Lançamento da distribuição Red Hat Enterprise Linux 9.3

A Red Hat publicou o lançamento da distribuição Red Hat Enterprise Linux 9.3 (a nova versão foi anunciada na semana passada, mas as notas de versão foram disponibilizadas apenas ontem, enquanto o site ainda exibia um aviso de versão beta). A atualização da versão anterior, RHEL 8.9, está prevista para 15 de novembro. Imagens de instalação estão disponíveis para usuários registrados no Red Hat Customer Portal (para avaliação de funcionalidades, também é possível usar imagens ISO do CentOS Stream 9 e versões gratuitas do RHEL para desenvolvedores). O lançamento foi feito para as arquiteturas x86_64, s390x (IBM System z), ppc64le e Aarch64 (ARM64).

O ramo do RHEL 9 está se desenvolvendo com um processo de desenvolvimento mais aberto e utiliza como base o pacote do CentOS Stream 9. O CentOS Stream é posicionado como um projeto upstream para o RHEL, permitindo a terceiros controlar a preparação de pacotes para o RHEL, sugerir suas alterações e influenciar as decisões tomadas. De acordo com o ciclo de suporte de 10 anos do distribuidor, o RHEL 9 será mantido até 2032.

O RHEL 9.3 tornou-se o primeiro lançamento cujos códigos-fonte dos pacotes RPM não estão disponíveis no repositório público git.centos.org e são fornecidos aos clientes da empresa apenas através de uma seção restrita do site, onde um acordo de licença do usuário (EULA) proíbe a redistribuição dos dados, o que não permite o uso desses pacotes para criar distribuições derivadas. Os códigos-fonte ainda estão disponíveis no repositório do CentOS Stream, mas não estão totalmente sincronizados com o RHEL, e as versões mais recentes dos pacotes nem sempre coincidem com os do RHEL. A Rocky Linux, a Oracle e a SUSE uniram forças e agora reproduzem os códigos-fonte dos pacotes RPM das versões do RHEL no âmbito do projeto OpenELA.

Principais mudanças no RHEL 9.3:

• Inclui novas versões de compiladores e ferramentas para desenvolvedores: GCC Toolset 13, LLVM Toolset 16.0.6, Rust Toolset 1.71.1, Go Toolset 1.20.10, GCC 11.4.1 (compilador padrão), Redis 7, Node.js 20, java-21-openjdk (também continuam disponíveis java-17-openjdk, java-11-openjdk e java-1.8.0-openjdk), Valgrind 3.21, SystemTap 4.9, elfutils 0.189, PCP 6.0.5, Grafana 9.2.10.
• Pacotes de servidor e sistema foram atualizados: samba 4.18.6, iproute 6.2.0, Apache httpd 2.4.57 (+ módulo mod_authnz_fcgi adicionado), SEtools 4.4.3, OpenSCAP 1.3.8, opencryptoki 3.21.0, NetworkManager 1.44, xdp-tools 1.4.0, perf 6.2, dmpd 1.0.2, nvme-cli 2.4, Pacemaker 2.1.6, 389-ds-base 2.3.4.
• O gerenciador de pacotes DNF agora inclui o comando "reboot" para reinicialização automática após a conclusão da atualização. Os seguintes modos estão disponíveis: "never" (padrão) — sem reinicialização, "when-changed" — reinicialização após qualquer atualização (dnf upgrade) e "when-needed" — reinicialização apenas se as alterações instaladas exigirem (por exemplo, após a instalação de uma atualização do kernel ou do systemd). Para desligar em vez de reiniciar, há a opção "—poweroff".
• O DNF adicionou novos plugins: "dnf leaves" para mostrar todos os pacotes instalados que não são dependências de outros pacotes; "show-leaves" para mostrar pacotes semelhantes recentemente instalados ou pacotes que deixaram de ser usados como dependências após a transação.
• Da nova versão do núcleo Linux, foram transferidas as implementações dos protocolos SCTP (Stream Control Transmission Protocol) e MPTCP (Multipath TCP).
