8.1 Notas de la versión

Ahora se pueden desactivar los módulos durante la instalación de Kickstart

Con esta mejora, los usuarios pueden ahora deshabilitar un módulo para evitar la instalación de paquetes del módulo. Para desactivar un módulo durante la instalación de Kickstart, utilice el comando:

Ya está disponible el soporte de la sección repo.git a los blueprints

Una nueva sección repo.git blueprint permite a los usuarios incluir archivos adicionales en su construcción de imágenes. Los archivos deben estar alojados en un repositorio git que sea accesible desde el servidor de construcción de lorax-composer.

Image Builder ahora admite la creación de imágenes para más proveedores de nubes

Con esta actualización, el generador de imágenes ha ampliado el número de proveedores de nube para los que el generador de imágenes puede crear una imagen. Como resultado, ahora puede crear imágenes de RHEL que se pueden desplegar también en Google Cloud y Alibaba Cloud, así como ejecutar las instancias personalizadas en estas plataformas.

dnf-utils ha sido renombrado a yum-utils

Con esta actualización, el paquete dnf-utils, que forma parte de la pila YUM, ha sido renombrado a yum-utils. Por razones de compatibilidad, el paquete puede seguir instalándose con el nombre dnf-utils, y sustituirá automáticamente al paquete original cuando se actualice el sistema.

subscription-manager ahora informa de los valores de rol, uso y complementos

Con esta actualización, el gestor de suscripciones ahora puede mostrar los valores de Rol, Uso y Complementos para cada suscripción disponible en la organización actual, que esté registrada en el Portal del Cliente o en el Satélite.

reajustado a la versión 2.12

Los paquetes ajustados se han actualizado a la versión 2.12 de la corriente principal, que proporciona una serie de correcciones de errores y mejoras con respecto a la versión anterior, especialmente:

chrony rebasado a la versión 3.5

Los paquetes chrony han sido actualizados a la versión 3.5, que proporciona una serie de correcciones de errores y mejoras con respecto a la versión anterior, especialmente:

Nueva pila de protocolos de enrutamiento FRRouting está disponible

Con esta actualización, Quagga ha sido sustituido por Free Range Routing (FRRouting, o FRR), que es una nueva pila de protocolos de enrutamiento. FRR es proporcionado por el paquete frr disponible en el repositorio AppStream.

GNU enscript ahora soporta la codificación ISO-8859-15

Con esta actualización, se ha añadido soporte para la codificación ISO-8859-15 en el programa GNU enscript.

Mejora de la precisión de la medición del desfase del reloj del sistema en phc2sys

El programa phc2sys de los paquetes linuxptp soporta ahora un método más preciso para medir el desfase del reloj del sistema.

ptp4l ahora admite interfaces de equipo en modo de respaldo activo

Con esta actualización, se ha añadido en PTP Boundary/Ordinary Clock (ptp4l) la compatibilidad con interfaces de equipo en modo de respaldo activo.

La sincronización de la hora PTP en las interfaces macvlan es ahora compatible

Esta actualización añade soporte para la marca de tiempo por hardware en las interfaces macvlan en el kernel de Linux. Como resultado, las interfaces macvlan ahora pueden utilizar el Protocolo de Tiempo de Precisión (PTP) para la sincronización de tiempo.

Nuevo paquete: fapolicyd

El marco de software fapolicyd introduce una forma de listas blancas y negras de aplicaciones basada en una política definida por el usuario. La función de lista blanca de aplicaciones proporciona una de las formas más eficaces de evitar la ejecución de aplicaciones no fiables y posiblemente maliciosas en el sistema.

Nuevo paquete: udica

El nuevo paquete udica proporciona una herramienta para generar políticas SELinux para contenedores. Con udica, puede crear una política de seguridad a medida para controlar mejor cómo un contenedor accede a los recursos del sistema anfitrión, como el almacenamiento, los dispositivos y la red. Esto le permite endurecer sus despliegues de contenedores contra las violaciones de la seguridad y también simplifica la consecución y el mantenimiento del cumplimiento normativo.

Las herramientas del espacio de usuario de SELinux se han actualizado a la versión 2.9

Las herramientas de espacio de usuario de SELinux libsepol, libselinux, libsemanage, policycoreutils, checkpolicy y mcstrans se han actualizado a la última versión 2.9, que proporciona muchas correcciones de errores y mejoras con respecto a la versión anterior.

SETools actualizado a la versión 4.2.2

La colección de herramientas y bibliotecas SETools se ha actualizado a la última versión 4.2.2, que aporta los siguientes cambios:

selinux-policy rebasado a 3.14.3

El paquete selinux-policy ha sido actualizado a la versión 3.14.3, que proporciona una serie de correcciones de errores y mejoras en las reglas de permiso con respecto a la versión anterior.

Un nuevo tipo SELinux: boltd_t

Un nuevo tipo de SELinux, boltd_t, confina a boltd, un demonio del sistema para gestionar dispositivos Thunderbolt 3. Como resultado, boltd ahora se ejecuta como un servicio confinado en el modo de aplicación de SELinux.

Una nueva clase de política SELinux: bpf

Se ha introducido una nueva clase de política de SELinux, bpf. La clase bpf permite a los usuarios controlar el flujo del Filtro de Paquetes Berkeley (BPF) a través de SElinux, y permite la inspección y la manipulación sencilla de los programas y mapas del Filtro de Paquetes Berkeley Extendido (eBPF) controlados por SELinux.

OpenSCAP se ha actualizado a la versión 1.3.1

Los paquetes de openscap se han actualizado a la versión 1.3.1, que proporciona muchas correcciones de errores y mejoras con respecto a la versión anterior, sobre todo:

OpenSCAP ahora es compatible con SCAP 1.3

La suite OpenSCAP soporta ahora flujos de datos conformes a la última versión del estándar SCAP: SCAP 1.3. Ahora puede utilizar los flujos de datos SCAP 1.3, como los contenidos en el paquete scap-security-guide, de la misma manera que los flujos de datos SCAP 1.2 sin ninguna restricción adicional de uso.

scap-security-guide rebasado a la versión 0.1.46

The scap-security-guide packages have been upgraded to upstream version 0.1.46, which provides many bug fixes and enhancements over the previous version, most notably: * SCAP content conforms to the latest version of SCAP standard, SCAP 1.3 * SCAP content supports UBI images

OpenSSH rebasado a 8.0p1

Los paquetes openssh han sido actualizados a la versión 8.0p1, que proporciona muchas correcciones de errores y mejoras con respecto a la versión anterior, sobre todo:

libssh ahora cumple con las políticas criptográficasde todo el sistema

El cliente y el servidor de libssh ahora cargan automáticamente el archivo /etc/libssh/libssh_client.config y el /etc/libssh/libssh_server.config, respectivamente. Este archivo de configuración incluye las opciones establecidas por el componente crypto-policies de todo el sistema para el back-end de libssh y las opciones establecidas en el archivo de configuración /etc/ssh/ssh_config o /etc/ssh/sshd_config OpenSSH. Con la carga automática del archivo de configuración, libssh ahora utiliza la configuración criptográfica de todo el sistema establecida por crypto-policies. Este cambio simplifica el control sobre el conjunto de algoritmos criptográficos utilizados por las aplicaciones.

Existe una opción para que rsyslog conserve el caso de FROMHOST

Esta actualización del servicio rsyslog introduce la opción de gestionar la preservación de mayúsculas y minúsculas de la propiedad FROMHOST para los módulos imudp e imtcp. Al establecer el valor de preservecase en on, la propiedad FROMHOST se gestiona de forma sensible a las mayúsculas y minúsculas. Para evitar romper las configuraciones existentes, los valores por defecto de preservecase son on para imtcp y off para imudp.

El descubrimiento de PMTU y la redirección de rutas son ahora compatibles con los túneles VXLAN y GENEVE

El kernel de Red Hat Enterprise Linux (RHEL) 8.0 no manejaba los mensajes del Protocolo de Mensajes de Control de Internet (ICMP) e ICMPv6 para los túneles de Virtual Extensible LAN (VXLAN) y Generic Network Virtualization Encapsulation (GENEVE). Como consecuencia, el descubrimiento de Path MTU (PMTU) y la redirección de rutas no eran compatibles con los túneles VXLAN y GENEVE en las versiones de RHEL anteriores a la 8.1. Con esta actualización, el kernel gestiona los mensajes de error ICMP "Destino inalcanzable" y "Mensaje de redirección", así como los mensajes de error ICMPv6 "Paquete demasiado grande" y "Destino inalcanzable", ajustando la PMTU y modificando la información de reenvío. Como resultado, RHEL 8.1 soporta el descubrimiento de PMTU y la redirección de rutas con túneles VXLAN y GENEVE.

Cambios notables en las funciones XDP y eBPF de red en el núcleo

Las funciones XDP y eBPF de red del paquete del núcleo se han actualizado a la versión 5.0, que proporciona una serie de correcciones de errores y mejoras con respecto a la versión anterior:

El nuevo control PTP_SYS_OFFSET_EXTENDED para ioctl() mejora la precisión de la medición del sistema-PHC ofsets

Esta mejora añade el control PTP_SYS_OFFSET_EXTENDED para realizar mediciones más precisas del desfase del reloj de hardware (PHC) del protocolo de tiempo de precisión (PTP) del sistema a la función ioctl(). El control PTP_SYS_OFFSET que, por ejemplo, utiliza el servicio chrony para medir el desfase entre un PHC y el reloj del sistema no es lo suficientemente preciso. Con el nuevo control PTP_SYS_OFFSET_EXTENDED, los controladores pueden aislar la lectura de los bits más bajos. Esto mejora la precisión del offset medido. Los controladores de red suelen leer varios registros PCI, y el controlador no lee los bits más bajos de la marca de tiempo PHC entre dos lecturas del reloj del sistema.

ipset rebasado a la versión 7.1

Los paquetes ipset han sido actualizados a la versión 7.1, que proporciona una serie de correcciones de errores y mejoras respecto a la versión anterior:

Versión del núcleo en RHEL 8.1

Red Hat Enterprise Linux 8.1 se distribuye con la versión 4.18.0-147 del kernel.

Ya está disponible la aplicación de parches en vivo para el kernel

La aplicación de parches en vivo para el kernel, kpatch, proporciona un mecanismo para parchear el kernel en ejecución sin reiniciar ningún proceso. Los parches en vivo para el kernel se proporcionarán para determinados flujos de versiones menores de RHEL cubiertos por la política de Soporte de Actualización Extendido (EUS ) para remediar los CVEs Críticos e Importantes.

Extended Berkeley Packet Filter en RHEL 8

Extended Berkeley Packet Filter (eBPF) es una máquina virtual dentro del núcleo que permite la ejecución de código en el espacio del núcleo, en el entorno restringido de la caja de arena con acceso a un conjunto limitado de funciones. La máquina virtual ejecuta un código especial de tipo ensamblador. A continuación, el código se carga en el núcleo y se traduce al código máquina nativo con una compilación "justo a tiempo". Hay numerosos componentes suministrados por Red Hat que utilizan la máquina virtual eBPF. Cada componente se encuentra en una fase de desarrollo diferente y, por lo tanto, no todos los componentes son actualmente totalmente compatibles.

Red Hat Enterprise Linux 8 ahora es compatible con kdump temprano

La función de kdump temprano permite que el kernel de colisión y el initramfs se carguen lo suficientemente temprano como para capturar la información del vmcore, incluso en el caso de colisiones tempranas.

RHEL 8 ahora soporta ipcmni_extend

Se ha añadido un nuevo parámetro de línea de comandos del kernel , ipcmni_extend, a Red Hat Enterprise Linux 8. El parámetro amplía un número de identificadores únicos de comunicación entre procesos (IPC) del Sistema V desde el máximo actual de 32 KB (15 bits) hasta 16 MB (24 bits). Como resultado, los usuarios cuyas aplicaciones producen muchos segmentos de memoria compartida son capaces de crear un identificador IPC más fuerte sin exceder el límite de 32 KB.

El código de inicialización de la memoria persistente admite la inicialización en paralelo

El código de inicialización de la memoria persistente permite la inicialización paralela en sistemas con múltiples nodos de memoria persistente. La inicialización paralela reduce en gran medida el tiempo total de inicialización de la memoria en sistemas con grandes cantidades de memoria persistente. Como resultado, estos sistemas pueden ahora arrancar mucho más rápido.

La herramienta de espacio de usuario TPM ha sido actualizada a la última versión

La herramienta de espacio de usuario tpm2-tools ha sido actualizada a la versión 2.0. Con esta actualización, tpm2-tools es capaz de corregir muchos defectos.

El demonio rngd ahora puede ejecutarse con privilegios de no-root

El demonio generador de números aleatorios(rngd) comprueba si los datos suministrados por la fuente de aleatoriedad son suficientemente aleatorios y, a continuación, almacena los datos en la reserva de entropía de números aleatorios del kernel. Con esta actualización, rngd puede ejecutarse con privilegios de usuario no root para mejorar la seguridad del sistema.

Soporte completo para el controlador ibmvnic

Con la introducción de Red Hat Enterprise Linux 8.0, el controlador de interfaz de red virtual de IBM (vNIC) para arquitecturas IBM POWER, ibmvnic, estaba disponible como Technology Preview. vNIC es una tecnología de red virtual PowerVM que ofrece capacidades empresariales y simplifica la gestión de la red. Se trata de una tecnología eficiente y de alto rendimiento que, cuando se combina con SR-IOV NIC, proporciona capacidades de calidad de servicio (QoS) de control de ancho de banda a nivel de NIC virtual. vNIC reduce significativamente la sobrecarga de virtualización, lo que se traduce en menores latencias y menos recursos de servidor, incluyendo la CPU y la memoria, necesarios para la virtualización de la red.

Software de host Intel ® Omni-Path Architecture (OPA)

El software de host Intel Omni-Path Architecture (OPA) es totalmente compatible con Red Hat Enterprise Linux 8.1. Intel OPA proporciona hardware Host Fabric Interface (HFI) con inicialización y configuración para transferencias de datos de alto rendimiento (alto ancho de banda, alta tasa de mensajes, baja latencia) entre nodos de computación y E/S en un entorno de clúster.

UBSan ha sido habilitado en el kernel de depuración en RHEL 8

La utilidad Undefined Behavior Sanitizer(UBSan) expone los fallos de comportamiento indefinido en los lenguajes de código C en tiempo de ejecución. Esta utilidad se ha habilitado en el núcleo de depuración porque el comportamiento del compilador era, en algunos casos, diferente a las expectativas de los desarrolladores. Especialmente, en el caso de la optimización del compilador, donde aparecían fallos sutiles y oscuros. Como resultado, ejecutar el kernel de depuración con UBSan habilitado permite al sistema detectar fácilmente dichos errores.

