Släppet av distributionen Red Hat Enterprise Linux 9.4

Företaget Red Hat har publicerat en release av distributionssystemet Red Hat Enterprise Linux 9.4. Klara installationsbilder finns tillgängliga för registrerade användare av Red Hat Customer Portal (för att utvärdera funktionaliteten kan även iso-bilder av CentOS Stream 9 och gratis RHEL-versioner för utvecklare användas). Utgivningen är skapad för arkitekturerna x86_64, s390x (IBM System z), ppc64le och Aarch64 (ARM64).

RHEL 9-grenen utvecklas med en mer öppen utvecklingsprocess och använder CentOS Stream 9 som sin bas. CentOS Stream positioneras som ett upstream-projekt för RHEL, vilket ger externa deltagare möjlighet att kontrollera förberedelsen av paket för RHEL, föreslå sina ändringar och påverka besluten som fattas. I enlighet med den 10-åriga supportcykeln kommer RHEL 9 att underhållas fram till 2032.

Källkoderna för rpm-paketen RHEL 9.4 finns inte i det offentliga arkivet git.centos.org och tillhandahålls endast för företagets kunder genom en avskild del av webbplatsen, där ett användaravtal (EULA) gäller, vilket förbjuder redistribuering av data och därför hindrar användning av dessa paket för att skapa härledda distributioner. Källkoderna förblir tillgängliga i CentOS Stream-förrådet, men det är inte helt synkroniserat med RHEL och de senaste versionerna av paketen ligger inte alltid i linje med paketen från RHEL. Rocky Linux, Oracle och SUSE reproducerar källkoderna för rpm-paketen i RHEL-releasen inom ramen för projektet OpenELA.

Nyckeländringar i RHEL 9.4:

