Red Hat Enterprise Linux 8.1 – Red Hat випустила дистрибутив Red Hat Enterprise Linux
Red Hat Enterprise Linux 8.1 - Red Hat випустила дистрибутив Red Hat Enterprise Linux
Red Hat випустила дистрибутив Red Hat Enterprise Linux 8.1. Настановні зборки підготовлені для архітектур x86_64, s390x (IBM System z), ppc64le та Aarch64, але доступні для завантаження тільки зареєстрованим користувачам Red Hat Customer Portal. Вихідні тексти rpm-пакетів Red Hat Enterprise Linux 8 поширюються через Git-репозиторій CentOS. Гілка RHEL 8.x підтримуватиметься як мінімум до 2029 року.
Red Hat Enterprise Linux 8.1 став першим випуском, підготовленим відповідно до нового передбачуваного циклу розробки, що передбачає формування релізів раз на півроку в заздалегідь визначений час. Наявність точної інформації про час публікації нового випуску дозволяє синхронізувати графіки розробки різних проектів. заздалегідь підготуватися до нового випуску та запланувати час застосування оновлень.
Зазначається, що новий життєвий цикл продуктів RHEL охоплює кілька рівнів, включаючи Fedora як плацдарм для реалізації нових можливостей, CentOS Stream для доступу пакетам, що формуються для наступного проміжного випуску RHEL (rolling-варіант RHEL), мінімалістичний універсальний базовий образ (UB Universal Base Image) для запуску додатків в ізольованих контейнерах і RHEL Developer Subscription для безкоштовного використання RHEL в процесі розробки.
Ключові зміни:
- Забезпечено повноцінну підтримку механізму застосування Live-патчів (kpatch) для усунення вразливостей у ядрі Linux без перезапуску системи та без зупинки роботи. Раніше kpatch входив до категорії експериментальних можливостей;
- На базі фреймворка fapolicyd реалізована можливість створення білого та чорного списків додатків, які дозволяють розмежувати якісь із програм можна запускати користувачеві, а які ні (наприклад, для блокування запуску неперевірених зовнішніх виконуваних файлів). Рішення про блокування або дозвіл запуску може прийматися на основі назви програми, шляху, хеша від вмісту та MIME-типу. Перевірка правил здійснюється під час виконання системних викликів open() та exec(), тому може негативно впливати на продуктивність;
- До складу включені профілі SELinux, сфокусовані на використанні з ізольованими контейнерами і дозволяють більш тонко управляти доступним сервісів, що запускаються в контейнерах, до ресурсів хост-системи. Для генерацій правил SELinux для контейнерів запропоновано нову утиліту udica, що дозволяє з урахуванням специфіки конкретного контейнера надати доступ лише до необхідних зовнішніх ресурсів, таких як сховища, пристрої та мережа. Утиліти SELinux (libsepol, libselinux, libsemanage, policycoreutils, checkpolicy, mcstrans) оновлені до випуску 2.9, а пакет SETools до версії 4.2.2.
