Release av Red Hat Enterprise Linux 9.3

Red Hat har publicerat en release av distributionen Red Hat Enterprise Linux 9.3 (den nya versionen tillkännagavs förra veckan, men releasedokumentation publicerades först igår, tidigare fanns en betaversion på webbplatsen). Uppdateringen av den tidigare versionen RHEL 8.9 förväntas den 15 november. Färdiga installationsavbilder finns tillgängliga för registrerade användare av Red Hat Customer Portal (ISO-bilder av CentOS Stream 9 och gratis versioner av RHEL för utvecklare kan också användas för funktionsbedömning). Utgåvan är skapad för arkitekturerna x86_64, s390x (IBM System z), ppc64le och Aarch64 (ARM64).

RHEL 9-grenen utvecklas med en mer öppen utvecklingsprocess och använder CentOS Stream 9 som sin bas. CentOS Stream positioneras som ett upstream-projekt för RHEL, vilket ger externa deltagare möjlighet att kontrollera förberedelsen av paket för RHEL, föreslå sina ändringar och påverka besluten som fattas. I enlighet med den 10-åriga supportcykeln kommer RHEL 9 att underhållas fram till 2032.

RHEL 9.3 blev den första versionen vars källkoder för RPM-paket inte publiceras i det offentliga arkivet git.centos.org och endast tillhandahålls kunder genom en sluten del av webbplatsen där användarvillkoren (EULA) gäller och förbjuder redistribuering av dessa data, vilket gör att dessa paket inte kan användas för att skapa avledda distributioner. Källkoderna finns fortfarande tillgängliga i CentOS Stream-repositoriet, men det är inte fullt synkroniserat med RHEL och i det finns inte alltid de senaste versionerna av paketen som matchar paketen från RHEL. Rocky Linux, Oracle och SUSE har gått samman och reproducera nu källkoderna för RPM-paketen för RHEL-releaser inom ramen för projektet OpenELA.

Nyckelförändringar i RHEL 9.3:

• Nya versioner av kompilatorer och verktyg för utvecklare har lagts till: GCC Toolset 13, LLVM Toolset 16.0.6, Rust Toolset 1.71.1, Go Toolset 1.20.10, GCC 11.4.1 (systemkompilator), Redis 7, Node.js 20, java-21-openjdk (java-17-openjdk, java-11-openjdk och java-1.8.0-openjdk fortsätter också att levereras), Valgrind 3.21, SystemTap 4.9, elfutils 0.189, PCP 6.0.5, Grafana 9.2.10.
• Server- och systempaket har uppdaterats: samba 4.18.6, iproute 6.2.0, Apache httpd 2.4.57 (+ modulen mod_authnz_fcgi har lagts till), SEtools 4.4.3, OpenSCAP 1.3.8, opencryptoki 3.21.0, NetworkManager 1.44, xdp-tools 1.4.0, perf 6.2, dmpd 1.0.2, nvme-cli 2.4, Pacemaker 2.1.6, 389-ds-base 2.3.4.
• Kommandot "reboot" har lagts till paketförvaltaren DNF för automatisk omstart efter att uppdateringen har slutförts. Följande lägen är tillgängliga: "never" (standard) — utan omstart, "when-changed" — omstart efter varje uppdatering (dnf upgrade) och "when-needed" — omstart endast om de installerade ändringarna kräver det (till exempel efter installation av en kernel- eller systemd-uppdatering). För att stänga av istället för att omstarta finns parametern "—poweroff".
• I DNF har nya plugins lagts till: "dnf leaves" för att visa alla installerade paket som inte är beroenden för andra paket; "show-leaves" för att visa nyligen installerade liknande paket eller paket som slutat användas som beroenden efter transaktionen.
• Från den senaste versionen av Linux-kärnan har implementationerna av protokollen SCTP (Stream Control Transmission Protocol) och MPTCP (Multipath TCP) överförts.