• Fullt stöd för teknologin att skapa isolerade enheter Intel SGX (Software Guard Extensions) har säkerställts. Versioner SGX 1 och 2 stöds som möjliggör användning av mekanismerna FLC (Flexible Launch Control) och EDMM (Enclave Dynamic Memory Management) för att ändra åtkomsten till enskilda minnessidor i enheten, dynamiskt lägga till/ta bort minnessidor till enheten och expandera enheten.
• Drivern IDXD (Data Streaming Accelerator) har uppgraderats till stabil version för att aktivera dataöverföringsacceleratorer inbyggda i Intel CPU:er. Tidigare var SGX och IDXD klassificerade som experimentella funktioner (Technology Preview).
• Implementeringen av eBPF-subsystemet är synkroniserad med Linux-kerneln 6.6 (i den tidigare versionen användes eBPF-implementeringen från Linux-kerneln 6.3).
• I GRUB-laddaren och shim-lagret har möjligheten införts att använda mekanismer för min skydd DEP (Data Execution Prevention), NX (No Execute) och XD (Execute Disable) för att förbjuda körning av instruktioner i specifika minnesområden före systemets start.
• Nya versioner av kompilatorer och utvecklarverktyg har lagts till: GCC Toolset 13, LLVM Toolset 17.0.6, Rust Toolset 1.75.1 och Go Toolset 1.21.7.
• Separata paket (Application Streams) med nya versioner av Python 3.12, Ruby 3.3, PHP 8.2, nginx 1.24, MariaDB 10.11 och PostgreSQL 16 har lagts till.
• Versioner av Git 2.43.0, Git LFS 3.4.1, Valgrind 3.22, SystemTap 5.0, elfutils 0.190 och cmake 3.26 har uppdaterats. Nya paket som maven-openjdk21 och libzip-tools har lagts till.
• Säkerhetspaket har uppdaterats: GnuTLS 3.8.3, nettle 3.9.1, p11-kit 0.25.3, libkcapi 1.4.0, stunnel 5.71, audit 3.1.2, SSG (SCAP Security Guide) 0.1.72, openCryptoki 3.22.0, ipa 4.11.
• Server- och systempaket har uppdaterats: chrony 4.5, linuxptp 4.2, Rsyslog 8.2310, iptables 1.8.10, nftables 1.0.9, firewalld 1.3, stratis-cli 3.6.0, boom 1.6.0, 389-ds-base 2.4.5, samba 4.19.4, Podman 4.9.
• Verktygen för SELinux som körs i användarutrymme (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) har uppdaterats till version 3.6, där stödet för reglerna "deny" samt nyckelorden "notself" och "other" har lagts till i CIL-språket (Common Intermediate Language). En körbar fil, getpolicyload, har lagts till för att visa antalet omladdningar av SELinux-regler. Tjänsterna nvme-stas, rust-afterburn, rust-coreos-installer och bootc, som tidigare kördes i läget unconfined_service_t, har nu skyddats av SELinux. SELinux-regler har lagts till för SAP HANA. En ny tjänst, chronyd-restricted, som skyddas av SELinux, har lagts till. Paketet grafana-selinux har lagts till för att köra grafana med skydd från SELinux.
• Registratorn och verifieraren Keylime, som används för autentisering och kontinuerlig övervakning av integriteten hos externa system, kan nu köras inuti containrar, isolerade från det primära systemet.
• I loggning_systemet Rsyslog har möjligheten att ändra TLS/SSL-krypteringsinställningar och ytterligare alternativ för att återställa privilegier lagts till.
• I OpenSSL har möjligheten att placera TLS-konfigurationsfiler i en separat katalog /etc/pki/tls/openssl.d lagts till, vilket gör det möjligt att åsidosätta parametrar för ytterligare kryptografiska moduler utan att ändra huvudkonfigurationsfilen för OpenSSL.
• I SSSD (System Security Services Daemon) har möjligheten att aktivera och konfigurera lösenordsfri autentisering lagts till, med hjälp av biometriska sensorer som stödjer FIDO2-specifikationen, såsom YubiKey-enheter.
• Ett experimentellt kommando "podman build farm" har lagts till för att skapa containerbilder för flera arkitekturer på en gång. Fullt stöd för SQLite-baserade backend har lagts till i Podman och möjligheten att använda modules containers.conf för selektiv laddning av inställningar har lagts till. Flera raders HereDoc-instruktioner har tillåtits i Containerfile. Det nätverksstacken CNI (Container Network Interface) har blivit föråldrat. Genom kommandot "podman machine" har möjligheten att vidarebefordra USB-enheter till QEMU-virtualiseringar realiserats.
• I IdM (Identity Management) finns möjlighet att aktivera obligatorisk tvåfaktorsautentisering för LDAP-klienter med hjälp av engångslösenord (OTP). API:t för IdM har stabiliserats, vilket tidigare presenterades som experimentellt. Stöd för HAProxy-protokollet har lagts till i 389 Directory Server, vilket gör det möjligt att korrekt identifiera IP-adresser för klienter som ansluter via proxy.
• I RHEL:s bildsamlarverktyg finns möjligheten att ange godtyckliga monteringspunkter och skapa olika partitioneringslägen (auto-lvm, lvm, raw).
• Inför version 1.0.0 har implementeringen av synce4l-protokollet uppdaterats, vilket ger stöd för SyncE (Synchronous Ethernet) frekvenssynkronisering, som stöds av vissa nätverkskort och switchar, och som möjliggör effektivare dataöverföring i RAN-applikationer (Radio Access Network) genom mer exakt tidsynkronisering. Stöd för det kärnlevererade DPLL (Digital Phase Locked Loop) gränssnittet har lagts till.
• I nftables-subsystemet har möjligheten att kontrollera fälten i interna pakethuvuden som överförs genom tunnlar överförts. Kommandot "nft reset" har lagts till i nft-verktyget för att återställa tillstånd av nftables-regler, såsom paketräknare och kvotvärden. I firewalld har borttagningen av regler som lagts till via iptables upphört om baksidan nftables används och det inte finns några regler skapade med alternativet "—direct".
• I verktyget ss, som ingår i paketet iproute2, har alternativet "—bound-inactive" lagts till för att visa inaktiva TCP-nätverksockets som är bundna till IP-adress och nätverksporten (bind-anrop), men inte anslutna (connect-anrop) eller inte överförda till vänta-på-anslutning-läge (listen-anrop).
