10.1 リリースノート

fips=1 用の新しいブートメニューエントリーが ISO インストールに追加されました

この更新により、DVD およびブート ISO イメージによるインストールにおいて、カーネルブートオプション fips=1 を設定するための新しいブートメニューエントリーが使用可能になりました。これにより、プロセスが簡素化されます。RHEL のインストール時に FIPS モードを有効にすると、システムが FIPS で承認されたアルゴリズムと継続的な監視テストを使用してすべての鍵を生成するようになるためです。このブートオプションを使用すると、fips=1 カーネルパラメーターを使用してインストールを開始し、Federal Information Processing Standards (FIPS) 140 の要件にシステムを準拠させることができます。

RHEL でソフトリブートが利用可能になりました

systemd が、完全なシステム停止を必要とせずにユーザー空間を再起動 (rebooting) できる機能であるソフトリブートを提供するようになりました。主な機能拡張は次のとおりです。

rpm コマンドがインストール環境で利用可能になりました

以前は、rpm コマンドがインストール環境に含まれていませんでした。この更新により、rpm コマンドが含まれるようになりました。ユーザーは、たとえば %post キックスタートスクリプトで RHEL をインストールするときにこのコマンドを使用できます。

ブループリントファイルのカスタマイズで、外部ソースからのファイルを参照するための URI フィールドがサポートされるようになりました

この更新により、ブループリントファイルのカスタマイズ構造に URI フィールドのサポートが追加されます。その結果、ブループリントに直接含まれているファイルだけでなく、外部の場所にあるファイルを参照して取得できるようになりました。これにより、ビルドシステムのカスタマイズの柔軟性が向上し、より適応性の高いビルドエクスペリエンスが実現します。

RHEL Image Builder は、Vagrant 用の新しいイメージタイプ vagrant-libvirt をサポートするようになりました

この更新により、RHEL Image Builder が libvirt ハイパーバイザーをサポートするようになり、ユーザーが Vagrant を使用して RHEL 仮想マシンを簡単に実行できるようになりました。この機能拡張により、事前設定されたイメージが提供され、一貫性のある効率的なセットアップが実現します。また、Vagrant 環境内の vagrant ユーザーに sudo 特権が付与されるため、管理タスクの管理と実行が容易になります。これらの機能拡張により、Vagrant 環境で RHEL 仮想マシンを操作する際のエクスペリエンスが、より効率的かつシームレスなものになります。

RHEL Image Builder が WSL2 イメージをサポートするようになりました

RHEL Image Builder を使用して Windows Subsystem for Linux (WSL2) を作成できるようになりました。このイメージタイプは wsl 形式で使用できます。イメージを使用するには、生成されたファイルをダブルクリックしてデプロイします。

RHEL Image Builder GUI がモジュール化されたコンテンツの検出をサポートするようになりました

RHEL 9.7 以降の RHEL Image Builder のグラフィカルユーザーインターフェイス (GUI) では、モジュール化されたコンテンツの検出がサポートされています。この機能により、次の機能拡張が導入されます。

image-installer で fips=1 用の新しいブートメニューエントリーが使用可能になりました

この更新により、image-installer ISO イメージタイプで、インストール時にカーネルブートオプション fips=1 を設定するための新しいブートメニューエントリーが使用可能になりました。これによりプロセスが簡素化されます。RHEL 10 では、インストール済みのシステムを FIPS モードに切り替えることはできず、インストールを開始するときにカーネルコマンドラインに fips=1 を追加する必要があります。インストール時に fips=1 を設定すると、システムを Federal Information Processing Standards (FIPS) 140 要件に準拠させることができます。

/etc/fstab 内の論理ボリュームデバイスで、fs_spec フィールドに UUID が使用されるようになりました

インストール後、システムが論理ボリューム (LV) デバイスを /etc/fstab に書き込む際、fs_spec フィールドに UUID を使用するようになりました。この変更により、次の利点が得られます。

RHEL 10.1 の crypto-policies はデフォルトで PQC アルゴリズムを有効にします

RHEL 10.1 のシステム全体の暗号化ポリシーは、耐量子計算機暗号 (PQC) のサポートを拡張し、すべての事前定義済みポリシーでデフォルトで PQC アルゴリズムを有効にします。RHEL 10.0 のバージョンに対する主な機能拡張と修正は次のとおりです。

AD-SUPPORT-LEGACY サブポリシーが crypto-policies に再度追加されました

AD-SUPPORT-LEGACY 暗号化サブポリシーが、RHEL に再度追加されました。このサブポリシーは、従来の RC4 暗号化をサポートし、古い Active Directory 実装との相互運用性を確保するために使用されます。

OpenSSL が 3.5 にリベースされました

OpenSSL がアップストリームバージョン 3.5 にリベースされました。このバージョンでは、特に次の点を含む重要な修正と機能拡張が行われています。

NSS が 3.112 にリベースされました

NSS 暗号化ツールキットパッケージが、アップストリームのバージョン 3.112 にリベースされました。これにより、多くの改善と修正が提供されます。主なものは次のとおりです。

libreswan が 5.3 にリベースされました

libreswan パッケージはアップストリームバージョン 5.3 にリベースされました。

GnuTLS が 3.8.10 にリベースされました

gnutls パッケージが 3.8.10 アップストリームリリースにリベースされました。これには次の機能拡張が含まれています。

Sequoia PGP が OpenPGP v6 をサポートするように更新されました

この更新により、sequoia-sq および sequoia-sqv が、耐量子計算機暗号 (PQC) 鍵を処理できるようになります。rpm-sequoia パッケージが、新たに OpenPGP v6 署名の検証をサポートするようになりました。その結果、Commercial National Security Algorithm Suite (CNSA) 2.0 標準に準拠した耐量子計算機デジタル署名を使用できるようになりました。

selinux-policy が 42.1 にリベースされました

selinux-policy パッケージはアップストリームバージョン 42.1 にリベースされました。このバージョンには、パッケージの改善など、多くの修正と改善が含まれています。特に、systemd ジェネレーターに関連する SELinux タイプが SELinux ポリシーに追加されました。

OpenSSL が sslkeylogfile をサポートするようになりました

OpenSSL は TLS の sslkeylogfile 形式をサポートしています。そのため、SSLKEYLOGFILE 環境変数を設定することで、SSL 接続によって生成されたすべてのシークレットをログに記録できます。

NSS が ML-DSA 鍵をサポートするようになりました

この更新により、Network Security Services (NSS) データベースが、Module-Lattice-Based Digital Signature Algorithm (ML-DSA) 鍵の使用をサポートするようになりました。ML-DSA は、National Institute of Standards and Technology (NIST) により、Cryptographically Relevant Quantum Computer (CRQC) からの攻撃に耐性があると認められた新しい署名アルゴリズムです。

ハイブリッド方式の ML-KEM 暗号が FIPS モードに対応しました

このリリースでは、ハイブリッド方式の Module-Lattice-Based Key-Encapsulation Mechanism (ML-KEM) の耐量子計算機暗号アルゴリズムが RHEL の FIPS モードでサポートされています。システムが FIPS モードで動作している場合、OpenSSL は、新しいハイブリッド方式の耐量子計算機グループの Elliptic Curve Diffie-Hellman (ECDH) 部分を、FIPS プロバイダーから取得できます。その結果、OpenSSL ライブラリーは、ハイブリッド耐量子計算機鍵交換の ECDH 部分に、FIPS 準拠の暗号化を使用するようになりました。

OpenSSL 3.5 が ML-KEM と ML-DSA に標準形式を使用するようになりました

RHEL 10.0 では、oqsprovider ライブラリーが、Module-Lattice-Based Key-Encapsulation Mechanism (ML-KEM) および Module-Lattice-Based Digital Signature Algorithm (ML-DSA) の秘密鍵に、標準化前の形式を使用していました。OpenSSL 3.5 へのリベースに伴い、ユーザーは次のコマンドを使用して ML-KEM 鍵と ML-DSA 鍵を標準形式に変換する必要があります。

SCAP Security Guide が 0.1.78 にリベースされました

詳細は、SCAP Security Guide release notes を参照してください。

EPEL パッケージに関連する SELinux ポリシーモジュールが、CRB リポジトリーの -extra サブパッケージに移動されました

RHEL 10.0 で、Extra Packages for Enterprise Linux (EPEL) リポジトリーに含まれるパッケージにのみ関連し、RHEL パッケージには関連しない SELinux ポリシーモジュールが、selinux-policy パッケージから selinux-policy-epel パッケージに移動されました。これにより、selinux-policy のサイズが縮小され、システムが SELinux ポリシーの再構築や読み込みなどの操作をより迅速に実行できるようになりました。

setroubleshoot-server が initscripts を必要としなくなりました

この更新前は、setroubleshoot-server SELinux 診断ツールの %post および %postun スクリプトレットが、/sbin/service を呼び出していました。この更新により、スクリプトレットは、auditd サービスを再ロードするために auditctl を直接呼び出し、/sbin/service の使用を回避するようになりました。この機能拡張により、依存関係の構造が簡素化され、スクリプトレットの実行が効率化されます。

OpenSSH が known_hosts 内の無効な RSA ホストキーを無視するようになりました

この更新前は、known_hosts に不適切なホストキーしか含まれていない場合、サーバーに有効なホストキーがあっても、OpenSSH がサーバーのホストキーを受信したときに、bad hostkey: Invalid key length というメッセージが表示され、SSH 接続が失敗していました。この更新により、OpenSSH は、known_hosts ファイル内の短すぎて無効な RSA ホストキーを無視するようになりました。その結果、SSH 接続が失敗しなくなり、OpenSSH が新しいキーを受信して接続を確立できるようになりました。

3 つの RHEL サービスが SELinux の permissive モードから削除されました

RHEL サービスの次の SELinux ドメインは、SELinux permissive モードから削除されました。

GnuTLS が TLS 接続で ML-DSA 鍵をサポートするようになりました

この更新により、GnuTLS ライブラリーが、TLS 1.3 接続で、Module-Lattice-Based Digital Signature Algorithm (ML-DSA) 鍵を使用した X.509 証明書の使用をサポートするようになりました。量子コンピューターによる攻撃に耐えるには、証明書チェーンと TLS ハンドシェイクを ML-DSA などの耐量子計算機アルゴリズムで認証する必要があります。

OpenSSH サーバーが Kerberos 認証インジケーターをサポートするようになりました

Match 設定を使用する場合、OpenSSH サーバーは Kerberos チケットに含まれる認証インジケーターをサポートします。sshd 設定で GSSAPIIndicators オプションが定義されている場合、インジケーターを含んでいてもポリシーと一致しない Kerberos チケットは拒否されます。アクセス用または拒否用のインジケーターが少なくとも 1 つ設定されている場合、認証インジケーターのないチケットが明示的に拒否されます。詳細は、システム上の sshd_config(5) man ページを参照してください。

DNS over TLS が RHEL 10.1 で一般提供になりました

暗号化された DNS (eDNS) が、DNS-over-TLS (DoT) プロトコルを使用してすべての DNS 通信を保護するために、一般提供になりました。eDNS を使用すると、新しい RHEL インストール環境を起動時に保護できます。これにより、プレーンテキストの DNS トラフィックが一切送信されなくなります。既存の RHEL システムを eDNS を使用するように変換することもできます。

新しいパッケージ: fips-provider-next

fips-provider-next パッケージは、次期バージョンの FIPS プロバイダーを提供します。このパッケージは、検証を受けるために National Institute of Standards and Technology (NIST) に提出されたものです。このパッケージはデフォルトではインストールされません。検証済みの OpenSSL FIPS プロバイダーである openssl-fips-provider パッケージが存在するためです。openssl-fips-provider から fips-provider-next に切り替えるには、以下を実行します。

Rsyslog の imuxsock に新しい ratelimit.discarded カウンターが追加されました

この更新により、Rsyslog の imuxsock モジュールに新しいカウンター ratelimit.discarded が追加されました。このカウンターは、Unix ソケットでのレート制限によりドロップされたメッセージの数を追跡します。この機能拡張により、管理者はレート制限によるメッセージ損失を可視化できるため、レート制限設定を微調整し、重要なログが破棄されるのを防ぐことができます。

SELinux ポリシーに qgs デーモン用のルールとタイプが追加されました

qgs デーモンが、TDX 機密仮想化をサポートする linux-sgx パッケージとともに RHEL に追加されました。qgs デーモンは、ゲスト OS が仮想マシン (VM) のアテステーションを要求すると、UNIX ドメインソケットを介して QEMU と通信します。これを可能にするために、SELinux ポリシーに、新しい qgs_t タイプ、アクセスルール、および権限が追加されます。

audit.cron を利用して時間ベースの auditd のログローテーションを設定できるようになりました

この更新により、audit パッケージに auditd.cron ファイルが追加されました。この機能拡張は、既存のツールを使用して時間ベースの auditd のログローテーションを設定する方法に関して、文書化された明確な例を提供するものです。その結果、管理者が時間ベースの auditd のログローテーションを設定する際に、シンプルな公式ガイドを利用できるようになりました。

SELinux ポリシーに制限されている追加サービス

この更新により、次の systemd サービスを制限する追加のルールが SELinux ポリシーに追加されます。

Rsyslog の imfile に新しい deleteStateOnFileMove オプションが追加されました

この更新により、imfile モジュールに新しい deleteStateOnFileMove パラメーターが追加されました。このパラメーターは、モジュールレベルでも、操作ごとのオプションとしても利用できます。この機能拡張により、監視対象のログファイルがローテーションまたは移動されたときに、孤立した状態ファイルが spool/ ディレクトリーに蓄積される問題が解決されます。このパラメーターを有効にすると、ログファイルが移動されたときに、このような古いファイルを自動的にクリーンアップできるため、ディスク領域の浪費が防止され、管理が簡素化されます。

RPM が spec ファイルローカルなファイル属性と依存関係ジェネレーターをサポートするようになりました

ファイル属性とその依存関係ジェネレーターは、通常、別々のパッケージに同梱されるため、これらの属性を使用するパッケージをビルドする前にインストールする必要があります。しかし、場合によっては、ファイル属性を同梱するパッケージのビルド中にこの属性を有効にする必要があります。また、パッケージをビルドするためだけにファイル属性が必要で、属性をパッケージに同梱せずに済ませたいという場合もあります。

RPM がインストール中に元のパッケージのチェックサムを記録します

この更新により、RPM がインストール中に .rpm パッケージ全体の SHA256 および SHA512 ダイジェストを記録するようになりました。そのため、ユーザーは、RPM データベースからこれらのダイジェストを取得し、インストールされたパッケージが特定の .rpm ファイルに対応していることを確認できます。その結果、インストールされたパッケージセットが、DNF リポジトリーで使用可能なパッケージなど、既知の .rpm パッケージセットとビット単位で一致することを遡及的に検証することで、RHEL システムの整合性を向上させることができます。

dnf トランザクション中にシステムクロックのずれが報告されるようになりました

システムとエンタイトルメントサーバー間のクロックが大幅にずれていると、システムが適切に登録されていても、コンテンツリポジトリーが利用できなくなる可能性があります。この問題は、特に、時刻が遅れていてエンタイトルメントがまだ開始していないように見える場合、解決が困難です。

tog-pegasus に耐量子計算機暗号のサポートが追加されました

以前は、従来の証明書チェーンと ML-DSA 証明書を同時にサポートするメカニズムがありませんでした。

sblim-sfcb に耐量子計算機暗号のサポートが追加されました

以前は、ピアが耐量子計算機鍵交換をサポートしている場合でも、パッケージはそれをデフォルトで使用していませんでした。また、従来の証明書チェーンと ML-DSA 証明書を同時にサポートするメカニズムがありませんでした。

openwsman に耐量子計算機暗号のサポートが追加されました

以前は、ピアが耐量子計算機鍵交換をサポートしている場合でも、パッケージはそれをデフォルトで使用していませんでした。また、従来の証明書チェーンと ML-DSA 証明書を同時にサポートするメカニズムがありませんでした。

openCryptoki がバージョン 3.25.0 で提供されます

openCryptoki パッケージはバージョン 3.25.0 で提供されます。以下のサポートが追加されました。

RHEL に dyninst バージョン 13.0.0 が搭載されました

dyninst フレームワークがアップストリームバージョン 13.0.0 にリベースされました。このバージョンでは、次の機能拡張が提供されています。

RHEL に SystemTap バージョン 5.3 が搭載されました

SystemTap がバージョン 5.3 にリベースされました。マルチスレッド解析機能により初期化時間が数秒短縮され、起動のパフォーマンスが向上しました。

elfutils がバージョン 0.193 にリベースされました

elfutils 0.193 が RHEL 10.1 で利用可能になりました。この更新の主な変更点は次のとおりです。

valgrind がアップストリームバージョン 3.25.1 にアップグレードされました

バージョン 3.24.0 (RHEL 10.0) からアップストリームバージョン 3.25.1 (RHEL 10.1) へのアップグレードにより、次の主な機能拡張が提供されます。

valgrind パッケージが柔軟なインストールのためにサブパッケージに分割されました

この更新前は、1 つの valgrind パッケージに、すべてのコア機能、後処理スクリプト、GDB 統合、ドキュメントが含まれていました。そのため、特定の機能だけが必要な場合でも、すべてのコンポーネントをインストールする必要がありました。

jemalloc 5.3.0 が Varnish に統合されました

この更新前は、一部のユーザーから、Red Hat Enterprise Linux の新しいバージョンにアップグレードした後、Varnish でメモリーが過剰に使用されるという報告がありました。明示的なメモリー制限 (-s malloc,1G など) を設定しても、メモリー消費量が時間の経過とともに増加し続けていました。

BrowseOptionsUpdate ディレクティブが RHEL で利用可能になりました

BrowseOptionsUpdate ディレクティブは、デフォルトの印刷オプションのソースと更新頻度を決定します。このディレクティブは、システムがオプションをローカルシステムから取得するか、リモート印刷サーバーから取得するかを指定します。さらに、オプションをサービスの起動時に更新するか、一定の間隔で更新するか、まったく更新しないかを指定します。

NetworkManager と Nmstate がインターフェイスごとの IPv4 転送の設定をサポートするようになりました

この機能拡張により、NetworkManager がネットワークインターフェイスごとに IPv4 転送を有効化および無効化できるようになりました。これにより、NetworkManager 接続プロファイルできめ細かく直接制御することが可能になり、sysctl カーネル設定を更新する必要がなくなります。プロファイルで ipv4.forwarding パラメーターを有効にすると、対応するインターフェイスがルーターとして機能し、IPv4 パケットを転送するようになります。デフォルト値の auto では、NetworkManager は共有接続がアクティブな場合に IPv4 転送を有効にし、それ以外の場合にカーネルのデフォルト値を使用します。

KTLS が TLS 1.3 の鍵再生成をサポートするようになりました

Kernel Transport Layer Security (KTLS) (RHEL のサポート対象外のテクノロジープレビュー機能) が、TLS 1.3 のカーネル内鍵再生成をサポートするようになりました。以前は、初期鍵で送信できるバイト数が限られていたため、大量のデータ転送を伴う長時間のセッションは不可能でした。この機能拡張により、アクティブなセッション中に更新がシームレスに行われるようになり、アプリケーションが接続を再開する必要なく、大量のデータを転送することが可能になりました。この機能を使用するには、OpenSSL や GnuTLS などのユーザー空間ライブラリーも KTLS 鍵再生成機能をサポートしている必要があることに注意してください。

Nmstate が mtu および quickack ルートオプションをサポートするようになりました

この機能拡張により、Nmstate を使用して mtu および quickack ルートオプションを設定できるようになりました。これらの設定は、最大転送単位がデフォルトと異なる際にネットワークパフォーマンスを最適化する場合や、TCP 確認応答の動作をチューニングする場合に重要です。これにより、ネットワークトラフィックの動作をより正確に制御できるようになりました。

