Uvoľnenie distribučného balíka Red Hat Enterprise Linux 9.1

Spoločnosť Red Hat vydala distribúciu Red Hat Enterprise Linux 9.1. Hotové inštalačné obrazy sú k dispozícii pre registrovaných používateľov Red Hat Customer Portal (na hodnotenie funkčnosti je možné taktiež použiť iso-obrazy CentOS Stream 9). Vydanie bolo zostavené pre architektúry x86_64, s390x (IBM System z), ppc64le a Aarch64 (ARM64). Zdrojové kódy rpm-balíkov Red Hat Enterprise Linux 9 sú umiestnené v Git-repozitári CentOS.

Vetva RHEL 9 sa vyvíja s otvorenejším procesom vývoja a využíva ako základ balíkovú základňu CentOS Stream 9. CentOS Stream je pozicionovaný ako upstream projekt pre RHEL, ktorý umožňuje externým účastníkom kontrolovať prípravu balíkov pre RHEL, navrhovať svoje zmeny a ovplyvňovať prijímané rozhodnutia. V súlade s 10-ročným cyklom podpory distribúcie RHEL 9 bude podporovaná až do roku 2032.

Kľúčové zmeny:

• Aktualizované serverové a systémové balíky: firewalld 1.1.1, chrony 4.2, unbound 1.16.2, frr 8.2.2, Apache httpd 2.4.53, opencryptoki 3.18.0, powerpc-utils 1.3.10, libvpd 2.2.9, lsvpd 1.7.14, ppc64-diag 2.7, PCP 5.3.7, Grafana 7.5.13, samba 4.16.1.
• Súčasťou sú nové verzie prekladačov a nástrojov pre vývojárov: GCC 11.2.1, GCC Toolset 12, LLVM Toolset 14.0.6, binutils 2.35.2, PHP 8.1, Ruby 3.1, Node.js 18, Rust Toolset 1.62, Go Toolset 1.18.2, Maven 3.8, java-17-openjdk (naďalej sa dodávajú aj java-11-openjdk a java-1.8.0-openjdk), .NET 7.0, GDB 10.2, Valgrind 3.19, SystemTap 4.7, Dyninst 12.1.0, elfutils 0.187.
• Do subsystému eBPF (Berkeley Packet Filter) boli prenesené vylepšenia zavedené v jadrach Linux 5.15 a 5.16. Napríklad, pre BPF-programy bola implementovaná možnosť dotazovania a spracovania udalostí časovača, možnosť získavať a nastavovať možnosti soketov pre setsockopt, podpora volania funkcií modulov jadra, navrhnutá pravdepodobnostná štruktúra na ukladanie údajov (BPF map) bloom filter, pridaná možnosť viazania tagov k parametrom funkcií.
• Súbor patchov pre systémy reálneho času, použitý v jadre kernel-rt, bol aktualizovaný na stav zodpovedajúci jadru 5.15-rt.
• Aktualizovaná implementácia protokolu MPTCP (MultiPath TCP), používaného na organizovanie práce TCP-pripojenia s doručovaním paketov súčasne cez niekoľko trás rôznymi sieťovými rozhraním. Zmeny boli prenesené z jadra Linux 5.19 (napríklad bola pridaná podpora pre prechod MPTCP pripojení späť na obyčajný TCP a navrhnuté API pre riadenie prúdov MPTCP z úrovne používateľského priestoru).
• Na systémoch s 64-bitovými procesormi ARM, AMD a Intel je poskytovaná možnosť zmeny fungovania režimu Real-Time v jadre počas prevádzky zápisom názvu režimu do súboru "\/sys\/kernel\/debug\/sched\/preempt" alebo počas spustenia cez parameter jadra "preempt=" (podporované režimy sú none, voluntary a full).
• Nastavenia bootloadera GRUB boli upravené na skrytie bootovacieho menu predvolene. Menu sa zobrazí, ak predchádzajúce zavádzanie zlyhalo. Na zobrazenie menu počas zavádzania môžete stlačiť kláves Shift alebo opakovane stlačiť klávesy Esc alebo F8. Na vypnutie skrývania môžete použiť príkaz „grub2-editenv — unset menu_auto_hide.“
• Do ovládača PTP (Precision Time Protocol) bola pridaná podpora pre vytváranie virtuálnych hardvérových hodiniek (PHC, PTP Hardware Clocks).
• Bol pridaný príkaz modulesync, ktorý načíta RPM balíčky z modulov a vytvorí v pracovnom adresári repozitár s metadátami potrebnými na inštaláciu modulárnych balíčkov.
• V tuned, službe na sledovanie stavu systému a optimalizáciu profilov s cieľom dosiahnuť maximálny výkon s ohľadom na aktuálne zaťaženie, bola poskytnutá možnosť používať balík tuned-profiles-realtime na izoláciu jadier CPU a poskytnutie všetkých dostupných zdrojov aplikáciám.