La infraestructura de fadump ahora soporta el re-registro en RHEL 8

Se ha añadido el soporte para el re-registro (desregistro y registro) de la infraestructura de volcado asistida por firmware(fadump) después de cualquier operación de adición/remoción de memoria en caliente para actualizar los rangos de memoria de choque. El objetivo de esta función es evitar que el sistema sufra posibles problemas de carrera durante el desregistro y el registro de fadump desde el espacio de usuario durante los eventos de udev.

La secuencia de comandos determine_maximum_mpps.sh se ha introducido en RHEL for Real Time 8

Se ha introducido el script determine_maximum_mpps.sh para ayudar a utilizar el programa de pruebas queuelat. El script ejecuta queuelat para determinar el máximo de paquetes por segundo que puede manejar una máquina.

el árbol de fuentes dekernel-rt ahora coincide con el último árbol de RHEL 8

Las fuentes de kernel-rt han sido actualizadas para basarse en el último árbol de fuentes del kernel de Red Hat Enterprise Linux, que proporciona una serie de correcciones de errores y mejoras con respecto a la versión anterior.

Se ha añadido la prueba ssdd a RHEL for Real Time 8

Se ha añadido la prueba ssdd para permitir la prueba de estrés del subsistema de rastreo. La prueba ejecuta múltiples hilos de rastreo para verificar que el bloqueo es correcto dentro del sistema de rastreo.

El modo de memoria para la tecnología Optane DC Persistent Memory es totalmente compatible

Los dispositivos de almacenamiento de memoria persistente Intel Optane DC proporcionan una tecnología de memoria persistente de clase de centro de datos, que puede aumentar significativamente el rendimiento de las transacciones.

IBM Z ahora soporta la verificación de la firma de arranque del sistema

El arranque seguro permite al firmware del sistema comprobar la autenticidad de las claves criptográficas utilizadas para firmar el código del espacio del kernel. Como resultado, la función mejora la seguridad, ya que sólo se puede ejecutar el código de los proveedores de confianza.

Soporte para el Campo de Integridad de Datos/Extensión de Integridad de Datos (DIF/DIX)

DIF/DIX es compatible con las configuraciones en las que el proveedor de hardware lo ha calificado y proporciona soporte completo para el adaptador de bus de host (HBA) particular y la configuración de la matriz de almacenamiento en RHEL.

Los sistemas de memoria Optane DC ahora son compatibles con los informes EDAC

Anteriormente, EDAC no informaba de los eventos de memoria corregida/no corregida si la dirección de memoria estaba dentro de un módulo NVDIMM. Con esta actualización, EDAC puede reportar correctamente los eventos con la información correcta del módulo de memoria.

El módulo VDO Ansible ha sido trasladado a los paquetes Ansible

Anteriormente, el módulo VDO Ansible era proporcionado por el paquete RPM vdo. A partir de esta versión, el módulo es proporcionado por el paquete ansible.

Los adaptadores Aero son ahora totalmente compatibles

Los siguientes adaptadores Aero, que anteriormente estaban disponibles como Muestra de Tecnología, son ahora totalmente compatibles:

LUKS2 admite ahora la recodificación en línea

El formato Linux Unified Key Setup versión 2 (LUKS2) admite ahora la recodificación de dispositivos encriptados mientras los dispositivos están en uso. Por ejemplo, no es necesario desmontar el sistema de archivos del dispositivo para realizar las siguientes tareas:

Nuevas características de ext4 disponibles en RHEL 8

En RHEL8, las siguientes son las nuevas características totalmente compatibles con ext4:

NVMe sobre RDMA ahora soporta un Infiniband en el modo de destino para los sistemas IBM Coral

En RHEL 8.1, NVMe sobre RDMA admite ahora un Infiniband en el modo de destino para los sistemas IBM Coral, con una única tarjeta PCIe add in NVMe como destino.

Pacemaker ahora pone por defecto la propiedad de cluster concurrent-fencing en true

Si es necesario vallar varios nodos del clúster al mismo tiempo, y éstos utilizan diferentes dispositivos de vallado configurados, Pacemaker ejecutará ahora el vallado simultáneamente, en lugar de hacerlo en serie como antes. Esto puede acelerar enormemente la recuperación en un clúster grande cuando hay que cercar varios nodos.

La ampliación de un volumen lógico compartido ya no requiere una actualización en cada nodo del clúster

Con esta versión, la ampliación de un volumen lógico compartido ya no requiere una actualización en cada nodo del clúster después de ejecutar el comando lvextend en un nodo del clúster. Para conocer el procedimiento completo para ampliar el tamaño de un sistema de archivos GFS2, consulte Ampliar un sistema de archivos GFS2.

El tamaño máximo de un clúster RHEL HA soportado se ha incrementado de 16 a 32 nodos

Con esta versión, Red Hat admite implantaciones de cluster de hasta 32 nodos de cluster completos.

Se han añadido a pcslos comandos para añadir, cambiar y eliminar enlaces corosync

El protocolo Kronosnet (knet) permite ahora añadir y eliminar enlaces knet en clusters en funcionamiento. Para soportar esta característica, el comando pcs ahora proporciona comandos para añadir, cambiar y eliminar enlaces knet y para cambiar un enlace upd/udpu en un cluster existente. Para obtener información sobre cómo añadir y modificar enlaces en un clúster existente, consulte Añadir y modificar enlaces en un clúster existente. (BZ#1667058)

Una nueva corriente de módulos: php:7.3

RHEL 8.1 introduce PHP 7.3, que proporciona una serie de nuevas características y mejoras. Los cambios más destacados son:

Una nueva corriente de módulos: ruby:2.6

Ya está disponible un nuevo módulo, ruby:2.6. Ruby 2.6.3, incluido en RHEL 8.1, proporciona numerosas funciones nuevas, mejoras, correcciones de errores y de seguridad, y mejoras de rendimiento con respecto a la versión 2.5 distribuida en RHEL 8.0.

Una nueva corriente de módulos: nodejs:12

RHEL 8.1 introduce Node.js 12, que proporciona una serie de nuevas características y mejoras con respecto a la versión 10. Los cambios más destacados son:

Judy-devel disponible en CRB

El paquete Judy-devel está ahora disponible como parte del módulo mariadb-devel:10.3 en el repositorio CodeReady Linux Builder (CRB). Como resultado, los desarrolladores pueden ahora construir aplicaciones con la biblioteca Judy.

Cumplimiento de FIPS en Python 3

Esta actualización añade soporte para el modo FIPS de OpenSSL a Python 3. A saber:

Cambios en el cumplimiento de FIPS en python3-wheel

Esta actualización del paquete python3-wheel elimina una implementación incorporada para firmar y verificar datos que no cumplen con FIPS.

Un nuevo flujo de módulos: nginx:1.16

Ya está disponible el servidor web y proxy nginx 1.16, que proporciona una serie de nuevas características y mejoras respecto a la versión 1.14. Por ejemplo:

perl-IO-Socket-SSL rebasado a la versión 2.066

El paquete perl-IO-Socket-SSL se ha actualizado a la versión 2.066, que proporciona una serie de correcciones de errores y mejoras con respecto a la versión anterior, por ejemplo:

perl-Net-SSLeay rebasado a la versión 1.88

El paquete perl-Net-SSLeay ha sido actualizado a la versión 1.88, que proporciona múltiples correcciones de errores y mejoras. Los cambios más destacados son:

GCC Toolset 9 disponible

Red Hat Enterprise Linux 8.1 introduce GCC Toolset 9, un flujo de aplicaciones que contiene versiones más actualizadas de las herramientas de desarrollo.

Juegos de herramientas de compilación actualizados

Los siguientes conjuntos de herramientas de compilación, distribuidos como Application Streams, se han actualizado con RHEL 8.1:

SystemTap rebasado a la versión 4.1

La herramienta de instrumentación SystemTap se ha actualizado a la versión 4.1. Las mejoras más destacadas son:

Disponibilidad general de la herramienta DHAT

Red Hat Enterprise Linux 8.1 introduce la disponibilidad general de la herramienta DHAT. Está basada en la herramienta valgrind versión 3.15.0.

elfutils rebasado a la versión 0.176

Los paquetes elfutils han sido actualizados a la versión 0.176. Esta versión trae varias correcciones de errores, y resuelve las siguientes vulnerabilidades:

Comprobaciones adicionales de asignación de memoria en glibc

La corrupción de la memoria de las aplicaciones es una de las principales causas de defectos de aplicación y seguridad. La detección temprana de este tipo de corrupción, sopesada con el coste de la detección, puede proporcionar importantes beneficios a los desarrolladores de aplicaciones.

GDB puede acceder a más registros de POWER8

Con esta actualización, el depurador de GNU (GDB) y su stub remoto gdbserver pueden acceder a los siguientes registros y conjuntos de registros adicionales de la línea de procesadores POWER8 de IBM:

el desensambladorbinutils puede manejar archivos binarios NFP

La herramienta de desensamblaje del paquete binutils se ha ampliado para manejar archivos binarios de la serie de hardware Netronome Flow Processor (NFP). Esta funcionalidad es necesaria para habilitar otras características del compilador de código bpftool Berkeley Packet Filter (BPF).

Las secciones GOT parcialmente escribibles son ahora compatibles con la arquitectura IBM Z

Los binarios de IBM Z que utilizan la función "lazy binding" del cargador pueden ahora endurecerse generando secciones de la tabla de desplazamiento global (GOT) parcialmente escribibles. Estos binarios requieren una GOT de lectura-escritura, pero no todas las entradas son escribibles. Esta actualización proporciona protección a las entradas frente a posibles ataques.

binutils ahora soporta los procesadores Arch13 de IBM Z

Esta actualización añade soporte para las extensiones relacionadas con los procesadores Arch13 en los paquetes binutils en la arquitectura IBM Z. Como resultado, ahora es posible construir kernels que pueden utilizar las características disponibles en las CPUs habilitadas para arch13 en IBM Z.

Dyninst rebasado a la versión 10.1.0

La librería de instrumentación Dyninst ha sido actualizada a la versión 10.1.0. Los cambios notables incluyen:

Actualización del formato de la fecha para la era Reiwa japonesa

La Biblioteca C de GNU ahora proporciona el formato correcto del nombre de la era japonesa para la era Reiwa a partir del 1 de mayo de 2019. Se han actualizado los datos de la API de manejo de la hora, incluyendo los datos utilizados por las funciones strftime y strptime. Todas las APIs imprimirán correctamente la era Reiwa incluyendo cuando se utilice strftime junto con uno de los especificadores de conversión de era como , , o .

Co-Pilot de rendimiento rebasado a la versión 4.3.2

En RHEL 8.1, la herramienta Performance Co-Pilot (PCP) se ha actualizado a la versión 4.3.2. Las mejoras más destacadas son:

IdM ahora es compatible con los roles y módulos de Ansible para su instalación y gestión

Esta actualización introduce el paquete ansible-freeipa, que proporciona roles y módulos de Ansible para el despliegue y la gestión de Identity Management (IdM). Puede utilizar los roles de Ansible para instalar y desinstalar servidores, réplicas y clientes de IdM. Puede utilizar los módulos de Ansible para gestionar los grupos, la topología y los usuarios de IdM. También hay ejemplos de playbooks disponibles.

Nueva herramienta para comprobar la idoneidad general de la implantación de IdM: Healthcheck

Esta actualización introduce la herramienta Healthcheck en Identity Management (IdM). La herramienta proporciona pruebas que verifican que el servidor IdM actual está configurado y funciona correctamente.

IdM ahora admite la renovación de certificados de sistema caducados cuando el servidor está desconectado

Con esta mejora, los administradores pueden renovar los certificados de sistema caducados cuando Identity Management (IdM) está fuera de línea. Cuando un certificado de sistema caduca, IdM no se inicia. El nuevo comando ipa-cert-fix sustituye a la solución de retrasar manualmente la fecha para proceder al proceso de renovación. Como resultado, el tiempo de inactividad y los costes de soporte se reducen en el escenario mencionado.

La gestión de identidades admite la confianza con Windows Server 2019

Al utilizar la gestión de identidades, ahora puede establecer una confianza de bosque compatible con los bosques de Active Directory que ejecuta Windows Server 2019. Los niveles funcionales de bosque y dominio admitidos no han cambiado y se admiten hasta el nivel de Windows Server 2016.

samba rebasado a la versión 4.10.4

Los paquetes samba han sido actualizados a la versión 4.10.4, que proporciona una serie de correcciones de errores y mejoras respecto a la versión anterior:

Actualización de la ubicación del almacén de certificados de todo el sistema para OpenLDAP

La ubicación por defecto de las CAs de confianza para OpenLDAP se ha actualizado para utilizar el almacén de certificados de todo el sistema(/etc/pki/ca-trust/source) en lugar de /etc/openldap/certs. Este cambio se ha realizado para simplificar la configuración de la confianza de la CA.

Se han introducido nuevos comandos ipa-crl-generation para simplificar la gestión del maestro IdM CRL

Esta actualización introduce los comandos ipa-crl-generation status/enable/disable. Estos comandos, ejecutados por el usuario raíz, simplifican el trabajo con la lista de revocación de certificados (CRL) en IdM. Anteriormente, trasladar el maestro de generación de CRL de un servidor IdM CA a otro era un procedimiento largo, manual y propenso a errores.

Soporte de OpenID Connect en keycloak-httpd-client-install

El proveedor de identidad keycloak-httpd-client-install anteriormente sólo soportaba la autenticación SAML (Security Assertion Markup Language) con el módulo de autenticación mod_auth_mellon. Este rebase introduce el soporte del módulo de autenticación mod_auth_openidc, que permite configurar también la autenticación de OpenID Connect.

La configuración de IdM como réplica oculta ya está disponible como Technology Preview

Esta mejora permite a los administradores configurar una réplica de Identity Management (IdM) como una réplica oculta. Una réplica oculta es un servidor IdM que tiene todos los servicios en funcionamiento y disponibles. Sin embargo, no se anuncia a otros clientes o maestros porque no existen registros SRV para los servicios en DNS, y los roles del servidor LDAP no están habilitados. Por lo tanto, los clientes no pueden utilizar el descubrimiento de servicios para detectar las réplicas ocultas.

SSSD ahora aplica los GPO de AD por defecto

La configuración por defecto de la opción de SSSD ad_gpo_access_control es ahora enforcing. En RHEL 8, SSSD aplica por defecto las reglas de control de acceso basadas en los objetos de política de grupo (GPO) de Active Directory.

Cambio de espacio de trabajo modificado en GNOME Classic

El conmutador de espacios de trabajo en el entorno de GNOME Classic ha sido modificado. El conmutador se encuentra ahora en la parte derecha de la barra inferior, y está diseñado como una tira horizontal de miniaturas. El cambio entre espacios de trabajo es posible haciendo clic en la miniatura requerida. También puede utilizar la combinación de teclas Ctrl+Alt+flecha abajo/arriba para cambiar de espacio de trabajo. El contenido del espacio de trabajo activo se muestra en la parte izquierda de la barra inferior en forma de window list.