Nmstate が、ネットワークインターフェイスの FEC の設定をサポートするようになりました

この機能拡張により、Nmstate を使用して、RS-FEC、Base-R、Disabled などの前方誤り訂正 (FEC) モードをインターフェイスに適用できるようになりました。これらの設定は、再送信せずにエラーを検出および修正することで、データ転送の信頼性を向上させるうえで重要です。これにより、手動で設定したり、プラットフォーム固有のツールを使用したりせずに、Nmstate を使用して FEC 設定を適用できるようになりました。

nm-initrd-generator に NBFT パーサーが追加されました

NVMe Boot Firmware Table (NBFT) は、ACPI テーブルを使用して、ファームウェアがプリブート環境からネットワークとストレージの設定を直接オペレーティングシステムに渡す標準的な方法です。nm-initrd-generator ユーティリティーは、このパーサーを使用してこの設定を自動的に検出して適用し、必要な接続を手動設定不要で作成します。この実装は、dracut の 95nvmf モジュールに代わるものであり、より効率的で堅牢なブートシーケンスを実現するために、systemd の自動化を利用します。

NetworkManager が、IPv6 プレフィックスの委譲を使用する場合に、ダウンストリームインターフェイスの固定サブネット ID をサポートするようになりました

この機能拡張により、IPv6 プレフィックスの委譲を使用するときに、NetworkManager でダウンストリームインターフェイスに固定のサブネット ID を指定できるようになりました。以前のリリースでは、システムを再起動すると、ダウンストリームインターフェイスのサブネット ID が変更される可能性がありました。サブネット ID が固定されている場合、RHEL ホストを再起動しても、ダウンストリームネットワーク内のデバイスに割り当てられた IPv6 アドレスは変更されません。

Nmstate は、インターフェイス名の代わりに MAC アドレスを使用してルートを設定することをサポートするようになりました

Nmstate を使用すると、インターフェイスの MAC アドレスにネットワーク接続を割り当てることで、その接続を作成できます。この機能拡張により、ルーティング設定の next-hop-interface パラメーターでインターフェイス名の代わりにプロファイル名を使用できるようになりました。この機能を使用すると、インターフェイス名を知らなくても静的ルートを作成できます。

Nmstate が、PCI アドレスに基づいてネットワークインターフェイスに設定を割り当てることが可能になりました

この機能拡張により、Nmstate を使用して、デバイス名ではなく PCI アドレスに基づいてネットワークインターフェイスを設定できるようになりました。クラスター内のノード全体で一貫した設定を実現するには、この機能を使用してください。詳細は、デバイスパスを指定して nmstatectl を使用して動的 IP アドレスによるイーサネット接続を設定する および デバイスパスを指定した nmstatectl を使用して静的 IP アドレスによるイーサネット接続を設定する を参照してください。

Nmstate が、VLAN インターフェイスの Egress および Ingress 優先度マッピングをサポートするようになりました

NetworkManager は、VLAN インターフェイスのトラフィック優先度マッピングの設定を以前からサポートしていました。この機能拡張により、Nmstate ライブラリーが、Egress および Ingress 優先度の Quality of Service (QoS) マッピングルールも処理できるようになりました。その結果、Nmstate を使用して VLAN を作成し、双方向の優先度マッピングを定義できるようになり、トラフィックをより正確かつ効率的に管理できるようになりました。

nmtui がループバックインターフェイスの設定をサポートするようになりました

NetworkManager は、nmcli ユーティリティーを使用したループバックインターフェイスの設定を以前からサポートしていました。この機能拡張により、nmtui アプリケーションに同じ機能が追加されました。その結果、ループバックインターフェイスで IP アドレスとルートを設定できるようになりました。

NetworkManager-libreswan プラグインが Libreswan のデフォルト値の使用をサポートするようになりました

この機能拡張により、Libreswan VPN 接続プロファイルの no-nm-default プロパティーを true に設定することで、NetworkManager のデフォルト値ではなく、Libreswan の値を使用できるようになりました。これにより、ネイティブ Libreswan 用に定義された設定との互換性が確保されます。その結果、たとえば、サブネット間のトンネルを設定できるようになりました。

Nmstate のボンディング設定が最適化設定をサポートするようになりました

この機能拡張により、Nmstate API が次のボンディングオプションをサポートするようになりました。

iproute がバージョン 6.14.0 にリベースされました

iproute パッケージがアップストリームバージョン 6.14.0 に更新されました。

新しいネットワークパケットドロップの理由と MIB カウンター

カーネルのネットワークスタックが、ネットワークパケットをドロップするときに、より詳細な理由を提供するようになりました。また、この機能拡張により、LINUX_MIB_PAWS_TW_REJECTED と LINUX_MIB_PAWS_OLD_ACK という 2 つの新しい管理情報ベース (MIB) カウンターが追加されます。その結果、ネットワークの問題のデバッグと診断が容易になりました。

nft monitor trace コマンドが接続追跡に関する情報を表示するようになりました

nft monitor trace コマンドを使用して、接続追跡に関する詳細情報を表示できるようになりました。この機能により、接続のデバッグが簡素化され、接続の状態をよりよく把握できるようになります。

fwctl サブシステムがカーネルに追加されました

カーネルロックダウン機能が有効な場合、セキュリティー上の理由から、カーネルは /sys/ ディレクトリー内の resource0 ファイルや PCI 設定空間へのアクセスを許可しません。fwctl カーネルサブシステムは、mlx5 ネットワークインターフェイスコントローラーなど、ソフトウェア定義デバイスのファームウェアとの通信を管理します。このサブシステムは、標準化されたセキュアなリモートプロシージャーコール (RPC) インターフェイスを確立します。このインターフェイスにより、ユーザー空間アプリケーションが、診断、設定、更新のためにデバイスファームウェアとやり取りできるようになります。新しいサブシステムの導入に加えて、mstflint ユーティリティーも fwctl サブシステムを使用するようになりました。このユーティリティーは、これらのセキュアな環境で完全に機能します。

ice ドライバーが、関連付けられた VF のためにベクトルを解放する目的で、PF の MSI-X ベクトル使用量を削減することをサポートするようになりました

この機能拡張により、Physical Function (PF) に割り当てられた Message Signaled Interrupts eXtended (MSI-X) ベクトルを削減し、関連付けられた Virtual Function (VF) のために十分な数のベクトルを確保できるようになりました。詳細は、Reducing the MSI-X vector usage for a physical function to free vectors for associated virtual functions を参照してください。

named および dnssec ユーティリティーが、ハードウェアトークン用の OpenSSL プロバイダーをサポートするようになりました

この更新前は、OpenSSL ENGINE が削除されたため、ハードウェアセキュリティートークンを使用して DNSSEC ゾーン署名の秘密鍵を保存する機能のサポートを利用できませんでした。この機能は、named サービスでハードウェアトークンを直接使用する場合と、ipa-server-dns パッケージの DNSSEC 機能に必要でした。

NetworkManager と Nmstate がインターフェイスごとの IPv4 転送の設定をサポートするようになりました

この機能拡張により、NetworkManager がネットワークインターフェイスごとに IPv4 転送を有効化および無効化できるようになりました。これにより、NetworkManager 接続プロファイルできめ細かく直接制御することが可能になり、sysctl カーネル設定を更新する必要がなくなります。プロファイルで ipv4.forwarding パラメーターを有効にすると、対応するインターフェイスがルーターとして機能し、IPv4 パケットを転送するようになります。デフォルト値の auto では、NetworkManager は共有接続がアクティブな場合に IPv4 転送を有効にし、それ以外の場合にカーネルのデフォルト値を使用します。

RHEL 10.1 のカーネルバージョン

Red Hat Enterprise Linux 10.1 には、カーネルバージョン 6.12.0-124.8.1 が同梱されています。

Perf コアカウンターが Intel Panther Lake CPU でサポートされるようになりました

以前は、ユーザーは Intel Panther Lake CPU 上の perf コアカウンターを使用してハードウェアイベントを監視できませんでした。perf パッケージに Panther Lake サポートが追加されたため、ユーザーはこのマイクロアーキテクチャー上のハードウェアイベント監視にアクセスできるようになります。

問題となるレイテンシーをより良く追跡するために、rteval のデフォルトの測定モジュールが rtla timerlat になりました

この機能拡張により、問題となる遅延の原因を簡単に特定できるようになりました。目的の cyclictest 測定モジュールは、rteval.config ファイルを使用して選択できます。

kpatch-dnf プラグインが更新され、カーネル管理が改善されました

この更新前は、kpatch-dnf プラグインで、カーネルのアップグレードと kpatch のサポート状況の整合性が取れていませんでした。その結果、管理者は kpatch でサポートされていないカーネルをインストールまたはアップグレードするおそれがありました。これにより、サポートされていないカーネルを実行し、システムの安定性が低下するリスクが高まっていました。

perf ツールがアップストリーム v6.14 にリベースされました

perf ツールとそのカーネルバックエンドが、アップストリームバージョン v6.14 に合わせてリベースされました。この更新では、いくつかの機能拡張とバグ修正が導入されています。主なものは次のとおりです。

virtio デバイスのサポートが追加されました

この更新前は、KVM ゲスト内の virtio デバイスが、すべて generic-ccw タイプとしてリスト表示されていました。この機能拡張により、lszdev コマンドを使用して、どのデバイスタイプがどのデバイス番号に接続されているかを簡単に特定できるようになりました。

kernel での Intel Arrow Lake U RAPL エネルギーイベントのサポート

kernel パッケージが、Intel Arrow Lake U マイクロアーキテクチャーの RAPL (Running Average Power Limit) エネルギーパフォーマンスカウンターをサポートするようになりました。この機能拡張により、perf ツールが Arrow Lake U プラットフォームの電力消費イベントを識別し、CPU コア、GPU、パッケージ、およびシステムドメインのエネルギー使用量を監視できるようになりました。

アダプティブ PEBS により、Intel Panther Lake 上の perf でカウンタースナップショットのサポートが有効になりました

この更新前は、Linux カーネルの perf ツールは、パフォーマンスイベントデータを収集するために、ソフトウェアベースのサンプル読み取りに依存していました。この方法では、イベントがオーバーフローした後にカウンターを読み取ると、わずかなタイミングのずれと追加のオーバーヘッドが発生していました。この更新により、Intel Panther Lake CPU で、アダプティブ PEBS によるカウンタースナップショットが利用できるようになります。この機能により、カーネルは、PEBS フォーマットバージョン 6 を使用して、プログラマブルカウンター、固定機能カウンター、およびパフォーマンスメトリクスを PEBS レコードに直接記録します。

Intel Trace Hub が Intel Panther Lake をサポートするようになりました

この更新前は、kernel パッケージが Intel Trace Hub の Intel Panther Lake (P、H、U バリアント) をサポートしていませんでした。この更新により、Panther Lake プラットフォームのデバイス ID が kernel パッケージの Intel Trace Hub に追加されました。

Intel Clearwater Forest の Perf uncore イベントのサポート

perf パッケージに、Clearwater Forest マイクロアーキテクチャー上での uncore イベント監視機能が追加されました。この機能拡張により、perf パッケージは Clearwater Forest システム上での uncore イベント監視をサポートするようになりました。その結果、ユーザーはサポートされているハードウェア上で詳細なパフォーマンス分析とデバッグを実行できるようになりました。

Intel Clearwater Forest の Perf core イベントのサポート

perf パッケージに、Clearwater Forest マイクロアーキテクチャー上での core イベント監視機能が追加されました。その結果、ユーザーは perf を使用して Intel Clearwater Forest システム上の core レベルのパフォーマンスイベントを監視および分析できるようになりました。

AMD Milan CPU が、RAPL perf イベントによるコアごとのエネルギー追跡をサポートするようになりました

この更新前は、AMD システムのエネルギー監視がパッケージレベルの測定に限定されていました。この更新により、kernel パッケージが、AMD Milan CPU 上で Running Average Power Limit (RAPL) パフォーマンスイベントを通じて、コアごとのエネルギー追跡をサポートするようになりました。その結果、個々のコアレベルでエネルギー消費を測定および分析し、よりきめ細かなパフォーマンスと電力管理が可能になります。

Intel Arrow Lake H マイクロアーキテクチャーのサポートが⁠ intel_th⁠ に追加されました

この更新前は、Intel Trace Hub が Arrow Lake H NPK デバイス ID を認識していませんでした。そのため、このハードウェアを使用するシステムのトレースおよびデバッグ機能が制限されていました。この更新により、‎⁠intel_th⁠ パッケージが Intel Trace Hub において Intel Arrow Lake H マイクロアーキテクチャーをサポートするようになりました。この新しいサポートにより、ユーザーは Arrow Lake H プラットフォーム上で強化されたトレース機能とデバッグ機能を利用できます。

kernel で Intel Arrow Lake H の PerfMon サポートが有効になりました

この更新により、kernel パッケージは、Intel Arrow Lake H マイクロアーキテクチャー上で、Core、Uncore、Cstate、および MSR 機能に対する PerfMon サポートを提供するようになりました。その結果、perf ツールを使用して、Arrow Lake H システムに固有のパフォーマンスメトリクスを監視および分析できるようになりました。

KVM モジュールがリアルタイムカーネルパッケージに統合されました

この更新により、Realtime Kernel をベース RHEL のデプロイメントオプションにするという決定に合わせて、RHEL の Realtime Kernel 用 KVM モジュールパッケージの生成が削除されます。この変更により、KVM モジュールが Realtime Kernel パッケージに直接統合され、個別の kernel-rt-kvm パッケージが不要になるため、デプロイメントプロセスが合理化されます。その結果、RHEL に Realtime Kernel をデプロイする際のセットアップ作業がよりシームレスで効率的になり、全体的なユーザーエクスペリエンスが向上します。

perf ツールに Processor Trace Trigger Tracing (PTTT) のサポートが追加されました

この更新により、Processor Trace (PT) Trigger Tracing が導入され、パフォーマンス分析が向上します。これにより、ソフトウェアが、トレースアクティビティーを一時停止および再開するためのトリガーポイントとして、特定のイベントを選択できるようになり、パフォーマンス監視の効率と精度が向上します。これにより、より効率的で的を絞ったトレースが可能になり、最終的にはアプリケーションのパフォーマンスをより明確に把握できるようになります。

python-drgn がバージョン 0.0.31 にリベースされました

python-drgn がバージョン 0.0.31 にリベースされました。この更新では、いくつかの機能拡張と新機能が導入されています。

eBPF サブシステムがバージョン 6.14 にリベースされました

eBPF サブシステムが、Linux カーネルのアップストリームバージョン v6.14 にリベースされました。このバージョンには、次の変更と機能拡張が含まれています。

perf ツールがアップストリーム v6.15 にリベースされました

perf ツールとそのカーネルバックエンドが、アップストリームバージョン v6.15 に合わせてリベースされました。この更新では、いくつかの機能拡張とバグ修正が導入されています。主なものは次のとおりです。

crash が 9.0.0 にリベースされました

ライブシステムおよび各種のダンプファイル用のカーネル分析ユーティリティーを提供する crash パッケージが、アップストリームバージョン 9.0.0 にリベースされました。このバージョンでは、いくつかの修正と機能拡張が行われています。主なものは次のとおりです。

デフォルト設定で rng-tools のジッターエントロピーソースが無効になります

rng-tools のジッターエントロピーソースがデフォルトで無効になりました。最新の CPU はハードウェアのエントロピーソースを備えています。また、ほとんどの仮想マシンは、仮想ホストから提供されるエントロピーソースとして /dev/hwrng デバイスを利用できます。このような環境では、ジッターエントロピーソースにより、CPU サイクルが無駄に消費されます。ハードウェアエントロピーソースのない古いハードウェアの場合は、/etc/sysconfig/rngd でジッターエントロピーソースを明示的に有効にできます。

stalld が dl-server の動作と競合しなくなりました

このリリースでは、stalld 機能がホストカーネル内の dl-server を検出し、dl-server が実行できなかったタスクのみをブーストします。現在、dl-server は FIFO タスクをブーストしません。システムをアップグレードする際には、stalld を引き続き使用し、dl-server を無効にしても構いません。dl-server は、処理が滞っているタスクを実行する唯一のエンティティーです。

x86_64 および aarch64 上の RHEL 10 におけるセキュアブート用 shim の署名

RHEL 10 では、AMD および Intel 64 ビットアーキテクチャーと 64 ビット ARM アーキテクチャーでセキュアブートを有効にするために、署名済みの shim バイナリーが必要です。署名済みの信頼できる shim がない場合、セキュアブートが強制されているシステムは起動できませんでした。これは、エンタープライズとクラウドの両方のデプロイ環境に影響を及ぼしていました。

multipathd がファイルベースのソケットをサポートするようになりました

この更新により、multipathd デーモンは、抽象名前空間ソケットに加えて、ファイルベースソケット /run/multipathd.socket でもコマンドを待ち受けるようになりました。ユーザーは、新しいソケットファイルのバインドマウントを使用することで、コンテナー内からホストの multipathd デーモンと通信できます。

複数のデバイスが同時に故障した後でも LVM RAID がボリュームを修復します

この機能拡張により、lvconvert --repair /dev/VG-name/LV-name コマンドを使用して、失われた RAID デバイスをストライプ化 RAID (raid4、raid5、raid6) に再統合できるようになりました。この修復プロセスは、一時的に失われたデバイスの数が RAID レベルのフォールトトレランスを超えた場合でも機能します。そのため、デバイスが再認識され次第、回復が可能になります。修復する前に、ボリュームとその上のファイルシステムをアンマウントして非アクティブ化する必要があることに注意してください。

IPaddr2 リソースエージェントがネットワークリンクの障害を検出するようになりました

この更新前は、IPaddr2 リソースエージェントはネットワークインターフェイスのリンク状態を監視していませんでした。その結果、基盤となるインターフェイスが DOWN または LOWERLAYERDOWN 状態であっても、IPaddr2 リソースはノード上で成功と報告し続けていました。これにより、クラスターが別のノードでそのリソースを回復することが妨げられていました。

AWS リソースエージェントが、信頼性を向上させるために IMDS トークンを再利用するようになりました

この更新前は、AWS リソースエージェントは操作ごとに新しいインスタンスメタデータサービス (IMDS) トークンを要求していました。これにより、単一のノードで多数の API 呼び出しが発生する可能性があり、特に AWS リソースが多数存在する環境では、リソース障害のリスクが増大していました。

awsvip リソースエージェントでネットワークインターフェイスを指定できるようになりました

この更新前は、awsvip リソースエージェントは、仮想 IP アドレスを EC2 インスタンスのプライマリーネットワークインターフェイスに常に割り当てていました。リソースにセカンダリーネットワークインターフェイスを使用することはできませんでした。

fence_sbd エージェントが SBD デバイスを自動的に検出できるようになりました

この更新前は、fence_sbd リソースを設定するときに、devices パラメーターを使用して SBD デバイスパスを明示的に指定する必要がありました。

ウォッチドッグデバイスのリストで提供される情報がより詳細なものになりました

この更新前は、利用可能なウォッチドッグデバイスをリスト表示する場合、出力に /dev/watchdog0 などのデバイスパスしか表示されませんでした。そのため、管理者が同じシステム上の複数のデバイスを区別することが困難でした。

Nutanix AHV 仮想化用の新しいフェンスエージェントが利用可能になりました

以前は、Red Hat High Availability Add-On が Nutanix Acropolis Hypervisor (AHV) 環境専用のフェンスエージェントを提供していませんでした。