• Fullt stöd för kameror med USB-gränssnitt, trådlösa adaptrar (Wi-Fi) och Bluetooth har implementerats på ARM64-plattformen.
• Fullt stöd för diskreta grafikkort Intel Arc A-Series (Alchemist eller DG2) har säkerställts.
• Implementeringen av eBPF-systemet är synkroniserad med Linux-kärnan 6.3.
• Verktyget Stratis för hantering av lokala lagringsenheter har lagts till, vilket erbjuder funktioner som dynamisk lagringsfördelning, snapshots, integritetsgaranti och skapande av lager för caching.
• Ändringar har gjorts i systemd-udevd för att tilldela oföränderliga namn för InfiniBand nätverksgränssnitt.
• I Postfix har möjligheten att verifiera SRV DNS-poster för att bestämma värden och portar för e-postservrar som ska användas för meddelandeöverföring implementerats. Denna funktion kan användas i infrastrukturer där tjänster med dynamiskt tilldelade nätverksportnummer används för att leverera e-postmeddelanden.
• I paketet cups-filters har en LF-to-CRLF-drivrutin lagts till, som kan användas för att konvertera tecknen "\n" (ny rad) till "\r\n" (retur och ny rad) för skrivare som endast stöder hantering av filer med radslut "\r\n".
• I FUSE3 har stödet för att avbryta katalogelement utan automatisk avmontering av monteringspunkter kopplade till detta element lagts till.
• I NetworkManager har stödet för alternativet "no-aaaa" i resolv.conf lagts till, vilket stänger av skickandet av DNS-förfrågningar för AAAA-poster (bestämning av IPv6-adress via värdnamn). Stödet för alternativet "lacp_active" har lagts till för att hantera processen för LACPDU (Link Aggregation Control Protocol Data Units). NetworkManager startas om efter att dbus-tjänsten har startats om. En avisering säkerställs vid användning av gamla konfigurationsformat för anslutningsprofiler ifcfg. Stöd för egenskaperna: link.tx-queue-length, link.gro-max-size, link.gso-max-segments och link.gso-max-size har lagts till.
• För samma nätverksgränssnitt i NetworkManager tillåts användning av både statiska och dynamiska (DHCP) inställningar. Till exempel kan verktyget nmstate ställa in en statisk adress för gränssnittet där DHCP-stöd är aktiverat. I nmstate är det möjligt att binda inställningar till nätverksgränssnittet med hjälp av MAC-adressen istället för gränssnittets namn.
• Utökat stöd för hårdvara. Stöd för ARM64 CPU NVIDIA Grace har lagts till. Från Linux-kärna 6.2 har drivrutinen för Intel QAT med stöd för Intel Quick Assist Technology 401xx/402xx överförts.
• För att skydda mot Spectre v2-attacker relaterade till spekulativ exekvering av instruktioner har läget AutoIBRS (Automatic Indirect Branch Restricted Speculation) lagts till, som stöds av AMD:s CPU: er, från EPYC 9004 Genoa-familjen.
• För containrar har möjligheten att använda virtuella chip för lagring av kryptografiska nycklar (vTPM) införts, vilket implementeras baserat på en gemensam fysisk TPM (Trusted Platform Module).
• I LVM har stödet för logiska partitioner vmcore för kärndumpar som skapas av kdump-subsystemet lagts till.
• I installationspaketen har en parameter "inst.wait_for_disks" lagts till, vilket anger tiden för att vänta på att kickstart-filen ska laddas eller för att drivrutiner ska bli tillgängliga under uppstarten.
• I installationsprogrammet, vid installation på ARM-system, har möjligheten att välja variant av det installerade kärnan (till exempel med 64 KB minnessidor) lagts till. Paketet s390utils-base har exkluderats från minimala installationsläget, och endast s390utils-core har lämnats kvar.
• I RHEL:s avbildsbyggare har möjligheten att generera filer i OVA-format för VMware vSphere lagts till.