DRM rebasado a la versión 5.1 del kernel de Linux

El subsistema gráfico del kernel Direct Rendering Manager (DRM) ha sido reajustado a la versión 5.1 del kernel de Linux, que proporciona una serie de correcciones de errores y mejoras con respecto a la versión anterior. Las más notables son:

Compatibilidad con las tarjetas gráficas AMD Picasso

Esta actualización introduce el controlador gráfico amdgpu. Como resultado, las tarjetas gráficas AMD Picasso son ahora totalmente compatibles con RHEL 8.

Activación y desactivación de SMT

La configuración de Multi-Threading Simultáneo (SMT) está ahora disponible en RHEL 8. Desactivar SMT en la consola web permite mitigar una clase de vulnerabilidades de seguridad de la CPU como:

Añadir un cuadro de búsqueda en la página de Servicios

La página de Servicios tiene ahora un cuadro de búsqueda para filtrar los servicios por:

Añadir soporte para las zonas de cortafuegos

La configuración del cortafuegos en la página Networking ahora es compatible:

Añadir mejoras a la configuración de las máquinas virtuales

Con esta actualización, la consola web de RHEL 8 incluye muchas mejoras en la página de Máquinas Virtuales. Ahora puede:

Se ha añadido un nuevo rol de almacenamiento a los roles de sistema de RHEL

El rol de almacenamiento se ha añadido a los roles de sistema de RHEL proporcionados por el paquete rhel-system-roles. El rol de almacenamiento puede utilizarse para gestionar el almacenamiento local mediante Ansible.

WALinuxAgent rebasado a la versión 2.2.38

El paquete WALinuxAgent se ha actualizado a la versión 2.2.38, que proporciona una serie de correcciones de errores y mejoras con respecto a la versión anterior.

Windows encuentra automáticamente los controladores virtio-win necesarios

Ahora Windows puede encontrar automáticamente los controladores virtio-win que necesita desde la ISO de controladores sin que el usuario tenga que seleccionar la carpeta en la que se encuentran.

KVM admite la paginación de 5 niveles

Con Red Hat Enterprise Linux 8, la virtualización KVM soporta la función de paginación de 5 niveles. En determinadas CPUs anfitrionas, esto aumenta significativamente el espacio de direcciones físicas y virtuales que los sistemas anfitrión y huésped pueden utilizar.

Ahora se puede compartir la tarjeta inteligente en los huéspedes de Windows con los controladores ActivClient

Esta actualización añade compatibilidad con el uso compartido de tarjetas inteligentes en máquinas virtuales (VM) que utilizan un sistema operativo invitado Windows y controladores ActivClient. Esto permite la autenticación con tarjeta inteligente para los inicios de sesión de los usuarios utilizando tarjetas inteligentes emuladas o compartidas en estas VM.

Se han añadido nuevas opciones para virt-xml

La utilidad virt-xml ahora puede utilizar las siguientes opciones de línea de comandos:

CPUs IBM z14 GA2 compatibles con KVM

Con esta actualización, KVM soporta el modelo de CPU IBM z14 GA2. Esto permite crear máquinas virtuales en hosts IBM z14 GA2 que utilizan RHEL 8 como sistema operativo anfitrión con una CPU IBM z14 GA2 en el invitado.

Nvidia NVLink2 ya es compatible con las máquinas virtuales en IBM POWER9

Las VGPUs de Nvidia que soportan la función NVLink2 ahora pueden ser asignadas a máquinas virtuales (VMs) que se ejecutan en un host RHEL 8 en un sistema IBM POWER9. Esto hace posible que estas VMs utilicen todo el potencial de rendimiento de NVLink2.

El uso de los parámetros de arranque del kernel version o inst.version ya no detiene el programa de instalación

Anteriormente, al arrancar el programa de instalación desde la línea de comandos del kernel utilizando los parámetros de arranque version o inst.version se imprimía la versión, por ejemplo anaconda 30.25.6, y se detenía el programa de instalación.

Los controladores de vídeo xorg-x11-drv-fbdev, xorg-x11-drv-vesa y xorg-x11-drv-vmware se instalan ahora por defecto

Anteriormente, las estaciones de trabajo con modelos específicos de tarjetas gráficas NVIDIA y las estaciones de trabajo con unidades de procesamiento acelerado AMD específicas no mostraban la ventana gráfica de inicio de sesión después de una instalación de RHEL 8.0 Server. Este problema también afectaba a las máquinas virtuales que dependen de EFI para el soporte gráfico, como Hyper-V. Con esta actualización, los controladores de vídeo xorg-x11-drv-fbdev, xorg-x11-drv-vesa y xorg-x11-drv-vmware se instalan de forma predeterminada y la ventana de inicio de sesión gráfica se muestra después de una instalación de RHEL 8.0 Server y posterior.

El modo de rescate ya no falla sin mostrar un mensaje de error

Anteriormente, si se ejecutaba el modo de rescate en un sistema sin particiones Linux, el programa de instalación fallaba con una excepción. Con esta actualización, el programa de instalación muestra el mensaje de error "No tiene ninguna partición de Linux" cuando se detecta un sistema sin particiones de Linux.

El programa de instalación ahora establece la bandera lvm_metadata_backup Blivet para las instalaciones de imágenes

Anteriormente, el programa de instalación no establecía la bandera Blivet lvm_metadata_backup para las instalaciones de imágenes. Como consecuencia, los archivos de copia de seguridad de LVM se encontraban en el subdirectorio /etc/lvm/ después de una instalación de imagen. Con esta actualización, el programa de instalación establece la bandera lvm_metadata_backup Blivet, y como resultado, no hay archivos de copia de seguridad LVM ubicados en el subdirectorio /etc/lvm/ después de una instalación de imagen.

El programa de instalación de RHEL 8 ahora maneja cadenas de RPM

Anteriormente, cuando la biblioteca python3-rpm devolvía una cadena, el programa de instalación fallaba con una excepción. Con esta actualización, el programa de instalación ahora puede manejar cadenas de RPM.

El parámetro de arranque del kernel inst.repo ahora funciona para un repositorio en un disco duro que tiene una ruta no raíz

Anteriormente, el proceso de instalación de RHEL 8 no podía continuar sin intervención manual si el inst.repo=hd:

La opción --changesok permite ahora que el programa de instalación cambie la contraseña de root

Anteriormente, el uso de la opción --changesok al instalar Red Hat Enterprise Linux 8 desde un archivo Kickstart no permitía que el programa de instalación cambiara la contraseña de root. Con esta actualización, la opción --changesok es pasada con éxito por Kickstart, y como resultado, los usuarios que especifican la opción pwpolicy root -changesok en su archivo Kickstart pueden ahora cambiar la contraseña de root usando la GUI, incluso si la contraseña ya ha sido establecida por Kickstart.

La construcción de imágenes ya no falla cuando se utiliza la API de lorax-composer

Anteriormente, cuando se utilizaba la API de lorax-composer desde un sistema RHEL suscrito, el proceso de construcción de imágenes siempre fallaba. Anaconda no podía acceder a los repositorios, porque los certificados de suscripción del host no se transmiten. Para solucionar el problema actualice los paquetes lorax-composer, pykickstart y Anaconda. Eso permitirá pasar los certificados CDN soportados.

systemd en modo de depuración ya no produce mensajes de registro innecesarios

Al utilizar el sistema systemd y el gestor de servicios en modo de depuración, systemd producía anteriormente mensajes de registro innecesarios e inofensivos que comenzaban con:

fapolicyd ya no impide las actualizaciones de RHEL

Cuando una actualización sustituye el binario de una aplicación en ejecución, el kernel modifica la ruta del binario de la aplicación en la memoria añadiendo el sufijo " (eliminado)". Anteriormente, el demonio de la política de acceso a archivos fapolicyd trataba dichas aplicaciones como no confiables, y les impedía abrir y ejecutar cualquier otro archivo. Como consecuencia, el sistema a veces no podía arrancar después de aplicar las actualizaciones.

SELinux ya no impide que Tomcat envíe correos electrónicos

Antes de esta actualización, la política de SELinux no permitía que los dominios tomcat_t y pki_tomcat_t se conectaran a los puertos SMTP. En consecuencia, SELinux denegaba a las aplicaciones del servidor Tomcat el envío de correos electrónicos. Con esta actualización de los paquetes selinux-policy, la política permite que los procesos de los dominios Tomcat accedan a los puertos SMTP, y SELinux ya no impide que las aplicaciones en Tomcat envíen correos electrónicos.

lockdev ahora se ejecuta correctamente con SELinux

Anteriormente, la herramienta lockdev no podía pasar al contexto lockdev_t aunque la política SELinux para lockdev_t estaba definida. Como consecuencia, lockdev podía ejecutarse en el dominio 'unconfined_t' cuando era utilizado por el usuario root. Esto introducía vulnerabilidades en el sistema. Con esta actualización, la transición a lockdev_t ha sido definida, y ahora lockdev puede ser utilizado correctamente con SELinux en modo de refuerzo.

iotop ahora funciona correctamente con SELinux

Anteriormente, la herramienta iotop no podía pasar al contexto iotop_t aunque la política SELinux para iotop_t estaba definida. Como consecuencia, iotop podía ejecutarse en el dominio 'unconfined_t' cuando era utilizado por el usuario root. Esto introducía vulnerabilidades en el sistema. Con esta actualización, la transición a iotop_t ha sido definida, y ahora iotop puede ser utilizado correctamente con SELinux en modo enforcing.

SELinux ahora maneja correctamente NFS 'crossmnt'

El protocolo NFS con la opción crossmnt crea automáticamente montajes internos cuando un proceso accede a un subdirectorio ya utilizado como punto de montaje en el servidor. Anteriormente, esto provocaba que SELinux comprobara si el proceso que accedía a un directorio montado en NFS tenía permiso de montaje, lo que provocaba denegaciones de AVC. En la versión actual, la comprobación de permisos de SELinux omite estos montajes internos. Como resultado, el acceso a un directorio NFS que está montado en el lado del servidor no requiere permiso de montaje.

La recarga de la política de SELinux ya no provoca falsos errores ENOMEM

La recarga de la política de SELinux provocaba anteriormente que la tabla interna de búsqueda de contextos de seguridad no respondiera. En consecuencia, cuando el kernel encontraba un nuevo contexto de seguridad durante la recarga de la política, la operación fallaba con un falso error "Out of memory" (ENOMEM). Con esta actualización, la tabla de búsqueda del Identificador de Seguridad (SID) interno ha sido rediseñada y ya no se congela. Como resultado, el kernel ya no devuelve errores ENOMEM engañosos durante la recarga de la política de SELinux.

Los dominios no confinados pueden ahora utilizar smc_socket

Anteriormente, la política de SELinux no tenía las reglas de permiso para la clase smc_socket. En consecuencia, SELinux bloqueaba el acceso a smc_socket para los dominios no confinados. Con esta actualización, se han añadido las reglas de permiso a la política de SELinux. Como resultado, los dominios no confinados pueden utilizar smc_socket.

Los procedimientos de limpieza de Kerberos son ahora compatibles con GSSAPIDelegateCredentials y la caché por defecto de krb5.conf

Anteriormente, cuando se configuraba la opción default_ccache_name en el archivo krb5.conf, las credenciales de kerberos no se limpiaban con las opciones GSSAPIDelegateCredentials y GSSAPICleanupCredentials configuradas. Este error se ha corregido actualizando el código fuente para limpiar la caché de credenciales en los casos de uso descritos. Tras la configuración, la caché de credenciales se limpia al salir si el usuario la configura.

OpenSSH ahora maneja correctamente las URI PKCS #11 para claves con etiquetas que no coinciden

Anteriormente, especificar URIs PKCS #11 con la parte del objeto (etiqueta de la clave) podía impedir que OpenSSH encontrara objetos relacionados en PKCS #11. Con esta actualización, la etiqueta se ignora si no se encuentran los objetos coincidentes, y las claves se comparan sólo por sus ID. Como resultado, OpenSSH es ahora capaz de usar claves en tarjetas inteligentes referenciadas usando URIs PKCS #11 completas.

Las conexiones SSH con sistemas alojados en VMware ahora funcionan correctamente

La versión anterior de la suite OpenSSH introdujo un cambio de las banderas de calidad de servicio IP (IPQoS) por defecto en los paquetes SSH, que no era manejado correctamente por la plataforma de virtualización VMware. En consecuencia, no era posible establecer una conexión SSH con sistemas en VMware. El problema ha sido corregido en VMWare Workstation 15, y las conexiones SSH con sistemas alojados en VMware ahora funcionan correctamente.

curve25519-sha256 es ahora soportado por defecto en OpenSSH

Anteriormente, el algoritmo de intercambio de claves SSH curve25519-sha256 no aparecía en las configuraciones de las políticas criptográficas de todo el sistema para el cliente y el servidor OpenSSH, aunque fuera compatible con el nivel de política por defecto. Como consecuencia, si un cliente o un servidor utilizaba curve25519-sha256 y este algoritmo no era compatible con el host, la conexión podía fallar. Esta actualización del paquete crypto-policies corrige el error, y las conexiones SSH ya no fallan en el escenario descrito.

Los playbooks de Ansible para los perfiles OSPP y PCI-DSS ya no salen después de encontrar un fallo

Anteriormente, las correcciones de Ansible para los perfiles del Protocolo de Automatización de Contenidos de Seguridad (OSPP) y del Estándar de Seguridad de Datos de la Industria de las Tarjetas de Pago (PCI-DSS) fallaban debido a un orden incorrecto y a otros errores en las correcciones. Esta actualización corrige el orden y los errores en los playbooks de corrección de Ansible generados, y las correcciones de Ansible ahora funcionan correctamente.

La auditoría transport=KRB5 ahora funciona correctamente

Antes de esta actualización, el modo de transporte KRB5 de Audit no funcionaba correctamente. En consecuencia, el registro remoto de Auditoría utilizando la autenticación de pares Kerberos no funcionaba. Con esta actualización, el problema se ha solucionado, y el registro remoto de Auditoría ahora funciona correctamente en el escenario descrito.

El kernel ahora soporta direcciones MAC de destino en los tipos de conjuntos IP bitmap:ipmac, hash:ipmac y hash:mac

Anteriormente, la implementación del kernel de los tipos de conjuntos IP bitmap:ipmac, hash:ipmac y hash:mac sólo permitía la coincidencia con la dirección MAC de origen, mientras que las direcciones MAC de destino podían especificarse, pero no se comparaban con las entradas del conjunto. Como consecuencia, los administradores podían crear reglas iptables que utilizaban una dirección MAC de destino en uno de estos tipos de conjuntos IP, pero los paquetes que coincidían con la especificación dada no eran realmente clasificados. Con esta actualización, el núcleo compara la dirección MAC de destino y devuelve una coincidencia si la clasificación especificada corresponde a la dirección MAC de destino de un paquete. Como resultado, las reglas que hacen coincidir los paquetes con la dirección MAC de destino ahora funcionan correctamente.