Додано новий тип SELinux - boltd_t, що обмежує boltd, процес управління пристроями з інтерфейсом Thunderbolt 3 (boltd тепер запускається в контейнері, обмеженому SELinux). Додано новий клас правил SELinux - bpf, керуючий зверненням до Berkeley Packet Filter (BPF) та інспектуючим додатки для eBPF;
- До складу включено стек протоколів маршрутизації FRRouting (BGP4, MP-BGP, OSPFv2, OSPFv3, RIPv1, RIPv2, RIPng, PIM-SM/MSDP, LDP, IS-IS), який замінив собою пакет Quagga (FRRouting, що раніше застосовувався) відгалуженням від Quagga, тому сумісність не постраждала);
- Для шифрованих розділів у форматі LUKS2 додано підтримку перешифрування блокових пристроїв на льоту, без припинення їх використання в системі (наприклад, тепер можна змінити ключ або алгоритм шифрування без відмонтування розділу);
- У фреймворк OpenSCAP додано підтримку нової редакції протоколу SCAP 1.3 (Security Content Automation Protocol);
- Оновлені версії OpenSSH 8.0p1, Tuned 2.12, chrony 3.5, samba 4.10.4. До репозиторій AppStream додані модулі з новими гілками PHP 7.3, Ruby 2.6, Node.js 12 та nginx 1.16 (оновлення модулів з минулими гілками продовжено). У набір Software Collection додані пакети з GCC 9, LLVM 8.0.1, Rust 1.37 та Go 1.12.8;
- Інструментарій трасування SystemTap оновлено до гілки 4.1, а інструментарій для налагодження роботи з пам'яттю Valgrind до версії 3.15;
- У засоби для розгортання сервера ідентифікації (IdM, Identity Management) додано нова утиліта nealthcheck, що спрощує виявлення проблем із роботою оточень із сервером ідентифікації. Спрощено встановлення та налаштування IdM-оточень, завдяки підтримці ролей Ansible та можливості встановлення модулів. Додано підтримку довірених лісів (Active Directory Trusted Forest) на базі Windows Server 2019.
- У класичному сеансі GNOME (GNOME Classic) змінено перемикач віртуальних робочих столів. Віджет для перемикання між робочими столами тепер знаходиться у правій частині нижньої панелі та оформлений у вигляді смуги з мініатюрами робочих столів (для перемикання на інший робочий стіл достатньо клацнути на мініатюру, що відображає його вміст);
- Direct Rendering Manager (DRM) підсистема та низькорівневі графічні драйвери (amdgpu, nouveau, i915, mgag200) оновлені до стану, що відповідає ядру Linux 5.1. Додано підтримку відеопідсистем AMD Raven 2, AMD Picasso, AMD Vega, Intel Amber Lake-Y та Intel Comet Lake-U;
- В інструментарій для оновлення RHEL 7.6 до RHEL 8.1 додано підтримку оновлення без переустановки для архітектур ARM64, IBM POWER (little endian) та IBM Z. У web-консоль додано режим попередньої перевірки системи перед оновленням. Додано плагін cockpit-leapp для відновлення стану у разі проблем під час оновлення. Забезпечено поділ каталогів /var та /usr в окремі розділи. Додано підтримку UEFI. У Leapp забезпечено оновлення пакетів з репозиторію Supplementary (включає пропрієтарні пакети);
- У Image Builder додано підтримку збирання образів для хмарних оточень Google Cloud та Alibaba Cloud. При формуванні начинки образів додано можливість використання repo.git для включення до складу додаткових файлів із довільних Git-репозиторіїв;
- У Glibc для malloc додано додаткові перевірки для виявлення ситуацій ушкодження виділених блоків пам'яті;
- Пакет dnf-utils перейменований на yum-utils для забезпечення сумісності (можливість встановлення dnf-utils збережена, але цей пакет буде автоматично замінений на yum-utils);
- Додано нову редакцію Red Hat Enterprise Linux System Roles, надає набір модулів і ролей для розгортання системи централізованого керування конфігурацією на основі Ansible та налаштування підсистем для залучення специфічних функцій, пов'язаних із сховищами, мережевими можливостями, синхронізацією часу, правилами kdump. Наприклад, нова роль storage дозволяє виконувати такі завдання як керування ФС на диску, робота з групами LVM та логічними розділами;
- У мережевому стеку для VXLAN та тунелів GENEVE реалізована можливість обробки ICMP-пакетів "Destination Unreachable", "Packet Too Big" та "Redirect Message", що вирішило проблему з неможливістю використовувати перенаправлення маршрутів та Path MTU Discovery у VXLAN та GENEVE.
