Izdaja distribucije Red Hat Enterprise Linux 9.4

Podjetje Red Hat je objavilo izdajo distribucije Red Hat Enterprise Linux 9.4. Gready namestitveni obrazci so na voljo za registrirane uporabnike portala Red Hat Customer Portal (za oceno funkcionalnosti lahko uporabite tudi iso-obraze CentOS Stream 9 in brezplačne različice RHEL za razvijalce). Izdaja je oblikovana za arhitekture x86_64, s390x (IBM System z), ppc64le in Aarch64 (ARM64).

Večina RHEL 9 se razvija z bolj odprtim načinom razvoja in uporablja kot osnovo paketno bazo CentOS Stream 9. CentOS Stream se pozicionira kot upstream-projekt za RHEL, ki omogoča zunanjim udeležencem nadzor nad pripravami paketov za RHEL, predlaganje njihovih sprememb in vplivanje na sprejete odločitve. V skladu z 10-letnim ciklom podpore bo distribucija RHEL 9 podprta do leta 2032.

Izvorne kode rpm-paketov RHEL 9.4 niso na voljo v javnem repozitoriju git.centos.org in so strankam podjetja na voljo le preko zaprtega dela spletne strani, kjer velja uporabniška pogodba (EULA), ki prepoveduje redistribucijo podatkov, kar onemogoča uporabo teh paketov za ustvarjanje izpeljanih distribucij. Izvorne kode ostajajo dostopne v repozitoriju CentOS Stream, vendar niso popolnoma sinhronizirane z RHEL in v njih ne ustrezajo vedno najnovejše različice paketov pakete iz RHEL. Rocky Linux, Oracle in SUSE reproducirajo izvorne kode rpm-paketov izdaj RHEL v okviru projekta OpenELA.

Ključne spremembe v RHEL 9.4:

• Zagotovljena je polna podpora za tehnologijo ustvarjanja izoliranih enklav Intel SGX (Software Guard Extensions). Podpirajo se različice SGX 1 in 2, ki omogočajo uporabo mehanizmov FLC (Flexible Launch Control) in EDMM (Enclave Dynamic Memory Management) za spreminjanje pravic dostopa do posameznih strani pomnilnika enklave, dinamično dodajanje/odstranjevanje strani pomnilnika v enklavo in širitev enklave.
• V razred stabilnih je bil uvrščen gonilnik IDXD (Data Streaming Accelerator) za uporabo pospeševalnikov prenosa podatkov, vgrajenih v procesor Intel. Pred tem sta bila SGX in IDXD uvrščena med eksperimentalne možnosti (Technology Preview).
• Implementacija podsistema eBPF je sinhronizirana z jedrom Linux 6.6 (v prejšnjem izidu je bila uporabljena implementacija eBPF iz jedra Linux 6.3).
• V nalagalnik GRUB in prevodnik shim je bila dodana možnost uporabe zaščitnih mehanizmov spomina DEP (Data Execution Prevention), NX (No Execute) in XD (Execute Disable) za prepoved izvajanja ukazov v določenih območjih spomina pred začetkom nalaganja sistema.
• Vključene so nove različice kompilerjev in orodij za razvijalce: GCC Toolset 13, LLVM Toolset 17.0.6, Rust Toolset 1.75.1 in Go Toolset 1.21.7.
• Dodani so ločeni paketi (Application Streams) z novimi različicami Python 3.12, Ruby 3.3, PHP 8.2, nginx 1.24, MariaDB 10.11, PostgreSQL 16.
• Posodobljene različice Git 2.43.0, Git LFS 3.4.1, Valgrind 3.22, SystemTap 5.0, elfutils 0.190, cmake 3.26. Dodani so novi paketi maven-openjdk21 in libzip-tools.
• Posodobljeni so paketi, povezani z varnostjo: GnuTLS 3.8.3, nettle 3.9.1, p11-kit 0.25.3, libkcapi 1.4.0, stunnel 5.71, audit 3.1.2, SSG (SCAP Security Guide) 0.1.72, openCryptoki 3.22.0, ipa 4.11.
• Posodobljeni so strežniški in sistemski paketi: chrony 4.5, linuxptp 4.2, Rsyslog 8.2310, iptables 1.8.10, nftables 1.0.9, firewalld 1.3, stratis-cli 3.6.0, boom 1.6.0, 389-ds-base 2.4.5, samba 4.19.4, Podman 4.9.
• Orodja SELinux v uporabniškem prostoru (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) so posodobljena na različico 3.6, ki dodaja podporo za pravila 'deny' in ključne besede 'notself' in 'other' v jezik CIL (Common Intermediate Language). Dodana je izvršna datoteka getpolicyload za prikaz števila ponovnih nalaganj pravil SELinux. Pod zaščito SELinux so bili preneseni storitve nvme-stas, rust-afterburn, rust-coreos-installer in bootc, ki so prej delovale v načinu unconfined_service_t. Dodana so pravila SELinux za SAP HANA. Dodana je nova storitev chronyd-restricted, zaščitena z uporabo SELinux. Dodan je paket grafana-selinux za zagon grafane z zaščito SELinux.
• Registrar in preverjevalnik Keylime, ki se uporabljata za potrjevanje avtentičnosti in neprekinjeno spremljanje celovitosti zunanjih sistemov, zdaj delujeta znotraj kontejnerjev, izoliranih od glavnega sistema.
• V sistemu za beleženje Rsyslog je omogočena sprememba nastavitev šifriranja za TLS/SSL in dodane so dodatne možnosti za ponastavitev privilegijev.
• V OpenSSL je omogočeno shranjevanje nastavitev TLS v ločenem imeniku /etc/pki/tls/openssl.d, kar omogoča prepisovanje parametrov dodatnih kriptografskih modulov brez spreminjanja glavne konfiguracijske datoteke OpenSSL.
• V SSSD (System Security Services Daemon) je omogočeno vključevanje in nastavitev avtentikacije brez gesla z uporabo biometričnih senzorjev, ki podpirajo specifikacijo FIDO2, kot so naprave YubiKey.
• Dodana je eksperimentalna ukaz 'podman build farm' za ustvarjanje slik kontejnerjev hkrati za več arhitektur. V Podman je dodana polna podpora za backend, temelječ na SQLite, ter omogočena uporaba modulov containers.conf za selektivno nalaganje nastavitev. V Containerfile so dovoljene večvrstične HereDoc ukaze. Razglašen je zastaral poslovni mrežni sklad CNI (Container Network Interface). S pomočjo ukaza 'podman machine' je realizirana možnost posredovanja USB naprav v virtualne naprave QEMU.
• V IdM (Upravljanje identitetama) uvedena je mogućnost obavezne dvofaktorske autentifikacije za LDAP klijente, koristeći jednokratne lozinke (OTP). Stabilizovan je API IdM, koji je ranije bio predstavljen kao eksperimentalni. U 389 Directory Server dodata je podrška za HAProxy protokol, što omogućava ispravno određivanje IP adresa klijenata koji se povezuju preko proxy-a.
• V zbiralniku slik RHEL je omogočeno označevanje poljubnih točk priklopa in ustvarjanje različnih režimov delitve na razdelke (auto-lvm, lvm, raw).
• Do verzije 1.0.0 ažurirana je implementacija protokola synce4l, koja omogućava podršku za tehnologiju sinhronizacije frekvencije SyncE (Synchronous Ethernet), podržanu na nekim mrežnim karticama i mrežnim prekidačima, i koja omogućava poboljšanje efikasnosti razmene podataka u RAN (Radio Access Network) aplikacijama zahvaljujući preciznijoj sinhronizaciji vremena. Dodata je podrška za DPLL (Digital Phase Locked Loop) interfejs koji obezbeđuje jezgro.
• U podsistemu nftables prenesena je mogućnost provere polja unutrašnjih zaglavlja paketa koji se prenose kroz tunele. U alat nft dodata je mogućnost korišćenja komande „nft reset“ za resetovanje stanja pravila nftables, kao što su brojači paketa i vrednosti kvota. U firewalld je prekinuto uklanjanje pravila koja su dodata putem iptables, ukoliko se u firewalld koristi backend nftables i ne postoje pravila napravljena sa opcijom „—direct“.
• V orodje ss, ki je del paketa iproute2, je dodana možnost '—bound-inactive' za prikaz neaktivnih TCP omrežnih soketov, ki so povezani na IP adresom i mrežnom portu (poziv bind), ali nisu povezani (poziv connect) ili nisu prebačeni u režim čekanja na povezivanje (poziv listen).