La aplicación gnome-control-center ahora soporta la edición de la configuración avanzada de IPsec

Anteriormente, la aplicación gnome-control-center sólo mostraba las opciones avanzadas de las conexiones VPN IPsec. En consecuencia, los usuarios no podían cambiar estas opciones. Con esta actualización, los campos de la configuración avanzada son ahora editables, y los usuarios pueden guardar los cambios.

Se ha actualizado el objetivo TRACE en la página man de iptables-extensions(8)

Anteriormente, la descripción del objetivo TRACE en la página man de iptables-extensions(8) se refería sólo a la variante compat, pero Red Hat Enterprise Linux 8 utiliza la variante nf_tables. Como consecuencia, la página de manual no hacía referencia a la utilidad de línea de comandos xtables-monitor para mostrar los eventos TRACE. La página man ha sido actualizada y, como resultado, ahora menciona xtables-monitor.

Se ha mejorado el registro de errores en el servicio ipset

Anteriormente, el servicio ipset no informaba de los errores de configuración con una gravedad significativa en los registros de systemd. El nivel de gravedad de las entradas de configuración no válidas era sólo informativo, y el servicio no informaba de los errores de una configuración inutilizable. Como consecuencia, era difícil para los administradores identificar y solucionar problemas en la configuración del servicio ipset. Con esta actualización, ipset informa de los problemas de configuración como advertencias en los registros de systemd y, si el servicio no se inicia, registra una entrada con la gravedad del error incluyendo más detalles. Como resultado, ahora es más fácil solucionar problemas en la configuración del servicio ipset.

El servicio ipset ahora ignora las entradas de configuración no válidas durante el arranque

El servicio ipset almacena las configuraciones como conjuntos en archivos separados. Anteriormente, cuando el servicio se iniciaba, restauraba la configuración de todos los conjuntos en una sola operación, sin filtrar las entradas no válidas que se pueden insertar al editar manualmente un conjunto. Como consecuencia, si una sola entrada de configuración no era válida, el servicio no restauraba otros conjuntos no relacionados. El problema se ha solucionado. Como resultado, el servicio ipset detecta y elimina las entradas de configuración no válidas durante la operación de restauración, e ignora las entradas de configuración no válidas.

El comando ipset list informa de la memoria consistente para los tipos de conjuntos hash

Cuando se añaden entradas a un tipo de conjunto hash, la utilidad ipset debe redimensionar la representación en memoria para las nuevas entradas asignando un bloque de memoria adicional. Anteriormente, ipset establecía el tamaño total asignado por conjunto sólo al tamaño del nuevo bloque en lugar de añadir el valor al tamaño actual en memoria. Como consecuencia, el comando ip list informaba de un tamaño de memoria inconsistente. Con esta actualización, ipset calcula correctamente el tamaño en memoria. Como resultado, el comando ipset list muestra ahora el tamaño correcto en memoria del conjunto, y la salida coincide con la memoria real asignada para los tipos de conjuntos hash.

El kernel ahora actualiza correctamente la PMTU al recibir el mensaje ICMPv6 Packet Too Big

En ciertas situaciones, como en el caso de las direcciones de enlace local, más de una ruta puede coincidir con una dirección de origen. Anteriormente, el kernel no comprobaba la interfaz de entrada cuando recibía paquetes del Protocolo de mensajes de control de Internet versión 6 (ICMPv6). Por lo tanto, la búsqueda de rutas podía devolver un destino que no coincidía con la interfaz de entrada. En consecuencia, al recibir un mensaje ICMPv6 Packet Too Big, el kernel podía actualizar la Path Maximum Transmission Unit (PMTU) para una interfaz de entrada diferente. Con esta actualización, el kernel comprueba la interfaz de entrada durante la búsqueda de la ruta. Como resultado, el kernel ahora actualiza el destino correcto basado en la dirección de origen y la PMTU funciona como se espera en el escenario descrito.

Los archivos /etc/hosts.allow y /etc/hosts.deny ya no contienen referencias obsoletas a los tcp_wrapperseliminados

Anteriormente, los archivos /etc/hosts.allow y /etc/hosts.deny contenían información obsoleta sobre el paquete tcp_wrappers. Los archivos se han eliminado en RHEL 8 porque ya no son necesarios para tcp_wrappers, que se ha eliminado.

tpm2-abrmd-selinux ahora tiene una dependencia adecuada de selinux-policy-targeted

Anteriormente, el paquete tpm2-abrmd-selinux dependía del paquete selinux-policy-base en lugar del paquete selinux-policy-targeted. En consecuencia, si un sistema tenía instalado selinux-policy-minimum en lugar de selinux-policy-targeted, la instalación del paquete tpm2-abrmd-selinux fallaba. Esta actualización corrige el error y tpm2-abrmd-selinux puede instalarse correctamente en el escenario descrito.

Se puede acceder a todos los archivos /sys/kernel/debug

Anteriormente, el valor de retorno del error "Operación no permitida" (EPERM) permanecía establecido hasta el final de la función, independientemente del error. En consecuencia, cualquier intento de acceder a ciertos archivos /sys/kernel/debug (debugfs) fallaba con un error EPERM injustificado. Esta actualización mueve el valor de retorno EPERM al siguiente bloque. Como resultado, se puede acceder a los archivos debugfs sin problemas en el escenario descrito.

Los NIC ya no están afectados por un error en el controlador qede para las series 41000 y 45000 FastLinQ

Anteriormente, las operaciones de actualización de firmware y recopilación de datos de depuración fallaban debido a un error en el controlador qede para las series 41000 y 45000 FastLinQ. Esto hizo que la NIC quedara inutilizada. El reinicio (PCI reset) del host hizo que la NIC volviera a estar operativa.

El controlador genérico de EDAC GHES ahora detecta qué DIMM informó de un error

Anteriormente, el controlador EDAC GHES no era capaz de detectar qué DIMM informaba de un error. En consecuencia, aparecía el siguiente mensaje de error:

podman es capaz de comprobar los contenedores en RHEL 8

Anteriormente, la versión del paquete Checkpoint and Restore In Userspace (CRIU) estaba obsoleta. En consecuencia, CRIU no admitía la funcionalidad de comprobación y restauración de contenedores, y la utilidad podman no podía comprobar los contenedores. Cuando se ejecutaba el comando podman container checkpoint, aparecía el siguiente mensaje de error:

early-kdump y kdump estándar ya no fallan si se utiliza la opción add_dracutmodules =earlykdump en dracut.conf

Anteriormente, se producía una incoherencia entre la versión del núcleo que se instalaba para early-kdump y la versión del núcleo para la que se generaba initramfs. Como consecuencia, el arranque fallaba cuando early-kdump estaba activado. Además, si early-kdump detectaba que estaba siendo incluido en una imagen kdump initramfs estándar, forzaba una salida. Por lo tanto, el servicio estándar de kdump también fallaba al intentar reconstruir kdump initramfs si early-kdump se añadía como módulo predeterminado de dracut. Como consecuencia, tanto early-kdump como kdump estándar fallaban. Con esta actualización, early-kdump utiliza el nombre consistente del kernel durante la instalación, sólo la versión difiere del kernel en ejecución. Además, el servicio kdump estándar abandonará forzosamente early-kdump para evitar el fallo en la generación de imágenes. Como resultado, early-kdump y kdump estándar ya no fallan en el escenario descrito.

El primer kernel con SME activado ahora consigue volcar el vmcore

Anteriormente, la memoria encriptada en el primer kernel con la función de encriptación de memoria segura (SME) activa provocaba un fallo en el mecanismo de kdump. En consecuencia, el primer núcleo no podía volcar el contenido (vmcore) de su memoria. Con esta actualización, se ha añadido la función ioremap_encrypted() para reasignar la memoria cifrada y modificar el código relacionado. Como resultado, ahora se accede correctamente a la memoria del primer núcleo encriptado, y el vmcore puede ser volcado y analizado por las herramientas de bloqueo en el escenario descrito.

El primer kernel con SEV habilitado ahora consigue volcar el vmcore

Anteriormente, la memoria encriptada en el primer kernel con la función de virtualización encriptada segura (SEV) activa provocaba un fallo en el mecanismo kdump. En consecuencia, el primer núcleo no podía volcar el contenido (vmcore) de su memoria. Con esta actualización, se ha añadido la función ioremap_encrypted() para reasignar la memoria cifrada y modificar el código relacionado. Como resultado, ahora se accede correctamente a la memoria cifrada del primer kernel, y el vmcore puede ser volcado y analizado por las herramientas de bloqueo en el escenario descrito.

El kernel ahora reserva más espacio para SWIOTLB

Anteriormente, cuando se activaban las funciones de virtualización encriptada segura (SEV) o de cifrado seguro de la memoria (SME) en el kernel, la tecnología SWIOTLB (Software Input Output Translation Lookaside Buffer) tenía que activarse también y consumía una cantidad significativa de memoria. En consecuencia, el kernel de captura no podía arrancar o recibía un error de falta de memoria. Esta actualización corrige el error reservando memoria extra del kernel de captura para SWIOTLB mientras SEV/SME está activo. Como resultado, el kernel de captura tiene más memoria reservada para SWIOTLB y el error ya no aparece en el escenario descrito.

Ahora se pueden desactivar las transiciones de estado C durante las ejecuciones de hwlatdetect

Para lograr un rendimiento en tiempo real, la utilidad hwlatdetect necesita ser capaz de desactivar el ahorro de energía en la CPU durante las ejecuciones de prueba. Esta actualización permite a hwlatdetect desactivar las transiciones de estado C durante la duración de la ejecución de la prueba y hwlatdetect es ahora capaz de detectar las latencias de hardware con mayor precisión.

Ya se puede instalar el paquete openmpi

Anteriormente, un rebase en el paquete opensm cambió su mecanismo de soname. Como consecuencia, el paquete openmpi no podía ser instalado debido a dependencias no resueltas. Esta actualización soluciona el problema. Como resultado, el paquete openmpi puede ser instalado ahora sin ningún problema.

El programa de instalación de RHEL 8 utiliza ahora el ID de entrada para establecer la entrada de arranque por defecto

Anteriormente, el programa de instalación de RHEL 8 utilizaba el índice de la primera entrada de arranque por defecto, en lugar de utilizar el ID de la entrada. Como consecuencia, añadir una nueva entrada de arranque se convertía en el valor predeterminado, ya que se ordenaba primero y se establecía en el primer índice. Con esta actualización, el programa de instalación utiliza el ID de la entrada para establecer la entrada de arranque por defecto, y como resultado, la entrada por defecto no se cambia, incluso si se añaden entradas de arranque y se ordenan antes que la por defecto.

El sistema ahora arranca con éxito cuando se activa SME con smartpqi

Anteriormente, el sistema no arrancaba en ciertas máquinas AMD cuando la función de cifrado de memoria segura (SME) estaba activada y el disco raíz utilizaba el controlador smartpqi.

Los LUNs FCoE no desaparecen después de ser creados en las tarjetas bnx2fc

Anteriormente, tras crear un LUN FCoE en las tarjetas bnx2fc, los LUN FCoE no se conectaban correctamente. Como consecuencia, los LUN FCoE desaparecían después de ser creados en las tarjetas bnx2fc en RHEL 8.0. Con esta actualización, los LUN FCoE se adjuntan correctamente. Como resultado, ahora es posible descubrir los LUNs FCoE después de ser creados en las tarjetas bnx2fc.

Los volúmenes VDO ya no pierden el consejo de deduplicación después de pasar a una plataforma de distinto endiano

Anteriormente, el índice del Servicio de Deduplicación Universal (UDS) perdía todo el consejo de deduplicación después de mover el volumen VDO a una plataforma que utilizaba un endian diferente. Como consecuencia, VDO era incapaz de deduplicar los datos recién escritos contra los datos que estaban almacenados antes de mover el volumen, lo que llevaba a un menor ahorro de espacio.

el serviciokdump funciona en grandes sistemas IBM POWER

Anteriormente, el kernel kdump de RHEL8 no se iniciaba. Como consecuencia, no se creaba el archivo kdump initrd en sistemas IBM POWER de gran tamaño. Con esta actualización, se añade el componente squashfs-tools-4.3-19.el8. Esta actualización añade un límite (128) al número de CPUs que el componente squashfs-tools-4.3-19.el8 puede utilizar del pool disponible (en lugar de utilizar todas las CPUs disponibles). Esto soluciona el error de agotamiento de recursos. Como resultado, el servicio kdump ahora funciona en sistemas IBM POWER de gran tamaño.

Las opciones de depuración de verbosidad ahora se añaden a nfs.conf

Anteriormente, el archivo /etc/nfs.conf y la página man de nfs.conf(5 ) no incluían las siguientes opciones:

Socket::inet_aton() ahora puede ser utilizado desde múltiples hilos de forma segura

Anteriormente, la función Socket::inet_aton(), utilizada para resolver un nombre de dominio desde múltiples hilos de Perl, llamaba a la función glibc no segura gethostbyname(). En consecuencia, ocasionalmente se devolvía una dirección IPv4 incorrecta, o el intérprete de Perl terminaba inesperadamente. Con esta actualización, la implementación de Socket::inet_aton() ha sido cambiada para usar la función glibc getaddrinfo(), segura para los hilos, en lugar de gethostbyname(). Como resultado, la función inet_aton () del módulo Perl Socket puede ser usada desde múltiples hilos de forma segura.

gettext devuelve el texto no traducido incluso cuando se agota la memoria

Anteriormente, la función gettext( ) para la localización de texto devolvía el valor NULL en lugar de texto cuando se quedaba sin memoria, lo que provocaba que las aplicaciones carecieran de salida de texto o etiquetas. El error se ha corregido y ahora, gettext( ) - devuelve el texto sin traducir cuando se queda sin memoria como se esperaba.

El comando locale ahora advierte sobre el establecimiento de LOCPATH cada vez que encuentra un error durante la ejecución

Anteriormente, el comando locale no proporcionaba ningún diagnóstico para la variable de entorno LOCPATH cuando encontraba errores debido a un LOCPATH no válido. Ahora el comando locale está configurado para advertir que LOCPATH ha sido configurado cada vez que encuentra un error durante la ejecución. Como resultado, locale ahora informa de LOCPATH junto con cualquier error subyacente que encuentre.

gdb ahora puede leer y representar correctamente los registros z en los archivos del núcleo en aarch64 SVE

Anteriormente, el componente gdb no podía leer los registros z de los archivos de núcleo con arquitectura aarch64 scalable vector extension (SVE). Con esta actualización, el componente gdb es ahora capaz de leer los registros z de los archivos de núcleo. Como resultado, el comando info register muestra con éxito el contenido de los registros z.

GCC rebasado a la versión 8.3.1

La Colección de Compiladores de GNU (GCC) ha sido actualizada a la versión 8.3.1. Esta versión aporta un gran número de correcciones de errores diversos.

FreeRADIUS ahora resuelve nombres de host que apuntan a direcciones IPv6

En versiones anteriores de RHEL 8 de FreeRADIUS, la utilidad ipaddr sólo soportaba direcciones IPv4. En consecuencia, para que el demonio radiusd resolviera las direcciones IPv6, se requería una actualización manual de la configuración después de una actualización del sistema de RHEL 7 a RHEL 8. Esta actualización corrige el código subyacente, e ipaddr en FreeRADIUS ahora también utiliza direcciones IPv6.

