Wstępne wydanie AlmaLinux 9, oparte na gałęzi RHEL 9

Zaprezentowano wersję beta dystrybucji AlmaLinux 9, zbudowaną na bazie pakietów z gałęzi Red Hat Enterprise Linux 9, która zawiera wszystkie zmiany proponowane w tej wersji. Wydania przygotowano dla architektur x86_64, ARM64, s390x i ppc64le w postaci obrazu rozruchowego (780 MB), minimalnego (1,7 GB) oraz pełnego (8 GB). Wydania RHEL 9 i AlmaLinux 9 spodziewane są na początku maja.

Dystrybucja jest identyczna z RHEL pod względem funkcjonalności, z wyjątkiem zmian wynikających z rebrandingu i usunięcia specyficznych dla RHEL pakietów, takich jak redhat-*, insights-client i subscription-manager-migration*. AlmaLinux jest darmowy dla wszystkich kategorii użytkowników, rozwija się przy udziale społeczności oraz z wykorzystaniem modelu zarządzania podobnego do organizacji pracy projektu Fedora. Twórcy AlmaLinux starali się osiągnąć optymalną równowagę między wsparciem korporacyjnym a interesami społeczności — z jednej strony w rozwój zaangażowane są zasoby i deweloperzy firmy CloudLinux, która ma duże doświadczenie w utrzymaniu forków RHEL, z drugiej strony projekt jest przejrzysty i kontrolowany przez społeczność.

Dystrybucja AlmaLinux bazuje na firmie CloudLinux, która pomimo angażowania swoich zasobów i deweloperów, przekazała projekt oddzielnej organizacji non-profit AlmaLinux OS Foundation w celu rozwoju na neutralnej platformie z udziałem społeczności. Na rozwój projektu przeznaczone jest milion dolarów rocznie. Wszystkie osiągnięcia AlmaLinux publikowane są na licencjach open source.

Główne zmiany w AlmaLinux 9 i RHEL 9 w porównaniu do gałęzi RHEL 8:

• Zaktualizowane środowisko systemowe oraz narzędzia do budowania. Do kompilacji pakietów wykorzystano GCC 11. Standardowa biblioteka C została zaktualizowana do glibc 2.34. Pakiet z jądrem Linux oparty jest na wydaniu 5.14. Menedżer pakietów RPM zaktualizowano do wersji 4.16 z obsługą kontroli integralności przez fapolicyd.
• Zakończono migrację dystrybucji na Python 3. Domyślnie oferowana jest gałąź Python 3.9. Dostarczanie Pythona 2 zostało wstrzymane.
• Pulpit roboczy oparty na GNOME 40 (w RHEL 8 dostarczany był GNOME 3.28) i bibliotece GTK 4. W GNOME 40 wirtualne pulpity w trybie przeglądania (Activities Overview) zostały przekształcone w orientację poziomą i wyświetlane jako nieprzerwana, przewijana lewo-prawo seria. Na każdym pulpicie, wyświetlanym w trybie przeglądania, wizualnie przedstawione są dostępne okna, dla których zastosowano dynamiczne przewijanie i skalowanie podczas interakcji użytkownika. Zapewniono bezszwowe przejście między listą programów a wirtualnymi pulpitami.
• W GNOME wykorzystano narzędzie power-profiles-daemon, które umożliwia płynne przełączanie między trybem oszczędzania energii, trybem zrównoważonego zużycia energii i trybem maksymalnej wydajności.
• Wszystkie strumienie dźwiękowe zostały przeniesione do serwera multimedialnego PipeWire, który teraz jest używany domyślnie zamiast PulseAudio i JACK. Użycie PipeWire pozwala w standardowej edycji pulpitu na zapewnienie możliwości profesjonalnej obróbki dźwięku, eliminuje fragmentację i unifikuje infrastrukturę dźwiękową dla różnych zastosowań.
• Domyślnie menu rozruchowe GRUB jest ukryte, jeśli RHEL jest jedynym zainstalowanym w systemie dystrybucją i jeśli poprzedni rozruch zakończył się pomyślnie. Aby wyświetlić menu podczas uruchamiania, wystarczy przytrzymać klawisz Shift lub kilkakrotnie nacisnąć klawisz Esc lub F8. Wśród zmian w bootloaderze warto również zwrócić uwagę na umiejscowienie plików konfiguracyjnych GRUB dla wszystkich architektur w jednym katalogu /boot/grub2/ (plik /boot/efi/EFI/redhat/grub.cfg jest teraz symbolicznym linkiem do /boot/grub2/grub.cfg), co oznacza, że tę samą zainstalowaną system można uruchamiać zarówno przy użyciu EFI, jak i BIOS.
• Komponenty do wsparcia różnych języków zostały przeniesione do pakietów langpacks, które pozwalają na różnicowanie poziomu zainstalowanej obsługi językowej. Na przykład w pakiecie langpacks-core-font oferowane są tylko czcionki, w langpacks-core — lokalizacja dla glibc, podstawowa czcionka i metoda wprowadzania, a w langpacks — tłumaczenia, dodatkowe czcionki i słowniki do sprawdzania pisowni.
• Zaktualizowano komponenty zapewniające bezpieczeństwo. W dystrybucji wykorzystano nową wersję biblioteki kryptograficznej OpenSSL 3.0. Domyślnie włączone zostały nowocześniejsze i bardziej niezawodne algorytmy kryptograficzne (na przykład zabroniono stosowania SHA-1 w TLS, DTLS, SSH, IKEv2 i Kerberos, wyłączono TLS 1.0, TLS 1.1, DTLS 1.0, RC4, Camellia, DSA, 3DES i FFDHE-1024). Pakiet OpenSSH zaktualizowano do wersji 8.6p1. Cyrus SASL przeniesiono na backend GDBM zamiast Berkeley DB. W bibliotekach NSS (Network Security Services) zaprzestano wsparcia dla formatu DBM (Berkeley DB). GnuTLS zaktualizowano do wersji 3.7.2.
• Znacznie zwiększono wydajność SELinux i zmniejszono zużycie pamięci. W /etc/selinux/config usunięto wsparcie dla ustawienia „SELINUX=disabled” w celu wyłączenia SELinux (podane ustawienie teraz tylko wyłącza ładowanie polityk, a aby faktycznie wyłączyć funkcjonalność SELinux, teraz konieczne jest przekazanie do jądra parametru „selinux=0”).
• Dodano eksperymentalne wsparcie VPN WireGuard.
• Domyślnie zabroniono logowania przez SSH jako użytkownik root.
• Ogłoszono przestarzałymi narzędzia do zarządzania filtrami pakietów iptables-nft (narzędzia iptables, ip6tables, ebtables i arptables) oraz ipset. Do zarządzania zaporą sieciową teraz zaleca się użycie nftables.
• Do zestawu dodano nowy demon mptcpd do konfigurowania MPTCP (MultiPath TCP), rozszerzenia protokołu TCP w celu umożliwienia równoczesnej pracy TCP z dostarczaniem pakietów przez różne trasy przy użyciu różnych interfejsów sieciowych przypisanych do różnych adresów IP. Użycie mptcpd pozwala skonfigurować MPTCP bez korzystania z narzędzia iproute2.
• Usunięto pakiet network-scripts, do konfiguracji połączeń sieciowych należy teraz używać NetworkManager. Wsparcie dla formatu ustawień ifcfg zostało zachowane, ale NetworkManager domyślnie używa formatu opartego na pliku keyfile.
• W skład wchodzą nowe wersje kompilatorów i narzędzi dla deweloperów: GCC 11.2, LLVM/Clang 12.0.1, Rust 1.54, Go 1.16.6, Node.js 16, OpenJDK 17, Perl 5.32, PHP 8.0, Python 3.9, Ruby 3.0, Git 2.31, Subversion 1.14, binutils 2.35, CMake 3.20.2, Maven 3.6, Ant 1.10.
• Zaktualizowano pakiety serwerowe Apache HTTP Server 2.4.48, nginx 1.20, Varnish Cache 6.5, Squid 5.1.
• Zaktualizowano systemy baz danych MariaDB 10.5, MySQL 8.0, PostgreSQL 13, Redis 6.2.
• Do budowy emulatora QEMU domyślnie wykorzystuje się Clang, co pozwoliło zastosować w hipernadzorze KVM dodatkowe mechanizmy ochrony, takie jak SafeStack, w celu ochrony przed metodami eksploatacji opartymi na programowaniu z użyciem powrotów (ROP — Return-Oriented Programming).
• W SSSD (System Security Services Daemon) zwiększono szczegółowość logów, na przykład do wydarzeń teraz dołączany jest czas zakończenia zadania oraz odzwierciedlany jest strumień uwierzytelniania. Dodano funkcje wyszukiwania do analizy problemów z konfiguracją i wydajnością.
• Zwiększono wsparcie dla IMA (Integrity Measurement Architecture) w celu weryfikacji integralności komponentów systemu operacyjnego na podstawie podpisów cyfrowych i hashy.
• Domyślnie wprowadzono jednolitą zharmonizowaną hierarchię cgroup (cgroup v2). Cgroups v2 można wykorzystać, na przykład, do ograniczania zużycia pamięci, zasobów CPU oraz wejścia/wyjścia. Kluczową różnicą między cgroups v2 a v1 jest zastosowanie wspólnej hierarchii cgroup dla wszystkich rodzajów zasobów, zamiast osobnych hierarchii do rozdzielania zasobów CPU, regulowania konsumpcji pamięci oraz dla wejścia/wyjścia. Osobne hierarchie prowadziły do trudności w organizowaniu interakcji między procesami i do dodatkowych obciążeń zasobów jądra przy stosowaniu zasad dla procesów wspomnianych w różnych hierarchiach.
• Dodano wsparcie dla synchronizacji czasu rzeczywistego opartego na protokole NTS (Network Time Security), który wykorzystuje elementy infrastruktury otwartych kluczy (PKI) i pozwala na użycie TLS oraz uwierzytelnionego szyfrowania AEAD (Authenticated Encryption with Associated Data) do kryptograficznej ochrony interakcji klienta i serwera zgodnie z protokołem NTP (Network Time Protocol). Serwer NTP chrony zaktualizowano do wersji 4.1.
• Zapewniono eksperymentalne wsparcie dla KTLS (implementacja TLS na poziomie jądra), Intel SGX (Software Guard Extensions), DAX (Direct Access) dla ext4 i XFS, wsparcie dla AMD SEV oraz SEV-ES w hipernadzorze KVM.

Źródło: opennet.ru