• U NetworkManager dodata je mogućnost promene broja kanala (redova paketa, povezanih sa obradnicima prekida) za mrežne interfejse i podešavanje SwitchDev režima, koji omogućava delegiranje operacija preusmeravanja okvira i obrade mrežnih paketa specijalizovanim hardverskim čipovima. Dodata je podrška za mrežne interfejse MACsec. Za bežične veze pružena je mogućnost dodeljivanja zasebne stalne MAC adrese (režim stable-ssid).
• U Nmstate omogućeno je kreiranje YAML datoteke za povratak na prethodno stanje podešavanja. Za upravljanje prioritetima u agregiranim mrežnim interfejsima (bond) dodata je osobina priority. Dodati su dodatni atributi za VLAN: registration-protocol, mvrp, reorder-headers i loose-binding. Pružena je mogućnost podešavanja VLAN oznaka na mrežnim uređajima koji podržavaju SR-IOV (Single Root I/O Virtualization).
• Vrnjen je modul jezgre s implementacijom TCP Illinois algoritma kontrole preopterećenja, koji u prosjeku omogućava veću propusnost i pravednije raspodjelu resursa.
• Proširene su mogućnosti alata rteval, rtla i cyclicdeadline. U rteval je dodana mogućnost korištenja prefiksa «+» i «-» za pridruživanje i odvajanje CPU jezgri sa popisa praćenih jezgri (measurement-cpulist). Alat rtla je ažuriran na verziju koja odgovara Linux kernelu 6.6. Dodana je opcija «rtla -C» za pridruživanje dodatnih cgroup-a procesima. U alat cyclicdeadline dodana je mogućnost vizualizacije latencije u obliku histograma.
• Dodana je mogućnost postavljanja maksimalne veličine datotečnog sustava pri dinamičkom povećanju veličine datotečnog sustava uz uslugu stratisd, što omogućava izbjegavanje opadanja performansi nakon nekontroliranog povećanja veličine XFS.
• U alat lvconvert dodana je podrška za pretvaranje standardnih logičkih volumena (LV) u varijantu koja omogućava dinamičko dodjeljivanje prostora u pohrani (thin provisioning).
• U multipathd dodana je podrška za obradu FPIN-Li (Fabric Performance Impact Notification) događaja radi optimizacije pristupa NVMe pohranama. U odjeljak s unaprijed postavljenim postavkama u multipath.conf dodane su opcije max_retries i auto_resize. Za Device-mapper-multipath dodane su postavke za korištenje HPE Alletra 9000 NVMeFC niza i podršku za ANA (Asymmetric Namespace Access) način rada u NVMeoFC.
• Dostupnost pokretanja s NVMe/FC (Non-volatile Memory Express (NVMe) over Fibre Channel) adaptera prebačena je u stabilnu verziju.
• U web konzoli unaprijeđeno je upravljanje pohranama i promjena veličine particija. Dodana je podrška za generiranje shell skripti i Ansible scenarija za podešavanje kdump-a. U odjeljku Virtual Machines implementirana je mogućnost dodavanja SSH javnih ključeva i povezivanja već formatiranih blokovnih uređaja. Umjesto SPICE protokola, korišten je VNC za povezivanje s virtualnim strojima.
• Dodane su nove sistemske uloge za pokretanje, upravljanje i podešavanje fapolicyd-a i Microsoft SQL Server 2022. Dodana je uloga snapshot za kreiranje i upravljanje LVM snapshot-ima. U ulogu sshd dodana je mogućnost autentifikacije putem certifikata.
• Stabilizirana je podrška za virtualizaciju na ARM64 sustavima koristeći KVM hipervizor.
• Dodata je podrška za migraciju virtuelnih mašina u Multi-FD režimu (više datotečnih deskriptora), pri čemu se tokom prenosa virtuelne mašine uspostavljaju više paralelnih konekcija, što omogućava brži prenos podataka u prisustvu brze mrežne konekcije (20 Gbps i više).
• Povečana zmogljivost live-migracije v načinu Postcopy, pri katerem se virtualno okolje zažene skoraj takoj, manjkajoči podatki pa se naložijo ob dostopu do nekopiranih strani pomnilnika.
• Dodana je bila orodja toolbx, ki omogoča zagon dodatnega izoliranega okolja, ki ga je mogoče konfigurirati poljubno s pomočjo običajnega upravitelja paketov DNF in se uporabljati za namestitev eksperimentalnih paketov brez vpliva na osnovni sistem.
• Dodana je podpora za parametre ukazne vrstice jedra Linux: accept_memory, ia32_emulation, arm64.nomops, cgroup_favordynmods, early_page_ext, fw_devlink.sync_state, kunit.enable, mtrr=debug, rcupdate.rcu_cpu_stall_cputime, rcupdate.rcu_exp_stall_task_details, spec_rstack_overflow in workqueue.unbound_cpus.
• Dodani so novi parametri sysctl: io_uring_group in numa_balancing_promote_rate_limit_MBps.
• Uporaba mehanizma io_uring je privzeto onemogočena za vse procese (sysctl io_uring_disabled=2).
• Razširjena je podpora za strojno opremo. Dodani so gonilniki za podporo tehnologijam Intel QuickAssist Technology, Intel TPMI, Intel Uncore Frequency, AMD HSMP, AMD XCP, AMD Platform Management in Mellanox PMC. Dodan je gonilnik octeon_ep za krmilnike Marvell Octeon PCIe Endpoint Network Interface Controller.
• Nadaljuje se zagotavljanje eksperimentalne (Technology Preview) podpore:
  • VPN WireGuard,
  • kTLS (TLS na ravni jedra),
  • vmesnika asinkronih vhodov/izhodov io_uring,
  • DAX (Direct Access) za ext4 in XFS,
  • AMD SEV in SEV-ES v hipervizorju KVM,
  • storitve systemd-resolved,
  • mehanizma Sigstore za preverjanje vsebnika s pomočjo digitalnih podpisov,
  • protokolov PRP (Parallel Redundancy Protocol) in HSR (High-availability Seamless Redundancy),
  • strojnega pospeševanja IPsec preko prenosa operacij inkapsulacije paketov na stran mrežne kartice,
  • protokola za upravljanje certifikatov ACME, ki se uporablja v Let’s Encrypt,
  • SRv6 (Segment Routing over IPv6,
  • paketa z grafičnim urejevalnikom GIMP 2.99.8,
  • nastavitve MPTCP (Multipath TCP) preko NetworkManager,
  • DNSSEC v IdM,
  • virtio-mem,
  • Socket API za TuneD,
  • Soft-iWARP (Internet Wide-area RDMA Protocol),
  • GNOME za ARM64 in IBM Z.

Izvor: opennet.ru