• I NetworkManager har möjligheten att ändra antalet kanaler (paketköer kopplade till avbrottshanterare) för nätverksgränssnitt lagts till, liksom konfiguration av SwitchDev-läget, vilket tillåter delegering av ramomdirigering och behandling av nätverkspaket till specialiserade hårdvaruchip. Stöd för MACsec-nätverksgränssnitt har lagts till. För trådlösa anslutningar har möjligheten att tilldela en separat permanent MAC-adress (stabil-ssid-läge) lagts till.
• I Nmstate har skapats en YAML-fil för att återgå till ett tidigare tillstånd av inställningarna. För att hantera prioriteter i aggregerade nätverksgränssnitt (bond) har egenskapen priority lagts till. Ytterligare attribut för VLAN har lagts till: registration-protocol, mvrp, reorder-headers och loose-binding. Det har skapats möjlighet att konfigurera VLAN-taggar på nätverksenheter med stöd för SR-IOV (Single Root I/O Virtualization).
• Kärnmodulen med implementeringen av TCP Illinois överbelastningskontrollalgoritmen har återinförts, vilket i genomsnitt ger högre bandbredd och mer rättvis resursfördelning.
• Funktionerna hos verktygen rteval, rtla och cyclicdeadline har utökats. I rteval har möjligheten att använda prefixen „+” och „-” för att fästa och avfästa CPU-kärnor från listan över övervakade kärnor (measurement-cpulist) lagts till. Verktyget rtla har uppdaterats till att motsvara Linux-kärnan 6.6. En ny alternativ „rtla -C” har lagts till för att fästa ytterligare cgroup till trådar. I verktyget cyclicdeadline har möjligheten att visualisera fördröjningar i form av histogram lagts till.
• Möjligheten att ange den maximala storleken på filsystemet vid en dynamisk ökning av storleken av tjänsten stratisd har lagts till för attundvika prestandafall efter okontrollerad ökning av XFS-storlek.
• I verktyget lvconvert har stöd för att konvertera standard logiska volymer (LV) till en variant som tillåter dynamisk tilldelning i lagringsutrymme (thin provisioning) lagts till.
• I multipathd har stöd för behandling av FPIN-Li (Fabric Performance Impact Notification) evenemang lagts till för att optimera åtkomsten till NVMe-lagringslösningar. I sektionen för standardinställningar i multipath.conf har parametrarna max_retries och auto_resize lagts till. För Device-mapper-multipath har inställningar lagts till för att använda HPE Alletra 9000 NVMeFC-array och stöd för ANA-läget (Asymmetric Namespace Access) i NVMeoFC.
• Möjligheten att starta från NVMe/FC-adapter (Non-volatile Memory Express (NVMe) över Fibre Channel) har överförts till stabila versioner.
• I webbkonsolen har hanteringen av lagringsutrymme och ändring av partitioners storlek förenklats. Stöd för att generera shell-skript och Ansible-scenarier för konfiguration av kdump har lagts till. I sektionen Virtuella Maskiner har möjligheten att lägga till öppna SSH-nycklar och ansluta redan formaterade blockenheter implementerats. Istället för SPICE-protokollet används VNC för att ansluta till virtuella maskiner.
• Nya systemroller har lagts till för att köra, hantera och konfigurera fapolicyd och Microsoft SQL Server 2022. En snapshot-roll har lagts till för att skapa och hantera LVM-snapshots. Möjlighet till certifikatautentisering har lagts till i sshd-rollen.
• Stödet för virtualisering på ARM64-system med KVM-hypervisor har stabiliserats.
• Stöd för migrering av virtuella maskiner i Multi-FD-läge (flera filbeskrivare) har lagts till. Detta möjliggör flera parallella anslutningar under överföringen av den virtuella maskinen, vilket snabbar upp datatransfer vid hög hastighet (20 Gbps och mer).
• Prestandan vid live-migrering i Postcopy-läge har ökat, där det virtuella systemet startar nästan omedelbart, och all saknad data laddas in vid åtkomst av icke kopierade minnessidor.
• Verktyget toolbx har lagts till, vilket gör det möjligt att starta en extra isolerad miljö. Den kan konfigureras fritt med den vanliga paketförvaltaren DNF och användas för att installera experimentella paket utan att påverka huvudsystemet.
• Stöd för Linux-kärnans kommandoradsparametrar: accept_memory, ia32_emulation, arm64.nomops, cgroup_favordynmods, early_page_ext, fw_devlink.sync_state, kunit.enable, mtrr=debug, rcupdate.rcu_cpu_stall_cputime, rcupdate.rcu_exp_stall_task_details, spec_rstack_overflow och workqueue.unbound_cpus har lagts till.
• Nya sysctl-parametrar har lagts till: io_uring_group och numa_balancing_promote_rate_limit_MBps.
• Användningen av io_uring-mekanismen är som standard förbjuden för alla processer (sysctl io_uring_disabled=2).
• Stödet för hårdvara har utökats. Drivrutiner har lagts till för att stödja Intel QuickAssist Technology, Intel TPMI, Intel Uncore Frequency, AMD HSMP, AMD XCP, AMD Platform Management och Mellanox PMC. En octeon_ep-drivrutin har lagts till för Marvell Octeon PCIe Endpoint Network Interface Controller.
• Försöket att tillhandahålla experimentellt (Technology Preview) stöd har fortsatt:
  • VPN WireGuard,
  • kTLS (TLS på kärnnivå),
  • gränssnitt för asynkron I/O io_uring,
  • DAX (Direct Access) för ext4 och XFS,
  • AMD SEV och SEV-ES i KVM-hypervisorn,
  • systemd-resolved-tjänsten,
  • Sigstore-mekanismen för verifiering av containrar genom digitala signaturer,
  • protokollen PRP (Parallel Redundancy Protocol) och HSR (High-availability Seamless Redundancy),
  • hårdvaruaccelerering av IPsec genom att överföra kapslingsoperationer till nätverkskortet,
  • ACME-certifikatstyrningsprotokollet som används i Let’s Encrypt,
  • SRv6 (Segment Routing over IPv6.
  • paket med grafikredigeraren GIMP 2.99.8,
  • MPTCP (Multipath TCP) inställningar via NetworkManager,
  • DNSSEC i IdM,
  • virtio-mem,
  • Socket API för TuneD,
  • Soft-iWARP (Internet Wide-area RDMA Protocol),
  • GNOME för ARM64 och IBM Z.

Källa: opennet.ru