El servicio Nuxwdog ya no falla al iniciar el servidor PKI en entornos HSM

Anteriormente, debido a errores, el paquete keyutils no se instalaba como dependencia del paquete pki-core. Además, el servicio Nuxwdog watchdog fallaba al iniciar el servidor de la infraestructura de clave pública (PKI) en entornos que utilizan un módulo de seguridad de hardware (HSM). Estos problemas se han solucionado. Como resultado, el paquete keyutils requerido se instala ahora automáticamente como una dependencia, y Nuxwdog inicia el servidor PKI como se espera en entornos con HSM.

El servidor IdM ahora funciona correctamente en el modo FIPS

Anteriormente, el conector SSL para el servidor Tomcat estaba implementado de forma incompleta. Como consecuencia, el servidor de gestión de identidades (IdM) con un servidor de certificados instalado no funcionaba en máquinas con el modo FIPS activado. Este error se ha corregido añadiendo JSSTrustManager y JSSKeyManager. Como resultado, el servidor IdM funciona correctamente en el escenario descrito.

La caché de credenciales KCM es ahora adecuada para un gran número de credenciales en una sola caché de credenciales

Anteriormente, si el gestor de credenciales de Kerberos (KCM) contenía un gran número de credenciales, las operaciones de Kerberos, como kinit, fallaban debido a una limitación del tamaño de las entradas en la base de datos y del número de estas entradas.

Samba ya no deniega el acceso cuando se utiliza el complemento de asignación de ID sss

Anteriormente, cuando se ejecutaba Samba en el miembro del dominio con esta configuración y se añadía una configuración que utilizaba el back-end de mapeo de ID de sss en el archivo /etc/samba/smb.conf para compartir directorios, los cambios en el back-end de mapeo de ID provocaban errores. En consecuencia, Samba denegaba el acceso a los archivos en ciertos casos, incluso si el usuario o grupo existía y era conocido por SSSD. El problema se ha solucionado. Como resultado, Samba ya no niega el acceso cuando se utiliza el complemento sss.

Los valores de tiempo de espera de SSSD por defecto ya no entran en conflicto

Anteriormente, había un conflicto entre los valores de tiempo de espera por defecto. Se han cambiado los valores por defecto de las siguientes opciones para mejorar la capacidad de conmutación por error:

systemctl isolate multi-user.target ahora muestra el prompt de la consola

Cuando se ejecutaba el comando systemctl isolate multi-user.target desde la Terminal de GNOME en una sesión del Escritorio GNOME, sólo se mostraba un cursor y no el prompt de la consola. Esta actualización corrige gdm, y el prompt de la consola se muestra ahora como se espera en la situación descrita.

El controlador de pantalla 'i915' soporta ahora configuraciones de pantalla de hasta 3×4K.

Anteriormente, no era posible tener configuraciones de pantalla superiores a 2×4K cuando se utilizaba el controlador de pantalla 'i915' en una sesión de Xorg. Con esta actualización, el controlador 'i915' admite ahora configuraciones de pantalla de hasta 3×4K.

Los huéspedes de Linux ya no muestran un error al inicializar el controlador de la GPU

Anteriormente, los huéspedes de Linux devolvían una advertencia al inicializar el controlador de la GPU. Esto sucedía porque la tecnología de virtualización de gráficos de Intel -g (GVT -g) sólo simula la interfaz DisplayPort (DP) para el huésped y deja los registros 'EDP_PSR_IMR' y 'EDP_PSR_IIR' como registros predeterminados de lectura/escritura de E/S con mapa de memoria (MMIO). Para resolver este problema, se han añadido manejadores a estos registros y ya no se devuelve la advertencia.

Es posible acceder a la consola web de RHEL con session_recording shell

Anteriormente, no era posible que los usuarios del shell tlog (que permite la grabación de sesiones) iniciaran sesión en la consola web de RHEL. Esta actualización corrige el error. La solución anterior de añadir el shell tlog-rec-session a /etc/shells/ debería revertirse después de instalar esta actualización.

La conexión en caliente de dispositivos PCI a un controlador de puente pcie-a-pci funciona correctamente

Anteriormente, si la configuración de una máquina virtual invitada contenía un controlador pcie-a-puente pci que no tenía dispositivos finales conectados a él en el momento en que se iniciaba el invitado, no era posible conectar en caliente nuevos dispositivos a ese controlador. Esta actualización mejora la forma en que se gestiona la conexión en caliente de dispositivos PCI heredados en un sistema PCIe, lo que evita que se produzca el problema.

La activación de la virtualización anidada ya no bloquea la migración en vivo

Anteriormente, la función de virtualización anidada era incompatible con la migración en vivo. Como consecuencia, la activación de la virtualización anidada en un host RHEL 8 impedía migrar cualquier máquina virtual (VM) del host, así como guardar instantáneas del estado de la VM en el disco. Esta actualización corrige el problema descrito, y ahora es posible migrar las máquinas virtuales afectadas.

redhat-support-tool ahora crea un archivo sosreport

Anteriormente, la utilidad redhat-support-tool no podía crear un archivo sosreport. La solución consistía en ejecutar el comando sosreport por separado y luego introducir el comando redhat-support-tool addattachment -c para cargar el archivo. Los usuarios también pueden utilizar la interfaz de usuario web en el portal de clientes, que crea el caso del cliente y carga el archivo sosreport.

El TIPC tiene pleno apoyo

La Comunicación Transparente entre Procesos(TIPC) es un protocolo especialmente diseñado para la comunicación eficiente dentro de clusters de nodos poco emparejados. Funciona como un módulo del núcleo y proporciona una herramienta tipc en el paquete iproute2 para permitir a los diseñadores crear aplicaciones que puedan comunicarse de forma rápida y fiable con otras aplicaciones, independientemente de su ubicación dentro del clúster. Esta característica es ahora totalmente compatible con RHEL 8.

eBPF para tc disponible como Technology Preview

Como avance tecnológico, el subsistema del kernel de control del tráfico (tc) y la herramienta tc pueden adjuntar programas de filtrado de paquetes de Berkeley (eBPF) ampliados como clasificadores de paquetes y acciones para las disciplinas de colas de entrada y salida. Esto permite el procesamiento programable de paquetes dentro de la ruta de datos de la red del núcleo.

nmstate está disponible como una muestra de tecnología

Nmstate es una API de red para hosts. Los paquetes nmstate, disponibles como Technology Preview, proporcionan una biblioteca y la utilidad de línea de comandos nmstatectl para gestionar la configuración de red de los hosts de forma declarativa. El estado de la red se describe mediante un esquema predefinido. Los informes sobre el estado actual y los cambios al estado deseado se ajustan al esquema.

AF_XDP está disponible como Muestra de Tecnología

El socketAddress Family eXpress Data Path(AF_XDP) está diseñado para el procesamiento de paquetes de alto rendimiento. Acompaña a XDP y garantiza una redirección eficaz de los paquetes seleccionados mediante programación a las aplicaciones del espacio de usuario para su posterior procesamiento.

XDP disponible como Muestra de Tecnología

La función eXpress Data Path (XDP), que está disponible como Technology Preview, ofrece un medio para adjuntar programas de Berkeley Packet Filter (eBPF) ampliados para el procesamiento de paquetes de alto rendimiento en un punto temprano de la ruta de datos de entrada del núcleo, lo que permite un análisis, filtrado y manipulación de paquetes programables y eficientes.

KTLS está disponible como avance tecnológico

En Red Hat Enterprise Linux 8, la Seguridad de la Capa de Transporte del Kernel (KTLS) se proporciona como una Muestra de Tecnología. KTLS maneja los registros TLS utilizando los algoritmos de cifrado o descifrado simétrico en el kernel para el cifrado AES-GCM. KTLS también proporciona la interfaz para descargar el cifrado de registros TLS a los controladores de interfaz de red (NIC) que soportan esta funcionalidad.

El servicio systemd-resolved ya está disponible como Technology Preview

El servicio systemd-resolved proporciona resolución de nombres a las aplicaciones locales. El servicio implementa un resolvedor de stub DNS de caché y validación, un resolvedor de nombres Link-Local Multicast (LLMNR), y un resolvedor y respondedor de DNS Multicast.

Control Group v2 disponible como Technology Preview en RHEL 8

el mecanismoControl Group v2 es un grupo de control jerárquico unificado. Control Group v2 organiza los procesos jerárquicamente y distribuye los recursos del sistema a lo largo de la jerarquía de forma controlada y configurable.

kexec fast reboot como Technology Preview

La función de reinicio rápido de kexec, sigue estando disponible como Muestra de Tecnología. El reinicio es ahora significativamente más rápido gracias al reinicio rápido de kexec. Para utilizar esta función, cargue el kernel de kexec manualmente y, a continuación, reinicie el sistema operativo.

eBPF disponible como Muestra de Tecnología

Extended Berkeley Packet Filter (eBPF) es una máquina virtual dentro del núcleo que permite la ejecución de código en el espacio del núcleo, en el entorno restringido de la caja de arena con acceso a un conjunto limitado de funciones.

El controlador igc está disponible como Technology Preview para RHEL 8

El controlador de LAN cableada Intel 2.5G Ethernet Linux de igc ya está disponible en todas las arquitecturas para RHEL 8 como Technology Preview. La utilidad ethtool también es compatible con las LAN cableadas igc.

NVMe/TCP está disponible como una Muestra de Tecnología

El acceso y la compartición del almacenamiento Nonvolatile Memory Express (NVMe) a través de redes TCP/IP (NVMe/TCP) y sus correspondientes módulos del núcleo nvme-tcp.ko y nvmet-tcp.ko se han añadido como Technology Preview.

El sistema de archivos DAX ya está disponible para ext4 y XFS como Technology Preview

En Red Hat Enterprise Linux 8.1, el sistema de archivos DAX está disponible como una Muestra de Tecnología. DAX proporciona un medio para que una aplicación mapee directamente la memoria persistente en su espacio de direcciones. Para usar DAX, un sistema debe tener alguna forma de memoria persistente disponible, usualmente en la forma de uno o más módulos de memoria dual en línea no volátil (NVDIMMs), y un sistema de archivos que soporte DAX debe ser creado en los NVDIMMs. Además, el sistema de archivos debe ser montado con la opción de montaje dax. Entonces, un mmap de un archivo en el sistema de archivos montado en dax resulta en un mapeo directo del almacenamiento en el espacio de direcciones de la aplicación.

OverlayFS

OverlayFS es un tipo de sistema de archivos de unión. Permite superponer un sistema de archivos sobre otro. Los cambios se registran en el sistema de archivos superior, mientras que el sistema de archivos inferior permanece sin modificar. Esto permite que varios usuarios compartan una imagen del sistema de archivos, como un contenedor o un DVD-ROM, donde la imagen base está en un medio de sólo lectura. Consulte la documentación del núcleo de Linux para obtener información adicional: https://www.kernel.org/doc/Documentation/filesystems/overlayfs.txt.

Stratis ya está disponible como Muestra de Tecnología

Stratis es un nuevo gestor de almacenamiento local. Proporciona sistemas de archivos gestionados sobre pools de almacenamiento con características adicionales para el usuario.

Un servidor Samba, disponible para los usuarios de IdM y AD que hayan iniciado sesión en los hosts de IdM, puede ahora configurarse en un miembro del dominio de IdM como Technology Preview

Con esta actualización, ahora se puede configurar un servidor Samba en un miembro del dominio de Gestión de Identidades (IdM). La nueva utilidad ipa-client-samba proporcionada por el paquete del mismo nombre añade un principal de servicio Kerberos específico de Samba a IdM y prepara el cliente IdM. Por ejemplo, la utilidad crea el archivo /etc/samba/smb.conf con la configuración de mapeo de ID para el back end de mapeo de ID sss. Como resultado, los administradores pueden ahora configurar Samba en un miembro del dominio IdM.

Paquetes de Podman de Marcapasos disponibles como Muestra de Tecnología

Los paquetes de contenedores de Pacemaker ahora se ejecutan en la plataforma de contenedores podman, y la función de paquetes de contenedores está disponible como Technology Preview. Hay una excepción a que esta característica sea Technology Preview: Red Hat soporta completamente el uso de paquetes Pacemaker para Red Hat Openstack.

Heurística en corosync-qdevice disponible como Technology Preview

La heurística es un conjunto de comandos que se ejecutan localmente en el arranque, en el cambio de pertenencia al clúster, en la conexión exitosa a corosync-qnetd y, opcionalmente, de forma periódica. Cuando todos los comandos terminan con éxito a tiempo (su código de error de retorno es cero), la heurística ha pasado; de lo contrario, ha fallado. El resultado de la heurística se envía a corosync-qnetd, donde se utiliza en los cálculos para determinar qué partición debe tener quórum.

Nuevo agente de valla-heurística-ping

Como muestra de tecnología, Pacemaker soporta ahora el agente fence_heuristics_ping. Este agente pretende abrir una clase de agentes de vallas experimentales que no hacen vallas reales por sí mismos, sino que explotan el comportamiento de los niveles de vallas de una manera nueva.

La API JSON-RPC de gestión de identidades está disponible como Technology Preview

Hay una API disponible para la gestión de identidades (IdM). Para ver la API, IdM también proporciona un navegador de API como Technology Preview.

DNSSEC disponible como Technology Preview en IdM

Los servidores de gestión de identidades (IdM) con DNS integrado son ahora compatibles con las extensiones de seguridad de DNS (DNSSEC), un conjunto de extensiones de DNS que mejoran la seguridad del protocolo DNS. Las zonas DNS alojadas en los servidores IdM pueden firmarse automáticamente utilizando DNSSEC. Las claves criptográficas se generan y rotan automáticamente.

La consola remota VNC está disponible como Technology Preview para la arquitectura ARM de 64 bits

En la arquitectura ARM de 64 bits, la consola remota de Virtual Network Computing (VNC) está disponible como Technology Preview. Tenga en cuenta que el resto de la pila de gráficos no está actualmente verificada para la arquitectura ARM de 64 bits.

