Lançamento da distribuição Red Hat Enterprise Linux 9.1.

A empresa Red Hat lançou o release da distribuição Red Hat Enterprise Linux 9.1. As imagens de instalação estão disponíveis para usuários registrados no Red Hat Customer Portal (também é possível usar as imagens iso do CentOS Stream 9 para avaliar a funcionalidade). A versão foi criada para as arquiteturas x86_64, s390x (IBM System z), ppc64le e Aarch64 (ARM64). O código fonte dos pacotes rpm do Red Hat Enterprise Linux 9 está disponível no repositório Git do CentOS.

O ramo do RHEL 9 está se desenvolvendo com um processo de desenvolvimento mais aberto e utiliza como base o pacote do CentOS Stream 9. O CentOS Stream é posicionado como um projeto upstream para o RHEL, permitindo a terceiros controlar a preparação de pacotes para o RHEL, sugerir suas alterações e influenciar as decisões tomadas. De acordo com o ciclo de suporte de 10 anos do distribuidor, o RHEL 9 será mantido até 2032.

Mudanças principais:

• Foram atualizados pacotes de servidor e sistema: firewalld 1.1.1, chrony 4.2, unbound 1.16.2, frr 8.2.2, Apache httpd 2.4.53, opencryptoki 3.18.0, powerpc-utils 1.3.10, libvpd 2.2.9, lsvpd 1.7.14, ppc64-diag 2.7, PCP 5.3.7, Grafana 7.5.13, samba 4.16.1.
• O conjunto inclui novas versões de compiladores e ferramentas para desenvolvedores: GCC 11.2.1, GCC Toolset 12, LLVM Toolset 14.0.6, binutils 2.35.2, PHP 8.1, Ruby 3.1, Node.js 18, Rust Toolset 1.62, Go Toolset 1.18.2, Maven 3.8, java-17-openjdk (as versões java-11-openjdk e java-1.8.0-openjdk também continuam a ser fornecidas), .NET 7.0, GDB 10.2, Valgrind 3.19, SystemTap 4.7, Dyninst 12.1.0, elfutils 0.187.
• O subsistema eBPF (Berkeley Packet Filter) recebeu melhorias implementadas nos kernels Linux 5.15 e 5.16. Por exemplo, para programas BPF, foi implementada a capacidade de solicitar e processar eventos de temporizador, a possibilidade de obter e definir opções de soquete para setsockopt, suporte à chamada de funções de módulos de kernel, foi proposta uma estrutura de armazenamento de dados probabilística (BPF map) bloom filter, e adicionada a capacidade de vincular tags a parâmetros de funções.
• O conjunto de patches para sistemas em tempo real, utilizado no kernel kernel-rt, foi atualizado para estar de acordo com o kernel 5.15-rt.
• Foi atualizada a implementação do protocolo MPTCP (MultiPath TCP), utilizado para organizar a operação de conexão TCP com a entrega de pacotes simultaneamente por vários caminhos através de diferentes interfaces de rede. As mudanças foram transferidas do kernel Linux 5.19 (por exemplo, suporte foi adicionado para reverter conexões MPTCP para TCP comum e foi proposto um API para gerenciamento de fluxos MPTCP a partir do espaço do usuário).
• Em sistemas com processadores ARM, AMD e Intel de 64 bits, foi disponibilizada a possibilidade de alterar o funcionamento do modo Real-Time no kernel durante a operação através da gravação do nome do modo no arquivo "/sys/kernel/debug/sched/preempt" ou durante a inicialização através do parâmetro do kernel "preempt=" (os modos none, voluntary e full são suportados).
• As configurações do carregador GRUB foram alteradas para ocultar o menu de inicialização por padrão, sendo que o menu é exibido se a última inicialização falhar. Para mostrar o menu durante a inicialização, é possível manter a tecla Shift pressionada ou pressionar repetidamente as teclas Esc ou F8. Para desativar a ocultação, pode-se usar o comando "grub2-editenv — unset menu_auto_hide".
• O driver PTP (Protocolo de Tempo de Precisão) ganhou suporte para a criação de relógios de hardware virtuais (PHC, PTP Hardware Clocks).
• Foi adicionada a comando modulesync, que carrega pacotes RPM a partir de módulos e cria, no diretório de trabalho, um repositório com os metadados necessários para a instalação de pacotes modulares.
• No tuned, serviço para monitoramento do estado do sistema e otimização de perfis para alcançar a máxima performance de acordo com a carga atual, foi disponibilizada a opção de usar o pacote tuned-profiles-realtime para isolar núcleos da CPU e fornecer a aplicativos todos os recursos disponíveis.
