Wydanie dystrybucji Red Hat Enterprise Linux 8.2

Firma Red Hat opublikowała dystrybucję Red Hat Enterprise Linux 8.2. Zestawy instalacyjne zostały przygotowane dla architektur x86_64, s390x (IBM System z), ppc64le i Aarch64, ale dostępne są do pobrania tylko zarejestrowani użytkownicy portalu Red Hat Customer Portal. Źródłowe teksty pakietów rpm Red Hat Enterprise Linux 8 są dystrybuowane przez repozytorium Git CentOS. Gałąź RHEL 8.x będzie wspierana przynajmniej do 2029 roku.

Początkowo zapowiedź RHEL 8.2 została opublikowano opublikowana na stronie Red Hat już 21 kwietnia, ale ogłoszenie zostało przedwczesne i repozytoria dla instalacji aktualizacji jeszcze nie były gotowe, a tak naprawdę wydanie miało miejsce dopiero dzisiaj. Gałąź 8.x rozwija się zgodnie z nowym przewidywalnym cyklem rozwoju, zakładającym wydawanie nowych wersji co sześć miesięcy w określonych terminach. Nowy cykl rozwoju produktów RHEL obejmuje kilka poziomów, w tym Fedora jako platforma do wprowadzania nowych możliwości, CentOS Stream dualny dostęp do pakietów przygotowywanych do następnego wydań RHEL (rolling wydanie RHEL), minimalistyczny uniwersalny obraz bazowy (UBI, Universal Base Image) do uruchamiania aplikacji w izolowanych kontenerach i subskrypcję dewelopera RHEL do darmowego korzystania z RHEL w trakcie rozwoju.

Kluczowe zmiany:

• Zagwarantowano pełne wsparcie zarządzania zasobami dzięki zunifikowanej hierarchii cgroups v2, która wcześniej znajdowała się w fazie eksperymentalnej. Cgroups v2 można stosować na przykład do ograniczania zużycia pamięci, zasobów CPU i operacji we-/wy. Kluczową różnicą cgroups v2 w porównaniu do v1 jest zastosowanie wspólnej hierarchii cgroup dla wszystkich rodzajów zasobów, zamiast oddzielnych hierarchii do rozdzielania zasobów CPU, regulowania zużycia pamięci i operacji we-/wy. Oddzielne hierarchie prowadziły do trudności w organizacji interakcji między procesami oraz do dodatkowych kosztów zasobów jądra przy stosowaniu reguł dla procesów wspomnianych w różnych hierarchiach.
• Dodano narzędzie Convert2RHEL do konwersji systemów działających na dystrybucjach podobnych do RHEL, takich jak CentOS i Oracle Linux.
• Dodano możliwość dostosowywania ogólnych polityk kryptograficznych (crypto-policies), obejmujących protokoły TLS, IPSec, SSH, DNSSec i Kerberos. Administrator może teraz określić własną politykę lub zmienić niektóre parametry istniejących. Dodano dwa nowe pakiety setools-gui i setools-console-analyses do analizy polityk SELinux i inspekcji przepływów danych. Dodano profil bezpieczeństwa zgodny z wytycznymi DISA STIG (Defense Information Systems Agency). Wprowadzono nowe narzędzie oscap-podman do skanowania zawartości kontenerów pod kątem używania podatnych wersji oprogramowania.
• W narzędziach do zarządzania tożsamością pojawiło się nowe narzędzie Healthcheck, które umożliwia identyfikację problemów w środowiskach IdM (Identity Management). Wsparcie dla ról i modułów Ansible ułatwia instalację i zarządzanie IdM.
• Zmodyfikowano interfejs webowej konsoli, która została przetłumaczona na wykorzystanie interfejsu PatternFly 4, zgodnego z projektem interfejsu OpenShift 4. Dodano limit nieaktywności użytkownika, po przekroczeniu którego sesja z konsolą webową zostaje zakończona. Dodano wsparcie dla uwierzytelniania przy użyciu certyfikatu klienta. Zaktualizowano sekcje dotyczące zarządzania pamięcią masową i maszynami wirtualnymi.
• Zmieniono interfejs przełączania wirtualnych pulpitów w środowisku GNOME Classic, przycisk do przełączania przeniesiono w dół po prawej stronie i zaprojektowano jako pasek miniatur.
• Podsystem graficzny DRM (Direct Rendering Manager) zsynchronizowano z wersją jądra Linux 5.1. Zaktualizowano sterowniki graficzne, które zyskały wsparcie dla Intel Comet Lake H i U (HD Graphics 610, 620, 630), Intel Ice Lake U (HD Graphics 910, Iris Plus Graphics 930, 940, 950), AMD Navi 10, Nvidia Turing TU116.
• Sesja GNOME oparta na Waylandzie jest domyślnie włączona dla systemów z wieloma GPU (wcześniej w systemach z hybrydową grafiką używano X11).
• Dodano wsparcie dla nowych parametrów jądra Linux związanych z zarządzaniem aktywacją zabezpieczeń przed nowymi atakami na mechanizm spekulacyjnego wykonywania CPU: mds, tsx, mitigations. Dodano parametr
  mem_encrypt do zarządzania włączeniem rozszerzeń AMD SME (Secure Memory Encryption). Dodano parametr cpuidle.governor do wyboru kontrolera stanu bezczynności CPU (cpuidle governor). Dodano parametr /proc/sys/kernel/panic_print do konfiguracji informacji wyświetlanych w przypadku awarii systemu (stanu panic). Dodano parametr
  /proc/sys/kernel/threads-max для определения максимального числа потоков, которые может создать функция fork(). Добавлен параметр /proc/sys/net/bpf_jit_enable для управления включением JIT-компилятора для BPF.
• Zmieniono algorytm uruchamiania dnf-automatic.timer do wywołania procesu automatycznej instalacji aktualizacji. Zamiast korzystać z monotonnego timera, prowadzącego do aktywacji w nieprzewidywalnym czasie po uruchomieniu, dany unit teraz uruchamia się w godzinach między 6 a 7 rano. Jeśli w tym czasie system jest wyłączony, uruchomienie odbywa się w ciągu godziny po włączeniu.
• Do repozytorium AppStream dodano moduły z nowymi wersjami Python 3.8 (wcześniej 3.6) oraz Maven 3.6. Zaktualizowano pakiety z GCC 9.2.1, Clang/LLVM 9.0.1, Rust 1.41 i Go 1.13.
• Zaktualizowano wersje pakietów powertop 2.11 (z wsparciem dla platform EHL, TGL, ICL/ICX), opencv 3.4.6, tuned 2.13.0, rsyslog 8.1911.0, audit 3.0-0.14, fapolicyd 0.9.1-2, sudo 1.8.29-3.el8,