El rol postfix de RHEL System Roles disponible como Technology Preview

Red Hat Enterprise Linux System Roles proporciona una interfaz de configuración para los subsistemas de Red Hat Enterprise Linux, que facilita la configuración del sistema mediante la inclusión de Ansible Roles. Esta interfaz permite gestionar las configuraciones del sistema en varias versiones de Red Hat Enterprise Linux, así como adoptar nuevas versiones principales.

rhel-system-roles-sap disponible como Technology Preview

El paquete rhel-system-roles-sap proporciona roles de sistema de Red Hat Enterprise Linux (RHEL) para SAP, que pueden utilizarse para automatizar la configuración de un sistema RHEL para ejecutar cargas de trabajo SAP. Estos roles reducen en gran medida el tiempo de configuración de un sistema para ejecutar cargas de trabajo SAP, aplicando automáticamente los ajustes óptimos que se basan en las mejores prácticas descritas en las Notas SAP pertinentes. El acceso está limitado a las ofertas de RHEL for SAP Solutions. Póngase en contacto con el Servicio de Atención al Cliente de Red Hat si necesita ayuda con su suscripción.

rhel-system-roles-sap rebasado a la versión 1.1.1

Con el aviso RHBA-2019:4258, el paquete rhel-system-roles-sap se ha actualizado para proporcionar múltiples correcciones de errores. En particular:

Algunos adaptadores de red de Intel ahora son compatibles con SR-IOV en huéspedes RHEL en Hyper-V

Como Muestra de Tecnología, los sistemas operativos huéspedes de Red Hat Enterprise Linux que se ejecutan en un hipervisor Hyper-V pueden ahora utilizar la función de virtualización de E/S de raíz única (SR-IOV) para los adaptadores de red Intel soportados por los controladores ixgbevf e iavf. Esta función se habilita cuando se cumplen las siguientes condiciones:

La virtualización KVM se puede utilizar en las máquinas virtuales Hyper-V de RHEL 8

Como Technology Preview, la virtualización KVM anidada ahora puede utilizarse en el hipervisor Microsoft Hyper-V. Como resultado, puede crear máquinas virtuales en un sistema invitado RHEL 8 que se ejecuta en un host Hyper-V.

AMD SEV para máquinas virtuales KVM

Como muestra de tecnología, RHEL 8 introduce la función de virtualización cifrada segura (SEV) para las máquinas host AMD EPYC que utilizan el hipervisor KVM. Si se activa en una máquina virtual (VM), SEV cifra la memoria de la VM para que el host no pueda acceder a los datos de la VM. Esto aumenta la seguridad de la VM si el host es infectado con éxito por el malware.

Intel vGPU

Como Technology Preview, ahora es posible dividir un dispositivo físico de GPU Intel en múltiples dispositivos virtuales denominados dispositivos mediados. Estos dispositivos mediados pueden ser asignados a múltiples máquinas virtuales (VM) como GPUs virtuales. Como resultado, estas máquinas virtuales comparten el rendimiento de una sola GPU Intel física.

La virtualización anidada ya está disponible en IBM POWER 9

Como Technology Preview, ahora es posible utilizar las funciones de virtualización anidada en las máquinas host de RHEL 8 que se ejecutan en sistemas IBM POWER 9. La virtualización anidada permite que las máquinas virtuales (VM) KVM actúen como hipervisores, lo que permite ejecutar VMs dentro de VMs.

Creación de máquinas virtuales anidadas

Como Technology Preview, la virtualización anidada está disponible para las máquinas virtuales (VM) KVM en RHEL 8. Con esta función, una VM que se ejecuta en un host físico puede actuar como hipervisor y alojar sus propias VM.

Varios comandos y opciones de Kickstart han quedado obsoletos

El uso de los siguientes comandos y opciones en los archivos Kickstart de RHEL 8 imprimirá una advertencia en los registros.

La opción --interactive del comando ignoredisk Kickstart ha quedado obsoleta

El uso de la opción --interactive en futuras versiones de Red Hat Enterprise Linux resultará en un error de instalación fatal. Se recomienda que modifique su archivo Kickstart para eliminar la opción.

El comando rpmbuild --sign ha quedado obsoleto

Con esta actualización, el comando rpmbuild --sign ha quedado obsoleto. El uso de este comando en futuras versiones de Red Hat Enterprise Linux puede resultar en un error. Se recomienda utilizar el comando rpmsign en su lugar.

TLS 1.0 y TLS 1.1 están obsoletos

Los protocolos TLS 1.0 y TLS 1.1 están desactivados en el nivel de política criptográfica de todo el sistema DEFAULT. Si su escenario, por ejemplo, una aplicación de videoconferencia en el navegador web Firefox, requiere el uso de los protocolos obsoletos, cambie la política criptográfica de todo el sistema al nivel LEGACY:

DSA está obsoleto en RHEL 8

El Algoritmo de Firma Digital (DSA) se considera obsoleto en Red Hat Enterprise Linux 8. Los mecanismos de autenticación que dependen de claves DSA no funcionan en la configuración por defecto. Tenga en cuenta que los clientes OpenSSH no aceptan claves de host DSA incluso en el nivel de política criptográfica de todo el sistema LEGACY.

SSL2 Client Hello ha quedado obsoleto en NSS

El protocolo Transport Layer Security(TLS) versión 1.2 y anteriores permiten iniciar una negociación con un mensaje Client Hello formateado de manera compatible con el protocolo Secure Sockets Layer(SSL) versión 2. La compatibilidad con esta función en la biblioteca de servicios de seguridad de la red(NSS) ha quedado obsoleta y está desactivada por defecto.

El TPM 1.2 está obsoleto

La versión estándar del criptoprocesador seguro Trusted Platform Module (TPM) se actualizó a la versión 2.0 en 2016. El TPM 2.0 ofrece muchas mejoras con respecto al TPM 1.2, y no es compatible con la versión anterior. El TPM 1.2 está obsoleto en RHEL 8, y es posible que se elimine en la próxima versión principal.

Los scripts de red están obsoletos en RHEL 8

Los scripts de red están obsoletos en Red Hat Enterprise Linux 8 y ya no se proporcionan por defecto. La instalación básica proporciona una nueva versión de los scripts ifup e ifdown que llaman al servicio NetworkManager a través de la herramienta nmcli. En Red Hat Enterprise Linux 8, para ejecutar los scripts ifup e ifdown, NetworkManager debe estar ejecutándose.

El arranque sin disco ha quedado obsoleto

El arranque sin disco permite que varios sistemas compartan un sistema de archivos raíz a través de la red. Aunque es conveniente, es propenso a introducir latencia de red en cargas de trabajo en tiempo real. Con una futura actualización menor de RHEL for Real Time 8, el arranque sin disco dejará de estar soportado.

El controlador qla3xxx está obsoleto

El controlador qla3xxx ha quedado obsoleto en RHEL 8. Es probable que el controlador no sea soportado en futuras versiones importantes de este producto, por lo que no se recomienda para nuevas implantaciones.

Los controladores dl2k, dnet, ethoc y dlci están obsoletos

Los controladores dl2k, dnet, ethoc y dlci han quedado obsoletos en RHEL 8. Es probable que estos controladores no reciban soporte en futuras versiones importantes de este producto, por lo que no se recomiendan para nuevas implantaciones.

El parámetro de la línea de comandos del núcleo del ascensor está obsoleto

El parámetro de línea de comandos del kernel elevador se utilizaba en versiones anteriores de RHEL para establecer el programador de discos para todos los dispositivos. En RHEL 8, el parámetro está obsoleto.

NFSv3 sobre UDP ha sido desactivado

El servidor NFS ya no abre o escucha en un socket del Protocolo de Datagramas de Usuario (UDP) por defecto. Este cambio sólo afecta a la versión 3 de NFS porque la versión 4 requiere el Protocolo de Control de Transmisión (TCP).

La biblioteca libgnome-keyring ha quedado obsoleta

La librería libgnome-keyring ha sido obviada en favor de la librería libsecret, ya que libgnome-keyring no es mantenida por el upstream, y no sigue las políticas criptográficas necesarias para RHEL. La nueva biblioteca libsecret es el reemplazo que sigue los estándares de seguridad necesarios.

Las tarjetas gráficas AGP ya no son compatibles

Las tarjetas gráficas que utilizan el bus Accelerated Graphics Port (AGP) no son compatibles con Red Hat Enterprise Linux 8. Utilice las tarjetas gráficas con bus PCI-Express como reemplazo recomendado.

La consola web ya no admite traducciones incompletas

La consola web de RHEL ya no proporciona traducciones para los idiomas que tienen traducciones disponibles para menos del 50 % de las cadenas traducibles de la consola. Si el navegador solicita la traducción a dicho idioma, la interfaz de usuario estará en inglés.

virt-manager ha quedado obsoleto

La aplicación Virtual Machine Manager, también conocida como virt-manager, ha quedado obsoleta. La consola web de RHEL 8, también conocida como Cockpit, está destinada a convertirse en su reemplazo en una versión posterior. Por lo tanto, se recomienda utilizar la consola web para gestionar la virtualización en una GUI. Tenga en cuenta, sin embargo, que algunas funciones disponibles en virt-manager pueden no estar aún disponibles en la consola web de RHEL 8.

Las instantáneas de las máquinas virtuales no se soportan correctamente en RHEL 8

El mecanismo actual de creación de instantáneas de máquinas virtuales (VM) ha quedado obsoleto, ya que no funciona de forma fiable. En consecuencia, se recomienda no utilizar las instantáneas de VM en RHEL 8.

El tipo de GPU virtual Cirrus VGA ha quedado obsoleto

Con una futura actualización mayor de Red Hat Enterprise Linux, el dispositivo Cirrus VGA GPU ya no será soportado en las máquinas virtuales KVM. Por lo tanto, Red Hat recomienda utilizar los dispositivos stdvga, virtio-vga, o qxl en lugar de Cirrus VGA.

Los comandos Kickstart auth y authconfig requieren el repositorio AppStream

El paquete authselect-compat es necesario para los comandos auth y authconfig Kickstart durante la instalación. Sin este paquete, la instalación falla si se utilizan auth o authconfig. Sin embargo, por diseño, el paquete authselect-compat sólo está disponible en el repositorio de AppStream.

Los comandos reboot --kexec e inst.kexec no proporcionan un estado predecible del sistema

Realizar una instalación de RHEL con el comando reboot --kexec Kickstart o los parámetros de arranque del kernel inst.kexec no proporcionan el mismo estado predecible del sistema que un reinicio completo. Como consecuencia, cambiar al sistema instalado sin reiniciar puede producir resultados impredecibles.

La instalación de Anaconda incluye límites bajos de requisitos de configuración de recursos mínimos

Anaconda inicia la instalación en sistemas con una configuración mínima de recursos disponibles y no proporciona un mensaje previo de advertencia sobre los recursos necesarios para realizar la instalación con éxito. Como resultado, la instalación puede fallar y los errores de salida no proporcionan mensajes claros para una posible depuración y recuperación. Para solucionar este problema, asegúrese de que el sistema dispone de los recursos mínimos necesarios para la instalación: 2GB de memoria en PPC64(LE) y 1GB en x86_64. Como resultado, debería ser posible realizar una instalación exitosa.

La instalación falla al utilizar el comando reboot --kexec

La instalación de RHEL 8 falla cuando se utiliza un archivo Kickstart que contiene el comando reboot --kexec. Para evitar el problema, utilice el comando reboot en lugar de reboot --kexec en su archivo Kickstart.

Soporte de arranque seguro para s390x en el instalador

RHEL 8.1 proporciona soporte para la preparación de discos de arranque para su uso en entornos IBM Z que imponen el uso del arranque seguro. Las capacidades del servidor y del hipervisor utilizados durante la instalación determinan si el formato resultante en el disco contiene soporte de arranque seguro o no. No hay forma de influir en el formato en disco durante la instalación.

La configuración inicial de RHEL 8 no puede realizarse a través de SSH

Actualmente, la interfaz de configuración inicial de RHEL 8 no se muestra cuando se inicia la sesión en el sistema mediante SSH. Como consecuencia, es imposible realizar la configuración inicial en una máquina RHEL 8 gestionada mediante SSH. Para solucionar este problema, realice la configuración inicial en la consola principal del sistema (ttyS0) y, posteriormente, inicie sesión mediante SSH.

El valor por defecto de la opción secure= boot no está configurado como auto

Actualmente, el valor por defecto de la opción secure= boot no está establecido en auto. Como consecuencia, la función de arranque seguro no está disponible porque el valor por defecto actual está desactivado. Para solucionar este problema, establezca manualmente secure=auto en la sección [defaultboot] del archivo /etc/zipl.conf. Como resultado, la función de arranque seguro estará disponible. Para más información, consulte la página man de zipl.conf.

Al copiar el contenido del archivo DVD.iso binario en una partición se omiten los archivos .treeinfo y .discinfo

Durante la instalación local, mientras se copia el contenido del archivo de imagen RHEL 8 Binary DVD.iso a una partición, el * en el comando cp <path>/\* <mounted partition>/dir falla al copiar los archivos .treeinfo y .discinfo. Estos archivos son necesarios para una instalación correcta. Como resultado, los repositorios BaseOS y AppStream no se cargan, y un mensaje de registro relacionado con la depuración en el archivo anaconda.log es el único registro del problema.

El servidor HTTPS autofirmado no se puede utilizar en la instalación de Kickstart

Actualmente, el instalador falla al instalar desde un servidor https autofirmado cuando se especifica el origen de la instalación en el archivo kickstart y se utiliza la opción --noverifyssl:

yum repolist termina en el primer repositorio no disponible con skip_if_unavailable=false

La opción de configuración del repositorio skip_if_unavailable está configurada por defecto como sigue:

los complementos syspurpose no tienen efecto en la salida de subscription-manager attach --auto.

En Red Hat Enterprise Linux 8, se han añadido cuatro atributos de la herramienta de línea de comandos syspurpose: role, usage, service_level_agreement y addons. Actualmente, sólo role, usage y service_level_agreement afectan la salida de la ejecución del comando subscription-manager attach --auto. Los usuarios que intenten establecer valores en el argumento addons no observarán ningún efecto en las suscripciones que se adjuntan automáticamente.

Las aplicaciones que utilizan el protocolo Wayland no pueden ser reenviadas a servidores de visualización remotos

En Red Hat Enterprise Linux 8.1, la mayoría de las aplicaciones utilizan el protocolo Wayland por defecto en lugar del protocolo X11. Como consecuencia, el servidor ssh no puede reenviar las aplicaciones que utilizan el protocolo Wayland pero es capaz de reenviar las aplicaciones que utilizan el protocolo X11 a un servidor de visualización remoto.

systemd-resolved.service no se inicia en el arranque

El servicio systemd-resolved ocasionalmente no se inicia en el arranque. Si esto ocurre, reinicie el servicio manualmente después de que termine el arranque utilizando el siguiente comando:

Soporte para DNSSEC en dnsmasq

El paquete dnsmasq introduce el soporte de las Extensiones de Seguridad del Sistema de Nombres de Dominio (DNSSEC) para verificar la información de los nombres de host recibidos de los servidores raíz.

redhat-support-tool no funciona con la política criptográfica FUTURE

Debido a que una clave criptográfica utilizada por un certificado en la API del Portal del Cliente no cumple los requisitos de la política criptográfica de todo el sistema FUTURE, la utilidad redhat-support-tool no funciona con este nivel de política por el momento. Para solucionar este problema, utilice la política criptográfica DEFAULT al conectarse a la API del Portal de Clientes.