• No NetworkManager, foi implementada a conversão de perfis de conexão do formato de configurações ifcfg (/etc/sysconfig/network-scripts/ifcfg-*) para o formato baseado em arquivo keyfile. Para migrar os perfis, pode-se usar o comando "nmcli connection migrate".
• O toolkit SELinux foi atualizado para a versão 3.4, que melhorou o desempenho da reinstalação de rótulos (relabel) através da paralelização das operações, e na ferramenta semodule foi adicionada a opção "-m" ("—checksum") para obter hashes SHA256 de módulos; mcstrans foi portado para a biblioteca PCRE2. Novas ferramentas para gerenciamento de políticas de acesso foram adicionadas: sepol_check_access, sepol_compute_av, sepol_compute_member, sepol_compute_relabel, sepol_validate_transition. Políticas SELinux foram adicionadas para proteger serviços como ksm, nm-priv-helper, rhcd, stalld, systemd-network-generator, targetclid e wg-quick.
• Foi disponibilizada a capacidade de usar o cliente Clevis (clevis-luks-systemd) para a desbloqueio automático de partições de disco criptografadas com LUKS e montadas em uma fase posterior da inicialização, sem a necessidade de usar o comando "systemctl enable clevis-luks-askpass.path".
• As capacidades do toolkit para preparação de imagens de sistema foram ampliadas, incluindo suporte para inicialização de imagens no GCP (Google Cloud Platform), inserção de imagens diretamente no registro de contêineres, configuração do tamanho da partição /boot e ajuste de parâmetros (Blueprint) durante a geração da imagem (por exemplo, adição de pacotes e criação de usuários).
• Foi adicionada a ferramenta keylime para a certificação (verificação de autenticidade e acompanhamento contínuo da integridade) de sistemas externos, usando a tecnologia TPM (Trusted Platform Module), por exemplo, para garantir a autenticidade de dispositivos Edge e IoT localizados em áreas não controladas, onde o acesso não autorizado é possível.
• Na edição ‘RHEL for Edge’, foi disponibilizada a ferramenta fdo-admin para configurar serviços FDO (FIDO Device Onboard) e criar certificados e chaves para eles.
• No SSSD (System Security Services Daemon), foi adicionado suporte para o cache de consultas SID (por exemplo, verificação de GID/UID) na memória, permitindo a aceleração das operações de cópia de um grande número de arquivos através do servidor Samba. O suporte para integração com o Windows Server 2022 foi assegurado.
• No OpenSSH, o tamanho mínimo das chaves RSA é limitado por padrão a 2048 bits, e nas bibliotecas NSS, o suporte a chaves RSA com menos de 1023 bits foi descontinuado. Para configurar restrições próprias no OpenSSH, foi adicionado o parâmetro RequiredRSASize. Adicionado suporte ao método de troca de chaves sntrup761x25519-sha512@openssh.com, resistente a ataques por computadores quânticos.
• Na ferramenta ReaR (Relax-and-Recover), foi adicionada a capacidade de executar comandos arbitrários antes e depois da recuperação.
• No driver para adaptadores Ethernet Intel E800, foi implementado suporte para os protocolos iWARP e RoCE.
• Foi adicionado um novo pacote httpd-core, que contém o conjunto básico de componentes do Apache httpd, suficiente para iniciar um servidor HTTP e relacionado ao número mínimo de dependências. O pacote httpd foi acrescido de módulos adicionais, como mod_systemd e mod_brotli, além de incluir documentação.
• Foi adicionado um novo pacote xmlstarlet, que inclui utilitários para análise, transformação, verificação, extração de dados e edição de arquivos XML, semelhantes ao grep, sed, awk, diff, patch e join, mas projetados para arquivos XML, e não para arquivos de texto.