最後のフェンシングデバイスを削除する前に pcs がユーザーに警告します

この更新前は、ユーザーがクラスターから最後のフェンシングデバイスを無効化または削除することを、pcs が警告なしで許可していました。これにより、意図せずクラスターが STONITH も SBD フェンシングも設定されていないサポート対象外の状態になることがありました。

pcs が提供する CIB 更新の失敗に関するエラーメッセージがより詳細なものになりました

以前は、pcs cluster edit コマンドまたは pcs cluster cib-push コマンドの使用時に CIB 更新が失敗すると、Pacemaker によって一般的なエラーメッセージが表示されていました。失敗の具体的な理由は説明されていなかったため、無効な設定のトラブルシューティングが困難でした。

pcs alert config コマンドが複数の出力形式をサポートするようになりました

以前は、pcs alert config コマンドは、人間が判読できるプレーンテキスト形式でのみ出力を表示していました。この形式は、機械による解析や設定の簡単な複製には適していませんでした。

pcs resource meta コマンドがバンドルをサポートするようになり、ゲストノードの誤設定を防ぐように改善されました

以前は、pcs resource meta コマンドはバンドルリソースのメタ属性の管理をサポートしていませんでした。さらに、このコマンドでは、ユーザーがゲストノードの接続パラメーターを誤って変更するのを防ぐことができず、リソースの設定ミスが発生する可能性がありました。

クラスターの名前を変更するための新しい pcs コマンドが利用可能になりました

以前は、pcs コマンドを使用して既存のクラスターの名前を変更できませんでした。管理者は一連の手動手順を実行する必要がありましたが、これは複雑でエラーが発生する可能性がありました。

pcs node attribute および pcs node utilization コマンドが、複数の出力形式をサポートするようになりました

以前は、pcs node attribute コマンドと pcs node utilization コマンドの出力は、人間が判読できるプレーンテキスト形式でのみ表示されていました。この形式は、機械による解析や設定の簡単な複製には適していませんでした。

pcs が CIB の潜在的な問題を自動的に検証するようになりました

以前は、pcs ユーティリティーは Cluster Information Base (CIB) に対して高度な検証チェックを自動的に実行していませんでした。そのため、日常的な操作中に特定のクラスターの誤った設定が検出されないことがありました。

暗号化されたボリュームを管理するための新しい crypt リソースエージェント

以前は、Red Hat High Availability Add-On は暗号化されたデバイスを管理するためのリソースエージェントを提供していませんでした。このため、cryptsetup で暗号化されたボリュームを Pacemaker クラスター内の高可用性リソースとして設定することが困難でした。

PostGIS 拡張機能が PostgreSQL で利用可能になりました

この機能拡張により、PostgreSQL に PostGIS 拡張機能が追加されました。この拡張機能により、PostgreSQL が地理オブジェクトをサポートするようになりました。その結果、リレーショナルデータベース内でのマッピング、地理位置情報、距離計算などの地理情報システム (GIS) アプリケーションの空間クエリーと分析が可能になりました。

glibc が、高度なスケジューラーオプションとして sched_setattr と sched_getattr をサポートするようになりました

以前の glibc では、<sched.h> で定義された関数を通じて、限られた Linux スケジューラーオプションしか利用できませんでした。この制限により、アプリケーションが高度なスケジューリング機能にアクセスするには、直接のシステムコールまたは Linux カーネルヘッダーを使用する必要がありました。

grafana-pcp の PCP Valkey データソースにジオマップのサポートが追加されました

以前は、PCP Valkey データソースがジオマップパネルに必要な経度と緯度のラベルを提供していなかったため、ユーザーは Grafana のマップ上で PCP メトリクスを視覚化できませんでした。この制限により、別々の場所にある監視対象システムのパフォーマンスを比較することが困難でした。

llvm-toolset が LLVM 20 にリベースされました

llvm-toolset が LLVM 20 に更新されました。これにより、C、C++、および Rust のワークフロー全体にわたり、コード生成の改善、パフォーマンスの最適化、言語フロントエンドとライブラリーサポートの拡張が提供されます。このリベースに伴い、RHEL 内の依存コンポーネントとの整合性も確保されています。これには、rust、annobin、bcc、bpftrace、qt5-qttools、および mesa のリビルドが含まれます。ビルドは llvm-20.1.8-1.el10 で検証済みです。

GDB が IBM の z17 CPU アーキテクチャーをサポートするようになりました

gdb パッケージが強化され、IBM の z17 CPU アーキテクチャーで導入された新しいハードウェア命令を使用するバイナリーをサポートするようになりました。この更新により、開発者およびシステム管理者は、RHEL 10.1 上で、最新の IBM Z ハードウェア用にコンパイルされたアプリケーションをデバッグできるようになります。

GCC Toolset15 が利用可能になりました

この更新により、gcc-toolset-15 が RHEL 10.1 で利用できるようになりました。このツールセットには、サポートされている最新バージョンの GCC と関連ユーティリティーが含まれています。そのため、開発者は最新のコンパイラーテクノロジーを使用して、アプリケーションをビルド、テスト、デプロイできます。

glibc が x86_64 上で GLIBC_ABI_GNU2_TLS シンボルを提供するようになりました

x86_64 システム上の ‎⁠glibc⁠ には、GLIBC_ABI_GNU2_TLS シンボルが含まれています。gnu2 のスレッドローカルストレージアクセス規約を使用するプログラムは、起動するためにこのシンボルを必要とする場合があります。この更新前は、‎⁠glibc がこのシンボルを提供していなかったため、関連するプログラムが起動に失敗していました。この更新により、GLIBC_ABI_GNU2_TLS に依存するプログラムが期待どおりに起動して実行されるようになりました。

glibc に x86_64 用の GLIBC_ABI_DT_X86_64_PLT シンボルのサポートが追加されました

この更新前は、GLIBC_ABI_DT_X86_64_PLT シンボルが ‎⁠glibc⁠ で利用できないため、これを必要とするプログラムが起動に失敗していました。この機能拡張により、‎⁠glibc に x86_64 システム用の GLIBC_ABI_DT_X86_64_PLT シンボルが追加されました。この機能拡張により、起動するためにこのシンボルを必要とするプログラムが期待どおりに動作するようになりました。

glibc ヘッダーファイルが Linux 6.12 UAPI に合わせて更新されました

Red Hat Enterprise Linux 10 の glibc ヘッダーファイルが更新され、MAP_*、PIDFD_*、SCHED_*、および SYS_* に関連する、Linux カーネルバージョン 6.12 の最新の Linux User-space API (UAPI) 定数が組み込まれました。その結果、開発者がアプリケーションの構築時に新規および改訂された UAPI 定数にアクセスできるようになりました。これにより、最新のカーネル機能との一貫性と互換性が確保されます。

gdb がバージョン 16.3 にリベースされました

RHEL 10.1 における gdb バージョン 16.3 への更新により、次の主な機能拡張が提供されます。

IBM z16 の GCC チューニングが s390x でデフォルトになりました

RHEL 10.1 の s390x アーキテクチャーにおいて、gcc コンパイラーによって生成されるコードのデフォルトチューニングが、IBM z16 に準拠したものになりました。

glibc に IBM Z z17 の初期サポートが追加されました

glibc の動的ローダーが強化され、IBM z17 CPU またはその固有機能の検出がサポートされるようになりました。その結果、IBM z17 向けに最適化されたライブラリーが /usr/lib64/glibc-hwcap/z17/ ディレクトリーにインストールされている場合、z17 システムに自動的にロードされるようになりました。この更新により、IBM Z z17 プラットフォームのハードウェア互換性とパフォーマンスが向上します。

Rust Toolset がバージョン 1.88.0 にリベースされました

RHEL 10.1 には、Rust Toolset バージョン 1.88.0 が同梱されています。この更新には、次の主な機能拡張が含まれています。

tzdata に NEWS ファイルが含まれるようになりました

この更新により、タイムゾーンデータの変更に関する正確な記述を提供するために、tzdata パッケージに、リリースごとに NEWS ファイルが含まれるようになりました。その結果、何が変更されたかを詳細に確認できるようになります。ユーザーは、含まれている NEWS ファイルを確認して、更新の変更内容を把握できます。

Red Hat build of OpenJDK 25 が利用可能になりました

Red Hat は、Java Platform, Standard Edition (Java SE) の無償かつオープンソースの実装である Red Hat build of OpenJDK (Open Java Development Kit) 25 の最新の長期サポート (LTS) リリースを発表しました。Red Hat build of OpenJDK 25 は、RHEL 10.1 以降で利用できます。OpenJDK ライフサイクル、サポートポリシー、およびサポートされているすべての構成の詳細は、OpenJDK のライフサイクルおよびサポートポリシー を参照してください。

ipa-healthcheck が証明書の有効期限切れについて警告するようになりました

この更新により、ipa-healthcheck ツールは、ユーザーが提供した HTTP、DS、および PKINIT 証明書の有効期限を評価し、有効期限の 28 日前に警告を発するようになりました。これは、証明書の有効期限が見落とされ、ダウンタイムが発生する可能性を防ぐためです。

ansible-freeipa が 1.15.1 にリベースされました

Red Hat Identity Management (IdM) 環境を管理するためのモジュールとロールを提供する ansible-freeipa パッケージが、バージョン 1.13.2 から 1.15.1 にリベースされました。この更新には、次の機能拡張が含まれています。

krbLastSuccessfulAuth が有効な場合、Healthcheck が警告を表示します

ipaConfigString 属性で krbLastSuccessfulAuth 設定を有効にすると、多数のユーザーが同時に認証する場合にパフォーマンスの問題が発生する可能性があります。したがって、この設定はデフォルトでは無効になっています。この更新により、krbLastSuccessfulAuth が有効になっている場合、パフォーマンスの問題が発生する可能性があることを警告するメッセージを Healthcheck が表示するようになりました。

レガシーシステムとの互換性を保つために、IdM が Linux の UID 上限までの UID をサポートするようになりました

この更新により、最大 4,294,967,293 (2^32-1) までのユーザー ID とグループ ID を使用できるようになりました。これにより、IdM の最大値が Linux の UID 上限値と一致するようになりました。これは、標準の IdM の範囲 (2,147,483,647 まで) では不十分となるまれなケースで役立ちます。具体的には、完全な 32 ビット POSIX ID 空間を必要とするレガシーシステムと並行して IdM をデプロできるようになります。

samba がバージョン 4.22.4 にリベースされました

samba パッケージがアップストリームバージョン 4.22.4 に更新されました。このバージョンでは、バグ修正および機能拡張が行われていますが、特に注目すべき点は次のとおりです。

Identity Management Upgrade Helper

Identity Management Upgrade Helper は、IdM 環境を新しい RHEL バージョンにアップグレードする作業を簡素化する新しいアプリケーションです。お客様のアップグレードパスに特化したステップバイステップの手順を含むアップグレードプランを提供します。そのため、このアプリケーションを使用すると、明確な指示に従ってデプロイメントを準備し、新しいレプリカを設定し、古いサーバーを廃止することができます。

dsconf または Web コンソールを使用して、属性の一意性の検証からサブツリーを除外できるようになりました

この更新により、dsconf ユーティリティーおよび Web コンソールから直接、Attribute Uniqueness プラグインの uniqueness-exclude-subtrees パラメーターを設定できるようになりました。この更新前は、uniqueness-exclude-subtrees を設定するには、ldapmodify ユーティリティーを使用する必要がありました。

389-ds-base がバージョン 3.1.3 にリベースされました

389-ds-base パッケージがバージョン 3.1.3 に更新されました。このバージョンでは、さまざまなバグ修正と機能拡張が行われています。主なものは次のとおりです。

属性の一意性を検索するための Attribute Uniqueness プラグインのカスタムマッチングルール

この更新により、Attribute Uniqueness プラグインの設定で、一意性を強制する属性のマッチングルールを指定できるようになりました。これは、属性の構文を case exact や case ignore からオーバーライドする場合などに使用できます。

389-ds-base のアクセスログとエラーログで JSON 形式が利用可能になりました

この更新により、次のコマンドを使用して、アクセスログファイルとエラーログファイルを JSON 形式に設定できるようになりました。

新しい list --full-dn オプションが dsidm ユーティリティーで利用可能になりました

この更新により、list --full-dn オプションを使用して、同じタイプのエントリーの完全な識別名 (DN) のリストを取得できるようになりました。たとえば、ロールの DN を表示するには、次のコマンドを使用します。

389-ds-base ログファイルに、バインドまたは変更操作のセッション識別子が含まれるようになりました。

この機能拡張により、レプリケーションプラグインが、セッション追跡機能と連携して、レプリカ合意アクティビティーと 389-ds-base のコンシューマー操作を関連付けるようになりました。

ACME サーバーに ES256 署名アルゴリズムのサポートが追加されました

以前は、Automatic Certificate Management Environment (ACME) サーバーは、JSON Web Key (JWK) 検証用の ES256 署名アルゴリズムをサポートしていませんでした。このアルゴリズムのサポートが欠けていたため、Caddy Web サーバーなどの特定のクライアントが、証明書を正常に取得できませんでした。

IdM 間の移行が利用可能になりました

以前はテクノロジープレビューとして提供されていた IdM 間の移行が、このリリースで完全にサポートされるようになりました。ipa-migrate コマンドを使用すると、SUDO ルール、HBAC、DNA 範囲、ホスト、サービスなど、すべての IdM 固有のデータを、ある IdM サーバーから別の IdM サーバーに移行できます。これは、たとえば、IdM を開発環境またはステージング環境から実稼働環境に移行する場合に役立ちます。

HSM は IdM で完全にサポートされるようになる

Hardware Security Modules (HSM) が、Identity Management (IdM) で完全にサポートされるようになりました。IdM 認証局 (CA) および Key Recovery Authority (KRA) のキーペアと証明書を HSM に保存できます。これにより、秘密鍵マテリアルに物理的なセキュリティーが追加されます。

複数の PKCS#11 トークンがある環境でのスマートカード認証が改善されました

SSSD のスマートカード認証が強化され、複数の PKCS#11 トークンが同時に挿入される環境で認証を処理できるようになりました。これにより、特に複数のユーザーアカウントが必要で、それぞれが異なる特権を持ち、多くの場合個別の PKI トークンに関連付けられている STIG 準拠の環境での認証が改善されます。

RootDSE の読み取りを制御する新しい SSSD オプション ldap_read_rootdse

この更新により、SSSD が新しいオプションである ldap_read_rootdse を提供するようになりました。これは、SSSD が LDAP サーバーから Root Directory Service Entry (RootDSE) を読み取る方法を制御するためのオプションです。デフォルトでは、SSSD はユーザーが認証する前に RootDSE を匿名で読み取ろうとします。しかし、このデフォルトの動作は、厳格なセキュリティーポリシーと競合する場合があります。厳格なセキュリティーポリシーは、通常、LDAP サーバーへのすべての匿名バインドを制限します。

UBI ベースの Toolbx コンテナーで OpenGL と Vulkan がデフォルトでサポートされています

この更新前は、OpenGL および Vulkan のサポートを有効にするには、Mesa 関連のパッケージを手動でインストールする必要がありました。これは直感的ではなく、ドキュメント化もされていませんでした。

cockpit がバージョン 344 にリベースされました

cockpit パッケージがバージョン 344 にリベースされました。RHEL 10.0 のバージョン 334 と比較して、次のような多くの改善と修正が行われています。

新しいサブパッケージ: cockpit-ws-selinux

cockpit_ws プロセスの SELinux ポリシーは、別のサブパッケージ cockpit-ws-selinux で提供されます。これにより、SELinux がインストールされていないシステムで RHEL Web コンソールを実行した場合に、コンソールが失敗することがなくなります。この変更が必要だった理由は、パッケージマネージャーが selinux_policy パッケージを依存関係としてインストールしてしまうためです。詳細は、システム上の cockpit_ws_selinux(8) man ページを参照してください。

最大保持期間パラメーターを設定するための変数 MaxRetention を導入しました

この更新により、ユーザーは journald の最大保持期間パラメーターを設定し、時間に基づいてジャーナルファイルを削除できるようになりました。この機能拡張により、特定のデータ保持ポリシーに従ってログデータを柔軟に管理できるようになりました。その結果、時間ベースのログ削除とサイズベースのログ削除の両方が可能になります。これは、データ保持要件への準拠に役立ち、過剰なログの保存を防ぐことでシステム全体のパフォーマンスを向上させます。

metrics ロールが追加の PCP PMDA の有効化をサポートするようになりました

この更新により、rhel-system-roles パッケージで、metrics システムロールに metrics_optional_domains 変数が追加されました。ドメインとは、データベース、特殊なハードウェア、アプリケーションなど、Performance Metrics Domain Agent (PMDA) によって管理されるメトリクスのセットです。追加の PMDA を有効にするには、この変数を使用します。このロールは、これらの PMDA を、デフォルトのセット (カーネルなど) と、ロールが明示的に管理する PMDA (SQL Server データベースなど) に追加します。その結果、ユーザーは特定のユースケースに必要なドメインを有効にできるようになり、データの収集と監視の柔軟性が向上します。

rhel-system-roles でデフォルトのカーネルを設定する機能

以前は、ユーザーはシステムの起動時にどのカーネルをデフォルトとして設定するかを指定できませんでした。この制限により、管理者は自動化を通じてデフォルトのカーネル選択を管理することができませんでした。

ad_integration RHEL システムロールが、SSSD ドメインセクションの命名を制御し、重複を統合できるようになりました

この更新により、ユーザーは、ad_dyndns_update および ad_integration_sssd_custom_settings パラメーターによって管理される、ドメインまたはレルム固有の設定用の SSSD 設定ファイルで使用するセクションの名前を制御できるようになりました。デフォルトでは、ad_integration ロールは ad_integration_realm 変数の小文字版を使用します。しかし、ユーザーが ad_integration_realm の実際の大文字/小文字をそのまま使用する必要がある場合は、新しいオプション ad_integration_sssd_realm_preserve_case = true を使用すると、レルムの大文字/小文字の区別を保持できます。これにより、SSSD 設定ファイル内に、そのレルムのセクションが複数存在することになる可能性があります。複数のセクションのすべての設定を、選択したセクションに統合するには、新しい ad_integration_sssd_remove_duplicate_sections 設定を使用します。これにより、ad_integration システムロールが、SSSD 設定ファイル内のドメインおよびレルムセクションを正しく管理できるようになります。

journald RHEL システムロールがディスク領域を監視できるようになりました

この更新により、journald.conf ジャーナルサービスで SystemKeepFree オプションを設定して、システムジャーナルの最大サイズを設定できるようになりました。これにより、システム全体の安定性とパフォーマンスが向上します。その結果、journald_system_keep_free 変数を使用してサイズ制限を設定できるようになりました。値はメガバイト単位で指定します。デフォルト値はありません。デフォルトでは、journald のデフォルト値が使用されます。

ad_integration ロールでパッケージのインストールを柔軟に行えるようになりました

以前は、ad_integration ロールは、realmd、sssd-ad、adcli など、__ad_integration_packages にリストされている多数の必須パッケージのインストールを常に試行していました。このロールの外部にある設定の管理、事前に作成されたイメージ、イミュータブルなシステムなどにより、外部システムがパッケージ管理を行っている環境では、このステップは冗長であり、望ましくないものでした。

firewall RHEL システムロールが、他のサービスもサポートするようになりました

この機能拡張により、firewall RHEL システムロールを使用して firewalld サービス定義を作成するときに、他のサービスを含めることができるようになりました。たとえば、http サービスと https サービスを含むサービス webserver を作成できます。その後、webserver サービスを有効にすると、firewalld が http および https サービスで定義されたポートを開きます。詳細は、firewalld RHEL システムロールを使用したカスタム firewalld サービスの作成 を参照してください。

podman ロールがあらゆる TOML 準拠の設定ファイルを生成するようになりました

この更新前は、現在の Jinja ベースのフォーマッターが、podman のあらゆる側面を設定するために必要なテーブルやインラインテーブルなど、多くの TOML 機能をサポートしていませんでした。この機能拡張により、単純な Jinja テンプレートではなく、正式な TOML フォーマッターを使用することで、TOML のすべての機能がサポートされるようになりました。その結果、podman ロールは、podman が使用できるあらゆる TOML 準拠の設定ファイルを生成できるようになりました。