  firewalld 0.8, tpm2-tools 3.2.1, mod_md (z wsparciem ACMEv2), grafana 6.3.6, pcp 5.0.2, elfutils 0.178, SystemTap 4.2, 389-ds-base 1.4.2.4,
  samba 4.11.2.
• Dodano nowe pakiety whois, graphviz-python3 (dystrybuowany przez oficjalnie nieobsługiwane repozytorium CRB (CodeReady Linux Builder)), perl-LDAP, perl-Convert-ASN1.
• Serwer DNS BIND został zaktualizowany do wersji 9.11.13 i przeniesiony na korzystanie z bazy przypisania adresów do lokalizacji GeoIP2 w formacie libmaxminddb, zamiast przestarzałego GeoIP, który nie jest już wspierany. Dodano ustawienie serve-stale (stale-answer), które pozwala na zwracanie przestarzałych rekordów DNS, jeśli nie można uzyskać nowych.
• Do rsyslog dodano wtyczkę omhttp do interakcji przez interfejs HTTP REST.
• W subsystemie audytu przeniesiono zmiany zgodne z jądrami Linux 5.5.
• Do wtyczki setroubleshoot dodano wsparcie dla analizy awarii dostępu spowodowanych brakiem pamięci i automatyczne reagowanie na takie problemy.
• Użytkownicy ograniczeni przez SELinux otrzymali możliwość zarządzania usługami związanymi z sesją użytkownika. W semanage dodano wsparcie dla oceny i zmiany portów sieciowych SCTP i DCCP (wcześniej wspierano TCP i UDP). Zapewniono obsługę pod własnymi domenami SELinux dla usług lvmdbusd (D-Bus API dla LVM), lldpd, rrdcached, stratisd, timedatex.
• Firewalld przeszedł na interfejs JSON libnftables w interakcji z nftables, co zwiększyło wydajność i niezawodność. W nftables dodano wsparcie dla typów wielowymiarowych w zestawie IP, które mogą obejmować zbiory i przedziały. W regułach dla firewalld można teraz używać handlerów do śledzenia połączeń dla usług działających na niestandardowych portach sieciowych.
• W subsystemie jądra tc (Traffic Control) zapewniono pełne wsparcie
  eBPF, co pozwala na używanie narzędzia tc do dołączania programów eBPF w celu klasyfikacji pakietów oraz przetwarzania kolejek przychodzących i wychodzących.
• Zrealizowano stabilne wsparcie dla niektórych subsystemów eBPF: narzędzia i biblioteka BCC (BPF Compiler Collection) do tworzenia programów BPF do śledzenia i debugowania, wsparcie eBPF w tc. W fazie Technology Preview pozostają komponenty bpftrace i eXpress Data Path (XDP).
• Komponenty działające w czasie rzeczywistym (kernel-rt) zostały zsynchronizowane z zestawem poprawek dla jądra 5.2.21-rt13.
• Zapewniono możliwość uruchamiania procesu rngd (demon do zasilania entropią generatora liczb pseudolosowych) bez uprawnień root.
• W LVM dodano wsparcie dla metody buforowania dm-writecache, oprócz wcześniej dostępnego dm-cache. Dm-cache buforuje najczęściej używane operacje zapisu i odczytu, podczas gdy dm-writecache buforuje tylko operacje zapisu, umieszczając je najpierw na szybkim nośniku SSD lub PMEM, a następnie przenosząc je w tle na wolniejszy dysk.
• W XFS dodano wsparcie dla trybu opóźnionego zapisu (writeback), który uwzględnia cgroup.
• W FUSE dodano wsparcie dla operacji copy_file_range(), co przyspiesza kopiowanie danych z jednego pliku do drugiego, dzięki wykonaniu operacji tylko po stronie jądra bez wcześniejszego odczytu danych do pamięci procesu. Optymalizacja ta jest wyraźnie widoczna w GlusterFS.
• Do dynamicznego linker'a dodano opcję '—preload', która pozwala jednoznacznie określić biblioteki do wymuszonego załadowania z aplikacją. Opcja ta umożliwia ominięcie użycia zmiennej środowiskowej LD_PRELOAD, która jest dziedziczona przez procesy potomne.
• W hipernadzorze KVM zrealizowano pełne wsparcie dla zagnieżdżonego uruchamiania maszyn wirtualnych.
• Dodano nowe sterowniki, w tym
  gVNIC, Broadcom UniMAC MDIO, Software iWARP, DRM VRAM, cpuidle-haltpoll, stm_ftrace, stm_console,
  Intel Trace Hub, PMEM DAX,
  Intel PMC Core,
  Intel RAPL,
  Intel Runtime Average Power Limit (RAPL).
• Ogłoszono ostatecznie przestarzałymi DSA, TLS 1.0 i TLS 1.1, które są domyślnie wyłączone i dostępne tylko w zestawie LEGACY.
• Zapewniono eksperymentalne wsparcie (Technology Preview) dla nmstate, AF_XDP, XDP, KTLS, dracut, kexec fast reboot, eBPF, libbpf, igc, NVMe over TCP/IP, DAX w ext4 i xfs, OverlayFS, Stratis, DNSSEC, GNOME na systemach ARM, AMD SEV dla KVM, Intel vGPU.

Źródło: opennet.ru