8.7 リリースノート

インストーラーで自動 FCP SCSI LUN スキャンがサポートされました

インストーラーは、IBM Z システムに FCP SCSI LUN をアタッチする際に、自動 LUN スキャンを使用できるようになりました。自動 LUN スキャンは、zfcp.allow_lun_scan カーネルモジュールパラメーターで無効にされていない場合、NPIV モードで動作する FCP デバイスで使用できます。これは、デフォルトで有効になっています。これは、指定されたデバイスバス ID を持つ FCP デバイスに接続されたストレージエリアネットワークで見つかったすべての SCSI デバイスへのアクセスを提供します。WWPN と FCP LUN を指定する必要はなくなり、FCP デバイスバス ID のみ指定する必要があります。

Image Builder オンプレミスが /boot パーティションのカスタマイズをサポートするようになりました

Image Builder オンプレミスバージョンは、カスタムの /boot マウントポイントパーティションサイズを使用したイメージのビルドをサポートするようになりました。ブループリントのカスタマイズで /boot マウントポイントパーティションのサイズを指定し、デフォルトのブートパーティションサイズが小さすぎる場合に /boot パーティションのサイズを増やすことができます。以下に例を示します。

Image Builder オンプレミスで GCP へのイメージのアップロードがサポートされました

この機能強化により、Image Builder CLI を使用して gce イメージを作成し、イメージのアップロードに使用するユーザーまたはサービスアカウントのクレデンシャルを指定できます。その結果、Image Builder はイメージを作成し、指定した GCP 環境に gce イメージを直接アップロードします。

Image Builder オンプレミス CLI で、レジストリーへのコンテナーイメージの直接プッシュがサポートされました

今回の機能強化により、Image Builder CLI を使用して、ビルド後に RHEL for Edge Container イメージをコンテナーレジストリーに直接プッシュできます。Container Image をビルドするには、以下を実行します。

Image Builder オンプレミスのユーザーは、イメージ作成プロセス中にブループリントをカスタマイズできるようになりました

今回の更新では、Edit Blueprint ページが削除され、Image Builder サービスと cockpit-composer の Image Builder アプリのユーザーエクスペリエンスが統合されました。ユーザーは、ブループリントを作成し、イメージ作成プロセス中にパッケージの追加やユーザーの追加などのカスタマイズを行うことが可能になりました。ブループリントのバージョン管理も削除されたため、ブループリントのバージョンは 1 つだけ (現在のバージョン) になります。ユーザーは、作成済みのイメージから古いブループリントバージョンにアクセスできます。

Cronie に、選択した範囲内での時間のランダム化に対するサポートが追加されました

Cronie ユーティリティーは、cronjob の実行で ~ (範囲内でのランダム化) Operator をサポートするようになりました。その結果、選択した範囲内のランダムな時間に cronjob を開始できます。

新しいパッケージ: xmlstarlet

XMLStarlet は、XML ファイルの解析、変換、クエリー、検証、および編集を行うための一連のコマンドラインユーティリティーです。新しい xmlstarlet パッケージは、grep、sed、awk、diff、patch、join などのプレーンテキストファイルに対して UNIX コマンドを使用する場合と同様の方法で使用できる、シェルコマンドの単純なセットを提供します。

ReaR は、リカバリー前後にコマンドを実行する新しい変数を追加します

この機能強化により、ReaR にはリカバリー前後に実行されるコマンドの自動化を容易にする 2 つの新しい変数が導入されます。

libva はバージョン 2.13.0 にリベースされました

ビデオアクセラレーション API の libva ライブラリーがバージョン 2.13.0 に更新されました。主な改善点と新機能は次のとおりです。

powerpc-utils がバージョン 1.3.10 にリベースされました

PowerPC プラットフォーム用のさまざまなユーティリティーを提供する powerpc-utils パッケージがバージョン 1.3.10 に更新されました。以下は、主な改善点です。

opencryptoki がバージョン 3.18.0 にリベースされました

Public-Key Cryptography Standard (PKCS) #11 の実装である opencryptoki パッケージがバージョン 3.18.0 に更新されました。以下は、主な改善点です。