メトリクスロールが Apache Spark メトリクスの収集とエクスポートをサポートするようになりました

以前は、ユーザーはメトリクスロールを使用して Apache Spark メトリクスを直接収集またはエクスポートすることはできませんでした。この更新により、rhel-system-roles パッケージに、Apache Spark からメトリクスを収集および更新するためのサポートが追加されました。次の 2 つの新しいブールパラメーターが導入されました。

rhel-system-roles.timesync ロールの使用時に、chronyd サービスを IPv4 のみで動作させることが可能になりました

この更新により、ノード上で IPv6 が無効な場合に、ユーザーが RHEL 10.1 上の chronyd 設定をカスタマイズできるようになりました。この機能拡張により、2 つの選択肢が提供されます。1 つは timesync ロールに設定を追加して IPv6 を無効にする方法、もう 1 つは chronyd の OPTIONS 値を設定するためのパラメーターを渡す方法です。これらの方法により、rhel-system-roles.timesync ロールの使用時に、chronyd サービスを IPv4 のみで動作させることが可能になりました。これにより、IPv6 が無効な環境で時刻同期の正確性と安定性が向上します。

ha_cluster RHEL システムロールがリソース定義をエクスポートできるようになりました

以前は、プリミティブ、グループ、クローンなどのクラスターリソースに関連する変数は、ha_cluster RHEL システムロールのエクスポート機能の対象外でした。そのため、このロールを使用して、既存のクラスターの設定の完全かつ再利用可能な定義を取得することが困難でした。

ha_cluster RHEL システムロールが、OS と pcsd の設定をエクスポートできるようになりました

以前は、ha_cluster RHEL システムロールを使用して既存のクラスターの設定をエクスポートすると、リポジトリー、ファイアウォール、SELinux 設定などの重要な OS レベルの設定がエクスポートに含まれていませんでした。その結果、定義が不完全なものになり、エクスポートされたデータからクラスターを完全に再作成することが困難でした。

virtio-mem が IBM Z で利用可能になりました

この更新により、準仮想化メモリーデバイスである virtio-mem を IBM Z ハードウェアで使用できるようになりました。virtio-mem を使用すると、仮想マシンのホストメモリーを動的に追加または削除できます。

IBM Z ホスト用の新しいコマンド: virsh hypervisor-cpu-models

この更新により、virsh hypervisor-cpu-models コマンドが導入されました。IBM Z アーキテクチャーでこのコマンドを使用すると、ハイパーバイザーが認識する CPU モデルを表示できます。

virt-v2v が NVMe ディスクを使用する VMware 仮想マシンを変換できるようになりました

この更新により、libvirt ツールセットが、VMware ハイパーバイザー上に作成された仮想マシン (VM) の設定を分析するときに、Non-volatile Memory Express (NVMe) ディスクを正しく検出できるようになりました。その結果、このような仮想マシンを、virt-v2v ユーティリティーを使用して KVM ハイパーバイザー用に変換できるようになりました。

NetKVM の高速初期化パラメーター 

この更新により、NetKVM ドライバーに高速初期化 (FastInit) パラメーターが追加されます。このパラメーターを有効にすると、ドライバーが必要なメモリーブロックの一部だけを仮想キューに割り当てた後、カーネルに準備完了を通知するようになります。残りのメモリーブロックはバックグラウンドで初期化されます。 

virtio-mem が Windows 仮想マシンで使用可能になりました

この更新により、RHEL 10 ホスト上で実行されている Windows 仮想マシン (VM) で、準仮想化メモリーデバイスである virtio-mem が使用できるようになりました。virtio-mem デバイスを使用すると、仮想マシンのホストメモリーを動的に追加または削除できます。

IBM Z ゲスト向けのパフォーマンスが強化された PCI 変換

この更新により、IBM Z ホスト上の仮想マシン (VM) が、PCI デバイスに対して ID-mapped 型のダイレクトメモリーアクセス (DMA) を使用できるようになりました。この機能により、PCI デバイスパススルーのパフォーマンスが大幅に向上します。この機能を使用するには、システムを次のように設定する必要があることに注意してください。

virtio ベースのキーボードドライバーの改善

この更新により、新しい virtio ベースのキーボードドライバーが導入され、特にファームウェアセットアップ画面と GRUB ブートローダーで、仮想マシン内での早期キーボード入力の捕捉が可能になりました。

仮想マシンライブマイグレーション用の新しいオプション: --available-switchover-bandwidth

virsh migrate --live コマンドを使用して仮想マシン (VM) をライブマイグレーションする場合、--available-switchover-bandwidth オプションを追加できるようになりました。これにより、プリコピープロセスにおいて、マイグレーションが宛先ホストに切り替わる際の帯域幅を指定できます。デフォルトでは、ハイパーバイザーが利用可能な帯域幅を自動的に測定します。しかし、この自動測定では、ライブマイグレーションの正常な完了を確実に保証できない場合があります。そのような場合、--available-switchover-bandwidth を使用すると、問題を解決できます。

仮想マシンが MSDM ACPI テーブルを使用できるようになりました

一部の Windows ゲストオペレーティングシステムでは、ライセンスをアクティブ化するために、ゲストを Microsoft Data Management (MSDM) Advanced Configuration and Power Interface (ACPI) テーブルで設定する必要があります。この目的のために、RHEL でホストされている仮想マシン (VM) に MSDM ACPI テーブルを設定できるようになりました。これを行うには、仮想マシンの XML 設定で次の行を使用します。

UEFI 仮想マシンのファームウェア設定画面を無効にする機能のサポート

この更新により、UEFI 仮想マシン (VM) のファームウェア設定画面をブロックする新しい機能が QEMU に追加されました。ファームウェア設定画面をブロックすると、ファームウェア設定アプリケーションへの不正アクセスを防ぎ、許可されたデバイスからのみ仮想マシンを起動できます。

ホストシャットダウン時の仮想マシンアクションのきめ細かな設定

この更新により、ホストのシャットダウン時に仮想マシン (VM) を処理する方法について、libvirt ドライバーを設定できるようになりました。たとえば、ホストのシャットダウン時に仮想マシンメモリーを保存するように設定し、ホストの起動時に保存されたメモリーから仮想マシンが自動的に起動するように設定できます。具体的な設定オプションは、/etc/libvirt/virtqemud.conf ファイルの auto_shutdown パラメーターを参照してください。 

新しい QEMU 設定パラメーター: migrate_tls_priority

この更新により、/etc/libvirt/qemu.conf ファイルで migrate_tls_priority パラメーターを設定できるようになりました。このパラメーターを使用すると、仮想マシンのライブマイグレーション時に TLS に関する QEMU の問題を回避できます。ご使用の環境でデフォルト設定が機能しない場合は、設定すべき推奨値を入手するために、Red Hat カスタマーサポートにお問い合わせください。

64 ビット ARM ホスト上の仮想マシンの新機能

64 ビット ARM アーキテクチャー (aarch64) を使用する RHEL ホスト上の仮想マシンでは、次の機能がサポートされるようになりました。

ダイレクトカーネルブートが SecureBoot 仮想マシンでサポートされるようになりました

この更新により、SecureBoot 機能が設定された仮想マシン (VM) で、ダイレクトカーネルブートを設定できるようになりました。これを行うには、次のように、仮想マシンの XML 設定で <shim> パラメーターを使用します。 

virtio-scsi デバイスにおける複数の I/O スレッドのサポート

この更新により、単一の virtio-scsi デバイスに対して複数の I/O スレッドを設定できるようになりました。これを行うには、デバイスが割り当てられている仮想マシンの XML 設定で <iothreads> パラメーターを使用します。これにより、仮想 SCSI デバイスのパフォーマンスとスケーラビリティーを微調整するための追加の選択肢が提供されます。

対象となる RHEL イメージの自動登録の強化

この更新により、対象マーケットプレイスの対象イメージに基づいて作成された RHEL インスタンスが、Red Hat Update Infrastructure (RHUI) ではなく、Red Hat コンテンツ配信ネットワーク (CDN) からコンテンツと更新を自動的に受信するようになりました。RHUI リポジトリーはデフォルトでオフになっています。

Azure 機密仮想マシンで RHEL が利用可能になりました

RHEL 機密仮想マシン (CVM) イメージを使用して、Microsoft Azure 上で RHEL CVM を作成して実行できます。このイメージは、Azure の Confidential OS ディスク暗号化機能により、完全なディスク暗号化をサポートしています。

新しいパッケージ: azure-vm-utils

この更新により、Microsoft Azure 上のゲストオペレーティングシステムとして RHEL 10 を使用するエクスペリエンスを最適化するためのユーティリティー群と udev ルール集を提供する azure-vm-utils パッケージが追加されました。

sos が、サポート診断の改善のために Satellite メトリクスファイルを収集するようになりました

sos の foreman-installer プラグインが、/var/lib/foreman-maintain/ ディレクトリーにある satellite_metrics.yml ファイルを収集するようになりました。これにより、Satellite のどの機能がどの程度使用されているかを把握できます。

新しい rhel10/valkey-8 コンテナーイメージが RHEL で一般提供になりました

新しく利用可能になった rhel10/valkey-8 コンテナーイメージでは、アトミック操作が可能であり、文字列、ハッシュ、リスト、セット、ソート済みセットなどのさまざまなデータ型がサポートされています。このイメージは、インメモリーのデータセットを使用するため、高いパフォーマンスを実現します。このデータセットは、ディスクに保存することも、ログにコマンドを付加することで保存することもできます。

再現可能なコンテナービルドのサポートが向上しました

再現可能なビルドにより、特定の入力セットから一貫して同じ出力が生成されるようになります。この機能拡張は、これまでコンテナーイメージビルドの再現性を複雑にしていたいくつかの要因に対処するものです。-source-date-epoch と -rewrite-timestamp を使用すると、ビルドの再現性が向上し、$SOURCE_DATE_EPOCH の設定や検索などの一般的なプラクティスとの整合性が向上します。ただし、完全な再現性を保証することはできません。

Podman RESTFUL API の新しいアーティファクトエンドポイント

Podman RESTFUL API に新しいアーティファクトエンドポイントが追加され、OCI アーティファクトをプログラムによって管理できるようになりました。この機能拡張により、OCI アーティファクトの操作を既存のシステムやスクリプトに統合することが容易になります。

Container Tools パッケージが更新されました

Podman、Buildah、Skopeo、crun、runc ツールを含む、更新された Container Tools RPM メタパッケージを利用できます。Buildah パッケージはバージョン v1.41.0 に更新され、Skopeo はバージョン 1.20.0 に更新されました。

ADD および COPY 命令が、--link オプションをサポートするようになりました

Buildah と Podman が、Containerfiles 内の ADD および COPY 命令の --link フラグをサポートするようになりました。このフラグを使用すると、ビルドされるイメージに新しいコンテンツが独立したレイヤーとして追加されます。

StrictForwardPorts が firewalld で利用可能になりました

/etc/firewalld/firewalld.conf 設定ファイルの StrictForwardPorts オプションが yes に設定されている場合、Podman からのポート転送ができなくなり、-p または -P オプションを使用してコンテナーまたは Pod を起動しようとするとエラーが返されます。ポート転送はすべて firewalld を使用して行う必要があります。これにより、コンテナーが管理者の介入なしにファイアウォールを通過するトラフィックを許可できなくなります。詳細は、netavark-firewalld man ページを参照してください。

新しい rhel10/nodejs-24 および rhel10/nodejs-24-minimal コンテナーイメージが利用可能になりました

リアルタイムの registry.redhat.io/rhel10/nodejs-24 および registry.redhat.io/rhel10/nodejs-24-minimal コンテナーイメージが、Red Hat Container Registry で利用可能になりました。

RHEL Image Mode が、実行時のルートレベルのディレクトリーとシンボリックリンクの作成をサポートするようになりました

このリリースでは、RHEL Image Mode を使用して、システムのデプロイ後にルートレベルのディレクトリーとシンボリックリンクを作成してから、ファイルシステムを読み取り専用モードに戻すことができます。その結果、ファイルシステムの要件がそれぞれ異なる複数のデプロイメント環境で、単一のベースイメージを使用できるようになります。

bootc-image-builder がデフォルトでローカルコンテナーストレージを使用します

このリリースでは、bootc-image-builder ツールはデフォルトでローカルモードで動作するようになりました。つまり、リモートレジストリーからコンテナーイメージをプルしなくなりました。ディスクイメージをビルドするには、ディスクイメージをビルドする前に、システムのローカルコンテナーレジストリーにベース bootc コンテナーイメージを事前にロードする必要があります。自動イメージプルに依存する既存のワークフローがある場合は、そのワークフローを更新する必要があります。この変更により、ビルドプロセス中の外部ネットワークへの依存が減り、セキュリティーが向上します。

コマンドラインアシスタントが Image Mode for RHEL をサポートするようになりました

この機能拡張により、Containerfile をカスタマイズして command-line-assistant パッケージを追加し、コンテナーイメージからディスクイメージを作成し、そのイメージを使用してシステムを起動できるようになりました。その結果、システムイメージにコマンドラインアシスタントがプリインストールされた状態になります。コマンドラインアシスタントは、subscription-manager でシステムを登録した後に使用できるようになります。

コマンドラインアシスタントの入力コンテキスト制限が 32KB に増加しました

この更新前は、コマンドラインアシスタントには 2 KB の入力コンテキスト制限があり、入力がこの制限を超えると機能しませんでした。その結果、ユーザーエクスペリエンスが制限され、2 KB の入力コンテキスト制限により十分なログ分析が不可能でした。このリリースでは、コマンドラインアシスタントの入力コンテキスト制限が 2 KB から 32 KB に増加されました。その結果、コマンドラインアシスタントがより大きな入力コンテキストをサポートするようになり、ログ分析と潜在的な問題の検出が向上しました。

RHEL Lightspeed コマンドラインアシスタントのエラー処理と終了コードが改善されました

この機能拡張により、コマンドラインアシスタントで、次のようなエラー処理と終了コードが改善されました。

コマンドラインアシスタントの -w オプションで現在の出力が表示されます

この更新前は、現在の enable-capture モードを使用せずに -w オプションを使用しようとすると、コマンドラインアシスタントによって以前のセッションの出力が誤って表示されていました。この更新により、-w オプションから出力が行われる前に、ターミナルキャプチャーログファイルが能動的に検証されるようになりました。その結果、前述の問題が修正され、表示される出力が正確になりました。

アクセラレータードライバーを Red Hat から入手可能になりました

RHEL 10.1 では、NVIDIA の CUDA や AMD の ROCm など、サードパーティー製アクセラレータードライバーとコンピュートスタックを Red Hat から直接インストールできます。カーネルドライバーは Red Hat インフラストラクチャー内で構築および署名されており、セキュアブートに対応しています。さらに、新しい AppStream コンポーネント rhel-drivers により、これらのサードパーティー製ドライバーのインストールが容易になり、既存の dnf 更新プロセスを通じて定期的に更新されるようになります。

rhel-drivers により、サードパーティー製ドライバーのインストールが簡素化されました

RHEL 10.1 では、rhel-drivers インストーラーが導入されています。これは AppStream リポジトリーで利用可能です。このツールを使用すると、統一されたコマンドラインインターフェイスを使用して、GPU および AI アクセラレーター用のサードパーティー製ハードウェアドライバーをより簡単にインストールできます。rhel-drivers ツールは、RHEL Extensions および Supplementary チャネルから直接パッケージを取得することで、NVIDIA カーネルモジュールや CUDA ライブラリーなどの複雑なドライバースタックのインストールを管理します。

osbuild-composer および composer-cli に代わる image-builder-cli (テクノロジープレビュー)

このリリースでは、新しい image-builder-cli パッケージをインストールして使用し、1 回のコマンドでイメージをビルドできます。この新しいツールはコンテナーをサポートしており、他のイメージのビルドに使用できるコンテナーイメージを作成する際のユーザーエクスペリエンスを強化します。この機能はテクノロジープレビュー機能です。詳細は、RHEL Image Builder のインストール を参照してください。

Sequoia PGP によるパッケージの署名のサポートがテクノロジープレビューとして利用可能になる

パッケージの署名に GnuPG ではなく Sequoia PGP を使用するように RPM を設定する macros.rpmsign-sequoia マクロファイルが、テクノロジープレビューとして利用できるようになりました。使用を有効にするには、次の手順を実行します。

RHEL 10.1 では、aarch64 上の ReaR をテクノロジープレビューとして利用できます

RHEL 10.1 では、64 ビット ARM アーキテクチャー (aarch64) 用の Relax and Recover (ReaR) パッケージがテクノロジープレビューとして導入されています。ReaR は、バックアップからシステムを復元するために使用できる起動可能なイメージを生成する障害復旧ツールです。現在、aarch64 上の ReaR では、ISO、USB、PXE の各出力方式を使用できます。

ARM64 上の Red Hat Enterprise Linux for Real Time がテクノロジープレビューとして利用可能になる

このテクノロジープレビューにより、Red Hat Enterprise Linux for Real Time が ARM64 に対応しました。ARM64 は、4k および 64k ARM カーネルの両方で ARM (AARCH64) 上で有効化されます。

ublk_drv ドライバーがテクノロジープレビューとして利用可能になる

ublk_drv カーネルモジュールがテクノロジープレビューとして有効になりました。これは、ユーザー空間から高性能なブロックデバイスを作成および構築できる ublk フレームワークを提供します。現在、ublk が効果的に機能するには、Userspace Block Driver (ublksrv) または Rust ベースの ublk (rublk) などのユーザー空間実装が必要です。

TLS を使用した NVMe/TCP がテクノロジープレビューとして利用可能になる

事前共有キー (PSK) で設定された TLS を使用した、TCP (NVMe/TCP) 経由の Non-volatile Memory Express (NVMe) ネットワークトラフィックの暗号化が、RHEL 10.0 でテクノロジープレビューとして追加されました。手順については、事前共有キーによる TLS を使用した NVMe/TCP ホストの設定 を参照してください。

xfs_scrub ユーティリティーがテクノロジープレビューとして利用可能になる

テクノロジープレビューとして xfs_scrub ユーティリティーを使用すると、マウントされた XFS ファイルシステム上のすべてのメタデータを確認できます。これは、マウントされていない XFS ファイルシステムの xfs_repair -n コマンドと同様に機能します。詳細は、システムの xfs_scrub(8) man ページを参照してください。現在、RHEL 10 カーネルではスクラブ機能のみが使用可能であり、オンライン修復は有効になっていないことに注意してください。

XFS ファイルシステムの限定的な縮小がテクノロジープレビューとして利用可能になる

テクノロジープレビューとして xfs_growfs ユーティリティーを使用すると、XFS ファイルシステムのサイズを縮小できます。次の条件がすべて満たされている場合は、xfs_growfs を使用して、ファイルシステムの末尾からブロックを削除できます。

システムページより大きいブロックを持つ XFS ファイルシステムのマウントが、テクノロジープレビューとして利用可能になる

システムページサイズよりも大きいブロックサイズで作成された XFS ファイルシステムをテクノロジープレビューとしてマウントできるようになりました。たとえば、16 KB ブロックのファイルシステムを、x86_64 などの 4 KB ページサイズのシステムにマウントできるようになりました。

io-uring インターフェイスがテクノロジープレビューとして利用可能になる

非同期 I/O インターフェイスである io_uring は、テクノロジープレビューとして利用できます。デフォルトでは、この機能は RHEL 10 では無効になっています。kernel/io_uring_disabled 変数を設定することで、このインターフェイスを有効化できます。