SELINUX=disabled en /etc/selinux/config no funciona correctamente

Desactivar SELinux usando la opción SELINUX=disabled en el archivo /etc/selinux/config resulta en un proceso en el que el kernel arranca con SELinux activado y cambia a modo desactivado más tarde en el proceso de arranque. Esto podría causar fugas de memoria y condiciones de carrera y, en consecuencia, también pánicos en el kernel. Para solucionar este problema, desactive SELinux añadiendo el parámetro selinux=0 a la línea de comandos del kernel, tal y como se describe en la sección Cambio de los modos de SELinux en el arranque del título Uso de SELinux, si su escenario realmente requiere desactivar SELinux por completo.

libselinux-python sólo está disponible a través de su módulo

El paquete libselinux-python sólo contiene bindings de Python 2 para el desarrollo de aplicaciones SELinux y se utiliza por compatibilidad con versiones anteriores. Por esta razón, libselinux-python ya no está disponible en los repositorios por defecto de RHEL 8 a través del comando dnf install libselinux-python.

udica procesa contenedores UBI 8 sólo cuando se inicia con --env container=podman

Los contenedores Red Hat Universal Base Image 8 (UBI 8) establecen la variable de entorno del contenedor con el valor oci en lugar del valor podman. Esto evita que la herramienta udica analice un archivo de notación de objetos JavaScript (JSON) del contenedor.

La eliminación del paquete rpm-plugin-selinux conlleva la eliminación de todos los paquetes selinux-policy del sistema

Eliminar el paquete rpm-plugin-selinux deshabilita SELinux en la máquina. También elimina todos los paquetes selinux-policy del sistema. La instalación repetida del paquete rpm-plugin-selinux instala entonces la política SELinux-policy-minimum, incluso si la política selinux-policy-targeted estaba previamente presente en el sistema. Sin embargo, la instalación repetida no actualiza el archivo de configuración de SELinux para tener en cuenta el cambio de política. Como consecuencia, SELinux está deshabilitado incluso al reinstalar el paquete rpm-plugin-selinux.

SELinux impide que systemd-journal-gatewayd llame a newfstat() en archivos de memoria compartida creados por corosync

La política de SELinux no contiene una regla que permita al demonio systemd-journal-gatewayd acceder a los archivos creados por el servicio corosync. Como consecuencia, SELinux niega a systemd-journal-gatewayd la posibilidad de llamar a la función newfstat() en los archivos de memoria compartida creados por corosync.

Efectos negativos de la configuración de registro por defecto en el rendimiento

La configuración del entorno de registro por defecto puede consumir 4 GB de memoria o incluso más y los ajustes de los valores de límite de velocidad son complejos cuando systemd-journald se ejecuta con rsyslog.

Errores deparámetros no conocidos en la salida de rsyslog con config.enabled

En la salida de rsyslog, se produce un error inesperado en los errores de procesamiento de la configuración utilizando la directiva config.enabled. Como consecuencia, se muestran errores de parámetros no conocidos mientras se utiliza la directiva config . enabled excepto en las sentencias include().

Algunas cadenas de prioridad de rsyslog no funcionan correctamente

La compatibilidad con la cadena de prioridad GnuTLS para imtcp que permite un control detallado de la codificación no es completa. En consecuencia, las siguientes cadenas de prioridad no funcionan correctamente en rsyslog:

Las conexiones a servidores con firmas SHA-1 no funcionan con GnuTLS

Las firmas SHA-1 en los certificados son rechazadas por la biblioteca de comunicaciones seguras GnuTLS como inseguras. En consecuencia, las aplicaciones que utilizan GnuTLS como backend TLS no pueden establecer una conexión TLS con pares que ofrezcan tales certificados. Este comportamiento es inconsistente con otras bibliotecas criptográficas del sistema. Para solucionar este problema, actualice el servidor para utilizar certificados firmados con SHA-256 o un hash más fuerte, o cambie a la política LEGACY.

TLS 1.3 no funciona en NSS en modo FIPS

TLS 1.3 no es compatible con los sistemas que funcionan en modo FIPS. Como resultado, las conexiones que requieren TLS 1.3 para la interoperabilidad no funcionan en un sistema que funciona en modo FIPS.

OpenSSL maneja incorrectamente los tokens PKCS #11 que no admiten firmas RSA o RSA-PSS en bruto

La biblioteca OpenSSL no detecta las capacidades relacionadas con las claves de los tokens PKCS #11. En consecuencia, el establecimiento de una conexión TLS falla cuando se crea una firma con un token que no admite firmas RSA o RSA-PSS en bruto.

La biblioteca TLS de OpenSSL no detecta si el token PKCS#11 admite la creación de firmas RSA sin procesar o RSA-PSS

El protocolo TLS-1.3 requiere el soporte de la firma RSA-PSS. Si el token PKCS#11 no es compatible con las firmas RSA o RSA-PSS en bruto, las aplicaciones de servidor que utilizan la biblioteca TLS de OpenSSL no podrán trabajar con la clave RSA si la tiene el token PKCS#11. Como resultado, la comunicación TLS fallará.

OpenSSL genera una extensión status_request malformada en el mensaje CertificateRequest en TLS 1.3

Los servidores OpenSSL envían una extensión status_request malformada en el mensaje CertificateRequest si el soporte para la extensión status_request y la autenticación basada en el certificado del cliente están activados. En este caso, OpenSSL no interopera con las implementaciones que cumplen con el protocolo RFC 8446. Como resultado, los clientes que verifican correctamente las extensiones en el mensaje 'CertificateRequest' abortan las conexiones con el servidor OpenSSL. Para solucionar este problema, desactive la compatibilidad con el protocolo TLS 1.3 en ambos lados de la conexión o desactive la compatibilidad con status_request en el servidor OpenSSL. Esto evitará que el servidor envíe mensajes malformados.

ssh-keyscan no puede recuperar las claves RSA de los servidores en modo FIPS

El algoritmo SHA-1 está desactivado para las firmas RSA en el modo FIPS, lo que impide que la utilidad ssh-keyscan recupere las claves RSA de los servidores que operan en ese modo.

scap-security-guide PCI-DSS remediación de las normas de auditoría no funciona correctamente

El paquete scap-security-guide contiene una combinación de remediación y una comprobación que puede resultar en uno de los siguientes escenarios:

Algunos conjuntos de reglas interdependientes en SSG pueden fallar

La remediación de las reglas de la Guía de Seguridad SCAP (SSG) en un benchmark puede fallar debido al orden indefinido de las reglas y sus dependencias. Si dos o más reglas deben ejecutarse en un orden determinado, por ejemplo, cuando una regla instala un componente y otra regla configura el mismo componente, pueden ejecutarse en el orden incorrecto y la corrección informa de un error. Para solucionar este problema, ejecute la corrección dos veces, y la segunda ejecución corrige las reglas dependientes.

No se dispone de una utilidad para escanear la seguridad y el cumplimiento de los contenedores

En Red Hat Enterprise Linux 7, la utilidad oscap-docker se puede utilizar para escanear contenedores Docker basados en tecnologías Atomic. En Red Hat Enterprise Linux 8, los comandos OpenSCAP relacionados con Docker y Atomic no están disponibles.

OpenSCAP no proporciona escaneo fuera de línea de máquinas virtuales y contenedores

La refactorización de la base de código de OpenSCAP provocó que ciertas sondas RPM no pudieran escanear los sistemas de archivos de las máquinas virtuales y los contenedores en modo offline. Por esta razón, se eliminaron las siguientes herramientas del paquete openscap-utils: oscap-vm y oscap-chroot. También se eliminó por completo el paquete openscap-containers.

OpenSCAP rpmverifypackage no funciona correctamente

Las llamadas al sistema chdir y chroot son llamadas dos veces por la sonda rpmverifypackage. En consecuencia, se produce un error cuando la sonda se utiliza durante un análisis de OpenSCAP con contenido personalizado de Open Vulnerability and Assessment Language (OVAL).

SCAP Workbench no genera correcciones basadas en resultados a partir de perfiles adaptados

El siguiente error se produce al intentar generar roles de corrección basados en resultados a partir de un perfil personalizado utilizando la herramienta SCAP Workbench:

El complemento OSCAP Anaconda no instala todos los paquetes en modo texto

El complemento OSCAP Anaconda no puede modificar la lista de paquetes seleccionados para su instalación por el instalador del sistema si la instalación se ejecuta en modo texto. En consecuencia, cuando se especifica un perfil de política de seguridad mediante Kickstart y la instalación se ejecuta en modo texto, cualquier paquete adicional requerido por la política de seguridad no se instala durante la instalación.

El complemento OSCAP Anaconda no maneja correctamente los perfiles personalizados

El plugin OSCAP Anaconda Addon no maneja adecuadamente los perfiles de seguridad con personalizaciones en archivos separados. En consecuencia, el perfil personalizado no está disponible en la instalación gráfica de RHEL aunque lo especifique correctamente en la sección Kickstart correspondiente.

El formato de la salida verbose de arptables ahora coincide con el formato de la utilidad en RHEL 7

En RHEL 8, el paquete iptables-arptables proporciona un reemplazo basado en nftables de la utilidad arptables. Anteriormente, la salida verbosa de arptables separaba los valores del contador sólo con una coma, mientras que arptables en RHEL 7 separaba la salida descrita tanto con un espacio como con una coma. Como consecuencia, si se utilizaban scripts creados en RHEL 7 que analizaban la salida del comando arptables -v -L, había que ajustar estos scripts. Esta incompatibilidad se ha solucionado. Como resultado, arptables en RHEL 8.1 ahora también separa los valores del contador con un espacio y una coma.

nftables no soporta tipos de conjuntos IP multidimensionales

El marco de filtrado de paquetes nftables no admite tipos de conjuntos con concatenaciones e intervalos. En consecuencia, no puede utilizar tipos de conjuntos IP multidimensionales, como hash:net,port, con nftables.

El tráfico de red IPsec falla durante la descarga de IPsec cuando GRO está desactivado

No se espera que la descarga de IPsec funcione cuando la descarga de recepción genérica (GRO) está desactivada en el dispositivo. Si la descarga de IPsec está configurada en una interfaz de red y GRO está desactivado en ese dispositivo, el tráfico de red IPsec falla.

El módulo i40iw no se carga automáticamente en el arranque

Debido a que muchos NICs i40e no soportan iWarp y el módulo i40iw no soporta completamente la suspensión/reanudación, este módulo no se carga automáticamente por defecto para asegurar que la suspensión/reanudación funcione correctamente. Para solucionar este problema, edite manualmente el archivo /lib/udev/rules.d/90-rdma-hw-modules.rules para activar la carga automática de i40iw.

La interfaz de red pasa a llamarse kdump-

Cuando se utiliza el volcado asistido por firmware(fadump) para capturar un vmcore y almacenarlo en una máquina remota utilizando el protocolo SSH o NFS, la interfaz de red se renombra como kdump-

Los sistemas con una gran cantidad de memoria persistente experimentan retrasos durante el proceso de arranque

Los sistemas con una gran cantidad de memoria persistente tardan mucho en arrancar porque la inicialización de la memoria se hace en serie. Por lo tanto, si hay sistemas de archivos de memoria persistente listados en el archivo /etc/fstab, el sistema puede perder el tiempo mientras espera que los dispositivos estén disponibles. Para solucionar este problema, configure la opción DefaultTimeoutStartSec en el archivo /etc/systemd/system.conf con un valor suficientemente grande.

KSM a veces ignora las políticas de memoria NUMA

Cuando la función de memoria compartida del kernel (KSM) está activada con el parámetro merge_across_nodes=1, KSM ignora las políticas de memoria establecidas por la función mbind(), y puede fusionar páginas de algunas áreas de memoria a nodos de acceso a memoria no uniforme (NUMA) que no coinciden con las políticas.

El sistema entra en el modo de emergencia en el momento del arranque cuando fadump está activado

El sistema entra en el modo de emergencia cuando se habilita el módulo de squash fadump (kdump) o dracut en el esquema initramfs porque el gestor systemd no consigue obtener la información de montaje y configurar la partición LV para montarla. Para solucionar este problema, añada el siguiente parámetro de línea de comandos del kernel rd.lvm.lv=<VG>/<LV> para descubrir y montar la partición LV fallida adecuadamente. Como resultado, el sistema arrancará con éxito en el escenario descrito.

El uso de irqpoll en la línea de comandos del kernel kdump provoca un fallo en la generación de vmcore

Debido a un problema subyacente existente con el controlador nvme en las arquitecturas ARM de 64 bits que se ejecutan en las plataformas de la nube de Amazon Web Services (AWS), la generación de vmcore falla si el argumento de línea de comandos irqpoll kdump se proporciona al primer núcleo. En consecuencia, no se vuelca ningún vmcore en el directorio /var/crash/ después de un fallo del kernel. Para solucionar este problema:

El kernel de depuración no arranca en el entorno de captura de fallos en RHEL 8

Debido a la naturaleza de demanda de memoria del kernel de depuración, se produce un problema cuando el kernel de depuración está en uso y se desencadena un pánico del kernel. Como consecuencia, el kernel de depuración no es capaz de arrancar como el kernel de captura, y en su lugar se genera una traza de pila. Para solucionar este problema, aumente la memoria del kernel de captura en consecuencia. Como resultado, el kernel de depuración arranca con éxito en el entorno de captura de fallos.

los cambios desoftirq pueden hacer que la interfaz localhost deje caer los paquetes UDP cuando está bajo una gran carga

Los cambios en el manejo de las interrupciones de software(softirq) del kernel de Linux se realizan para reducir los efectos de la denegación de servicio (DOS). En consecuencia, esto conduce a situaciones en las que la interfaz localhost deja caer los paquetes del Protocolo de Datagramas de Usuario (UDP) bajo una gran carga.

El NMI watchdog de HP en algunos casos no genera un volcado de fallos

El controlador hpwdt para el vigilante NMI de HP a veces no puede reclamar una interrupción no enmascarable (NMI) generada por el temporizador del vigilante HPE porque el NMI fue consumido por el controlador perfmon. Como consecuencia, hpwdt en algunos casos no puede llamar a un pánico para generar un volcado de fallos.

Al instalar RHEL 8.1 en un sistema de prueba configurado con una tarjeta QL41000 se produce un pánico del kernel

Durante la instalación de RHEL 8.1 en un sistema de prueba configurado con una tarjeta QL41000, el sistema es incapaz de manejar la derivación del puntero NULL del kernel en la tarjeta 000000000000003c. Como consecuencia, se produce un error de pánico del kernel. No hay ninguna solución disponible para este problema.

El controlador cxgb4 provoca un fallo en el kernel kdump

El kernel kdump se bloquea al intentar guardar información en el archivo vmcore. En consecuencia, el controlador cxgb4 impide que el kdump kernel guarde un núcleo para su posterior análisis. Para solucionar este problema, añada el parámetro "novmcoredd" a la línea de comandos de kdump kernel para permitir guardar archivos de núcleo.

Algunos controladores SCSI pueden utilizar a veces una cantidad excesiva de memoria

Algunos controladores SCSI utilizan una mayor cantidad de memoria que en RHEL 7. En algunos casos, como la creación de vPort en un adaptador de bus de host (HBA) de canal de fibra, el uso de memoria podría ser excesivo, dependiendo de la configuración del sistema.

