzystuje elementy infrastruktury otwartych kluczy (PKI) i pozwala na użycie TLS oraz uwierzytelnionego szyfrowania AEAD (Authenticated Encryption with Associated Data) do kryptograficznej ochrony interakcji klienta i serwera zgodnie z protokołem NTP (Network Time Protocol). Serwer NTP chrony zaktualizowano do wersji 4.1.
• Zapewniono eksperymentalne wsparcie (Technology Preview) dla KTLS (implementacja TLS na poziomie jądra), Intel SGX (Software Guard Extensions), DAX (Direct Access) dla ext4 i XFS, wsparcie AMD SEV i SEV-ES w hypervisorze KVM.

Źródło: opennet.ru