Node.js 24 がテクノロジープレビューとして利用可能になりました

新しい nodejs24 コンポーネントが、Red Hat Enterprise Linux 10.1 のテクノロジープレビューとして利用可能です。今回の更新で導入される Node.js 24 には、RHEL 10.0 の Node.js 22 と比較して、新機能、バグ修正、セキュリティー更新、パフォーマンス向上が含まれています。

eu-stacktrace がテクノロジープレビューとして利用可能になる

バージョン 0.192 以降、elfutils パッケージを通じて配布されている eu-stacktrace ユーティリティーは、テクノロジープレビュー機能として利用できます。eu-stacktrace は、elfutils ツールキットのアンワインドライブラリーを使用して、フレームポインターのないスタックサンプルデータをアンワインドするサンプリングプロファイラーをサポートするプロトタイプユーティリティーです。

IdM デプロイメントにおける DNS over TLS (DoT) がテクノロジープレビューとして利用可能になる

DNS over TLS (DoT) を使用した暗号化された DNS が、Identity Management (IdM) デプロイメントのテクノロジープレビューとして利用できるようになりました。DNS クライアントと IdM DNS サーバー間のすべての DNS クエリーと応答を暗号化できるようになりました。

DNSSEC が IdM でテクノロジープレビューとして利用可能になる

統合 DNS のある Identity Management (IdM) サーバーは、DNS プロトコルのセキュリティーを強化する DNS に対する拡張セットである DNS Security Extensions (DNSSEC) を実装するようになりました。IdM サーバーでホストされる DNS ゾーンは、DNSSEC を使用して自動的に署名できます。暗号鍵は、自動的に生成およびローテートされます。

DoT による暗号化された DNS が、IdM の ansible-freeipa インストールでテクノロジープレビューとして利用可能になりました

Ansible を使用して、DNS クライアントと Identity Management (IdM) DNS サーバー間のすべての DNS クエリーと応答を暗号化できるようになりました。DNS over TLS (DoT) による暗号化された DNS は、RHEL 10 から IdM 環境でテクノロジープレビューとして利用可能になりました。RHEL 10.1 では、この機能は freeipa.ansible_freeipa コレクションのテクノロジープレビューとして利用できます。

RHEL ホストで TDX がテクノロジープレビューとして利用可能になりました

テクノロジープレビューとして、RHEL ホストで Trust Domain Extensions (TDX) を有効にできます。TDX はハードウェアベースのセキュリティー機能です。仮想マシンに強力なメモリー暗号化および整合性保護機能を提供し、仮想マシンをハイパーバイザーやその他のシステムソフトウェアから分離します。

VDUSE が RHEL のネットワーク向けにテクノロジープレビューとして利用可能になりました

virtio Data Path Acceleration (vDPA) デバイスをユーザー空間で実現する機能 (VDUSE) が、RHEL のネットワーク向けにテクノロジープレビューとして利用可能になりました。VDUSE は、vDPA デバイス専用のユーザー空間を割り当てる Linux カーネルメカニズムです。このメカニズムにより、ユーザー空間のプロセスが、NIC やブロックデバイスなどの virtio-class デバイスを、管理された方法でカーネルに登録できるようになります。その結果、標準の vDPA または virtio インターフェイスを介して、仮想マシンまたはホスト上でデバイスを使用できるようになりました。

KVM 仮想マシン用の AMD SEV、SEV-ES、SEV-SNP がテクノロジープレビューとして利用可能になる

テクノロジープレビューとして、RHEL は、KVM ハイパーバイザーを使用する AMD EPYC ホストマシンに Secure Encrypted Virtualization (SEV) 機能を提供します。仮想マシンで有効になっている場合は、SEV が仮想マシンのメモリーを暗号化して、ホストから仮想マシンへのアクセスを防ぎます。これにより、仮想マシンのセキュリティーが強化されます。

ネストされた仮想マシンの作成

ネストされた KVM 仮想化が、RHEL 10 を搭載した Intel、AMD64、および IBM Z ホスト上で稼働する KVM 仮想マシン (VM) 用のテクノロジープレビューとして提供されています。この機能を使用すると、物理 RHEL 10 ホスト上で稼働する RHEL 7、RHEL 8、または RHEL 9 仮想マシンをハイパーバイザーとして機能させ、独自の仮想マシンをホストできます。

新しいパッケージ: trustee-guest-components

この更新により、テクノロジープレビューとして trustee-guest-components パッケージが追加されました。これにより、機密仮想マシンが自身を証明し、Trustee サーバーから機密リソースを取得できるようになります。

仮想ソケットから TCP へのブリッジがテクノロジープレビューとして利用可能になりました

テクノロジープレビューとして、仮想ソケット (vsock) から TCP へのブリッジを使用できます。このブリッジを使用すると、IP ネットワークを設定することなく、SSH などの仮想マシン (VM) サービスをホストマシンにセキュアに公開できます。

RHEL ホストで SEV-SNP がテクノロジープレビューとして利用可能になりました

テクノロジープレビューとして、RHEL ホストで Secure Encrypted Virtualization‑Secure Nested Paging (SEV‑SNP) を有効にできます。SEV‑SNP はハードウェアベースのセキュリティー機能です。仮想マシンに強力なメモリー暗号化および整合性保護機能を提供し、仮想マシンをハイパーバイザーやその他のシステムソフトウェアから分離します。

ARM 仮想マシンの CCA がテクノロジープレビューとして利用可能になりました

RHEL 10.1 仮想マシン (VM) では、テクノロジープレビューとして Confidential Compute Architecture (CCA) を有効にできます。Realm Management Extension (RME) を基盤として構築された CCA は、仮想マシン内でデータが使用されている間、そのデータのプライバシーを維持するのに役立ちます。

zstd:chunked の部分プルがテクノロジープレビューとして利用可能になる

zstd:chunked 形式で圧縮されたコンテナーイメージの変更された部分のみをプルできるため、ネットワークトラフィックと必要なストレージが削減されます。/etc/containers/storage.conf ファイルに enable_partial_images = "true" 設定を追加することで、部分的なプルを有効にすることができます。この機能はテクノロジープレビューとして利用できます。

podman artifact コマンドがテクノロジープレビューとして利用可能になる

コマンドラインレベルで OCI アーティファクトを使用するために使用できる podman artifact コマンドが、テクノロジープレビューとして利用できます。さらに詳しい情報については、man ページを参照してください。

podman network create の vrf オプションがテクノロジープレビューとして利用可能になる

podman network create コマンドは、テクノロジープレビューとして、--opt オプションの vrf 値を提供するようになりました。vrf 値は、ブリッジインターフェイスに Virtual Routing and Forwarding (VRF) インスタンスを割り当てます。VRF の名前を受け入れ、デフォルトは none になります。

Podman と Docker API の互換性がテクノロジープレビューとして利用可能になりました

Podman は、テクノロジープレビューとして次の Docker API バージョンをサポートしています。

cockpit-composer パッケージが削除されました

cockpit-composer パッケージが削除され、サポートされなくなりました。今後は cockpit-image-builder を使用してください。

RHEL 10 の boot.iso から gdisk が削除されました

gdisk パーティションユーティリティーは、RHEL 10 の boot.iso イメージタイプから削除されました。キックスタートでは引き続き gdisk を使用できます。boot.iso イメージタイプの場合、parted ユーティリティーなど、GPT ディスクを処理するための他のツールを利用できます。

ネットワークチームドライバーが削除される

teamd サービスと libteam ライブラリーは Red Hat Enterprise Linux 10 で削除されました。ネットワークチームの代わりにボンディングを設定してください。

32 ビット ARM および MIPS バックエンドが llvm から削除されました 

RHEL 10.1 の llvm パッケージで、32 ビット ARM および MIPS バックエンドが削除されました。この変更により、ツールチェーンのビルド時間とメンテナンスの手間が削減されます。これらのバックエンドが必要な場合は、代替のビルドターゲットまたは以前のパッケージバージョンを使用する必要があります。

389-ds-base からリファラルモードが削除されました

この更新前は、Directory Server がリファラルモードでのサーバーの起動をサポートしていました。しかし、安定性の問題により、この機能はサポートされなくなり、削除されました。

nsslapd-subtree-rename-switch が 389-ds-base から削除されました

この更新前は、データベース内のサブツリー間でエントリーを移動できないように Directory Server を設定できました。安定性の問題のため、この機能は削除されました。したがって、nsslapd-subtree-rename-switch パラメーターは存在しなくなりました。

mssql_accept_microsoft_odbc_driver_17_for_sql_server_eula 変数が非推奨となる

RHEL の今後のメジャー更新では、ロールが mssql_tools バージョン 17 および 18 の odbc ドライバーをインストールできるようになるため、mssql_accept_microsoft_odbc_driver_17_for_sql_server_eula 変数は mssql システムロールでサポートされなくなります。したがって、代わりにバージョン番号なしの mssql_accept_microsoft_odbc_driver_for_sql_server_eula 変数を使用する必要があります。

ライブ仮想マシンダンプがサポートされなくなりました

この更新により、virsh dump コマンドの -- live オプションがサポートされなくなりました。--live オプションを指定した virsh dump を使用して仮想マシンダンプを作成しようとすると、コマンドが失敗します。

squashfs パッケージが非推奨となる

squashfs パッケージは非推奨となり、今後の RHEL のメジャーリリースで削除される予定です。代わりに、dracut が erofs のマウントをサポートしています。

module のキックスタートコマンドが非推奨となる

Anaconda は DNF モジュール性のサポートを非推奨とし、その結果、module キックスタートコマンドも非推奨となりました。キックスタートファイルの %packages セクションまたは module キックスタートコマンドでモジュールを使用している場合は、この影響を受ける可能性があります。この変更は、インストールプロセスを簡素化し、今後より一貫したエクスペリエンスを確保するために実装されています。

inst.gpt ブートオプションが非推奨となる

inst.gpt ブートオプションは非推奨となり、今後のリリースでは削除される予定です。優先するディスクラベルタイプを指定するには、inst.disklabel ブートオプションを使用します。GPT または MBR ディスクラベルを作成するには、gpt または mbr を指定します。

oqsprovider と liboqs が非推奨となりました

OpenSSL 3.0 用に耐量子計算機暗号 (PQC) を提供していた oqsprovider および liboqs パッケージが非推奨となりました。これらは今後のメジャーリリースで削除される可能性があります。代わりに、OpenSSL 3.5 が提供する PQC 機能を使用してください。

crypto-policies の X25519-MLKEM768 が非推奨となり、MLKEM768-X25519 という値へのエイリアスになりました

システム全体の暗号化ポリシーの X25519-MLKEM768 値が非推奨となり、MLKEM768-X25519 という値へのエイリアスになりました。これにより、結合順序が統一され、どちらの表記も機能するようになりました。

OpenSSL の ENGINE API が非推奨となる

RHEL 10 では、ENGINE API は非推奨となり、今後のメジャーリリースで削除される予定です。ENGINE API を使用して新しいアプリケーションを構築しないでください。アプリケーションバイナリーインターフェイス (ABI) と既存のアプリケーションの動作を維持するために、OpenSSL は引き続き ENGINE シンボルをエクスポートします。新しいアプリケーションが ENGINE API を使用しないようにするために、OpenSSL はシステム全体で OPENSSL_NO_ENGINE フラグを設定し、ENGINE API を公開するヘッダー engine.h が削除されました。

GnuTLS の crypto-policies で allow-rsa-pkcs1-encrypt = false が設定されるようになる

RHEL 10 では、GnuTLS ライブラリーがデフォルトで RSA PKCS #1 v1.5 パディングによる暗号化と復号化をブロックします。LEGACY ポリシーを除き、すべてのシステム全体の暗号化ポリシー (DEFAULT、FUTURE、および FIPS) で allow-rsa-pkcs1-encrypt = false オプションが指定されます。

FIPS モードの HMAC-SHA-1 が非推奨となる

HMAC-SHA-1 暗号化アルゴリズムは FIPS モードでは非推奨となり、今後のリリースで削除される可能性があります。FIPS モード外では、HMAC-SHA-1 のサポートが維持されます。

モジュール機能が非推奨となりました

RHEL 10 では、モジュール機能は非推奨となり、今後のメジャーリリースで削除される予定です。そのため、DNF module コマンドで非推奨の警告が表示されます。

FTP クライアントおよびサーバーソフトウェアが非推奨になる

以下の FTP クライアントおよびサーバーソフトウェアは非推奨であり、RHEL の将来のメジャーバージョンで削除される予定です。

ipset がメンテナンス対象外に

RHEL 10 では、ipset ユーティリティーがメンテナンス対象外となり、今後のメジャーリリースで削除される予定です。現行のリリースライフサイクルにおいて、Red Hat は重大なバグ修正のみ提供します。ipset の代わりに、nftables セット機能を使用できます。

BIND auto-dnssec パラメーターが非推奨となりました

RHEL 9.7 以降、BIND auto-dnssec パラメーターは非推奨となりました。これは今後のリリースで削除される予定です。代わりに、dnssec-policy パラメーターを使用して、完全な Key and Signing Policy (KASP) を指定してください。これにより、関連するすべての設定を単一の直感的なブロックにまとめることができます。

squashfs パッケージが非推奨となる

SquashFS は非推奨となり、次のメジャーリリースで削除される予定です。今後は機能拡張が行われず、Red Hat 内部の特定のユースケース向けに RHEL 10 に含まれています。代替ソリューションとして EROFS の使用を検討してください。

High Availability Add-On 機能が非推奨となる

以下の機能は、Red Hat Enterprise Linux 10 で非推奨となり、次のメジャーリリースで削除される予定です。

GCC Toolset 15 環境スクリプトが Software Collections (scl-enable) に置き換わりました

以前は、Red Hat Enterprise Linux 上の GCC Toolset 15 の開発環境を管理するために、scl enable gcc-toolset-15 <command> コマンドが使用されていました。RHEL 10 では、Software Collections はこの目的で使用されなくなりました。その結果、scl enable オプションは gcc-toolset-15 で機能しなくなりました。

glibc の utmp および utmpx インターフェイスが非推奨となる

glibc ライブラリーによって提供される utmp および utmpx インターフェイスには、Unix エポックからの時間をカウントするカウンターが含まれています。このカウンターは 2106 年 2 月 7 日にオーバーフローする予定です。したがって、utmp と utmpx は、RHEL 10 では非推奨となり、RHEL 11 では削除される予定です。

RHEL Web コンソールのホストスイッチャーが非推奨となる

単一の RHEL Web コンソールセッションから SSH を介して複数のマシンへの接続を提供するホストスイッチャーは非推奨となり、デフォルトで無効になっています。Web テクノロジーの制限により、この機能はセキュアではありません。

sshd 変数は非推奨となり、sshd_config に置き換わる

RHEL システムロール全体でコーディング標準を統一するために、sshd 変数が sshd_config 変数に置き換えられました。sshd 変数は非推奨となり、RHEL の今後のメジャーバージョンで sshd Ansible ロールから削除される可能性があります。

特定の IBM z16 CPU 機能が非推奨になりました

この更新により、IBM z16 KVM 仮想マシン用の te および cte CPU 機能が非推奨になりました。なお、CPU モデルが host-model である仮想マシンを IBM z16 ホストから IBM z17 ホストに移行する場合、CPU 機能の設定を調整する必要はありません。

rtl8139 NIC が仮想マシンで非推奨となりました

この更新により、rtl8139 ネットワークインターフェイスコントローラータイプが非推奨となりました。今後の RHEL メジャーリリースでは、仮想マシンでこのタイプを使用することがサポートされなくなる予定です。ホストで virtio 以外の NIC タイプを使用する必要がある場合は、代わりに e1000 または e1000e NIC を使用してください。

libslirp が非推奨となる

RHEL 10 では、libslirp ネットワークバックエンドは非推奨となり、今後のメジャーバージョンリリースで削除される予定です。

i440fx 仮想マシンタイプが非推奨となる

RHEL 10 では、仮想マシン (VM) の i440fx マシンタイプは非推奨となり、RHEL の今後のメジャーバージョンでは削除される予定です。

レガシー仮想 CPU モデルが非推奨に

いくつかの仮想 CPU モデルが非推奨になり、RHEL の将来のメジャーリリースで仮想マシンでの使用がサポートされなくなります。非推奨モデルには以下が含まれます。

virt-manager が非推奨になる

Virtual Machine Manager アプリケーション (virt-manager) は非推奨になりました。RHEL Web コンソール (Cockpit) は、後続のリリースで置き換えられる予定です。したがって、GUI で仮想化を管理する場合は、Web コンソールを使用することが推奨されます。ただし、virt-manager で利用可能な機能によっては、RHEL Web コンソールで利用できない場合があります。

libvirtd が非推奨になる

モノリシック libvirt デーモン libvirtd は、RHEL 9 で非推奨になり、RHEL の将来のメジャーリリースで削除される予定です。ハイパーバイザーで仮想化を管理するために libvirtd を引き続き使用できることに注意してください。ただし、Red Hat では、新しく導入されたモジュラー libvirt デーモンに切り替えることを推奨します。手順と詳細は、RHEL 9 の仮想化の設定と管理 に関するドキュメントを参照してください。

SHA1 ベースの署名を使用した SecureBoot イメージ検証が非推奨になる

UEFI (PE/COFF) 実行ファイルでの SHA1 ベースの署名を使用した SecureBoot イメージ検証の実行は非推奨になりました。代わりに、Red Hat は、SHA-2 アルゴリズムまたはそれ以降に基づく署名を使用することを推奨します。

仮想フロッピードライバーが非推奨になりました

仮想フロッピーディスクデバイスを制御する isa-fdc ドライバーが非推奨になり、今後の RHEL ではサポートされなくなります。そのため、移行した仮想マシン (VM) との前方互換性を確保するために、Red Hat では、RHEL 10.1 でホストされている仮想マシンでフロッピーディスクデバイスを使用しないことを推奨しています。

qcow2-v2 イメージ形式が非推奨になりました

RHEL 10.1 で、仮想ディスクイメージの qcow2-v2 形式が非推奨になりました。この形式は、今後の RHEL メジャーリリースでサポートされなくなります。また、RHEL 10.1 の Image Builder では、qcow2-v2 形式のディスクイメージを作成できません。

tzdata パッケージが最小コンテナーイメージではデフォルトでインストールされなくなる

tzdata パッケージは、registry.access.redhat.com/ubi10-minimal コンテナーイメージにインストールされなくなりました。その結果、以前の RHEL リリースから RHEL 10.0 に最小限のコンテナービルドを移行し、tzdata パッケージを再インストールするために microdnf reinstall tzdata コマンドを入力すると、tzdata パッケージがデフォルトでインストールされなくなったため、エラーメッセージが表示されます。この場合は、microdnf install tzdata コマンドを入力して tzdata をインストールします。

Podman v5.0 の非推奨化

RHEL 10.0 では、Podman v5.0 で以下が非推奨となりました。

podman-tests パッケージが非推奨となる

podman-tests パッケージは、AppStream リポジトリーで非推奨となりました。このパッケージは、CodeReady Linux Builder (CRB) で利用できるようになりました。CRB リポジトリーの詳細は、https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/9/html/package_manifest/repositories#CodeReadyLinuxBuilder-repository を参照してください。

nodejs-18 と nodejs-18-minimal が非推奨に

nodejs-18 および nodejs-18-minimal コンテナーイメージは非推奨となり、今後は機能は更新されません。代わりに nodejs-22 と nodejs-22-minimal を使用してください。

クラッシュダンプがデフォルトで実行されない

RHEL Image Mode を使用したデフォルトのインストール方法では、クラッシュダンプがデフォルトで実行されません。これは、crashkernel= カーネル引数が設定されていないためです。この問題を回避するには、ビルド時またはインストール時に crashkernel= カーネル引数を設定します。