Redfish モジュールが redhat.rhel_mgmt Ansible コレクションに含まれるようになりました。

redhat.rhel_mgmt Ansible コレクションには、次のモジュールが含まれるようになりました。

sysctl が systemd ディレクトリーの順序と一致するようになりました

sysctl ユーティリティーの設定ディレクトリーの順序が、systemd-sysctl ディレクトリーの順序と同期されるようになりました。設定ディレクトリーは、実行時にカーネルパラメーターを調べて変更します。/etc/sysctl.d ディレクトリー内の設定ファイルは、/run/sysctl.d 内の設定ファイルよりも優先度が高く、sysctl と systemd の間でファイルの優先順位が乱れることはもうありません。

chrony がバージョン 4.2 にリベースされました

chrony スイートがバージョン 4.2 に更新されました。バージョン 4.1 からの注目すべき機能強化は次のとおりです。

unbound がバージョン 1.16.2 にリベースされました

unbound コンポーネントがバージョン 1.16.2 に更新されました。unbound は、検証、再帰、およびキャッシング DNS リゾルバーです。以下は、主な改善点です。

NSS が 1023 ビット未満の RSA 鍵に対応しなくなる

Network Security Services (NSS) ライブラリーの更新により、すべての RSA 操作の最小鍵サイズが 128 から 1023 ビットに変更されます。つまり、NSS は以下の機能を実行しなくなります。

SCAP セキュリティーガイドが 0.1.63 にリベースされました

SCAP セキュリティーガイド (SSG) パッケージは、アップストリームバージョン 0.1.63 にリベースされました。このバージョンは、さまざまな拡張機能とバグ修正を提供します。特に、次のようなものがあります。

CIS RHEL 8 ベンチマーク 2.0.0 に準拠した SSG CIS プロファイル

SCAP Security Guide (SSG) には、Center for Internet Security (CIS) プロファイルを CIS Red Hat Enterprise Linux 8 Benchmark バージョン 2.0.0 に合わせる変更が含まれるようになりました。このバージョンのベンチマークでは、新しい要件が追加され、関連性がなくなった要件が削除され、いくつかの既存の要件が並べ替えられました。この更新は、関連するルールの参照とそれぞれのプロファイルの精度に影響を与えます。

RHEL 8 STIG プロファイルが DISA STIG コンテンツにより適切に調整されるようになりました。

scap-security-guide (SSG)パッケージで利用可能な DISA STIG for Red Hat Enterprise Linux 8 プロファイル (xccdf_org.ssgproject.content_profile_stig) を使用して、アメリカ国防情報システム局 (DISA) による Security Technical Implementation Guides (STIG) に従ってシステムを評価できます。SSG のコンテンツを使用してシステムを修復できますが、DISA STIG 自動コンテンツを使用してシステムを評価する必要がある場合があります。今回の更新により、DISA STIG RHEL 8 プロファイルは、DISA のコンテンツとの整合性が向上しました。これにより、SSG 修復後に DISA コンテンツに対する調査結果が少なくなります。

/tmp および /var/tmp パーティションが存在しない場合に、マウントオプションの SSG ルールが誤って失敗することがなくなりました

以前は、/tmp および /var/tmp パーティションのマウントオプションに関する SCAP セキュリティーガイド (SSG) ルールは、そのようなパーティションがシステムに存在しない場合、fail の結果を誤って報告していました。