• I kickstart-filerna har nya alternativ "—ipv4-dns-search" och "—ipv6-dns-search" lagts till i nätverkskommandot för att ange grunddomäner för direktivet "search" i /etc/resolv.conf, samt alternativen "—ipv4-ignore-auto-dns" och "—ipv6-ignore-auto-dns" för att ignorera mottagning av DNS-inställningar via DHCP.
• Stödet för TLS-tillägget EMS (Extended Master Secret, RFC 7627), vilket krävs för att uppfylla kraven i FIPS-140-3 vid TLS 1.2-anslutningar, har förbättrats.
• I OpenSSH har avvecklingen av algoritmer baserade på SHA-1 påbörjats till förmån för SHA-2. Om servern det saknas nycklar baserade på SHA-1 kommer sshd nu att använda endast SHA-2 för att bekräfta värdnycklar, vilket kan leda till inkompatibilitet med RHEL 8-klienter och äldre versioner.
• I OpenSSL har stödet för att ställa in parametrarna för skyddade elliptiska kurvor Brainpool lagts till, och skydd mot tidsangrepp som syftar till att avkoda RSA-baserade operationer har implementerats.
• I RPCSEC GSS Kerberos V5 har stöd för krypteringsmetoder camellia128-cts-cmac, camellia256-cts-cmac, aes128-cts-hmac-sha256-128 och aes256-cts-hmac-sha384-192 lagts till.
• I revisionsverktygen har stöd för händelser från FANOTIFY lagts till, och loggningen omfattar fälten fan_type (händelsetyp), fan_info (relaterad information), sub_trust och obj_trust (tillitsnivåer för händelsens subjekt och objekt). I fapolicyd tjänsten har överföring av regelnummer för avvisade API-förfrågningar lagts till för att förenkla felsökningen.
• En systemroll för verktyget keylime har lagts till, vilket underlättar konfigurationen av registratorn och verifieraren Keylime som används för autentisering och kontinuerlig övervakning av integriteten hos externa system. Till exempel kan man verifiera äktheten av Edge- och IoT-enheter som finns i otillgängliga platser där obehörig åtkomst kan ske. Den nya versionen av keylime 7.3 har använts.
• En systemroll för hantering av systemd-enheter och deras installation har lagts till. En systemroll för installation, konfiguration, hantering och start av databashanteraren PostgreSQL har lagts till. I systemrollen för brandvägg har stöd för att definiera, ändra och ta bort ipset lagts till.
• I SELinux har alternativet virt_qemu_ga_run_unconfined lagts till, vilket tillåter qemu-ga-processen (QEMU Guest Agent) att köra kommandon, såsom mount, i ett oövervakat läge (unconfined_t-domän) som annars begränsas av SELinux. Policyer för SELinux har lagts till för att skydda tjänster som qat, systemd-pstore, boothd, fdo-manufacturing-server, fdo-rendezvous-server, fdo-client-linuxapp och fdo-owner-onboarding-server.
• Stöd för virtualisering av fjärde generationens Intel Xeon Scalable (Sapphire Rapids) processorer har lagts till, vilket möjliggör användning av CPU-modellen SapphireRapids i virtuella maskiner och utnyttjande av de avancerade virtualiseringsegenskaper som dessa processorer erbjuder.
• I Podman har stöd för containrar som komprimerats med zstd-algoritmen lagts till. Möjlighet att använda Quadlets för automatisk generering av systemd-tjänster från beskrivningar av containrar har lagts till. En podmansh-skal har lagts till, som kan användas istället för /usr/bin/bash för att starta en användarsession i containern. Versionerna av Podman, Buildah, Skopeo, crun och runc har uppdaterats.