Podman と bootc は同じレジストリーログインプロセスを共有しない

Podman と bootc は、イメージをプルするときに異なるレジストリーログインプロセスを使用します。その結果、Podman を使用してイメージにログインすると、そのイメージでは bootc のレジストリーへのログインが機能しなくなります。Image Mode for RHEL システムをインストールし、次のコマンドを使用して registry.redhat.io にログインします。

cloud-init の growpart は、composefs が有効な場合にスキップされる

composefs が有効な場合に汎用ベースイメージからイメージを生成すると、rootfs がファイルシステムを拡張せず、次のようなエラーが表示されます。

署名されたコンテナーから ISO を構築できません

GPG または単純な署名付きコンテナーから ISO ディスクイメージをビルドしようとすると、次のようなエラーが発生します。

暗号化された DNS とブートオプションのカスタム CA でホスト名の解決が失敗する

カーネルコマンドラインで inst.repo= または inst.stage2= ブートオプションを使用し、キックスタートファイルでリモートインストール URL、暗号化された DNS、カスタム CA 証明書を指定すると、インストールプログラムがキックスタートファイルを処理する前に install.img ステージ 2 イメージのダウンロードを試行します。その結果、ホスト名の解決が失敗し、ステージ 2 イメージを正常に取得する前にいくつかのエラーが表示されます。回避策: カーネルコマンドラインではなく、キックスタートファイルでインストールソースを定義します。

インストールプログラムが RPM インストールの最終段階で応答しなくなる

RPM インストールプロセスの最終段階で、インストールプログラムが応答しなくなる場合があります。問題が発生する前に、Configuring rootfiles.noarch メッセージが繰り返し表示される場合があります。回避策: インストールプロセスを再起動します。

インストール中にショートカットを使用してキーボードレイアウトの切り替えを無効化する

動作しないキーボードショートカットが原因でキーボードレイアウトが変更される混乱を防ぐため、この機能は Anaconda で無効化されました。インストール中にショートカットを使用したキーボードレイアウトの変更はできません。回避策: レイアウトを切り替えるには、上部バーのキーボードレイアウトアイコンを使用します。

LACP を使用したボンディングデバイスは動作可能になるまでに時間がかかり、サブスクリプション障害が発生する

カーネルのコマンドラインブートオプションとキックスタートファイルの両方を使用して LACP でボンディングデバイスを設定すると、initramfs ステージで接続が作成されますが、Anaconda で再アクティブ化されます。その結果、一時的な中断が発生し、rhsm キックスタートコマンドによるシステムサブスクリプションの失敗につながります。

services キックスタートコマンドで firewalld サービスを無効にできない

Anaconda のバグにより、services --disabled=firewalld コマンドを実行しても、キックスタートで firewalld サービスを無効にできません。回避策: 代わりに、firewall --disabled コマンドを使用します。これにより、firewalld サービスが適切に無効化されます。

ostreecontainer の使用時に /boot パーティションが作成されていない場合、インストールプログラムが失敗する

ostreecontainer キックスタートコマンドを使用して起動可能なコンテナーをインストールする場合、/boot パーティションが作成されていないとインストールは失敗します。この問題は、インストールプログラムがコンテナーのデプロイを続行するために専用の /boot パーティションを必要とするために発生します。

ignoredisk コマンドが iscsi コマンドの前にある場合、キックスタートのインストールが unknown disk エラーで失敗する

ignoredisk コマンドが iscsi コマンドの前に配置されている場合、キックスタート方式を使用して RHEL をインストールすると失敗します。この問題は、iscsi コマンドがコマンド解析中に指定の iSCSI デバイスを接続する間、ignoredisk コマンドが同時にデバイスの仕様を解決するために発生します。iscsi コマンドによって iSCSI デバイス名が割り当てられる前に ignoredisk コマンドが iSCSI デバイス名を参照すると、インストールが "unknown disk" エラーで失敗します。

USB CD-ROM ドライブが Anaconda のインストールソースとして利用できない

USB CD-ROM ドライブがインストールソースである場合に、キックスタートコマンド ignoredisk --only-use= を指定すると、インストールが失敗します。このような場合、Anaconda がこのソースディスクを検出できず、使用できません。

ドライバーディスクメニューがコンソールでユーザー入力を表示できない

ドライバーディスクを使用して、カーネルコマンドラインで inst.dd オプションを使用して RHEL インストールを開始すると、コンソールにユーザー入力が表示されません。そのため、アプリケーションがユーザー入力に応答せず、応答を停止しているようですが、出力は表示されます。これはユーザーにはわかりにくい動作です。ただし、この動作は機能に影響を与えず、Enter を押すとユーザー入力が登録されます。

ディスク容量が不足すると、デプロイメントに失敗する可能性がある

十分な空きディスク容量がないパッケージモードシステムに bootc コンテナーイメージをデプロイすると、インストールエラーが発生し、システムが起動しなくなる可能性があります。デプロイ前に、イメージをインストールするための十分なディスク容量が利用可能であることを確認し、プロビジョニングする論理ボリュームを調整してください。

Anaconda は s390x および ppc64le アーキテクチャーでは正しく動作しない可能性がある

Image Mode for RHEL は、すでにサポートされている x86_64 および ARM アーキテクチャーに加えて、pp64le および s390x アーキテクチャーもサポートします。ただし、Anaconda は s390x および ppc64le アーキテクチャーでは正しく機能しない可能性があります。

LVM としてマークされた Azure 上の RHEL イメージでは、デフォルトのレイアウトのサイズ変更が必要

Azure で system-reinstall-bootc または bootc install を使用する場合、LVM としてマークされた RHEL イメージでは、デフォルトのレイアウトのサイズを変更する必要があります。

sq が FIPS モードで鍵を生成できない

Sequoia PGP ツールセットの sq ユーティリティーは、鍵の生成に非推奨の OpenSSL API を使用します。したがって、FIPS モードで実行されているシステムでは、sq を使用して鍵を生成することはできません。

GnuTLS が ML-DSA 秘密鍵を公開鍵に変換できない

GnuTLS には、拡張形式の ML-DSA 秘密鍵を ML-DSA 公開鍵に変換するアルゴリズムがありません。そのため、拡張された秘密鍵しか提供されていない場合、両方の鍵を必要とする操作が失敗します。

NSS データベースのパスワードを更新すると ML-DSA のシードが破損する

ML-DSA 鍵の生成は、鍵を導出するのに十分なシードから始まります。ただし、後続の操作を高速化するために、鍵を拡張することもできます。NSS データベースに ML-DSA 鍵 (生成またはインポートしたもの) がある場合、拡張形式とシードの両方が保存されている可能性があります。NSS がデータベースの再暗号化を処理する方法にバグがあるため、データベースのパスワードを変更すると、シード属性が新しいパスワードに合わせて更新されません。その結果、以前のパスワードを知っていたとしても、シードの値は永久に失われます。

rpm-sequoia の PQC が crypto-policies で常に有効になる

RHEL 10.1 では、署名に使用されたアルゴリズムの 1 つがシステム全体の暗号化ポリシーで無効化されている場合、rpm-sequoia はデュアル署名された RPM パッケージの検証に失敗します。この問題は、耐量子計算機 (PQ) アルゴリズムが無効になっており、従来の暗号化と PQ 暗号化の両方で署名されたパッケージをインストールできないシステムでよく発生します。

4 つの libvirt サービスの SELinux ポリシールールが一時的に permissive モードに変更される

以前は、SELinux ポリシーは、従来のモノリシック libvirtd デーモンを新しいモジュラーデーモンセットに置き換えたことを反映して変更されていました。この変更には多くのシナリオのテストが必要になるため、次のサービスは一時的に SELinux の permissive モードに変更されていました。

pkcs11-provider を使用した FIPS モードで暗号化トークンが動作しない

システムが FIPS モードで実行されている場合、pkcs11-provider OpenSSL プロバイダーは正しく動作せず、OpenSSL TLS ツールキットはデフォルトのプロバイダーにフォールバックします。その結果、OpenSSL は PKCS #11 キーをロードできず、このシナリオでは暗号化トークンは機能しません。

uname コマンドで不明な出力が生成される

uname コマンドを --hardware-platform および --processor フラグを付けて実行すると、不明な出力が表示されます。以前の RHEL バージョンでは、uname -i と uname -p は uname -m のエイリアスでしたが、これらは GNU/Linux ディストリビューション間であっても移植性がありません。

IBM Z 上で実行されている仮想マシンで、ホットプラグされたメモリーをデフォルトで利用できない

RHEL には、virtio-mem を使用して仮想マシン (VM) にメモリーをホットプラグするときにメモリーのオンライン化を自動的に設定する、デフォルトの udev ルールが用意されています。しかし、現在の udev ルールは、IBM Z 上で実行される仮想マシンを対象としていません。そのため、virtio-mem を使用して、IBM Z 上で実行されている仮想マシンにメモリーをホットプラグしても、そのメモリーを仮想マシンですぐに使用できません。

Nginx が PKCS #11 と TPM をサポートしない

OpenSSL Engines API は RHEL 9 で非推奨となり、RHEL 10 では Nginx から削除されました。現在の OpenSSL プロバイダー API を使用した対応する機能はまだ利用できません。その結果、Nginx HTTP サーバーは、PKCS #11 および Trusted Platform Module (TPM) デバイスを介したハードウェアセキュリティーモジュール (HSM) では動作しません。

MariaDB および MySQL に不適切な Perl データベースドライバーを使用すると、予期しない結果が生じる可能性がある

MariaDB データベースは MySQL のフォークです。時間が経つにつれて、これらのサービスは独立して開発され、完全な互換性がなくなりました。これらの違いは Perl データベースドライバーにも影響します。したがって、Perl アプリケーションで DBD::mysql ドライバーを使用して MariaDB データベースに接続したり、DBD::MariaDB ドライバーを使用して MySQL データベースに接続したりすると、操作によって予期しない結果が生じる可能性があります。たとえば、ドライバーは読み取り操作から誤ったデータを返す可能性があります。このような問題を回避するには、データベースサービスに一致する Perl ドライバーをアプリケーションで使用します。

再起動後に NVMe デバイス名が一致しない

RHEL 10 では、NVMe ディスクの検出を高速化するために、非同期 NVMe 名前空間スキャンを可能にする新しいカーネル機能が導入されました。非同期スキャンの結果として、/dev/nvmeXnY デバイスファイルは、再起動のたびに異なる名前空間を指す可能性があります。これにより、デバイス名の不一致が発生する可能性があります。現時点では、この問題に対する既知の回避策はありません。

iSCSI 上の論理ボリュームが再起動後にアクティブ化に失敗する

インストール時に、ローカルディスクと iSCSI デバイスにまたがる論理ボリュームが、インストールされるシステムで iSCSI デバイスをアクティブ化できない場合があります。これは、非ルートファイルシステム用の LVM 論理ボリュームが、ローカルディスクと iSCSI デバイスの両方に配置されている場合に発生します。これにより、インストールプログラムによって iSCSI デバイスが node.startup=onboot で設定されなくなります。その結果、ボリュームが起動時に自動的にアクティブ化されないため、システムが再起動後にボリュームにアクセスできなくなります。

ACL ロールは 2 つのルールを持つロケーション制約を参照できない

Red Hat Enterprise Linux 10 では、ロケーション制約において複数のトップレベルルールはサポートされていません。RHEL 9 から RHEL 10 にアップグレードする場合は、設定した ACL ロールが 2 つのルールを含むロケーションの制約を参照しておらず、引き続き有効であることを確認します。

TBB の新しいバージョンは互換性がない

RHEL 10 には、Threading Building Blocks (TBB) ライブラリーバージョン 2021.11.0 が含まれていますが、これは RHEL の以前のリリースに含まれるバージョンとは互換性がありません。TBB を使用するアプリケーションを RHEL 10 で実行するには、再構築する必要があります。

BDB から LMDB への移行中にエラーメッセージが表示される

dsctl dblib bdb2mdb コマンドを実行して Berkeley Database (BDB) から Lightning Memory-Mapped Database Manager (LMDB) に移行する際に、レプリケーションを有効にしていないと、出力に次のエラーメッセージが表示されます。

FIPS モードの IdM は、双方向のフォレスト間信頼を確立するための NTLMSSP プロトコルの使用をサポートしない

FIPS モードが有効な Active Directory (AD) と Identity Management (IdM) との間で双方向のフォレスト間の信頼を確立すると、New Technology LAN Manager Security Support Provider (NTLMSSP) 認証が FIPS に準拠していないため、失敗します。FIPS モードの IdM は、認証の試行時に AD ドメインコントローラーが使用する RC4 NTLM ハッシュを受け入れません。

EMS 強制により、FIPS モードで RHEL 10 IdM サーバーを使用した RHEL 7 IdM クライアントのインストールが失敗する

FIPS 対応の RHEL 10 システムでは、TLS 1.2 接続に TLS Extended Master Secret (EMS) エクステンション (RFC 7627) が必須になりました。これは FIPS-140-3 要件に準拠しています。ただし、RHEL 7.9 以前で利用可能な openssl バージョンは EMS をサポートしていません。その結果、RHEL 10 で実行されている FIPS 対応の Identity Management (IdM) サーバーを使用して RHEL 7 IdM クライアントをインストールすると失敗します。

SSSD が実行する adcli 経由のホストキータブの自動更新が失敗する

SSSD-AD の直接統合では、SSSD はマシンアカウントのパスワードが設定された有効期間を経過しているかを毎日確認し、必要に応じて更新を試みます。設定された有効期間は ad_maximum_machine_account_password_age 値によって決まり、デフォルトは 30 日です。値が 0 の場合、更新を試行しません。

ldapmodify は cn=config 内のどの属性からも特定の値を 1 つも削除しない

現在、cn=config 内の任意の属性から値を削除しようとすると、その値は属性内に残り、完全に削除するにはサーバーの再起動が必要になる場合があります。

グループのサイズが 1500 人を超えると、SSSD が取得するメンバーリストが不完全なものになる

SSSD と Active Directory の統合時に、グループサイズが 1500 メンバーを超えると、SSSD が取得するメンバーリストが不完全なものになります。この問題は、1 回のクエリーで取得できるメンバーの数を制限する Active Directory の MaxValRange ポリシーが、デフォルトで 1500 に設定されているために発生します。

Plymouth がカーネルログのリングバッファーのログエントリーを重複して出力する

Red Hat Enterprise Linux のグラフィカルなブートエクスペリエンスを提供するアプリケーションである Plymouth には、ブート中に設定されたすべてのコンソールにログメッセージを出力する "コンソールシンジケーション" 機能があります。カーネルは、最後に設定されたコンソールにのみログメッセージをネイティブに出力できます。デフォルト設定では、カーネルはミュートされています。しかし、カーネルコマンドラインから quiet 引数を削除すると、カーネルのミュートが解除され、Plymouth とカーネルの両方がブートログメッセージを最後に設定されたコンソールに送信するようになります。その結果、最後に設定されたコンソール (たとえば ttyS0) でログメッセージが重複する可能性があります。さらに、Plymouth は、起動時およびシャットダウン時に、カーネルログのリングバッファーの全内容を再生します。これにより、これらのログエントリーがさらに重複します。この問題を回避するには、Plymouth を無効にしてください。

Mutter を使用すると、仮想マシン内で標準マウスカーソルがオフセットされる

Mutter 合成ウィンドウマネージャーの仮想マシン設定内で標準マウスを使用すると、物理マウスカーソルと仮想環境内のポインターとの間にオフセットが生じることがあります。実際のポインターは仮想環境では表示されない場合もあります。

Mutter を使用すると、仮想マシン内で標準マウスカーソルがオフセットされる

Mutter 合成ウィンドウマネージャーの仮想マシン設定内で標準マウスを使用すると、物理マウスカーソルと仮想環境内のポインターとの間にオフセットが生じることがあります。実際のポインターは仮想環境では表示されない場合もあります。

RHEL Web コンソールの VNC コンソールが ARM64 で正しく動作しない

現在、ARM64 アーキテクチャー上の RHEL Web コンソールに仮想マシン (VM) をインポートし、VNC コンソールでその仮想マシンと対話しようとすると、コンソールが入力に反応しません。

Ansible rpm_key モジュールが OpenPGP v6 RPM-GPG-KEY-redhat-release 鍵に対して正常に動作しない

RHEL 10.1 が使用する Red Hat RPM 署名鍵は、耐量子計算機公開鍵で拡張されており、OpenPGP v6 形式で /etc/pki/rpm-gpg/RPM-GPG-KEY-redhat-release ファイルに保存されています。Ansible rpm_key モジュールは、耐量子計算機鍵と OpenPGP v6 を処理できない GnuPG ツールを使用します。そのため、このモジュールはこの鍵に対して正常に動作しません。

PostgreSQL、MariaDB、MySQL がイメージモードの RHEL で動作しない

PostgreSQL、MariaDB、および MySQL の各データベース管理システムは、ユーザーと作業ディレクトリーの生成に sysusers.d ディレクトリーを使用しません。MariaDB と MySQL は、tmpfiles.d ディレクトリーも使用しません。その結果、作業ディレクトリーが見つからないため、データベースユーザーが見つからなくなり、データベースシステムを初期化できなくなる可能性があります。現在、この問題に対する回避策はありません。

ansible-core は依存関係として sshpass をインストールしない

ansible-core パッケージは、依存関係として sshpass パッケージをインストールしません。したがって、Ansible を使用して SSH パスワードで SSH 経由でシステムを管理できません。

ストレージエラーが原因で Windows 仮想マシンが応答しなくなる可能性がある

Windows ゲストオペレーティングシステムを使用する仮想マシン (VM) では、I/O 負荷が高いときにシステムが応答しなくなることがあります。このような場合、システムは viostor Reset to device, \Device\RaidPort3, was issued エラーをログに記録します。現在、この問題に対する回避策はありません。

特定の PCI デバイスを搭載した Windows 10 仮想マシンが起動時に応答しなくなることがある

現在、Windows 10 ゲストオペレーティングシステムを使用する仮想マシン (VM) は、ローカルディスクバックエンドを備えた virtio-win-scsi PCI デバイスが仮想マシンにアタッチされている場合、起動中に応答しなくなる可能性があります。

virtiofs を rsync および du コマンドで使用すると、too many open files というエラーが発生することがある

virtiofsd デーモンは、ゲストがキャッシュを無効にするまでファイル記述子を開いたままにします。多数のファイルを追跡する場合、ホスト上の virtiofsd がオープンファイル数の上限を超える可能性があります。

SEV-SNP が有効な仮想マシンで arch-capabilities=on を使用すると起動が失敗する

SEV-SNP が有効な仮想マシン (VM) で CPU フラグ arch-capabilities=on を使用すると、起動が失敗します。

VirtIO-Win バンドルのインストールはキャンセルできない

現在、Windows ゲストオペレーティングシステムで VirtIO-Win インストーラーバンドルから virtio-win ドライバーのインストールを開始すると、インストール中に Cancel ボタンをクリックしてもインストールが正しく停止されません。インストーラーウィザードインターフェイスに "Setup Failed" という画面が表示されますが、ドライバーはインストールされ、ゲストの IP アドレスはリセットされます。

大量の起動可能なデータディスクを持つ仮想マシンは起動に失敗する可能性がある

大量の起動可能なデータディスクを持つ仮想マシン (VM) を起動しようとすると、仮想マシンは Something has gone seriously wrong: import_mok_state() failed: Volume Full エラーを表示して、起動に失敗する可能性があります。

大容量メモリーを搭載した仮想マシンは、AMD Genoa CPU を搭載した SEV-SNP ホストでは起動できない

現在、第 4 世代 AMD EPYC プロセッサー (Genoa とも呼ばれる) を使用し、AMD Secure Encrypted Virtualization with Secure Nested Paging (SEV-SNP) 機能が有効になっているホストでは、仮想マシン (VM) を起動できません。起動する代わりに、仮想マシンでカーネルパニックが発生します。

virtio バルーンドライバーは、Windows 10 および Windows 11 仮想マシンでは動作しないことがある

特定の状況下では、Windows 10 または Windows 11 ゲストオペレーティングシステムを使用する仮想マシン (VM) 上で virtio-balloon ドライバーが正しく動作しません。その結果、そのような仮想マシンは割り当てられたメモリーを効率的に使用できない可能性があります。