STIG セキュリティープロファイルがバージョン V1R7 に更新されました。

SCAP セキュリティーガイドの DISA STIG for Red Hat Enterprise Linux 8 プロファイルが更新され、最新バージョンの V1R7 に合わせて更新されました。

clevis-luks-askpass がデフォルトで有効になりました

/lib/systemd/system-preset/90-default.preset ファイルには enable clevis-luks-askpass.path 設定オプションが含まれます。clevis-systemd サブパッケージをインストールすると、必ず clevis-luks-askpass.path ユニットファイルが有効になります。これにより、Clevis 暗号化クライアントは、起動プロセスの後半でマウントされる LUKS 暗号化ボリュームもロック解除できます。この更新の前に、管理者は systemctl enable clevis-luks-askpass.path コマンドを使用して、Clevis がそのようなボリュームのロックを解除できるようにする必要があります。

Rsyslog エラーファイルの最大サイズオプションを追加しました

新しい action.errorfile.maxsize オプションを使用すると、Rsyslog ログ処理システムのエラーファイルの最大バイト数を指定できます。エラーファイルが指定されたサイズに達すると、Rsyslog は追加のエラーやその他のデータを書き込むことができなくなります。これにより、エラーファイルが原因でファイルシステムがいっぱいになり、ホストが使用できなくなるのを防ぐことができます。

fapolicyd が 1.1.3 にリベースされました。

fapolicyd パッケージがバージョン 1.1.3 にアップグレードされました。主な改善点とバグ修正は次のとおりです。

大規模な iptables ルールセットの保存速度が改善されました

この機能強化により、iptables-save ユーティリティーが最適化され、大きなルールセットを保存する際のオーバーヘッドが削減されます。/etc/protocols ファイルからエントリーを読み取る際のユーティリティーが改善され、不要な場合に拡張共有オブジェクトファイルを検索しなくなりました。その結果、ストレージアクセスの遅延が大きい環境で大規模なルールセットを保存する場合の iptables-save の実行時間が大幅に改善されました。

NetworkManager がバージョン 1.40 にリベース

NetworkManager パッケージがアップストリームバージョン 1.40 にアップグレードされ、以前のバージョンに対するバグ修正や機能強化が数多く追加されました。

Microsoft Azure で毎起動時に cloud-init がネットワーク設定を更新するようになりました

仮想マシンがオフラインのときに管理者がネットワークインターフェイスの設定を更新しても、Microsoft Azure はインスタンス ID を変更しません。今回の機能強化により、仮想マシンの起動時に cloud-init サービスが常にネットワーク設定を更新し、Microsoft Azure 上の RHEL が最新のネットワーク設定を使用するようになります。

NetworkManger は DHCP リース情報を /run/NetworkManager/devices/ ディレクトリーに保存するようになりました

NetworkManager は、DHCP サーバーからのリース情報を /run/NetworkManager/devices/ ディレクトリーに保存するようになりました。以前は、ファイルベースの API は利用できず、この情報は nmcli -f all devices show DEVICE コマンドの出力でのみ表示されました。この機能強化により、他のユーティリティーやスクリプトは、nmcli を呼び出さずに DHCP オプションにアクセスできます。

RHEL 8.7 のカーネルバージョン

Red Hat Enterprise Linux 8.7 には、カーネルバージョン 4.18.0-425 が同梱されています。

SSBD と STIBP のデフォルトの軽減策が変更されました

spec_store_bypass_disable (SSBD) および spectre_v2_user (STIBP) ブートパラメーターのデフォルトの軽減策が、seccomp モードから prctl に変更されました。今回の更新により、seccomp の制御下にあるコンテナーとアプリケーションのパフォーマンスが向上します。

デバッグカーネルバリアントで vmcore ダンプファイルが正しく生成される

今回の更新により、現在のカーネルがデバッグバリアントである場合、kdump メカニズムはキャプチャカーネルと同じバージョンの非デバッグカーネルを使用するようになりました。非デバッグカーネルをキャプチャカーネルとして使用することで、kdump はデバッグバリアントよりも少ないメモリーを消費します。その結果、kdump は vmcore ファイルを正しく生成し、クラッシュしたカーネルのメモリーの内容をキャプチャします。

