Izdanje distribucije Red Hat Enterprise Linux 9.3

podjetje Red Hat je objavilo izida distribucije Red Hat Enterprise Linux 9.3 (nova veja je bila napovedana prejšnji teden, vendar so bile opombe k izidu objavljene šele včeraj, prej je bila na spletni strani označena kot beta različica). Posodobitev prejšnje veje RHEL 8.9 je pričakovana 15. novembra. Pripravne namestitvene slike so na voljo za registrirane uporabnike Red Hat Customer Portal (za oceno funkcionalnosti lahko uporabite tudi iso-slike CentOS Stream 9 in brezplačne sestavke RHEL za razvijalce). Izid je oblikovan za arhitekture x86_64, s390x (IBM System z), ppc64le in Aarch64 (ARM64).

Večina RHEL 9 se razvija z bolj odprtim načinom razvoja in uporablja kot osnovo paketno bazo CentOS Stream 9. CentOS Stream se pozicionira kot upstream-projekt za RHEL, ki omogoča zunanjim udeležencem nadzor nad pripravami paketov za RHEL, predlaganje njihovih sprememb in vplivanje na sprejete odločitve. V skladu z 10-letnim ciklom podpore bo distribucija RHEL 9 podprta do leta 2032.

RHEL 9.3 je postal prvi izid, katerih izvorne kode rpm paketov niso objavljene v javnem repozitoriju git.centos.org in so strankam podjetja dostopne le prek zaprtega dela spletne strani, kjer velja uporabniška pogodba (EULA), ki prepoveduje redistribucijo podatkov, kar ne omogoča uporabe teh paketov za ustvarjanje derivatnih distribucij. Izvorne kode so še vedno na voljo v repozitoriju CentOS Stream, vendar niso povsem usklajene z RHEL in v njih ne vedno najnovejše različice paketov sovpadajo s paketi iz RHEL. Rocky Linux, Oracle in SUSE so združili moči in sedaj reproducirajo izvorne kode rpm paketov RHEL izdaj v okviru projekta OpenELA.

Ključne spremembe v RHEL 9.3:

• V paket so vključene nove različice kompilatorjev in orodij za razvijalce: GCC Toolset 13, LLVM Toolset 16.0.6, Rust Toolset 1.71.1, Go Toolset 1.20.10, GCC 11.4.1 (sistemski kompilator), Redis 7, Node.js 20, java-21-openjdk (prav tako se še vedno dobavljata java-17-openjdk, java-11-openjdk in java-1.8.0-openjdk), Valgrind 3.21, SystemTap 4.9, elfutils 0.189, PCP 6.0.5, Grafana 9.2.10.
• Posodobljeni so strežniški in sistemski paketi: samba 4.18.6, iproute 6.2.0, Apache httpd 2.4.57 (+ dodan modul mod_authnz_fcgi), SEtools 4.4.3, OpenSCAP 1.3.8, opencryptoki 3.21.0, NetworkManager 1.44, xdp-tools 1.4.0, perf 6.2, dmpd 1.0.2, nvme-cli 2.4, Pacemaker 2.1.6, 389-ds-base 2.3.4.
• V upravljalnik paketov DNF je dodana ukaz "reboot" za samodejno ponastavitev po končanju posodobitve. Na voljo so naslednji načini: "never" (privzeto) — brez ponastavitve, "when-changed" — ponastavitev po vsaki posodobitvi (dnf upgrade) in "when-needed" — ponastavitev, le če zahtevajo nameščene spremembe (na primer po namestitvi posodobitve jedra ali systemd). Za izklop namesto ponastavitve je na voljo parameter "—poweroff".
• V DNF so dodani novi vtičniki: «dnf leaves» za prikaz vseh nameščenih paketov, ki niso odvisnosti drugih paketov; «show-leaves» za prikaz nedavno nameščene podobnih paketov ali paketov, ki so prenehali delovati kot odvisnosti po transakciji.
• Iz nove različice jedra Linux so bili preneseni izvodi protokolov SCTP (Stream Control Transmission Protocol) in MPTCP (Multipath TCP).