• V NetworkManageri bol implementovaný prevod profilov pripojení z formátu nastavení ifcfg (\etc\sysconfig\network-scripts\ifcfg-*) do formátu založeného na súbore keyfile. Na migráciu profilov môžete použiť príkaz „nmcli connection migrate.“
• Nástroje SELinux bol aktualizovaný na vydanie 3.4, ktoré zlepšilo výkon prevodu značiek (relabel) paralelizovaním operácií. Do utility semodule bola pridaná možnosť „-m“ („—checksum“) na získanie SHA256 hashov modulov, mcstrans prešiel na knižnicu PCRE2. Boli pridané nové nástroje na prácu s politikami prístupu: sepol_check_access, sepol_compute_av, sepol_compute_member, sepol_compute_relabel, sepol_validate_transition. Boli pridané politiky SELinux pre ochranu služieb ksm, nm-priv-helper, rhcd, stalld, systemd-network-generator, targetclid a wg-quick.
• Bola poskytnutá možnosť používať klienta Clevis (clevis-luks-systemd) na automatické odomykanie diskových oddielov šifrovaných pomocou LUKS a pripojených v neskoršej fáze zavádzania, bez nutnosti používať príkaz „systemctl enable clevis-luks-askpass.path.“
• Rozšírili sa možnosti nástroja na prípravu systémových obrazov, v ktorom sa objavila podpora načítania obrazov do GCP (Google Cloud Platform), priamu registráciu obrazu do registra kontajnerov, nastavenie veľkosti oddielu /boot a úpravu parametrov (Blueprint) počas generovania obrazu (napríklad pridanie balíkov a vytvorenie používateľov).
• Bola pridaná utilita keylime na attestáciu (potvrdenie autenticity a nepretržité sledovanie integrity) vonkajšieho systému, pomocou technológie TPM (Trusted Platform Module), napríklad na overenie autenticity Edge- a IoT zariadení nachádzajúcich sa na nezabezpečených miestach, kde je možný neoprávnený prístup.
• V edícii „RHEL for Edge“ je umožnené používanie nástroja fdo-admin na konfiguráciu služieb FDO (FIDO Device Onboard) a na vytváranie certifikátov a kľúčov pre ne.
• V SSSD (System Security Services Daemon) bola pridaná podpora pre cachovanie SID dopytov (napríklad kontrola GID/UID) v pamäti, čo umožnilo zrýchliť operácie kopírovania veľkého množstva súborov cez server Samba. Zabezpečená podpora integrácie s Windows Server 2022.
• V OpenSSH je minimálna veľkosť RSA kľúčov podľa predvoleného nastavenia obmedzená na 2048 bitov a v knižniciach NSS bola zastavená podpora RS kľúčov s veľkosťou menej ako 1023 bitov. Pre nastavenie vlastných obmedzení v OpenSSH bola pridaná možnosť RequiredRSASize. Pridaná podpora metódy výmeny kľúčov sntrup761x25519-sha512@openssh.com, odolnej voči útokom kvantových počítačov.
• Do nástroja ReaR (Relax-and-Recover) bola pridaná možnosť vykonávať ľubovoľné príkazy pred a po obnovení.
• V ovládači pre Ethernet adaptéry Intel E800 bola implementovaná podpora protokolov iWARP a RoCE.
• Bol pridaný nový balík httpd-core, do ktorého bol presunutý základný súbor komponentov Apache httpd, dostatočný na spustenie HTTP servera a súvisiaci s minimálnym počtom závislostí. Do balíka httpd boli pridané ďalšie moduly, ako mod_systemd a mod_brotli, a taktiež bola zahrnutá dokumentácia.
• Bol pridaný nový balík xmlstarlet, ktorý obsahuje nástroje na analýzu, transformáciu, validáciu, extrakciu dát a úpravy XML súborov, podobné grep, sed, awk, diff, patch a join, avšak nie pre textové súbory, ale pre XML.
• Rozšírené možnosti systémových rolí, napríklad do úlohy network bola pridaná podpora pre konfiguráciu pravidiel smerovania a používanie API nmstate, do úlohy logging bola pridaná podpora pre filtrovanie na základe regulárnych výrazov (startmsg.regex, endmsg.regex), do úlohy storage bola pridaná podpora pre oddiely, pre ktoré je dynamicky prideľované miesto v úložisku („thin provisioning“), do úlohy sshd bola pridaná možnosť správy prostredníctvom /etc/ssh/sshd_config, do úlohy metrics bol pridaný export štatistiky o výkonnosti Postfix a v úlohe firewall bola implementovaná možnosť prepísania predchádzajúcej konfigurácie s podporou pridávania, aktualizácie a odstraňovania služieb podľa ich stavu.