• Na plataforma ARM64, há suporte completo para câmeras com interface USB, adaptadores sem fio (Wi-Fi) e Bluetooth.
• Foi garantido suporte completo para placas de vídeo discretas Intel Arc A-Series (Alchemist ou DG2).
• A implementação do subsistema eBPF foi sincronizada com o núcleo Linux 6.3.
• Adicionado o conjunto de ferramentas Stratis para gerenciamento de dispositivos de armazenamento locais, oferecendo recursos como alocação dinâmica de espaço de armazenamento, snapshots, garantia de integridade e criação de camadas para cache.
• Mudanças foram feitas no systemd-udevd para permitir a atribuição de nomes imutáveis para interfaces de rede InfiniBand.
• O Postfix implementou a possibilidade de verificar registros DNS SRV para determinar o host e a porta do servidor de e-mail que será usado para a entrega das mensagens. Este recurso pode ser utilizado em infraestruturas onde serviços com números de portas de rede alocados dinamicamente são usados para a entrega de mensagens.
• No pacote cups-filters, foi adicionado um driver LF-to-CRLF, que pode ser usado para converter caracteres "\n" (nova linha) em "\r\n" (retorno de carro e nova linha) para impressoras que suportam apenas o processamento de arquivos com final de linha "\r\n".
• No FUSE3, foi adicionada a possibilidade de anular um item de diretório sem desmontar automaticamente os pontos de montagem associados a esse item.
• No NetworkManager, foi adicionada a compatibilidade com a opção "no-aaaa" no resolv.conf, que desativa o envio de consultas DNS para registros AAAA (determinação de endereço IPv6 pelo nome do host). Foi adicionada a compatibilidade com a opção "lacp_active" para gerenciar o processamento de quadros LACPDU (Link Aggregation Control Protocol Data Units). O NetworkManager foi configurado para reiniciar após a reinicialização do serviço dbus. Uma notificação é exibida no caso de perfis de conexão que utilizam o formato antigo de configuração ifcfg. Suporte adicionado para propriedades: link.tx-queue-length, link.gro-max-size, link.gso-max-segments e link.gso-max-size.
• Para uma mesma interface de rede no NetworkManager, é permitido usar tanto configurações estáticas quanto dinâmicas (DHCP). Por exemplo, a ferramenta nmstate pode definir um endereço estático para uma interface que tenha o suporte a DHCP habilitado. No nmstate, é permitido vincular as configurações à interface de rede pelo endereço MAC, em vez do nome da interface.
• Suporte de hardware expandido. Adicionada a compatibilidade com CPU ARM64 NVIDIA Grace. O driver Intel QAT com suporte para dispositivos Intel Quick Assist Technology 401xx/402xx foi migrado do núcleo Linux 6.2.
• Para proteger contra ataques Spectre v2 relacionados à execução especulativa de instruções, foi adicionado o modo AutoIBRS (Automatic Indirect Branch Restricted Speculation), suportado em CPUs AMD a partir da família EPYC 9004 Genoa.
• Para contêineres, foi oferecida a possibilidade de usar chips virtuais para armazenar chaves criptográficas (vTPM), implementados com base em um TPM físico compartilhado (Trusted Platform Module).
• No LVM, foi adicionada a compatibilidade com partições lógicas vmcore para dumps de núcleo gerados pelo subsistema kdump.
• Nas compilações de instalação, foi adicionado o parâmetro “inst.wait_for_disks”, que define o tempo de espera para o carregamento do arquivo kickstart ou a prontidão dos drivers durante o processo de inicialização.
• No instalador, ao instalar em sistemas ARM, foi fornecida a opção de escolher a variante do núcleo a ser instalada (por exemplo, com páginas de memória de 64 KB). O pacote s390utils-base foi removido do modo mínimo de instalação, mantendo apenas o s390utils-core.
• No criador de imagens RHEL, foi adicionada a capacidade de gerar arquivos no formato OVA para VMware VSphere.
