Lançamento da distribuição Red Hat Enterprise Linux 9.4.

A empresa Red Hat lançou a versão do distribuidor Red Hat Enterprise Linux 9.4. As imagens de instalação prontas estão disponíveis para usuários registrados no Red Hat Customer Portal (para avaliar a funcionalidade, também é possível usar as isos do CentOS Stream 9 e as compilações gratuitas do RHEL para desenvolvedores). O lançamento foi formado para as arquiteturas x86_64, s390x (IBM System z), ppc64le e Aarch64 (ARM64).

O ramo do RHEL 9 está se desenvolvendo com um processo de desenvolvimento mais aberto e utiliza como base o pacote do CentOS Stream 9. O CentOS Stream é posicionado como um projeto upstream para o RHEL, permitindo a terceiros controlar a preparação de pacotes para o RHEL, sugerir suas alterações e influenciar as decisões tomadas. De acordo com o ciclo de suporte de 10 anos do distribuidor, o RHEL 9 será mantido até 2032.

Os códigos-fonte dos pacotes rpm do RHEL 9.4 não estão disponíveis no repositório público git.centos.org e são fornecidos aos clientes da empresa apenas através da seção restrita do site, onde um acordo de usuário (EULA) proíbe a redistribuição dos dados, o que não permite usar esses pacotes para criar distribuições derivadas. Os códigos-fonte permanecem disponíveis no repositório do CentOS Stream, mas não estão completamente sincronizados com o RHEL e nem sempre as versões mais recentes dos pacotes coincidem com os pacotes do RHEL. Rocky Linux, Oracle e SUSE reproduzem os códigos-fonte dos pacotes rpm dos lançamentos do RHEL no âmbito do projeto OpenELA.

Principais alterações no RHEL 9.4:

• Suporte total para a tecnologia de criação de enclaves isolados Intel SGX (Software Guard Extensions) foi assegurado. As versões SGX 1 e 2 são suportadas, permitindo a utilização de mecanismos FLC (Flexible Launch Control) e EDMM (Enclave Dynamic Memory Management) para alterar os direitos de acesso a páginas de memória específicas do enclave, adicionar/remover dinamicamente páginas de memória ao enclave e expandir o enclave.
• O driver IDXD (Data Streaming Accelerator) foi traduzido para um estado estável para utilização de aceleradores de transferência de dados integrados na CPU Intel. Anteriormente, SGX e IDXD eram considerados recursos experimentais (Technology Preview).
• A implementação do subsistema eBPF foi sincronizada com o núcleo Linux 6.6 (na versão anterior foi utilizada a implementação do eBPF do núcleo Linux 6.3).
• O carregador GRUB e a camada shim foram aprimorados com a capacidade de aplicar mecanismos de proteção de memória DEP (Data Execution Prevention), NX (No Execute) e XD (Execute Disable) para proibir a execução de instruções em áreas específicas da memória antes do início do carregamento do sistema.
• Inclui novas versões de compiladores e ferramentas para desenvolvedores: GCC Toolset 13, LLVM Toolset 17.0.6, Rust Toolset 1.75.1 e Go Toolset 1.21.7.
• Novos pacotes (Application Streams) foram adicionados com novas versões do Python 3.12, Ruby 3.3, PHP 8.2, nginx 1.24, MariaDB 10.11, PostgreSQL 16.
• As versões do Git 2.43.0, Git LFS 3.4.1, Valgrind 3.22, SystemTap 5.0, elfutils 0.190 e cmake 3.26 foram atualizadas. Novos pacotes maven-openjdk21 e libzip-tools foram adicionados.
• Os pacotes relacionados à segurança foram atualizados: GnuTLS 3.8.3, nettle 3.9.1, p11-kit 0.25.3, libkcapi 1.4.0, stunnel 5.71, audit 3.1.2, SSG (SCAP Security Guide) 0.1.72, openCryptoki 3.22.0, ipa 4.11.
• Os pacotes de servidor e de sistema foram atualizados: chrony 4.5, linuxptp 4.2, Rsyslog 8.2310, iptables 1.8.10, nftables 1.0.9, firewalld 1.3, stratis-cli 3.6.0, boom 1.6.0, 389-ds-base 2.4.5, samba 4.19.4, Podman 4.9.
• O conjunto de ferramentas SELinux em espaço de usuário (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) foi atualizado para a versão 3.6, que adicionou suporte a regras "deny" e palavras-chave "notself" e "other" na linguagem CIL (Common Intermediate Language). Foi adicionado o executável getpolicyload para exibir o número de reinicializações das regras SELinux. Os serviços nvme-stas, rust-afterburn, rust-coreos-installer e bootc, que anteriormente eram executados em modo unconfined_service_t, foram transferidos para a proteção do SELinux. Regras SELinux para SAP HANA foram adicionadas. Um novo serviço chronyd-restricted, protegido pelo SELinux, foi adicionado. O pacote grafana-selinux foi incluído para executar grafana com proteção SELinux.
• Os registradores e verificadores Keylime, utilizados para validar a autenticidade e monitorar continuamente a integridade de sistemas externos, agora podem ser executados dentro de contêineres isolados do sistema principal.
• No sistema de registro Rsyslog, agora é possível alterar as configurações de criptografia para TLS/SSL e foram adicionadas opções adicionais para redefinição de privilégios.
• No OpenSSL, agora é possível armazenar arquivos de configuração TLS em um diretório separado /etc/pki/tls/openssl.d, o que permite redefinir os parâmetros de módulos criptográficos adicionais sem modificar o arquivo de configuração principal do OpenSSL.
• No SSSD (System Security Services Daemon), agora é possível ativar e configurar a autenticação sem senha, utilizando sensores biométricos que suportam a especificação FIDO2, como dispositivos YubiKey.
• Adicionada a nova ferramenta experimental "podman build farm" para criar imagens de contêineres simultaneamente para várias arquiteturas. O Podman agora tem suporte completo para um backend baseado em SQLite e possibilita o uso de módulos containers.conf para carregamento seletivo de configurações. Instruções HereDoc em um Containerfile agora são permitidas. O stack de rede CNI (Container Network Interface) foi declarado obsoleto. Através do comando "podman machine", foi implementada a funcionalidade de redirecionar dispositivos USB para máquinas virtuais QEMU.
• No IdM (Gerenciamento de Identidade), agora é possível habilitar a autenticação de dois fatores obrigatória para clientes LDAP, utilizando senhas únicas (OTP). A API do IdM, que anteriormente era considerada experimental, foi estabilizada. No 389 Directory Server, foi adicionado suporte ao protocolo HAProxy, permitindo a correta identificação de endereços IP de clientes conectados via proxy.
• No coletor de imagens RHEL, foi disponibilizada a capacidade de especificar pontos de montagem arbitrários e criar diferentes modos de particionamento (auto-lvm, lvm, raw).
• Antes da versão 1.0.0, a implementação do protocolo synce4l foi atualizada, garantindo suporte à tecnologia de sincronização de frequência SyncE (Ethernet Sincronizado), que é suportada em algumas placas de rede e switches e permite melhorar a eficiência da troca de dados em aplicações RAN (Rede de Acesso Rádio) através de uma sincronização de tempo mais precisa. Suporte à interface DPLL (Digital Phase Locked Loop) fornecida pelo núcleo foi adicionado.
• Transferida para o subsistema nftables, a capacidade de verificar campos de cabeçalhos internos de pacotes transmitidos através de túneis. Na ferramenta nft, foi adicionada a possibilidade de usar o comando "nft reset" para redefinir o estado das regras nftables, como contadores de pacotes e valores de cotas. No firewalld, foi interrompido o processo de remoção de regras adicionadas via iptables, se o backend nftables estiver em uso e não existirem regras criadas com a opção "--direct".
• Na ferramenta ss, que faz parte do pacote iproute2, foi adicionada a opção "--bound-inactive" para exibir sockets de rede TCP inativos que estão vinculados a endereço IP e a porta de rede (chamada bind), mas não conectados (chamada connect) ou não transformados em modo de espera de conexão (chamada listen).