• Na platformi ARM64 je bila izvedena popolna podpora za kamere z USB vmesnikom, brezžične adapterje (Wi-Fi) in Bluetooth.
• Zagotovljena je polna podpora za diskretne grafične kartice Intel Arc A-Series (Alchemist ali DG2).
• Izvedba podskupine eBPF je usklajena z jedrom Linux 6.3.
• Dodana je bila orodja Stratis za upravljanje lokalnih pomnilnikov, ki ponujajo možnosti, kot so dinamična dodelitev prostora v skladišču, posnetki, zagotavljanje celovitosti in ustvarjanje plasti za predpomnjenje.
• V systemd-udevd so bile izvedene spremembe, ki omogočajo dodelitev stalnih imen za mrežne vmesnike InfiniBand.
• V Postfix je bila uvedena možnost preverjanja DNS zapisov SRV za določitev gostitelja in vrat poštnega strežnika, ki bo uporabljen za prenos sporočil. To funkcionalnost lahko uporabite v infrastrukturah, kjer se za dostavo poštnih sporočil uporabljajo storitve z dinamično dodeljenimi številkami mrežnih vrat.
• V paket cups-filters je bil dodan gonilnik LF-to-CRLF, ki se lahko uporablja za pretvorbo znakov «\n» (novi vrstici) v «\r\n» (vrnitev vozička in nova vrstica) za tiskalnike, ki podpirajo samo obdelavo datotek s koncem vrstice «\r\n».
• V FUSE3 je dodana možnost razveljavitev elementa direktorija brez samodejnega odmontiranja točk montaže, povezanih s tem elementom.
• V NetworkManager je bila dodana podpora za možnost «no-aaaa» v resolv.conf, ki onemogoča pošiljanje DNS poizvedb zapiskov AAAA (določitev naslovov IPv6 po imenu gostitelja). Dodana je bila podpora za možnost «lacp_active» za upravljanje obdelave okvirjev LACPDU (Link Aggregation Control Protocol Data Units). Izveden je bil ponovni zagon NetworkManager po ponovnem zagonu storitve dbus. Zagotovljeno je obveščanje, če se za profile povezav uporablja stara oblika konfiguracije ifcfg. Dodana je podpora za lastnosti: link.tx-queue-length, link.gro-max-size, link.gso-max-segments in link.gso-max-size.
• Za isti mrežni interfejs u NetworkManageru omogućena je upotreba statičkih i dinamičkih (DHCP) podešavanja; na primer, pomoću alata nmstate može se postaviti statička adresa za interfejs na kojem je omogućena podrška za DHCP. U nmstate je dozvoljeno vezivanje podešavanja za mrežni interfejs prema MAC adresi, umesto prema imenu interfejsa.
• Proširena podrška za hardver. Dodata je podrška za CPU ARM64 NVIDIA Grace. Sa Linux kernel 6.2 prenet je drajver Intel QAT sa podrškom za uređaje Intel Quick Assist Technology 401xx/402xx.
• Za zaščito pred napadi Spectre v2, povezanimi z spekulativnim izvajanjem navodil, je dodan način AutoIBRS (Samodejno omejeno spekulativno posredovanje neposrednih vejic), ki ga podpirajo CPU AMD, začenši s serijo EPYC 9004 Genoa.
• Za kontejnere omogućena je upotreba virtuelnih čipova za skladištenje kriptografskih ključeva (vTPM), realizovanih na osnovu zajedničkog fizičkog TPM (Trusted Platform Module).
• U LVM je dodata podrška za logičke particije vmcore za dump-ove jezgra koje kreira podsistem kdump.
• U instalacione izrade dodat je parametar „inst.wait_for_disks“, koji postavlja vreme čekanja za učitavanje kickstart datoteke ili spremnost drajvera tokom pokretanja.
• U instalacionom programu pri instalaciji na ARM sisteme omogućena je mogućnost izbora varijante instaliranog jezgra (na primer, sa 64 KB stranicama memorije). Iz minimalnog režima instalacije isključen je paket s390utils-base, ostavljen je samo s390utils-core.
• U alatu za kreiranje slika RHEL dodata je mogućnost generisanja datoteka u OVA formatu za VMware VSphere.