メモリーバルーンデバイスが設定された Windows 11 仮想マシンが再起動中に予期せず終了することがある

現在、Windows 11 ゲストオペレーティングシステムとメモリーバルーンデバイスを使用する仮想マシン (VM) の再起動が、DRIVER POWER STAT FAILURE ブルースクリーンエラーで失敗する場合があります。

VBS と IOMMU デバイスを搭載した Windows 仮想マシンが起動に失敗する

Virtualization Based Security (VBS) が有効で、Input-Output Memory Management Unit (IOMMU) デバイスが qemu-kvm ユーティリティーを使用して Windows 仮想マシンを起動すると、起動シーケンスで起動画面のみが表示され、起動プロセスが不完全になります。

ハイパーバイザーの起動タイプが auto に設定されている Sapphire Rapids CPU 上で実行されている Windows 仮想マシンは、再起動時に起動に失敗する可能性がある

Sapphire Rapids CPU 上で実行されている Windows 仮想マシン (VM) でハイパーバイザーの起動タイプを auto に設定すると、仮想マシンの再起動時に起動に失敗する可能性があります。たとえば、bcdedit /set hypervisorlaunchtype Auto コマンドを使用して、ハイパーバイザーの起動タイプを auto に設定できます。

VBS を使用して Windows ゲストに仮想 CPU とメモリーをホットプラグできない

現在、Windows Virtualization-based Security (VBS) は、ホットプラグ CPU およびメモリーリソースと互換性がありません。その結果、VBS が有効になっている実行中の Windows 仮想マシン (VM) にメモリーまたは仮想 CPU をアタッチしようとしても、これらのリソースはゲストシステムを再起動した後にのみ仮想マシンに追加されます。 

5 レベルページマージングを使用し、かつ大量のメモリーを搭載した仮想マシンが起動に失敗することがある

host-phys-bits-limit パラメーターを 49 以上に設定すると、次の構成の仮想マシンが起動に失敗します。

Nutanix AHV で LVM を使用する RHEL 9 仮想マシンのクローンを作成または復元すると、ルート以外のパーティションが表示されなくなる

Nutanix AHV ハイパーバイザーをホストとする仮想マシン (VM) で RHEL 9 ゲストオペレーティングシステムを実行する場合、スナップショットから VM を復元するか VM をクローンすると、ゲストが論理ボリューム管理 (LVM) を使用している場合は VM 内の非ルートパーティションを消失させることがあります。これにより、以下の問題が発生します。

RDMA デバイスは現在 vSphere では動作しない

VMware vSphere プラットフォームで RHEL 10 インスタンスを使用する場合、vmw_pvrdma モジュールは現在正しくインストールされません。その結果、VMware Paravirtual Remote Direct Memory Access (PVRDMA) デバイスは、影響を受けるインスタンスでは動作しなくなります。

cloud-init ネットワーク設定で RHEL 9.6 から RHEL 10.0 にアップグレードすると leapp アップグレードが失敗する

cloud-init のデフォルト設定を使用し、sysconfig をデフォルトのネットワーク設定ディレクトリーとして RHEL 9.6 をデプロイする場合、sysconfig 設定ファイルは RHEL 10.0 の ifcfg レガシー形式をサポートしません。そのため、ifcfg-<enp1s0> などの従来のネットワーク設定ファイルの場合、RHEL 9.6 から RHEL 10.0 にアップグレードすると leapp アップグレードが失敗します。

VMware ESXi 上の RHEL 9.6 ゲストを RHEL 10.0 にアップグレードすると、cloud-init がネットワーク設定を書き換える

現在、VMware ESXi ハイパーバイザー上の RHEL ゲストを RHEL 9.6 から RHEL 10.0 にアップグレードすると、cloud-init ツールは VMware データソースを検出できず、その設定をキャッシュから復元できません。その結果、cloud-init は None データソースに戻り、ゲストのネットワーク設定を書き換えます。

Azure Confidential 仮想マシンで kdump の完了に失敗する

Azure Confidential VM インスタンスの Red Hat Enterprise Linux 仮想マシンでカーネルクラッシュが発生した場合 (この場合は DCv5 と ECv5 シリーズ)、kdump プロセスが完了せず、仮想マシンが応答しなくなることがあります。その結果、強制的な再起動後に、vmcore-incomplete ファイルが作成されます。

BIOS または UEFI でサポートされている Hyper-V Windows Server 2016 仮想マシンは、ホストが AMD EPYC CPU プロセッサーを使用している場合、起動に失敗する

Hyper-V が有効化されている設定では、Hyper-V Windows Server 2016 仮想マシンは AMD EPYC CPU ホスト上で起動できません。

FIPS 対応ホストで FIPS bootc イメージの作成が失敗する

FIPS モードを有効にした Podman を使用してホスト上にディスクイメージを構築すると、update-crypto-policies パッケージが原因で終了コード 3 で失敗します。

コマンドラインアシスタントが Satellite サーバーの証明書を検証できない

コマンドラインアシスタントが、Red Hat Satellite サーバーの Satellite 認証局 (CA) 証明書を認識しません。Satellite CA 証明書は、Satellite に登録済みの、Satellite によって管理されるホストの証明書を発行および署名するために使用されます。そのため、コマンドラインアシスタントは Satellite サーバーへのセキュアな接続を確立できず、正しく機能しません。

コマンドラインアシスタントの設定ファイルの変更がすぐに適用されない

etc/xdg/command-line-assistant/config.toml 設定ファイルに変更を加えても、変更がすぐに適用されず、コマンドラインアシスタントデーモンが変更を認識するまでに約 30 - 60 秒かかります。コマンドラインアシスタントには、reload 機能もありません。

VDO 論理ボリュームが存在する場合にインストールが失敗しなくなりました

この更新前は、ユーザーが dm_vdo カーネルモジュールのないシステムで既存の Logical Volume Manager Virtual Data Optimizer (LVM VDO) ボリュームを削除しようとすると、RHEL のインストールが失敗していました。この更新により、VDO がサポートされていないシステムで LVM VDO ボリュームを削除しても、インストールが成功するようになりました。

インストールプログラムが強化され、s390x 上でコンテナーベースのデプロイが可能になりました

RHEL インストールプログラムが、ostreecontainer キックスタートコマンドを使用して、s390x アーキテクチャー上でイメージモードのブート可能なコンテナーをデプロイできるようになりました。この機能拡張により、以前の制限が解消され、サポートされているアーキテクチャー間で一貫したデプロイ方法が確保されます。ユーザーは、コンテナーベースのワークフローを使用して、s390x システムへのインストールを自動化できるようになりました。

インストールプログラムが BOOTIF ブート引数を適用するようになりました

以前は、RHEL インストールプログラムは BOOTIF=<MAC> ブート引数を無視し、使用可能なすべてのネットワークインターフェイスをアクティブ化していました。この修正により、インストールプログラムは BOOTIF 引数を適切に処理し、インストールプロセス中に指定されたネットワークデバイスだけをアクティブ化するようになりました。

RPM データベースを繰り返し更新しても、fapolicyd が原因でデータベースがクラッシュしなくなりました

この更新前は、fapolicyd が enforcing モードのときに RPM データベースを繰り返し更新すると、バスエラー (SIGBUS) が発生し、RPM データベースが予期せず終了していました。このリリースでは、RPM データベースの更新に対する fapolicyd の SIGBUS の保護が強化されました。その結果、fapolicyd を有効にして RPM データベースを繰り返し更新しても、データベースがクラッシュしなくなりました。

SSH 接続の失敗時に詳細なヘルプメッセージが表示されなくなりました

この更新前は、SSH 接続が失敗すると、一般的な SSH エラーと Red Hat ヘルプへのリンクを含むメッセージが表示されていました。その結果、エラー出力のヘルプメッセージにより、ユーザースクリプトや自動化が動作しなくなっていました。この更新により、SSH がログレベル debug1 以上で実行された場合にのみ、ヘルプメッセージが表示されるようになりました。その結果、エラー出力にデフォルトで予期しないメッセージが含まれなくなりました。

fapolicyd-cli --file add が、通常以外のファイルの処理時に失敗しなくなりました

この更新前は、fapolicyd-cli --file add コマンドを実行しても、ソケットなどの通常以外のファイルを含むディレクトリーを、信頼データベースに追加できませんでした。この更新により、問題が解決され、前述の状況で fapolicyd-cli --file add が失敗しなくなりました。

GnuTLS が標準の ML-DSA 形式をサポートするようになりました

RHEL 10.0 では、GnuTLS ツールは ML-DSA 秘密鍵に非標準のシリアライゼーション形式を使用していました。その結果、certtool -p コマンドにより、IETF 準拠の実装と互換性のない ML-DSA 秘密鍵がエクスポートされていました。同様に、他のソフトウェアによってエクスポートされた鍵が GnuTLS では機能しませんでした。この更新により、GnuTLS は標準の ML-DSA 形式をサポートし、相互運用可能な秘密鍵を生成するようになりました。

OpenSSL が ML-KEM および ML-DSA の秘密鍵を標準形式で保存するようになりました

RHEL 10.0 では、OpenSSL 向けの Open Quantum Safe プロバイダー (oqsprovider) が、IETF LAMPS ワークグループによって提案されたどのファイル形式にも準拠しない形式で秘密鍵を生成していました。その結果、IETF 標準に準拠する他のアプリケーションで鍵ファイルを読み取れず、インポートのためにシード形式で鍵を提供する必要があるアプリケーションで鍵ファイルを処理できませんでした。この更新により、OpenSSL が oqsprovider を使用しなくなり、耐量子計算機暗号 (PQC) 実装によって標準形式の鍵が生成されるようになりました。その結果、シークレットの長期保存に OpenSSL ML-KEM 鍵と ML-DSA 鍵を使用できるようになりました。

DNF Automatic が、EPEL リポジトリーが有効な場合に正しい RHEL マイナーバージョンを使用するようになりました

この更新前は、Extra Packages for Enterprise Linux (EPEL) リポジトリーを有効にした状態で DNF Automatic ツールを使用すると、ツールによって EPEL の metalink URL が間違ったアドレスに展開されていました。このため、ツールは最後にリリースされたマイナーバージョンではなく、まだ開発中の RHEL 10 のマイナーバージョンのパッケージをダウンロードしていました。この更新により、dnf.cli.cli.Cli._read_conf_file() メソッドでの releasever_major および releasever_minor 変数の更新が修正されました。その結果、DNF Automatic がマイナーリリース番号を正しく検出し、RHEL メジャーおよびマイナーリリースバージョンに一致する EPEL リポジトリーをダウンロードするようになりました。

イメージモードのデプロイ環境で、/var/lib/tftpboot ディレクトリーがデフォルトで作成されます

以前は、イメージモードのデプロイ環境で、tftp-server パッケージをインストールしても /var/lib/tftpboot ディレクトリーが作成されませんでした。これは、既存のイメージモードのデプロイ環境にパッケージを追加した際に、/var ディレクトリーへの変更が適用されないために発生していました。

IBM Z 上の ReaR の IPL 出力方式が、RHEL 9 のファイル命名規則に従うようになりました

この更新前は、Relax-and-Recover (ReaR) の非推奨の IPL 出力方式を IBM Z で使用すると、生成されるリカバリーカーネルの名前が kernel-$RAMDISK_SUFFIX になり、ramdisk イメージの名前が initramfs-$RAMDISK_SUFFIX.img になっていました。この命名規則は、それぞれ vmlinuz-$kernel_version と initrd.cgz を使用する RHEL 9 とは異なります。その結果、RHEL 9 から RHEL 10 にアップグレードした後、ファイル名が変更されるため、これらのリカバリーイメージの処理に使用するカスタムスクリプトを手動で調整する必要がありました。

chronyc reload sources コマンドが、ホスト名で指定されたソースを正しく処理できるようになりました

以前は、chronyd の chronyc reload sources コマンドが、chrony.conf ファイルで指定された sourcedir ディレクトリーからソースを誤って再ロードしていました。この動作は、1 つのホスト名が複数の IP アドレスに解決される場合に chronyd が重複したソースを登録する原因となっていました。その結果、ソースの数が予期せず増加していました。

/etc/iproute2/ 内のカスタム iproute2 設定が期待どおりに動作します

以前は、RHEL 10.0 に更新すると、iproute2 パッケージによってデフォルトの設定が /usr/share/iproute2/ ディレクトリーに保存されていました。また、/etc/iproute2/ にカスタム設定がある場合、更新時に関連するファイルの名前が変更され、.rpmsave 接尾辞が追加されていました。その結果、カスタム設定が適用されていませんでした。RHEL 10.1 バージョンの iproute2 パッケージに更新すると、パッケージ内のインストールスクリプトがカスタム設定ファイルの名前を変更しなくなります。また、/etc/iproute2/ に .rpmsave 接尾辞を持つファイルが検出された場合、スクリプトがこの接尾辞を削除します。その結果、カスタム設定が期待どおりに再び機能するようになりました。

実行時に SR-IOV VF の数を減らしてもカーネルがパニックを起こさなくなりました

以前のリリースでは、次の条件がすべて当てはまる場合、Linux カーネルがパニックを起こすことがありました。

NAT エンジンが戻り方向のアドレス競合をチェックするようになりました

この更新前は、ネットワークアドレス変換 (NAT) エンジンが戻り方向のアドレス競合をチェックしていませんでした。これにより、新しい着信接続が既存の接続と同じ送信元アドレスと送信元ポートを使用する場合に、接続障害が発生していました。このリリースでは、NAT エンジンが戻り方向をチェックして競合を検出し、新しい接続の送信元ポートが新しい使用可能なポート番号に内部的に再マッピングされます。そのため、接続が期待どおりに処理されます。

nft_fib 式が、VRF ドメインの IPv4 と IPv6 の両方に対して一貫した結果を返すようになりました

この更新前は、デバイスが Virtual Routing and Forwarding (VRF) ドメインに含まれている場合、Netfilter の "nft_fib" 式が local ではなく unicast を返していました。さらに、fib daddr . iif 式が、VRF インターフェイスに到達する IPv4 パケットと IPv6 パケットに対して異なる動作をしました。着信 IPv6 パケットの場合は、基盤となる物理インターフェイスの名前が誤って返されていました。一方、IPv4 パケットの場合は、VRF デバイス自体の名前が正しく返されていました。この更新により、デバイスが VRF ドメインに含まれている場合に、nft_fib 式が IPv4 と IPv6 の両方に対して一貫した結果を提供するようになりました。

wpa_supplicant の PKCS #11 を使用したネットワーク認証方式が修正されました

RHEL 10 で、OpenSSL エンジン API など、Federal Information Processing Standards (FIPS) と互換性のないエンジンが削除されました。その結果、削除されたエンジンに依存していた wpa_supplicant サービスが、PKCS #11 URI 形式で保存された X.509 証明書と鍵をロードできなくなりました。これにより、EAP-TLS 認証方法がすべて阻止され、PKCS #11 を使用するバリアントが適切なネットワークに接続できなくなりました。この問題を解決するために、wpa_supplicant が pkcs11-provider パッケージに依存するようになり、これと同じ名前のライブラリーを使用して PKCS #11 ストレージから X.509 証明書と鍵をロードするようになりました。そのため、PKCS #11 を使用したネットワーク認証方法が期待どおりに機能します。

VMware vCenter が、実行中の RHEL 仮想マシンから SATA ディスクを正しく削除するようになりました

VMware vCenter インターフェイスを使用して、VMware ESXi ハイパーバイザー上で実行中の RHEL 10 ゲストから SATA ディスクを削除しても、以前はディスクが完全に削除されませんでした。ディスクは機能しなくなり、vCenter インターフェイスではディスクがゲストから消えましたが、SCSI インターフェイスではディスクがゲストに接続されていることが引き続き検出されていました。 この更新により、問題が修正され、前述の状況で SATA ディスクが完全に削除されるようになりました。

パフォーマンスの低下を防ぐために、stalld スケジューリングポリシーのリグレッションを修正しました

この更新前は、stalld スケジューリングポリシーの変更が原因で、Node Tuning Operator の CI が正常に動作していませんでした。この変更により、サービスは起動後に SCHED_FIFO ではなく SCHED_OTHER に戻るようになっていました。その結果、リアルタイムワークロードのパフォーマンスが低下し、PR をマージできないことがありました。この更新により、systemd ユニットファイルで stalld の優先度が 10 に設定され、stalld が SCHED_FIFO で確実に動作するようになりました。これにより、期待される動作が復元され、リアルタイムワークロードのパフォーマンスが向上します。

osnoise/cpus に、コンマ区切りの長い CPU のリストを設定できるようになりました

この更新前は、無効な引数エラーが発生するため、osnoise/cpus にコンマ区切りの長い CPU リストを設定することができませんでした。この制限は、レイテンシーのデバッグとトラブルシューティングに影響を与えていました。このリリースでは、RTLA レイテンシーのデバッグとトラブルシューティングを強化するために、osnoise/cpus にコンマ区切りの長い CPU リストを入力できるようになりました。

rtla timerlat が、100 個以上の CPU を搭載したシステムで高頻度サンプリングを処理できるようになりました

この更新前は、tracefs のバッファー処理が不十分だったため、100 個を超える CPU を搭載したシステムで、rtla timerlat が 100 us 周期以上の timerlat サンプルを処理できませんでした。その結果、サンプルがドロップされ、timerlat の測定値が不正確になり、リアルタイムのパフォーマンス分析に影響が及んでいました。このリリースでは、timerlat のサンプルが測定 CPU 上で直接収集され、バッファーオーバーフローの問題が解消されます。その結果、rtla timerlat はコア数の多いシステムで正確な測定値を提供し、信頼性の高いリアルタイムパフォーマンス分析を可能にします。

rtla timerlat が起動時に osnoise 停止トレーシングのしきい値をリセットしない

この更新前は、stop_tracing フラグをクリアせずに rtla timerlat を複数回使用すると、RTLA が不整合な状態のままになっていました。その結果、-a、-T、または -i オプションでトレーシングの停止が要求されないと、トレースが正しく停止しませんでした。これにより、RTLA が終了すべきでないときに終了していたため、不正確なデータが報告されていました。この更新により、rtla-timerlat が停止トレーシング用の変数をリセットし、早期終了を防止するようになりました。その結果、プログラムの安定性が向上しました。

GRUB2 の net_del_dns コマンドは DNS サーバーを正しく削除する

この更新前は、net_del_dns コマンドを使用して DNS サーバーを削除しようとすると、実装が誤っていたために、DNS サーバーが誤って再度追加され、エラーが返されていました。この修正により、net_del_dns 実装では add コマンドが remove コマンドに置き換えられました。その結果、net_del_dns コマンドを使用して DNS サーバーを削除できます。

パスがオフライン状態のデバイスを multipathd が監視できるようになりました

この更新前は、一部のデバイスへのパスがオフライン状態のときにユーザーがマルチパスデバイスを作成すると、multipathd デーモンがデバイスまたはそのパスを監視しませんでした。その結果、パスが機能しなくなると、再び使用可能になってもパスは復元しませんでした。この更新により、multipathd デーモンがマルチパスデバイスとそのオフラインパスを監視するようになりました。また、multipathd は、マルチパスデバイスがオンラインになると、そのパスをマルチパスデバイスに追加します。