• O NetworkManager agora permite a alteração do número de canais (filas de pacotes associados a manipuladores de interrupções) para interfaces de rede e a configuração do modo SwitchDev, que permite delegar operações de redirecionamento de quadros e processamento de pacotes de rede a chips de hardware especializados. Adicionada a suporte para interfaces de rede MACsec. Para conexões sem fio, foi adicionada a capacidade de atribuir um endereço MAC permanente separado (modo stable-ssid).
• No Nmstate, foi implementada a criação de um arquivo YAML para reverter para um estado anterior das configurações. Para gerenciar prioridades em interfaces de rede agregadas (bond), a propriedade priority foi adicionada. Atributos adicionais para VLAN foram incluídos: registration-protocol, mvrp, reorder-headers e loose-binding. Foi possibilitada a configuração de tags VLAN em dispositivos de rede que suportam SR-IOV (Single Root I/O Virtualization).
• O módulo do kernel com a implementação do algoritmo de controle de congestionamento TCP Illinois foi reapresentado, que em média permite uma maior capacidade de transmissão e uma distribuição mais justa de recursos.
• As funcionalidades das utilidades rteval, rtla e cyclicdeadline foram ampliadas. No rteval, agora é possível usar os prefixos " + " e " - " para anexar e desanexar núcleos de CPU da lista de núcleos monitorados (measurement-cpulist). A utilidade rtla foi atualizada para o estado correspondente ao kernel Linux 6.6. Adicionada a opção " rtla -C " para anexar grupos cgroup adicionais a threads. A utilidade cyclicdeadline agora permite visualizar atrasos na forma de um histograma.
• Foi adicionada a capacidade de definir o tamanho máximo do sistema de arquivos durante o aumento dinâmico do tamanho do sistema de arquivos pelo serviço stratisd, evitando assim uma queda no desempenho após um aumento incontrolado do tamanho do XFS.
• A utilidade lvconvert agora suporta a conversão de volumes lógicos padrão (LV) em uma variante que permite a alocação dinâmica de espaço em armazenamento (thin provisioning).
• No multipathd, foi adicionada a suporte ao processamento de eventos FPIN-Li (Fabric Performance Impact Notification) para otimizar o acesso aos dispositivos NVMe. Na seção de configurações padrão do multipath.conf, foram adicionados os parâmetros max_retries e auto_resize. Para o Device-mapper-multipath, foram acrescentadas opções para utilização do array HPE Alletra 9000 NVMeFC e suporte ao modo ANA (Accesso Assimétrico ao Namespace) no NVMeoFC.
• Foi incluída a capacidade de carregar a partir de adaptadores NVMe/FC (Non-volatile Memory Express (NVMe) sobre Fibre Channel) na categoria de estáveis.
• Na console web, a gestão de armazenamentos e a alteração do tamanho das partições foram simplificadas. Adicionada a suporte para a geração de scripts shell e scripts Ansible para configuração do kdump. Na seção Virtual Machines, implementada a possibilidade de adicionar chaves SSH e conectar dispositivos de bloco já formatados. Para conexão com máquinas virtuais, o protocolo VNC foi utilizado em vez do SPICE.
• Novos papéis de sistema foram adicionados para iniciar, gerenciar e configurar fapolicyd e Microsoft SQL Server 2022. Um papel de snapshot foi incluído para criação e gestão de snapshots LVM. No papel sshd, adicionado suporte para autenticação via certificados.
• O suporte à virtualização em sistemas ARM64 foi estabilizado utilizando o hipervisor KVM.
• Suporte à migração de máquinas virtuais em modo Multi-FD (múltiplos descritores de arquivos) foi adicionado, permitindo várias conexões paralelas durante a transferência da máquina virtual, o que acelera a transmissão de dados em uma conexão de rede de alta velocidade (20 Gbps ou mais).
• A performance da migração ao vivo no modo Postcopy foi aumentada, onde o ambiente virtual inicia quase imediatamente e todos os dados ausentes são carregados quando há acesso a páginas de memória não copiadas.
• Adicionada a ferramenta toolbx, que permite iniciar um ambiente isolado adicional, que pode ser configurado de qualquer maneira através do gerenciador de pacotes DNF e utilizado para instalar pacotes experimentais sem impactar o sistema principal.
• Suporte adicionado para parâmetros de linha de comando do kernel Linux: accept_memory, ia32_emulation, arm64.nomops, cgroup_favordynmods, early_page_ext, fw_devlink.sync_state, kunit.enable, mtrr=debug, rcupdate.rcu_cpu_stall_cputime, rcupdate.rcu_exp_stall_task_details, spec_rstack_overflow e workqueue.unbound_cpus.
• Novos parâmetros sysctl foram adicionados: io_uring_group e numa_balancing_promote_rate_limit_MBps.
• O uso do mecanismo io_uring por padrão é proibido para todos os processos (sysctl io_uring_disabled=2).
• O suporte a hardware foi expandido. Drivers adicionados para suportar tecnologias Intel QuickAssist Technology, Intel TPMI, Intel Uncore Frequency, AMD HSMP, AMD XCP, AMD Platform Management e Mellanox PMC. Adicionado o driver octeon_ep para controladores Marvell Octeon PCIe Endpoint Network Interface Controller.
• Continuada a oferta de suporte experimental (Technology Preview):
  • VPN WireGuard,
  • kTLS (TLS no nível do kernel),
  • interface de entrada/saída assíncrona io_uring,
  • DAX (Direct Access) para ext4 e XFS.
  • AMD SEV e SEV-ES no hypervisor KVM,
  • serviço systemd-resolved,
  • mecanismo Sigstore para verificação de contêineres via assinaturas digitais,
  • protocolos PRP (Protocolo de Redundância Paralela) e HSR (Redundância Seamless de Alta Disponibilidade),
  • aceleração de hardware IPsec através da delegação das operações de encapsulação de pacotes para o adaptador de rede,
  • protocolo de gerenciamento de certificados ACME, utilizado no Let’s Encrypt,
  • SRv6 (Segment Routing sobre IPv6,
  • pacote com o editor gráfico GIMP 2.99.8,
  • configurações MPTCP (Multipath TCP) através do NetworkManager,
  • DNSSEC no IdM,
  • virtio-mem,
  • Socket API para TuneD,
  • Soft-iWARP (Protocolo RDMA de Área Ampla na Internet),
  • GNOME para ARM64 e IBM Z.

Fonte: opennet.ru