• U kickstart datoteke u komandi network dodate su nove opcije „—ipv4-dns-search“ i „—ipv6-dns-search“ za postavljanje osnovnih domena za direktivu „search“ u /etc/resolv.conf, kao i opcije „—ipv4-ignore-auto-dns“ i „—ipv6-ignore-auto-dns“ za ignorisanje dobijanja DNS podešavanja putem DHCP-a.
• Poboljšana je podrška za TLS ekstenziju EMS (Extended Master Secret, RFC 7627), potrebnu za osiguranje usklađenosti sa zahtevima FIPS-140-3 u TLS 1.2 vezama.
• U OpenSSH je započeto uklanjanje korišćenja algoritama zasnovanih na heširanju SHA-1 u korist SHA-2. Ako na strežnikom nisu prisutni ključevi zasnovani na SHA-1, u sshd će se koristiti samo SHA-2 za potvrdu host ključevima, što može dovesti do nekompatibilnosti sa klijentima RHEL 8 i starijim verzijama.
• U OpenSSL je dodata podrška za podešavanje parametara zaštićenih eliptičnih krivulja Brainpool i implementirana je zaštita od napada putem dekriptovanja RSA na osnovu merenja vremena operacija koje koriste varijante Bleichenbacha.
• V RPCSEC GSS Kerberos V5 je dodana podporo za metode šifriranja camellia128-cts-cmac, camellia256-cts-cmac, aes128-cts-hmac-sha256-128 in aes256-cts-hmac-sha384-192.
• V orodjih za revizijo je dodana podpora za dogodke FANOTIFY, kar omogoča shranjevanje v dnevnik polj fan_type (vrsta dogodka), fan_info (povezane informacije), sub_trust in obj_trust (ravni zaupanja za subjekt in objekt dogodka). V storitev fapolicyd je za poenostavitev odpravljanja težav dodana prenos števil pravil za zavrnjene zahteve API fanotify.
• Dodana je sistemska vloga za orodje keylime, ki poenostavi nastavitev registratorja in preveritelja Keylime, ki se uporablja za potrditev pristnosti in neprekinjeno spremljanje celovitosti zunanjega sistema. Na primer, mogoče je potrditi pristnost naprav Edge in IoT, ki se nahajajo na nedostopnih mestih, kjer je mogoč nepooblaščen dostop. Uporabljen je nov izid keylime 7.3.
• Dodana je sistemska vloga za upravljanje enot systemd in njihovo namestitev. Dodana je sistemska vloga za namestitev, nastavitev, upravljanje in zagon SGBD PostgreSQL. V sistemsko vlogo požarnega zidu je dodana podpora za določanje, spreminjanje in brisanje ipset-ov.
• V SELinux je dodana možnost virt_qemu_ga_run_unconfined, ki omogoča postopku qemu-ga (QEMU Guest Agent), da izvaja komande, kot je mount, v neomejenem načinu (domen unconfined_t), kar je bilo prvotno omejeno preko SELinux. Dodane so politike SELinux za zaščito storitev qat, systemd-pstore, boothd, fdo-manufacturing-server, fdo-rendezvous-server, fdo-client-linuxapp in fdo-owner-onboarding-server.
• Dodana je podpora za orodja virtualizacije 4. generacije procesorjev Intel Xeon Scalable (Sapphire Rapids), kar omogoča uporabo modela CPU SapphireRapids v virtualnih strojih in izkoriščanje razširjenih zmogljivosti virtualizacije, ki so na voljo v teh procesorjih.
• V Podman je dodana podpora za kontejnerje, katerih velikost je obvladana z uporabo algoritma zstd. Dodana je možnost uporabe Quadlets za samodejno generiranje storitev systemd iz opisov kontejnerjev. Dodana je lupina podmansh, ki se lahko uporablja namesto /usr/bin/bash za zagon uporabniškega seje v kontejnerju. Različice Podman, Buildah, Skopeo, crun in runc so bile posodobljene.
