第7章 テクノロジープレビュー機能

このテクノロジープレビューでは、組織のセキュアブートキーを使用して、ブートコンテナーイメージを暗号化技術で封印できるようになります。これにより、ビルドから実行時に至るまで、オペレーティングシステム全体の完全性が確保されます。この仕組みは、ターゲットコンテナーのルートファイルシステムのダイジェストを埋め込んだ Unified Kernel Image と、同じく組織のセキュアブートキーで署名されたブートローダー (systemd-boot など) をベースとしています。

その結果、既存のソリューションよりも高度なセキュリティーを実現し、改ざん防止システムのコンプライアンス要件を満たすことができます。これにより、ハードウェアからオペレーティングシステムに至るまで、実行コードの完全性が確保されます。コンテナーイメージには Unified Kernel Image が含まれており、ブートプロセス、パス、およびホストオペレーティングシステムの完全性が確保されます。詳細は、Building sealed images を参照してください。

Jira:RHELDOCS-20426^[1]

インストーラーには、新しい bootc キックスタートコマンドのサポートがテクノロジープレビューとして含まれています。これにより、起動可能なコンテナーのデプロイメントが可能になります。この実装は、既存の ostreecontainer キックスタートコマンドに相当するものですが、オペレーティングシステムの内容のプロビジョニングとブートローダーのセットアップの両方を管理するために、bootc ユーティリティーに依存します。このコマンドは、以下のように使用できます。

# bootc --source-imgref=<transport>:<registry>/<namespace>/<name>:<tag> --target-imgref=<registry>/<namespace>/<name>:<tag>

詳細は、Installing RHEL from a bootable container image by using the bootc Kickstart command を参照してください。

Jira:RHEL-58215^[1]

テクノロジープレビューとして提供されている NVMe/TLS は、標準的な TLS 鍵導出仕様に準拠しています。今回のアップデートでは、TLS Pre-Shared Key (PSK) のインポート機能に破壊的変更が加えられています。この変更は、nvme-cli バージョン 2.16 より前、および libnvme バージョン 1.16 より前のバージョンの gen-tls-key と check-tls-key コマンドに影響します。

アップグレード後にストレージターゲットへの NVMe/TLS 接続が失敗した場合は、以下のいずれかの操作を実行してください。

Jira:RHEL-135994

Identity Management (IdM) 管理者は、複数の認証メカニズムを表示するように GNOME Display Manager (GDM) のログイン画面を設定できます。既存のスマートカード認証に加え、管理者は外部アイデンティティープロバイダー (EIdP) や FIDO2 準拠のパスキーといった、新しいパスワードレス認証方法を有効化できます。authselect で with-switchable-auth 機能を有効にし、System Security Services Daemon (SSSD) を設定して、ユーザーがログイン時に希望する認証情報を直接選択できるようにします。

パスワードレス認証は、静的なパスワードを、アクセスリクエストごとにユーザーの身元とデバイスの整合性の両方を検証する暗号学的証明に置き換えることで、ゼロトラストアーキテクチャーの理念に整合します。詳細な設定手順と現在の制限事項のリストについては、https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/10/html/managing_idm_users_groups_hosts_and_access_control_rules/authentication-mechanism-selection-in-gdm|https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/10/html/managing_idm_users_groups_hosts_and_access_control_rules/authentication-mechanism-selection-in-gdm[SSSD を使用した GDM での認証メカニズム選択の有効化] を参照してください。

Jira:RHEL-11913^[1]

今回のアップデートにより、Identity Management (IdM) は、Modern Web UI をテクノロジープレビューとして提供します。この新しいインターフェイスはデザインが刷新され、/ipa/modern-ui エンドポイントで利用可能です。IdM Web UI のログイン画面にあるリンクから、新しいインターフェイスにアクセスできます。

テクノロジープレビューとして提供される Modern Web UI は、現在活発に開発が進められており、非実稼働環境での実験を目的としています。インターフェイスの改善に役立てるため、FreeIPA Web UI コミュニティープロジェクト へフィードバックをお寄せください。

Jira:RHEL-90121

SSSD は汎用的なアイデンティティープロバイダー (IdP) を提供し、初期段階では Keycloak と Entra ID をサポートしています。SSSD を設定することで、これらの IdP からユーザーとグループを直接読み取り、OAuth 2.0 Device Authorization Grant (RFC 8628) を使用してユーザーを認証できます。これにより、最新の IdP を利用して、集中型の認証とアクセス管理を行うことが可能になります。この機能はテクノロジープレビュー機能です。

詳細は、sssd-idp(5) man ページを参照してください。

Jira:RHEL-4990

GNOME Display Manager (GDM) は、ユーザーが好みの認証方法を選択できるインターフェイスを提供します。以前は、グラフィカルログイン環境では、ユーザーは単一の認証方法しか利用できませんでした。今回のアップデートにより、ユーザーはログイン画面から直接、外部アイデンティティープロバイダー (EIdP)、FIDO2 対応パスキーデバイス、またはスマートカードなどの認証方法を切り替えられるようになりました。この機能は、テクノロジープレビューとして利用できます。

この機能を有効にする方法の詳細と現在の制限事項のリストについては、SSSD を使用した GDM での認証メカニズム選択の有効化 を参照してください。

Jira:RHEL-14524^[1]

mutter 49 へのリベースにより、ディスプレイ設定に High Dynamic Range (HDR) スイッチが導入されました。この HDR スイッチを使用すると、ユーザーは HDR モードと Standard Dynamic Range (SDR) モードを切り替えることができます。これにより、対応デバイスにおけるメディアやグラフィックスの視覚効果が向上します。この機能は、テクノロジープレビューとして利用できます。

Jira:RHEL-144935

テクノロジープレビューとして、RHEL ホストで Secure Encrypted Virtualization-Secure Nested Paging (SEV-SNP) を有効にできます。SEV‑SNP はハードウェアベースのセキュリティー機能です。仮想マシンに強力なメモリー暗号化および整合性保護機能を提供し、仮想マシンをハイパーバイザーやその他のシステムソフトウェアから分離します。

SEV-SNP は AMD CPU でのみ利用可能です。この機能をホスト上で設定するには、snphost パッケージを使用する必要があります。

Jira:RHELDOCS-19757^[1]

テクノロジープレビューとして、ARM64 ハードウェア (AArch64 とも呼ばれる) を使用する RHEL 10 ホスト上の仮想マシン (VM) に対して、セキュアブート機能を設定できるようになりました。セキュアブートにより、仮想マシンが暗号署名されたオペレーティングシステム (OS) を実行していることが保証されます。これは、仮想マシンのゲスト OS がマルウェアにより変更された場合に役立ちます。このようなシナリオでは、セキュアブートにより仮想マシンが起動しなくなり、ホストマシンへのマルウェアの潜在的な拡散を阻止します。

Jira:RHEL-82645

テクノロジープレビューとして、SCSI3 永続予約 (S3-PR) が有効になっている仮想マシン (VM) をライブマイグレーションできるようになりました。マイグレーション後も予約状態は保持されます。これを行うには、仮想マシンに対して以下の XML 設定を使用する必要があります。

<reservations managed="no" migration="yes">

ただし、S3-PR とこの設定を使用した仮想マシンを、以前のバージョンの QEMU を使用するホストに移行すると失敗することに注意してください。

Jira:RHEL-135115