VDO no puede suspender hasta que la UDS haya terminado de reconstruirse

Cuando un volumen de Virtual Data Optimizer (VDO) se inicia después de un apagado sucio del sistema, reconstruye el índice del Servicio Universal de Deduplicación (UDS). Si intenta suspender el volumen VDO utilizando el comando dmsetup suspend mientras el índice UDS se está reconstruyendo, el comando suspender podría dejar de responder. El comando finaliza sólo después de que la reconstrucción haya terminado.

Un parche de NFS 4.0 puede reducir el rendimiento con una carga de trabajo abierta

Anteriormente, se corrigió un error que, en algunos casos, podía hacer que una operación de apertura de NFS pasara por alto el hecho de que un archivo había sido eliminado o renombrado en el servidor. Sin embargo, la corrección puede causar un rendimiento más lento con cargas de trabajo que requieren muchas operaciones abiertas. Para solucionar este problema, puede ser útil utilizar la versión 4.1 o superior de NFS, que ha sido mejorada para conceder delegaciones a los clientes en más casos, permitiendo a los clientes realizar operaciones de apertura de forma local, rápida y segura.

nginx no puede cargar los certificados del servidor desde los tokens de seguridad del hardware

El servidor web nginx soporta la carga de claves privadas TLS desde tokens de seguridad de hardware directamente desde los módulos PKCS#11. Sin embargo, actualmente es imposible cargar certificados de servidor desde tokens de seguridad de hardware a través del URI PKCS#11. Para solucionar este problema, almacene los certificados del servidor en el sistema de archivos

php-fpm causa denegaciones de SELinux AVC cuando php-opcache es instalado con PHP 7.2

Cuando se instala el paquete php-opcache, el gestor de procesos FastCGI(php-fpm) provoca denegaciones de SELinux AVC. Para solucionar este problema, cambie la configuración por defecto en el archivo /etc/php.d/10-opcache.ini por la siguiente:

La herramienta ltrace no informa de las llamadas a funciones

Debido a las mejoras en el endurecimiento de los binarios aplicadas a todos los componentes de RHEL, la herramienta ltrace ya no puede detectar llamadas a funciones en archivos binarios procedentes de componentes de RHEL. Como consecuencia, la salida de ltrace está vacía porque no informa de ninguna llamada detectada cuando se utiliza en dichos archivos binarios. No hay ninguna solución disponible actualmente.

Los usuarios de AD con cuentas caducadas pueden iniciar sesión cuando se utiliza la autenticación GSSAPI

El atributo accountExpires que SSSD utiliza para ver si una cuenta ha caducado no se replica al catálogo global por defecto. Como resultado, los usuarios con cuentas caducadas pueden iniciar sesión cuando se utiliza la autenticación GSSAPI. Para solucionar este problema, se puede desactivar el soporte del catálogo global especificando ad_enable_gc=False en el archivo sssd.conf. Con esta configuración, los usuarios con cuentas caducadas no podrán acceder cuando utilicen la autenticación GSSAPI.

El uso de la utilidad cert-fix con la opción --agent-uid pkidbuser rompe el sistema de certificados

El uso de la utilidad cert-fix con la opción --agent-uid pkidbuser corrompe la configuración LDAP de Certificate System. Como consecuencia, el sistema de certificados puede volverse inestable y es necesario tomar medidas manuales para recuperar el sistema.

Cambiar /etc/nsswitch.conf requiere un reinicio manual del sistema

Cualquier cambio en el archivo /etc/nsswitch . conf, por ejemplo la ejecución del comando authselect select profile_id, requiere un reinicio del sistema para que todos los procesos relevantes utilicen la versión actualizada del archivo /etc/nsswitch.conf. Si no es posible reiniciar el sistema, reinicie el servicio que une su sistema a Active Directory, que es el demonio de servicios de seguridad del sistema (SSSD) o winbind.

No se muestra la información sobre los registros DNS necesarios al activar la compatibilidad con la confianza de AD en IdM

Cuando se habilita el soporte para la confianza de Active Directory (AD) en la instalación de Red Hat Enterprise Linux Identity Management (IdM) con gestión externa de DNS, no se muestra información sobre los registros DNS requeridos. La confianza del bosque en AD no tiene éxito hasta que se añaden los registros DNS requeridos. Para solucionar este problema, ejecute el comando 'ipa dns-update-system-records --dry-run' para obtener una lista de todos los registros DNS requeridos por IdM. Cuando el DNS externo para el dominio de IdM define los registros DNS necesarios, es posible establecer la confianza del bosque en AD.

SSSD devuelve la pertenencia a un grupo LDAP incorrecto para los usuarios locales

Si el demonio de servicios de seguridad del sistema (SSSD) sirve a los usuarios desde los archivos locales, el proveedor de archivos no incluye la pertenencia a grupos de otros dominios. Como consecuencia, si un usuario local es miembro de un grupo LDAP, el comando id local_user no devuelve la pertenencia al grupo LDAP del usuario. Para solucionar el problema, invierta el orden de las bases de datos en las que el sistema busca la pertenencia a grupos de los usuarios en el archivo /etc/nsswitch.conf, sustituyendo sss files por files sss, o desactive el dominio implícito de files añadiendo

La configuración PAM por defecto para systemd-user ha cambiado en RHEL 8, lo que puede influir en el comportamiento de SSSD

La pila de módulos de autenticación enchufables (PAM) ha cambiado en Red Hat Enterprise Linux 8. Por ejemplo, la sesión de usuario systemd ahora inicia una conversación PAM usando el servicio systemd-user PAM. Este servicio ahora incluye recursivamente el servicio PAM system-auth, que puede incluir la interfaz pam_sss.so. Esto significa que el control de acceso SSSD siempre es llamado.

SSSD no maneja correctamente varias reglas de coincidencia de certificados con la misma prioridad

Si un certificado determinado coincide con varias reglas de coincidencia de certificados con la misma prioridad, el demonio de servicios de seguridad del sistema (SSSD) sólo utiliza una de las reglas. Como solución, utilice una única regla de coincidencia de certificados cuyo filtro LDAP esté formado por los filtros de las reglas individuales concatenados con el operador | (o). Para ver ejemplos de reglas de coincidencia de certificados, consulte la página de manual de sss-certamp(5).

Los grupos privados no se crean con auto_private_group = hybrid cuando se definen varios dominios

Los grupos privados no se crean con la opción auto_private_group = hybrid cuando se definen varios dominios y la opción hybrid se utiliza en cualquier dominio que no sea el primero. Si se define un dominio de archivos implícito junto con un dominio AD o LDAP en el archivo sssd.conf` y no se marca como `MPG_HYBRID, entonces SSSD falla al crear un grupo privado para un usuario que tiene uid=gid y el grupo con este gid no existe en AD o LDAP.

python-ply no es compatible con FIPS

El módulo YACC del paquete python-ply utiliza el algoritmo hash MD5 para generar la huella digital de una firma YACC. Sin embargo, el modo FIPS bloquea el uso de MD5, que sólo está permitido en contextos no relacionados con la seguridad. Como consecuencia, python-ply no es compatible con FIPS. En un sistema en modo FIPS, todas las llamadas a ply.yacc.yacc() fallan con el mensaje de error:

Limitaciones de la sesión Wayland

Con Red Hat Enterprise Linux 8, el entorno GNOME y el Gestor de pantalla de GNOME (GDM) utilizan Wayland como tipo de sesión por defecto en lugar de la sesión X11, que se utilizaba con la versión principal anterior de RHEL.

Arrastrar y soltar no funciona entre el escritorio y las aplicaciones

Debido a un error en el paquete gnome-shell-extensions, la funcionalidad de arrastrar y soltar no funciona actualmente entre el escritorio y las aplicaciones. El soporte para esta función se añadirá de nuevo en una futura versión.

No es posible desactivar los repositorios flatpak desde los repositorios de software

Actualmente, no es posible desactivar o eliminar los repositorios flatpak en la herramienta de Repositorios de Software en la utilidad de Software de GNOME.

Las máquinas virtuales RHEL 8 de segunda generación a veces no arrancan en hosts Hyper-V Server 2016

Cuando se utiliza RHEL 8 como sistema operativo invitado en una máquina virtual (VM) que se ejecuta en un host Microsoft Hyper-V Server 2016, la VM en algunos casos no arranca y vuelve al menú de arranque GRUB. Además, se registra el siguiente error en el registro de eventos de Hyper-V:

GNOME Shell on Wayland funciona con lentitud cuando se utiliza un renderizador de software

Cuando se utiliza un renderizador de software, GNOME Shell como compositor de Wayland (GNOME Shell on Wayland) no utiliza un framebuffer con caché para renderizar la pantalla. En consecuencia, GNOME Shell on Wayland es lento. Para solucionar el problema, vaya a la pantalla de inicio de sesión de GNOME Display Manager (GDM) y cambie a una sesión que utilice el protocolo X11. Como resultado, el servidor de pantalla Xorg, que utiliza memoria cacheable, es utilizado, y GNOME Shell on Xorg en la situación descrita se desempeña más rápido en comparación con GNOME Shell on Wayland.

La caída del sistema puede provocar la pérdida de la configuración de fadump

Este problema se observa en sistemas en los que el volcado asistido por el firmware (fadump) está habilitado y la partición de arranque se encuentra en un sistema de archivos con registro en el diario, como XFS. Un fallo del sistema puede hacer que el cargador de arranque cargue un initrd más antiguo que no tenga habilitado el soporte de captura de volcado. En consecuencia, después de la recuperación, el sistema no captura el archivo vmcore, lo que resulta en la pérdida de la configuración de fadump.

radeon no reinicia el hardware correctamente

El controlador del kernel de radeon actualmente no restablece el hardware en el contexto kexec correctamente. En su lugar, radeon se cae, lo que hace que el resto del servicio kdump falle.

Los usuarios sin privilegios pueden acceder a la página de suscripciones

Si una persona que no es administrador navega a la página Subscriptions de la consola web, la consola web muestra un mensaje de error genérico "Cockpit tuvo un error interno inesperado".

Falla el uso de cloud-init para aprovisionar máquinas virtuales en Microsoft Azure

Actualmente, no es posible utilizar la utilidad cloud-init para aprovisionar una máquina virtual (VM) RHEL 8 en la plataforma Microsoft Azure. Para solucionar este problema, utilice uno de los siguientes métodos:

Las máquinas virtuales de RHEL 8 en los hosts de RHEL 7 en algunos casos no se pueden ver en una resolución superior a 1920x1200

Actualmente, cuando se utiliza una máquina virtual (VM) RHEL 8 que se ejecuta en un sistema anfitrión RHEL 7, ciertos métodos de visualización de la salida gráfica de la VM, como la ejecución de la aplicación en modo quiosco, no pueden utilizar una resolución mayor de 1920x1200. Como consecuencia, la visualización de VMs utilizando esos métodos sólo funciona en resoluciones de hasta 1920x1200, incluso si el hardware del host soporta resoluciones mayores.

Bajo rendimiento de visualización de la GUI en máquinas virtuales RHEL 8 en un host Windows Server 2019

Cuando se utiliza RHEL 8 como sistema operativo invitado en modo gráfico en un host de Windows Server 2019, el rendimiento de visualización de la interfaz gráfica de usuario es bajo, y la conexión a una salida de consola del invitado actualmente tarda bastante más de lo esperado.

La instalación de máquinas virtuales RHEL a veces falla

En determinadas circunstancias, las máquinas virtuales RHEL 7 y RHEL 8 creadas con la utilidad virt-install no arrancan si se utiliza la opción --location.

La visualización de múltiples monitores de máquinas virtuales que utilizan Wayland no es posible con QXL

El uso de la utilidad remote-viewer para mostrar más de un monitor de una máquina virtual (VM) que está utilizando el servidor de visualización Wayland hace que la VM no responda y que se muestre indefinidamente el mensaje de estado Waiting for display.

los comandosvirsh iface-\* no funcionan consistentemente

Actualmente, los comandos virsh iface-*, como virsh iface-start y virsh iface-destroy, fallan frecuentemente debido a las dependencias de configuración. Por lo tanto, se recomienda no utilizar los comandos virsh iface-\* para configurar y gestionar las conexiones de red del host. En su lugar, utilice el programa NetworkManager y sus aplicaciones de gestión relacionadas.

La personalización de una VM ESXi utilizando cloud-init y el reinicio de la VM provoca la pérdida de la configuración de IP y hace que el arranque de la VM sea muy lento

Actualmente, si el servicio cloud-init se utiliza para modificar una máquina virtual (VM) que se ejecuta en el hipervisor VMware ESXi para utilizar IP estática y la VM se clona a continuación, la nueva VM clonada en algunos casos tarda mucho tiempo en reiniciarse. Esto se debe a que cloud-init reescribe la IP estática de la VM a DHCP y luego busca una fuente de datos disponible.

Las máquinas virtuales RHEL 8 a veces no pueden arrancar en los hosts Witherspoon

Las máquinas virtuales (VMs) de RHEL 8 que utilizan el tipo de máquina pseries-rhel7.6.0-sxxm en algunos casos fallan al arrancar en hosts Power9 S922LC for HPC (también conocidos como Witherspoon) que utilizan la CPU DD2.2 o DD2.3.

Las máquinas virtuales IBM POWER no funcionan correctamente con nodos NUMA de memoria cero

Actualmente, cuando una máquina virtual (VM) IBM POWER que se ejecuta en un host RHEL 8 está configurada con un nodo NUMA que utiliza memoria cero(memory='0'), la VM no puede arrancar. Por lo tanto, Red Hat recomienda encarecidamente no utilizar VMs IBM POWER con nodos NUMA de memoria cero en RHEL 8.

La migración de un huésped POWER9 de un host RHEL 7-ALT a RHEL 8 falla

Actualmente, la migración de una máquina virtual POWER9 desde un sistema anfitrión RHEL 7-ALT a RHEL 8 no responde con un estado "Estado de la migración: activo".

La topología de la CPU SMT no es detectada por las máquinas virtuales cuando se utiliza el modo de paso de host en AMD EPYC

Cuando una máquina virtual (VM) arranca con el modo de paso de host de CPU en un host AMD EPYC, la bandera de la función TOPOEXT CPU no está presente. En consecuencia, la VM no puede detectar una topología de CPU virtual con múltiples hilos por núcleo. Para solucionar este problema, inicie la máquina virtual con el modelo de CPU EPYC en lugar de con el modo de paso de host.

Las máquinas virtuales a veces no se inician cuando se utilizan muchos discos virtio-blk

Añadir un gran número de dispositivos virtio-blk a una máquina virtual (VM) puede agotar el número de vectores de interrupción disponibles en la plataforma. Si esto ocurre, el SO invitado de la VM falla al arrancar, y muestra un dracut-initqueue[392]: Advertencia: Error de no poder arrancar.