• As capacidades das funções do sistema foram expandidas, por exemplo, na função network foi adicionada a configuração de regras de roteamento e o uso da API nmstate, na função logging foi implementada a filtragem com expressões regulares (startmsg.regex, endmsg.regex), na função storage foi introduzido o suporte para partições que dinamicamente alocam espaço de armazenamento ("thin provisioning"), na função sshd foi incorporada a gestão através de /etc/ssh/sshd_config, na função metrics foi adicionado a exportação de estatísticas de desempenho do Postfix, e na função firewall foi implementada a capacidade de reescrever a configuração anterior e suporte para adicionar, atualizar e remover serviços com base no estado.
• A ferramenta para gerenciamento de containers isolados foi atualizada, incluindo pacotes como Podman, Buildah, Skopeo, crun e runc. Foi adicionado suporte para GitLab Runner em containers com runtime Podman. Para configurar a subsistema de rede dos containers, foi disponibilizada a ferramenta netavark e o servidor DNS Aardvark.
• O mdevctl foi adicionado com a função ap-check para configurar o redirecionamento para máquinas virtuais acesso a aceleradores criptográficos.
• Foi adicionada uma possibilidade preliminar (Technology Preview) de autenticação de usuários usando provedores externos (IdP, identity provider) que suportam a extensão do protocolo OAuth 2.0 "Device Authorization Grant" para fornecer tokens de acesso OAuth a dispositivos sem o uso de um navegador.
• Para a sessão GNOME baseada em Wayland, foram disponibilizados builds do Firefox que utilizam Wayland. Builds baseados em X11 executados em um ambiente Wayland através do componente XWayland foram transferidos para um pacote separado firefox-x11.
• A sessão baseada em Wayland é ativada por padrão para sistemas com GPUs Matrox (anteriormente, o Wayland não era utilizado com GPUs Matrox devido a limitações e problemas de desempenho que agora foram resolvidos).
• Foi implementado suporte para GPUs integradas nos processadores Intel Core de 12ª geração, incluindo Intel Core i3 12100T – i9 12900KS, Intel Pentium Gold G7400 e G7400T, Intel Celeron G6900 e G6900T, Intel Core i5-12450HX – i9-12950HX e Intel Core i3-1220P – i7-1280P. Foi também adicionado suporte para GPUs AMD Radeon RX 6[345]00 e AMD Ryzen 5/7/9 6[689]00.
• Para controlar a ativação da proteção contra vulnerabilidades no mecanismo MMIO (Memory Mapped Input Output), foi implementado um parâmetro de inicialização do kernel "mmio_stale_data", que pode assumir os valores "full" (ativação da limpeza de buffers ao sair para o espaço do usuário e em VM), "full,nosmt" (como "full" + adicionalmente desativando SMT/Hyper-Threads) e "off" (proteção desativada).
• Para gerenciar a ativação da proteção contra a vulnerabilidade Retbleed, foi implementado o parâmetro de inicialização do núcleo "retbleed", que permite desativar a proteção ("off") ou escolher o algoritmo de bloqueio da vulnerabilidade (auto, nosmt, ibpb, unret).
• No parâmetro de inicialização do núcleo acpi_sleep, foi implementado suporte a novas opções para gerenciar a transição para o modo de suspensão: s3_bios, s3_mode, s3_beep, s4_hwsig, s4_nohwsig, old_ordering, nonvs, sci_force_enable e nobl.
• Adicionada uma grande quantidade de novos drivers para dispositivos de rede, sistemas de armazenamento e chips gráficos.
• Continua a oferta de suporte experimental (Technology Preview) para KTLS (implementação de TLS no nível do núcleo). VPN WireGuard, Intel SGX (Software Guard Extensions), Intel IDXD (Data Streaming Accelerator), DAX (Direct Access) para ext4 e XFS, AMD SEV e SEV-ES no hypervisor KVM, serviço systemd-resolved, gerenciador de armazenamento Stratis, Sigstore para verificação de contêineres com assinaturas digitais, pacote com o editor gráfico GIMP 2.99.8, configurações MPTCP (Multipath TCP) pelo NetworkManager, servidor ACME (Automated Certificate Management Environment), virtio-mem, hypervisor KVM para ARM64.
• Declarado obsoleto o toolkit GTK 2 e pacotes relacionados adwaita-gtk2-theme, gnome-common, gtk2, gtk2-immodules e hexchat. O X.org Server foi declarado obsoleto (como padrão, o RHEL 9 oferece uma sessão GNOME baseada em Wayland), o qual planejam remover na próxima versão significante do RHEL, mas manterão a possibilidade de executar aplicativos X11 a partir da sessão Wayland utilizando o servidor DDX XWayland.

Fonte: opennet.ru