• Nya kommandoradsparametrar för kärnan har lagts till:
  • amd_pstate för att styra strömlägen för AMD CPU:
  • arm64.nosve för att inaktivera SVE (Scalable Vector Extension):
  • arm64.nosme för att inaktivera SME (Scalable Matrix Extension):
  • gather_data_sampling för att hantera skyddsläget mot GDS-attacker (Gather Data Sampling eller Downfall);
  • nospectre_bhb för att inaktivera Skyddet mot Spectre-BHB;
  • trace_clock för att ställa in händelsespårarens timer.
• Möjligheterna för kluster och felhanteringssystem har utökats: Agenten LVM-activate har fått stöd för att byta (failover) grupper av partitioner där det inte finns några fysiska partitioner. I klusterresursagenterna IPaddr2 och IPsrcaddr har policy routing lagts till. I agent ocf:heartbeat:Filesystem har stöd för EFS (Amazon Elastic File System) lagts till.
• Nya containeravbilder med FDO (FIDO Device Onboard) inställningar har lagts till: fdo-manufacturing-server, fdo-owner-onboarding-server, fdo-rendezvous-server och fdo-serviceinfo-api-server. En ny containeravbild rhel9/squid med Squid-proxyserver har lagts till. I utgåvan 'RHEL for Edge' har stöd för nya typer av avbilder 'minimal-raw', 'edge-vsphere' (*.vmdk) och 'edge-ami' (*.ami) implementerats.
• I AMI-bilderna för molnmiljöer AWS EC2 har stöd för boot i UEFI-läget lagts till.
• För arbete med smartkort och USB-token har CCID (Chip Card Interface Device) och ICCD (Integrated Circuit Card Device) aktiverat en ny version av drivrutinen pcsc-lite-ccid 1.5.2, där problem med Alcor Micro AU9560-kontrollern har lösts och stöd för nya smartkortläsare har lagts till.
• Paketen initial-setup och pmdk (Persistent Memory Development Kit) har förklarats verkningslösa.
• Experimentellt stöd för PRP (Parallel Redundancy Protocol) och HSR (High-availability Seamless Redundancy) har lagts till.
• Experimentellt stöd för hårdvaruaccelerering av IPsec genom att utflytta paketinkapslingsoperationer till nätverkskortet har lagts till.
• Experimentellt stöd för SRv6 (Segment Routing over IPv6) har lagts till.
• Den experimentella implementeringen av kTLS (TLS på kärnnivå) har synkroniserats med version 6.3. Stöd för användning av kTLS för att accelerera GnuTLS har lagts till.
• Experimentellt stöd för asynkront in- och utdata gränssnitt io_uring har lagts till, värt att notera är stödet för polling av in- och utdata och möjligheten till både buffrad och obuffrad drift. I io_uring API har kernelutvecklarna försökt åtgärda bristerna i det gamla aio-gränssnittet. Prestandan för io_uring är mycket nära SPDK och överträffar betydligt libaio när polling är aktiverat.
• I IdM (Identity Management) har experimentellt stöd för ACME (Automated Certificate Management Environment) protokollet, som används i certifikatutfärdarens Let’s Encrypt, lagts till.
• I Podman har experimentellt stöd för lagringsbackend baserat på SQLite (istället för BoltDB) lagts till.
• Försöket att tillhandahålla experimentellt (Technology Preview) stöd har fortsatt:
• VPN WireGuard,
• Intel SGX (Software Guard Extensions),
• Intel IDXD (Data Streaming Accelerator),
• DAX (Direct Access) för ext4 och XFS,
• AMD SEV och SEV-ES i KVM-hypervisorn,
• systemd-resolved-tjänsten,
• Sigstore-mekanismen för verifiering av containrar genom digitala signaturer,
• paket med grafikredigeraren GIMP 2.99.8,
• MPTCP (Multipath TCP) inställningar via NetworkManager,
• DNSSEC i IdM,
• virtio-mem,
• KVM-hypervisor för ARM64,
• installationer på NVMe över Fibre Channel,
• Socket API för TuneD,
• Soft-iWARP (Internet Wide-area RDMA Protocol),
• GNOME för ARM64 och IBM Z.

Källa: opennet.ru