• Bol aktualizovaný nástroj na správu izolovaných kontajnerov, vrátane balíkov, ako Podman, Buildah, Skopeo, crun a runc. Pridaná podpora pre GitLab Runner v kontajneroch s runtime Podman. Pre konfiguráciu sieťovej subsystémy kontajnerov bola poskytnutá utilita netavark a DNS server Aardvark.
• Do mdevctl bola pridaná podpora príkazu ap-check na nastavenie prenosu do virtuálne stroje prístupu k kryptoakcelerátorom.
• Bola pridaná predbežná (Technology Preview) možnosť autentifikácie používateľov s použitím externých poskytovateľov identity (IdP), ktorí podporujú rozšírenie protokolu OAuth 2.0 „Device Authorization Grant“ na poskytovanie OAuth tokenov prístupu zariadeniam bez použitia prehliadača.
• Pre sesion GNOME založenom na Wayland sú k dispozícii zostavy Firefox, ktoré využívajú Wayland. Zostavy založené na X11, spustené v prostredí Wayland pomocou komponentu XWayland, sú presunuté do samostatného balíka firefox-x11.
• Predvolený sesion založený na Wayland je aktivovaný pre systémy s GPU Matrox (predtým sa Wayland nepoužíval s GPU Matrox z dôvodu obmedzení a problémov s výkonom, ktoré sú teraz vyriešené).
• Implementovaná podpora GPU integrovaných v procesoroch Intel Core 12. generácie, vrátane Intel Core i3 12100T – i9 12900KS, Intel Pentium Gold G7400 a G7400T, Intel Celeron G6900 a G6900T, Intel Core i5-12450HX – i9-12950HX a Intel Core i3-1220P – i7-1280P. Pridaná podpora GPU AMD Radeon RX 6[345]00 a AMD Ryzen 5/7/9 6[689]00.
• Na správu zapínania ochrany pred zraniteľnosťami v mechanizme MMIO (Memory Mapped Input Output) bol implementovaný boot parameter jadra "mmio_stale_data", ktorý môže prijímať hodnoty "full" (zapnutie vyčistenia bufferov pri prechode do priestoru používateľa a do VM), "full,nosmt" (rovnako ako "full" + dodatočne sa vypína SMT/Hyper-Threads) a "off" (ochrana je vypnutá).
• Na správu zapínania ochrany pred zraniteľnosťou Retbleed bol implementovaný boot parameter jadra "retbleed", prostredníctvom ktorého je možné ochranu vypnúť ("off") alebo vybrať algoritmus blokovania zraniteľnosti (auto, nosmt, ibpb, unret).
• V boot parametre jadra acpi_sleep bola implementovaná podpora nových možností na správu prechodu do spánkového režimu: s3_bios, s3_mode, s3_beep, s4_hwsig, s4_nohwsig, old_ordering, nonvs, sci_force_enable a nobl.
• Pridaná veľká dávka nových ovládačov pre sieťové zariadenia, systémy ukladania a grafické čipy.
• Pokračovalo poskytovanie experimentálnej (Technology Preview) podpory KTLS (realizácia TLS na úrovni jadra), VPN WireGuard, Intel SGX (Software Guard Extensions), Intel IDXD (Data Streaming Accelerator), DAX (Direct Access) pre ext4 a XFS, AMD SEV a SEV-ES v hypervízore KVM, služby systemd-resolved, správcu úložísk Stratis, Sigstore na overovanie kontajnerov pomocou digitálnych podpisov, balíka s grafickým editorom GIMP 2.99.8, nastavenia MPTCP (Multipath TCP) cez NetworkManager, servera ACME (Automated Certificate Management Environment), virtio-mem, hypervízora KVM pre ARM64.
• Vyhlásený za zastaraný toolkit GTK 2 a s ním spojené balíky adwaita-gtk2-theme, gnome-common, gtk2, gtk2-immodules a hexchat. Vyhlásený za zastaraný X.org Server (predvolene v RHEL 9 je ponúkaný sesion GNOME založený na Wayland), ktorý sa plánuje odstrániť v nasledujúcej významnej vetve RHEL, ale zachovať možnosť spúšťania X11-aplikácií zo sesionu Wayland pomocou DDX-servera XWayland.

Zdroj: opennet.ru