Intel E800 デバイスが iWARP および RoCE プロトコルをサポートするように

この機能拡張により、enable_iwarp および enable_roce devlink パラメーターを使用して、iWARP または RoCE プロトコルのサポートをオンまたはオフにできるようになりました。この必須機能を使用すると、いずれかのプロトコルを使用してデバイスを設定できます。Intel E800 デバイスは、同じポートで両方のプロトコルを同時にサポートしません。

GRUB は新しい鍵で署名されています

セキュリティー上の理由から、GRUB は新しい鍵で署名されるようになりました。結果として、セキュアブート機能が有効になっている IBM POWER のリトルエンディアンバリアントで RHEL を使用している場合は、ブートできるようにファームウェアをバージョン FW1010.30 (またはそれ以降) または FW1020 に更新する必要があります。

IBM POWER で仮想マシンを起動すると、設定可能なディスクアクセスが再試行する

IBM POWER アーキテクチャーで論理パーティション (lpar) 仮想マシン (VM) を起動すると、GRUB ブートローダーがリモートディスクへのアクセスを再試行する回数を設定できるようになりました。再試行回数を下げると、特定の状況で起動が遅くなる可能性があります。

nfsrahead が RHEL 8 に追加されました

nfsrahead ツールの導入により、それを使用して NFS マウントの readahead 値を変更できるため、NFS 読み取りパフォーマンスに影響を与えることができます。

rpcctl コマンドが SunRPC 接続情報を表示するようになる

今回の更新で、rpcctl コマンドを使用して、システムの SunRPC オブジェクトに関する SunRPC sysfs ファイルで収集された情報を表示するようになりました。sysfs ファイルシステムを介して、SunRPC ネットワークレイヤーのオブジェクトを表示、削除、および設定できます。

multipath.conf は、DM Multipath でプロトコル固有の設定オーバーライドを含めることができるようになりました

さまざまなプロトコルを介してマルチパスデバイスのパスにアクセスできます。さまざまなプロトコルがさまざまな最適な設定を持つ可能性があるため、以前は、プロトコルごとのオプションを使用せずに Device Mapper Multipath 機能ですべてのプロトコルに最適な設定を設定することはできませんでした。この機能強化により、プロトコル固有の設定オーバーライドを multipath.conf ファイルに含めることができます。その結果、プロトコルごとにマルチパスデバイスパスを設定できるようになり、複数のプロトコルを介してアクセスできるマルチパスデバイスを正しく設定できるようになりました。

multipathd が、FPIN-Li イベントの検出をサポートするようになりました

marginal_pathgroups 設定オプションに新しい値 fpin を追加すると、multipathd を有効化して Link Integrity Fabric Performance Impact Notification (PFIN-Li) イベントを監視し、リンク整合性の問題があるパスをマージナルパスグループに移動します。fpin 値を設定すると、multipathd は既存のマージナルパス検出方法をオーバーライドし、ファイバーチャネルファブリックに依存してリンクの整合性の問題を特定します。

pcs コマンドラインは、システムの再起動を必要としないマルチパス SCSI デバイスの更新をサポートします

pcs stonith update-scsi-devices コマンドを使用して、マルチパス SCSI デバイスを更新できるようになりました。このコマンドは、同じノードで実行されている他のクラスターリソースを再起動することなく、SCSI デバイスを更新します。

クラスター UUID をサポートします

クラスターのセットアップ中に、pcs コマンドがすべてのクラスターの UUID を生成するようになりました。クラスター名は一意のクラスター識別子ではないため、複数のクラスターを管理する場合に、クラスター UUID を使用して同じ名前のクラスターを識別できます。

multiple-active リソースパラメーターが stop_unexpected の値を受け入れるようになりました

multiple-active リソースパラメーターは、リソースが複数のノードでアクティブであってはならないときにアクティブである場合の回復動作を決定します。デフォルトでは、リソースが本来あるべき場所で正常に実行されている場合でも、この状況ではリソースを完全に再起動する必要があります。今回の更新で、multiple-active リソースパラメーターは stop_unexpected の値を受け入れます。これにより、multiple-active リソースの予期しないインスタンスのみを停止するように指定できます。ユーザーは、サービスとそのリソースエージェントが、完全に再起動しなくても追加のアクティブインスタンスで機能することを確認する必要があります。