RHEL インストールプログラムが破損した LVM シンボリュームを削除します

以前は、破損した LVM シンボリュームが存在するとストレージ設定エラーが発生し、インストールプロセスがブロックされていました。この修正により、RHEL インストールプログラムが破損したシンボリュームを検出して削除するようになりました。その結果、ユーザーがインストールプロセスに手動で介入する必要がなくなります。

target-role 値が大文字でないことが原因で pcs コマンドが失敗しなくなりました

この更新前は、リソースの target-role メタ属性が、Stopped ではなく stopped のように大文字でない値に設定されていた場合、pcs がクラスターのステータスを解析できませんでした。この解析エラーにより、pcs status query resource コマンドと、pcs resource delete などのリソースを削除するコマンドが失敗していました。

fence_ibm_powervs がプレーンテキストのトークンファイルをサポートするようになりました

この更新前は、fence_ibm_powervs エージェントは JSON 形式のファイルからのみ認証トークンを読み取ることができました。プレーンテキストファイルからトークンを読み取ることはできませんでした。

クォーラムが失われたときに、Pacemaker Remote ノードが不必要にフェンスされなくなりました

この更新前は、特定のクラスター設定において、Pacemaker Remote ノードのパーティションがクォーラムを失ったときに、ノードがフェンスされることがありました。これは、そのノードを管理しているリソースが、クォーラムを持つ別のノード上で安全に再起動できる場合でも発生していました。この動作により、Pacemaker Remote ノードで実行されているサービスに不要なダウンタイムが発生していました。

Pacemaker が、大規模なクラスターの IPC バッファーの手動チューニングを必要としなくなりました

この更新前は、多数のノードまたはリソースを持つクラスターで、Pacemaker の内部通信がデフォルトのバッファーサイズを超えることがありました。これにより、エラーがログに記録され、コマンドラインツールの速度が低下したり、ツールが応答しなくなったりすることがありました。場合によっては、これらの問題を解決するために、ユーザーが PCMK_ipc_buffer 設定を手動で引き上げる必要がありました。

起動または停止時間が長い systemd リソースが正しく処理されるようになりました

この更新前は、Pacemaker は systemd リソースの起動および停止アクションの結果を、一定のタイムアウトを使用してポーリングしていました。リソースの起動または停止にこのタイムアウトよりも長い時間がかかった場合、Pacemaker は誤ってリソースを失敗とマークしていました。

glibc パッケージが更新され、アップストリームの 2.39 リリースからのバグ修正と機能拡張が追加されました

アップストリームの開発により、glibc 2.39 に対する複数のバグ修正と機能拡張が提供されました。その結果、RHEL 10 の glibc がアップストリームのリリースに比べて古くなり、機能のギャップとバグが未解決の状態が発生していました。この問題を解決するために、アップストリームの glibc 2.39 リリースブランチからの修正と機能拡張が、RHEL 10 にバックポートされました。その結果、RHEL 10 の glibc が、2025 年 8 月 20 日時点で、アップストリームの glibc 2.39 リリースブランチと同等の機能とバグを提供するようになりました。

glibc の動的リンカーを監査モードで実行しても、特定のプログラムがクラッシュしなくなりました

以前は、LD_AUDIT モードの glibc 動的リンカーは、リンカーがメインの malloc サブシステムを初期化する前に、メインの calloc 関数を使用して内部データ構造を割り当てることがありました。その結果、特定のプログラムが起動時に calloc 関数で予期せず終了していました。この更新により、プロセスの起動シーケンスが再調整され、起動時に内部の malloc 実装を使用して、メインの malloc 関数に切り替える前に calloc のメモリー割り当てが行われるようになりました。その結果、動的リンカーが監査モードの場合、プログラムが起動中に calloc 関数内でクラッシュしなくなりました。

glibc の監査モジュールにおける再帰的な dlopen の呼び出しのサポートが強化されました

以前は、監査モジュールからの再帰的な dlopen の呼び出しにより、glibc の dl-open.c で、r_state == RT_CONSISTENT アサーションエラーが発生することがありました。その結果、監査モジュールがアクティブなときにアプリケーションが予期せず終了していました。この更新により、dlopen 呼び出しの実行中に、動的リンカーがその内部データ構造の整合性を、より早い段階で報告するようになりました。その結果、監査モジュールの再帰的な dlopen 操作が、より多くのケースでサポートされるようになりました。

glibc: ctype.h マクロが、複数の libc.so を持つマルチスレッドプログラムで、セグメンテーション違反を引き起こしていました

以前は、audit または dlmopen によって作成されたセカンダリー C ライブラリーコピー内の <ctype.h> の内部状態が、pthread_create で作成されたスレッドの初期化に失敗していました。その結果、セカンダリースレッドおよび名前空間で <ctype.h> の機能を直接的または間接的に使用すると、プログラムがクラッシュしていました。

glibc の NSS マージ処理で ERANGE が発生した場合でも、getent group コマンドが完全なメンバーリストを返すようになりました

この更新前は、Name Service Switch (NSS) が 2 つ以上のソースからのグループをマージするシステムで、内部バッファーが小さすぎるために、2 つのグループエントリー間のマージが失敗することがありました。このような場合、glibc は、より大きなバッファーを使用して再試行せずに、誤ってマージをスキップしていました。そのため、複数のグループデータベースがある環境でグループメンバーシップを照会すると、不完全な結果や空の結果が生成される場合がありました。

glibc の監査ロギングが、完全なオブジェクトライフサイクルの追跡を提供するようになりました

この更新前は、glibc の動的リンカーが、セカンダリー名前空間において、先に la_objopen を呼び出さずに、プロキシー ld.so リンクマップに対して la_objclose を呼び出していました。そのため、共有オブジェクトを追跡するために la_objopen に依存しているツールにとって、オブジェクトのライフサイクルに関する報告が不完全なものになっていました。

ipa-cacert-manage install で重複した CA サブジェクトが許可されるようになりました

以前は、IdM がサブジェクトの重複を禁止していたため、ipa-cacert-manage install を使用して、サブジェクトは同一だが秘密鍵が異なる CA 証明書を追加しようとすると、subject public key info mismatch というメッセージが表示されて失敗していました。

dsconf replication get-ruv がエラーを返さなくなりました

この更新前は、レプリケーション関数の 1 つが必要な関数を呼び出していませんでした。その結果、dsconf <instance_name> replication get-ruv --suffix dc=example,dc=com を実行すると、エラーが表示されていました。この更新により、このコマンドが Replica Update Vector (RUV) 値を期待どおりに返すようになりました。

新しく作成されたユーザーパスワードポリシーが正しく表示されます

この更新前は、Class of Service (CoS) テンプレートの cosAttribute 属性に、operational-default 修飾子ではなく operational 修飾子が設定されていました。その結果、サブツリーパスワードポリシーとユーザーパスワードポリシーの両方が存在する場合に、pwdpolicysubentry 属性が、ユーザーパスワードポリシーではなくサブツリーパスワードポリシーを参照していました。このリリースでは、CoS テンプレートは operational-default 修飾子を使用します。そのため、ユーザーポリシーが正しく表示されます。

ipa-healthcheck が replica busy 状態を無視するようになりました

この更新前は、サプライヤーが 2 つ以上あるトポロジーで、サプライヤーが別のノードから更新を受信しているときに、ipa-healthcheck ツールによってレプリカ合意ステータスに関するエラーが報告されていました。これは通常のレプリケーション状況です。このリリースでは、レプリカがビジー状態のときに ipa-healthcheck がエラーを報告しなくなりました。

LMDB を使用したインスタンスのシャットダウン時のクリーンアップ中に Directory Server が失敗しなくなりました

この更新前は、Lightning Memory-Mapped Database Manager (LMDB) を使用したインスタンスのシャットダウン時のクリーンアップ中に競合状態が発生していました。この更新により、データベース環境が閉じられているときに、Directory Server が lmdb を呼び出さなくなりました。

LMDB の監視統計情報が正しく表示されるようになりました

この更新前は、Lightning Memory-Mapped Database Manager (LMDB) データベースタイプを使用してインスタンスの監視統計情報を取得しようとすると、キーエラーが発生していました。この更新により、バックエンドキーとモニターキーが設定済みのデータベース実装と一致することを、Directory Server が確認するようになりました。その結果、グローバルの監視統計情報が正しく表示されるようになりました。

389-ds-base が LMDB のオフラインインポート中に失敗しなくなりました

この更新前は、ワーカースレッドが、別のプロセスによるエントリーへの書き込みが完了する前にそのエントリーを読み取ると、競合状態が発生していました。その結果、Lightning Memory-Mapped Database Manager (LMDB) バックエンドを使用するインスタンスでオフラインインポートを実行すると、セグメンテーション違反が発生していました。

Directory Server の Web コンソールにサーバーのバージョンが表示されるようになりました

この更新前は、Web コンソールの Server Settings>General Settings​​ に、サーバーバージョンが表示されませんでした。この更新により、サーバーのバージョンが正しく表示されるようになりました。

Directory Server が、特定のノード配下にある子エントリーの数を正しく表示するようになりました

この更新前は、numSubordinates 属性と numTombstoneSubordinates 属性がインポート中に誤って計算されていました。その結果、特定のノード配下にある子エントリーの数を比較すると、間違った値が表示されていました。

NDN キャッシュの操作中に Directory Server が失敗しなくなりました

この更新前は、389-ds-base の Rust 依存関係で使用されていた arc-swap ライブラリーにより、NDN キャッシュの操作中に Directory Server で障害が発生することがありました。このリリースでは、Directory Server は、arc-swap ライブラリーを含まない更新版の Rust 依存関係 (concread) 0.5.7 を使用します。その結果、Directory Server で障害が発生しなくなりました。

Directory Server が、ネストされたグループのメンバーシップを正しく表示するようになりました

この更新前は、次の条件が揃うと、Directory Server が特定エントリーの memberOf 属性の値を誤って表示していました。

nsslapd-referral を追加しても Directory Server が失敗しなくなりました

この更新前は、リファラルを使用するように Directory Server を設定しようとすると、ページ化された検索結果の処理が不適切であったために、サーバーが失敗していました。

IP アドレスにワイルドカードを使用する RootDN Access Control プラグインが失敗しなくなりました

この更新前は、RootDN Access Control プラグインの設定で、ワイルドカードを使用した IP アドレスを設定しようとすると、Invalid IP address エラーが発生して設定が失敗していました。このリリースでは、検証機能が更新されました。その結果、ワイルドカードを使用した値の設定が失敗しなくなりました。

NDN キャッシュが無効な場合でも Directory Server の監視情報を期待どおりに利用できます

この更新前は、Normalized DN (NDN) キャッシュが無効な場合、バックエンドの get-tree コマンドの失敗が適切に処理されないため、dsconf <instance_name> monitor dbmon コマンドがエラーで失敗していました。このリリースでは、バックエンドの作成中にツリーの作成が失敗した場合に孤立したバックエンドの発生を防ぐために、ロールバック機能が追加されました。その結果、Directory Server の監視情報が期待どおりに返されるようになりました。

Directory Server の Web コンソールで Databases メニューが期待どおりに開きます

この更新前は、作成したデータベース名に間違った接尾辞構文が含まれている (たとえば、名前に dc= が含まれている) 場合、Directory Server Web コンソールで Databases メニューを開くことができませんでした。この更新により、Directory Server は、バックエンドの作成中にマッピングツリーの作成が失敗した場合でも、孤立したバックエンドの発生を防ぐために、ロールバック機能を使用するようになりました。その結果、Databases メニューが期待どおりに開くようになりました。

NDN キャッシュにより、Directory Server のメモリー消費量が増加しなくなりました

この更新前は、389-ds-base の Rust 依存関係である concread により、削除されたエントリーのメモリーが Normalized DN (NDN) キャッシュに保持され続けていました。その結果、NDN キャッシュによってメモリー消費量が増加することがありました。

パスワード変更拡張操作が、ルート DN およびパスワード管理者のパスワードポリシーチェックを正しくスキップします

この更新前は、ルート DN またはパスワード管理者がパスワード変更拡張操作を使用してパスワードを変更する際に、Directory Server のパスワードポリシー制限を回避できませんでした。そのため、パスワードポリシーの要件に準拠していないパスワードを更新できませんでした。

dsconf がレプリケーション監視情報を正しく返します

この更新前は、0 で始まるレプリカ (010 や 020 など) を使用してサプライヤーが設定されている場合、dsconf <instance_name> replication monitor コマンドで、遅延時間またはレプリケーションステータスに関する情報を取得できませんでした。

389-ds-base のエラーログにレプリケーションに関する完全なメッセージが含まれるようになりました

この更新前は、レプリケーションを設定した際に、エラーログファイルに含まれるレプリケーション関連のメッセージが不完全なものになっていました。このリリースでは、エラーログに実際の値を含む完全なメッセージが含まれるようになりました。

LMDB を使用するインスタンスで、dsctl healthcheck が誤ったデータベースタイプを報告しなくなりました

この更新により、正しい設定パラメーターがチェックされるようになり、dsctl healthcheck が誤ったデータベースタイプを報告しなくなりました。

非特権プロセスがホストキータブを更新できるようになりました

この更新前は、非特権プロセスはホストキータブを更新できませんでした。キータブファイルにアクセスできるのは、root ユーザーのみであったためです。この問題により、非特権プロセスはホストキータブを更新できませんでした。RHBA-2025:21019 アドバイザリーのリリースに伴い、realmd が適切なポリシーキット設定を使用することで、非特権プロセスによるホストキータブの更新がサポートされるようになりました。その結果、非特権プロセスおよびユーザーが、ホストのキータブを簡単に更新できるようになりました。

複数のユーザーを指定しても、リソースが間違ったユーザーに関連付けられることがなくなりました

以前は、2 つの異なるユーザーのリソースを管理する場合、__podman_user 変数と __podman_user_home_dir 変数を設定するために、vars と set_fact の両方が使用されていました。これにより、最初のユーザーの古い値が、2 番目のユーザーに対して使用されていました。そのため、予期しない未定義の動作が発生し、2 番目のユーザーの設定が最初のユーザーのデータを誤って参照していました。

postfix RHEL システムロールが、IPv6 インターフェイスが無効かどうかを自動検出します

デフォルトの postfix 設定は、inet_interfaces = localhost 設定を使用します。この設定は、IPv4 と IPv6 の両方のインターフェイスを含む、localhost に解決されるすべてのインターフェイスを待ち受けるよう postfix に指示します。この更新前は、ホスト上で IPv6 が無効になっていると問題が発生していました。その場合、postfix ロールと、postconf などのコマンドラインツールがエラーを返していました。また、ロール全体が失敗していました。このリリースでは、ロールによって IPv6 が無効かどうかが確認されます。無効な場合は、postfix が IPv4 インターフェイスのみを使用するように、ロールによって inet_protocols = ipv4 が設定されます。その結果、IPv6 が無効な場合でも postfix ロールが機能するようになりました。

selinux ロールが、Ansible チェックモードの未定義の tempdir パスに起因するエラーを生成しなくなりました

この更新前は、Ansible チェックモードで tempdir パスが定義されておらず、__selinux_item.path が未定義になることがありました。その結果、チェックモードの実行中、selinux RHEL システムロールで、さまざまな変数が未定義であるというエラーが発生していました。この更新により、tempdir.path を定義する必要があるタスクをロールがスキップするようになり、変数が未定義のケースを処理できるようになりました。その結果、ロールはチェックモードで正しく動作するようになりました。

rhel-system-roles の値を持つカーネルオプションの削除が改善されました

以前は、ユーザーがキーのみを指定した場合、key=value 形式で指定されたカーネルブートオプションを削除できず、不要なブートパラメーターが永続化され、カーネルオプションの名前による管理が一貫性を欠いた状態になっていました。この更新により、mod_boot_args 関数の正規表現が更新され、カーネルオプションと値を正しくマッチさせて削除するようになりました。また、正しい動作を確認するための自動テストが追加されました。

ha_cluster RHEL システムロールが必要とする際に、/var/lib/pcsd ディレクトリーが利用可能であることが確認されます

この更新前は、pcs のインストール中に /var/lib/pcsd ディレクトリーが作成されていました。しかし、最近のバージョンでは、pcsd サービスの起動時に systemd サービスによってこのディレクトリーが作成されます。そのため、ロールがディレクトリーにアクセスしようとしたときにディレクトリーが存在しない場合があり、実行時にエラーが発生したり失敗したりすることがありました。

LVM RAID が暗号化されたデバイスとパーティションが設定されたデバイスをサポートするようになりました

この更新前は、LVM RAID のコードで、raid_disks に指定されたディスクがすべての LVM RAID 構成において PV の親デバイスであると想定されていました。この想定は、暗号化されたデバイスやパーティションが設定されたデバイスには当てはまりませんでした。その結果、暗号化された LUKS レイヤーによって追加のストレージレイヤーが追加されたとき、または親デバイスなしで直接パーティションが使用されたときにエラーが発生していました。このリリースでは、LVM RAID の PV の解決処理が改善され、暗号化されたデバイスとパーティションが設定されたデバイスがサポートされるようになりました。その結果、基礎となるディスクの代わりに PV パーティションを指定できるようになりました。

RAID が無効な設定やサポートされていない設定に対して明確なエラーを報告するようになりました

この更新前は、無効な RAID レベルや不十分なディスクを指定しても、明確なエラーが発生しませんでした。そのため、アレイの作成が失敗するか、作成の一貫性が失われていました。その結果、エラーメッセージが不明瞭になり、RAID セットアップの信頼性が低下していました。このリリースでは、アレイの作成前に RAID パラメーターが検証され、最小ディスク数が適用されます。その結果、明確なエラーが発生し、不十分なディスクで RAID を作成しようとすると、作成がブロックされます。

encryption_key がマスクされなくなりました

この更新前は、encryption_key パラメーターが誤って no_log とマークされていました。これにより、鍵ファイルのパスがプレースホルダー文字列に置き換えられ、ディスクの暗号化が機能しなくなっていました。この更新により、encryption_key パラメーターに no_log フラグが付かなくなり、鍵ファイルを使用してディスク暗号化を正常に実行できるようになりました。

selinux ロールがカーネルの SELinux パラメーターを永続的に設定します

この更新前は、selinux RHEL システムロールが、SELinux の状態を無効に、または無効から変更するときに、カーネル SELinux パラメーターを設定していませんでした。その結果、SELinux の状態の変更が再起動後も保持されませんでした。この更新により、ロールが SELinux の状態を無効に、または無効から変更するときに、カーネル SELinux パラメーターが正しく設定されるようになりました。そのため、SELinux の状態を無効に、または無効から変更した場合に、変更が再起動後も維持されます。

systemd ロールが宛先へのパスを作成する際にファイルのベース名を使用します

この更新前は、ユーザーがネストされたディレクトリー内のファイルまたはテンプレートソースを指定すると、systemd RHEL システムロールが、宛先ファイルのベース名ではなく、パス全体を使用していました。その結果、ファイルとテンプレートが同じディレクトリー構造で宛先に配置されていました。しかし、この配置方法は systemd によってサポートされていません。このリリースでは、ロールはネストされたディレクトリー内の宛先ファイルにベース名を使用します。その結果、ユーザーはロールを使用してネストされたディレクトリーを使用できるようになりました。

timesync RHEL システムロールが、/etc/sysconfig/chronyd からデフォルト設定 OPTIONS="-F 2" を削除しなくなりました

この更新前は、timesync システムロールによって、chronyd サービスのデフォルトの OPTIONS= 設定が "" に置き換えられていました。その結果、デフォルトの OPTIONS="-F 2" 設定が削除され、chronyd のセキュリティーが低下していました。このリリースでは、OPTIONS のデフォルト設定として -F 2 が追加され、ユーザーがこの設定をオーバーライドまたは拡張できるようになりました。その結果、timesync ロールは、ユーザーによるカスタマイズを許可しながら、正しいセキュリティー設定を適用するようになりました。

network RHEL システムロールのルーティングルールの検証が正しくないことによるエラーが表示されなくなりました

この更新前は、network RHEL システムロールの検証部分で、NM.IPRoutingRule クラスではなく、最上位の NM モジュールでルーティングルール属性が誤ってチェックされていました。これにより検証が失敗し、ロールにエラーが表示されていました。この更新により、ロールが API を正しく使用するようになり、誤った検証エラーが表示されなくなりました。