• Dodani so novi parametri ukazne vrstice jedra:
  • amd_pstate za upravljanje načinov porabe energije CPU AMD;
  • arm64.nosve za izklop SVE (Scalable Vector Extension);
  • arm64.nosme za izklop SME (Scalable Matrix Extension);
  • gather_data_sampling za upravljanje načinom zaštite od GDS napada (Gather Data Sampling ili Downfall);
  • nospectre_bhb za isključivanje zaštite Spectre-BHB;
  • trace_clock za postavljanje tajmera događaja praćenja.
• Proširene mogućnosti za klastere i otporne sisteme: u agent LVM-activate dodata je podrška za zamenu (failover) grupa particija koje nemaju fizičke particije. U agente resursa klastera IPaddr2 i IPsrcaddr dodata je podrška za policy routing. U agent ocf:heartbeat:Filesystem dodata je podrška za EFS (Amazon Elastic File System).
• Dodati su novi kontejnerski imidži sa FDO (FIDO Device Onboard) postavkama: fdo-manufacturing-server, fdo-owner-onboarding-server, fdo-rendezvous-server i fdo-serviceinfo-api-server. Dodan je novi kontejnerski imidž rhel9/squid sa Squid proxy serverom. U izdanju 'RHEL for Edge' implementirana je podrška za nove tipove imidža 'minimal-raw', 'edge-vsphere' (*.vmdk) i 'edge-ami' (*.ami).
• V AMI slike za oblačna okolja AWS EC2 je dodana podpora za zagon v načinu UEFI.
• Za rad sa pametnim karticama i USB tokenima CCID (Chip Card Interface Device) i ICCD (Integrated Circuit Card Device) korišćen je novi izdanje drajvera pcsc-lite-ccid 1.5.2, u kojem su rešeni problemi sa kontrolerom Alcor Micro AU9560 i dodata je podrška za nove čitače pametnih kartica.
• Objašnjeni su kao zastareli paketi initial-setup i pmdk (Persistent Memory Development Kit).
• Dodata je eksperimentalna podrška za protokole PRP (Parallel Redundancy Protocol) i HSR (High-availability Seamless Redundancy).
• Dodana je eksperimentalna mogućnost hardverskog ubrzanja IPsec-a prebacivanjem operacija enkapsulacije paketa na mrežnu karticu.
• Dodata je eksperimentalna podrška za SRv6 (Segment Routing over IPv6).
• Eksperimentalna implementacija kTLS (TLS na nivou jezgra) sinkronizovana je sa jezgrom 6.3. Dodata je podrška za korišćenje kTLS za ubrzanje GnuTLS.
• Dodata je eksperimentalna podrška za interfejs asinhronog ulaza/izlaza io_uring, zanimljiva zbog podrške za polling ulaza/izlaza i mogućnosti rada i sa i bez baferizacije. U io_uring API, programeri jezgra su pokušali da otklone nedostatke starog interfejsa aio. Po performansama, io_uring je vrlo blizu SPDK-u i znatno nadmašuje libaio pri radu sa uključenim pollingom.
• U IdM (Identity Management) dodata je eksperimentalna podrška za protokol upravljanja sertifikatima ACME (Automated Certificate Management Environment), koji se koristi u sertifikacionom centru Let's Encrypt.
• U Podman-u dodana je eksperimentalna mogućnost korišćenja skladišnog backenda zasnovanog na SQLite (umesto BoltDB).
• Nadaljuje se zagotavljanje eksperimentalne (Technology Preview) podpore:
• VPN WireGuard,
• Intel SGX (Software Guard Extensions),
• Intel IDXD (Data Streaming Accelerator),
• DAX (Direct Access) za ext4 in XFS,
• AMD SEV in SEV-ES v hipervizorju KVM,
• storitve systemd-resolved,
• mehanizma Sigstore za preverjanje vsebnika s pomočjo digitalnih podpisov,
• paketa z grafičnim urejevalnikom GIMP 2.99.8,
• nastavitve MPTCP (Multipath TCP) preko NetworkManager,
• DNSSEC v IdM,
• virtio-mem,
• hypervisor KVM za ARM64,
• namestitve na NVMe preko Fibre Channel,
• Socket API za TuneD,
• Soft-iWARP (Internet Wide-area RDMA Protocol),
• GNOME za ARM64 in IBM Z.

Izvor: opennet.ru