• Nos arquivos kickstart, o comando network recebeu novas opções “—ipv4-dns-search” e “—ipv6-dns-search” para definir domínios básicos para a diretiva “search” em /etc/resolv.conf, além das opções “—ipv4-ignore-auto-dns” e “—ipv6-ignore-auto-dns” para ignorar a obtenção de configurações DNS via DHCP.
• Melhorado o suporte à extensão TLS EMS (Extended Master Secret, RFC 7627), necessário para garantir conformidade com os requisitos FIPS-140-3 em conexões baseadas em TLS 1.2.
• No OpenSSH, começou-se a eliminar o uso de algoritmos baseados em hashes SHA-1 em favor do SHA-2. Se não houver servidor chaves baseadas em SHA-1, o sshd agora usará apenas SHA-2 para verificar as chaves host, o que pode causar incompatibilidade com clientes RHEL 8 e versões mais antigas.
• O OpenSSL adicionou suporte para a configuração de parâmetros das curvas elípticas protegidas Brainpool e implementou proteção contra ataques de tempo na descriptografia RSA baseados em medições das operações que utilizam as variantes do método Bleichenbacher.
• No RPCSEC GSS Kerberos V5, foi adicionado suporte para os métodos de criptografia camellia128-cts-cmac, camellia256-cts-cmac, aes128-cts-hmac-sha256-128 e aes256-cts-hmac-sha384-192.
• Nos recursos de auditoria, foi adicionado suporte para eventos FANOTIFY e implementada a gravação no log dos campos fan_type (tipo de evento), fan_info (informações relacionadas), sub_trust e obj_trust (níveis de confiança para o sujeito e objeto do evento). No serviço fapolicyd, para simplificar a depuração de problemas, foi adicionada a transmissão dos números de regras para acessos rejeitados à API fanotify.
• Foi adicionada uma função de sistema para a ferramenta keylime, que facilita a configuração do registrador e do verificador Keylime, utilizados para verificar a autenticidade e a rastreabilidade contínua da integridade de sistemas externos. Por exemplo, é possível verificar a autenticidade de dispositivos Edge e IoT localizados em áreas não controladas, onde o acesso não autorizado é possível. Foi ativada a nova versão keylime 7.3.
• Foi adicionada uma função de sistema para gerenciar unidades systemd e sua instalação. Também foi adicionada uma função de sistema para instalar, configurar, gerenciar e iniciar o SGBD PostgreSQL. A função de sistema firewall agora suporta definição, modificação e remoção de ipsets.
• No SELinux, foi adicionada a opção virt_qemu_ga_run_unconfined, que permite que o processo qemu-ga (QEMU Guest Agent) execute em modo não protegido (domínio unconfined_t) comandos como mount, que estavam inicialmente restritos pelo SELinux. Foram adicionadas políticas SELinux para proteger os serviços qat, systemd-pstore, boothd, fdo-manufacturing-server, fdo-rendezvous-server, fdo-client-linuxapp e fdo-owner-onboarding-server.
• Foi adicionado suporte para virtualização de quarta geração nos processadores Intel Xeon Scalable (Sapphire Rapids), permitindo o uso do modelo de CPU SapphireRapids em máquinas virtuais e aproveitando as capacidades avançadas de virtualização disponíveis nesses processadores.
• No Podman, foi adicionado suporte para contêineres comprimidos com o algoritmo zstd. Foi adicionada a capacidade de utilizar Quadlets para a geração automática de serviços systemd a partir das descrições de contêineres. Uma nova shell podmansh foi implementada, que pode ser usada em vez de /usr/bin/bash para iniciar uma sessão do usuário dentro do contêiner. As versões Podman, Buildah, Skopeo, crun e runc foram atualizadas.
• Novos parâmetros de linha de comando do kernel foram adicionados:
  • amd_pstate para gerenciar os modos de consumo de energia da CPU AMD;
  • arm64.nosve para desativar o SVE (Scalable Vector Extension);
  • arm64.nosme para desativar o SME (Scalable Matrix Extension);
  • gather_data_sampling para gerenciar o modo de proteção contra ataques GDS (Gather Data Sampling ou Downfall);
  • nospectre_bhb para desativar a proteção Spectre-BHB;
  • trace_clock para definir o temporizador de eventos de rastreamento.