- Експериментальна реалізація підсистеми XDP (eXpress Data Path), що дозволяє в Linux запускати BPF-програми на рівні мережевого драйвера з можливістю прямого доступу до DMA-буфера пакетів і на стадії до виділення буфера skbuff мережевим стеком, а також компоненти eBPF, синхронізовані ядром Linux 5.0 Додано експериментальну підтримку підсистеми ядра AF_XDP (eXpress Data Path);
- Забезпечено повну підтримку мережевого протоколу TIPC (Transparent Inter-process Communication), призначеного для організації міжпроцесної взаємодії в кластері. Протокол надає засоби для швидкої та надійної взаємодії додатків, незалежно від того, яких вузлах у кластері вони виконуються;
- У initramfs доданий новий режим збереження дампа ядра у разі збою - "early kdump", що працює на ранніх стадіях завантаження;
- Додано новий параметр ядра ipcmni_extend, що розширює ліміт ідентифікаторів IPC з 32 KB (15 біт) 16 MB (24 біти), що дозволяє програмам використовувати більше сегментів пам'яті, що розділяється;
- Ipset оновлено до випуску 7.1 з підтримкою операцій IPSET_CMD_GET_BYNAME та IPSET_CMD_GET_BYINDEX;
- Демон rngd, який виконує наповнення пулу ентропії генератора псевдовипадкових чисел, позбавлений необхідності запуску з правами root;
- Забезпечено повну підтримку Intel OPA (Omni-Path Architecture) для обладнання з Host Fabric Interface (HFI) та повну підтримку пристроїв постійної пам'яті Intel Optane DC Persistent Memory.
- У налагоджувальних ядрах за замовчуванням включено складання з детектором невизначеної поведінки UBSAN (Undefined Behavior Sanitizer), що додає в скомпільований код додаткові перевірки для виявлення ситуацій, коли поведінка програми стає невизначеною (наприклад, використання нестатичних змінних до їх ініціалізації, поділ цілих чисел на нуль, переповнення цілісних знакових типів, проблеми з вирівнюванням покажчиків тощо);
- Дерево вихідних текстів ядра з розширеннями для роботи в режимі реального часу (kernel-rt) синхронізовано з кодом основного ядра RHEL 8;
- Доданий драйвер ibmvnic для мережевого контролера vNIC (Virtual Network Interface Controller) з реалізацією технології віртуальних мереж PowerVM. При застосуванні спільно з SR-IOV NIC новий драйвер дозволяє забезпечити управління пропускною здатністю та якістю сервісу на рівні віртуального мережевого. адаптера, суттєво знижуючи накладні витрати в результаті віртуалізації та зменшуючи навантаження на CPU;
- Додано підтримку розширень з контролю цілісності даних (Data Integrity Extensions), які дозволяють захистити дані від їх пошкодження при записі в сховищі за рахунок збереження додаткових коригувальних блоків;
- Додано експериментальну підтримку (Technology Preview) пакету nmstate, що надає бібліотеку та утиліту nmstatectl для управління мережевими налаштуваннями через декларативний API (стан мережі описується у формі визначеної схеми);
- Додано експериментальну підтримку реалізації протоколу TLS на рівні ядра (KTLS) з шифруванням на базі AES-GCM, а також експериментальну підтримку OverlayFS, cgroup v2, Stratis, mdev (Intel vGPU) і DAX (прямий доступ до ФС в обхід сторінкового кешу без застосування рівня блокових пристроїв) в ext4 та XFS;
- Оголошено застарілою підтримку DSA, TLS 1.0 та TLS 1.1, які виключені з набору DEFAULT та перенесені до LEGACY ("update-crypto-policies --set LEGACY");
- Оголошені застарілими пакети 389-ds-base-legacy-tools, authd, custodia, hostname, libidn, net-tools, network-scripts, nss-pam-ldapd, sendmail, yp-tools, ypbind та ypserv. У майбутньому значному випуску їх постачання може бути припинено;
- Скрипти ifup та ifdown замінені на обв'язки, що викликають NetworkManager через nmcli (для повернення старих скриптів потрібно виконати "yum install network-scripts").