• Expandidas as capacidades para clusters e sistemas de alta disponibilidade: O agente LVM-activate agora suporta a substituição (failover) de grupos de partições que não têm partições físicas. Os agentes de recursos de cluster IPaddr2 e IPsrcaddr agora suportam policy routing. No agente ocf:heartbeat:Filesystem, foi adicionada suporte para o sistema de arquivos EFS (Amazon Elastic File System).
• Novas imagens de contêiner foram adicionadas com configurações FDO (FIDO Device Onboard): fdo-manufacturing-server, fdo-owner-onboarding-server, fdo-rendezvous-server e fdo-serviceinfo-api-server. Uma nova imagem de contêiner rhel9/squid com o servidor proxy Squid foi adicionada. Na edição "RHEL for Edge", foi implementado suporte para novos tipos de imagens "minimal-raw", "edge-vsphere" (*.vmdk) e "edge-ami" (*.ami).
• Nos AMIs para ambientes de nuvem AWS EC2, foi adicionado suporte para inicialização em modo UEFI.
• Para trabalhar com cartões inteligentes e tokens USB CCID (Chip Card Interface Device) e ICCD (Integrated Circuit Card Device), foi lançado uma nova versão do driver pcsc-lite-ccid 1.5.2, que resolve problemas com o controlador Alcor Micro AU9560 e adiciona suporte para novos leitores de cartões inteligentes.
• Os pacotes initial-setup e pmdk (Persistent Memory Development Kit) foram considerados obsoletos.
• Suporte experimental para os protocolos PRP (Parallel Redundancy Protocol) e HSR (High-availability Seamless Redundancy) foi adicionado.
• Foi adicionada uma possibilidade experimental de aceleração de hardware IPsec ao mover operações de encapsulamento de pacotes para o lado do adaptador de rede.
• Suporte experimental para SRv6 (Segment Routing over IPv6) foi adicionado.
• A implementação experimental do kTLS (TLS no nível do kernel) foi sincronizada com o kernel 6.3. Suporte para uso de kTLS para acelerar o GnuTLS foi adicionado.
• Adicionado suporte experimental para a interface de entrada/saída assíncrona io_uring, notável por seu suporte ao polling de entrada/saída e pela possibilidade de operar com ou sem buffer. Na API io_uring, os desenvolvedores do kernel tentaram resolver as deficiências da antiga interface aio. Em desempenho, o io_uring é muito próximo do SPDK e supera significativamente o libaio ao operar com polling ativado.
• No IdM (Gestão de Identidade), foi adicionada suporte experimental para o protocolo de gerenciamento de certificados ACME (Ambiente de Gestão Automatizada de Certificados), utilizado no centro de certificação Let’s Encrypt.
• No Podman, foi adicionada a funcionalidade experimental de usar um backend de armazenamento baseado em SQLite (em vez de BoltDB).
• Continuada a oferta de suporte experimental (Technology Preview):
• VPN WireGuard,
• Intel SGX (Extensões de Proteção de Software),
• Intel IDXD (Acelerador de Streaming de Dados),
• DAX (Direct Access) para ext4 e XFS.
• AMD SEV e SEV-ES no hypervisor KVM,
• serviço systemd-resolved,
• mecanismo Sigstore para verificação de contêineres via assinaturas digitais,
• pacote com o editor gráfico GIMP 2.99.8,
• configurações MPTCP (Multipath TCP) através do NetworkManager,
• DNSSEC no IdM,
• virtio-mem,
• hypervisor KVM para ARM64,
• instalações em NVMe sobre Fibre Channel,
• Socket API para TuneD,
• Soft-iWARP (Protocolo RDMA de Área Ampla na Internet),
• GNOME para ARM64 e IBM Z.

Fonte: opennet.ru