新しい allow-unhealthy-node Pacemaker リソースメタ属性

Pacemaker は、allow-unhealthy-node リソースメタ属性をサポートするようになりました。このメタ属性が true に設定されている場合、ノードの正常性が低下したことでリソースがノードから強制的に切り離されることはありません。正常性リソースにこの属性が設定されている場合、クラスターはノードの正常性が回復したかどうかを自動的に検出し、リソースをノードに戻すことができます。

Red Hat OpenStack Platform で高可用性がサポートされました

Red Hat OpenStack Platform で高可用性クラスターを設定できるようになりました。この機能をサポートするために、Red Hat は次の新しいクラスターエージェントを提供します。

Pacemaker は、システムグループのアクセス制御リスト (ACL) の指定をサポートするようになりました

これまで Pacemaker では個々のユーザーに ACL を指定できましたが、ローカルポリシーを使用してシステムグループに ACL を指定し、そのグループ内のすべてのユーザーに適用する方が簡単で適している場合があります。pcs acl group コマンドは以前のリリースに存在していましたが、効果がありませんでした。これで、ユーザーはこのコマンドを使用してシステムグループの ACL を指定できるようになりました。

設定済みフェンスデバイスを再作成する pcs コマンドを表示する新しい pcs stonith config コマンドオプションが追加されました

pcs stonith config コマンドで、--output-format=cmd オプションが使用可能になりました。このオプションを指定すると、別のシステムで設定済みのフェンスデバイスを再作成するために使用できる pcs コマンドが表示されます。

設定済みリソースを再作成する pcs コマンドを表示する新しい pcs resource config コマンドオプションが追加されました

pcs resource config コマンドで、--output-format=cmd オプションが使用可能になりました。このオプションを指定すると、別のシステムで設定済みリソースを再作成するために使用できる pcs コマンドが表示されます。

nodejs:18 モジュールストリームに完全に対応しました。

以前はテクノロジープレビューとして利用できた nodejs:18 モジュールストリームは、RHSA-2022:8833 アドバイザリーのリリースで完全に対応しています。nodejs:18 モジュールストリームでは、LTS (Long Term Support) バージョンの Node.js 18.12 が提供されるようになりました。

nodejs:18 がバージョン 18.14 にリベースされ、npm がバージョン 9 にリベースされました。

RHSA-2023:1583 でリリースされた Node.js 18.14 には、npm のバージョン 8 からバージョン 9 への SemVer メジャーアップグレードが含まれています。この更新はメンテナンス上の理由から必要であり、npm 設定の調整が必要になる場合があります。

新しいモジュールストリーム: ruby:3.1

RHEL 8.7 では、新しい ruby:3.1.2 モジュールストリームに Ruby 3.1 が導入されました。このバージョンでは、RHEL 8.5 で配布される Ruby 3.0 に対するパフォーマンスの向上、バグおよびセキュリティー修正、および新機能が数多く追加されました。

新しいモジュールストリーム: mercurial:6.2

RHEL 8.7 は、新しいモジュールストリームとして Mercurial 6.2 を追加します。このバージョンでは、RHEL 8.0 以降に利用可能な Mercurial 4.8 よりも多くのバグ修正、機能強化、およびパフォーマンスの改善が提供されます。

mariadb-java-client がバージョン 2.7.1 にリベースされました

Java で開発されたアプリケーション用の MariaDB コネクターを提供する mariadb-java-client パッケージが、バージョン 2.7.1 に更新されました。

バージョン 6.2.7 にリベースされた redis

redis:6 モジュールストリームを提供する高度なキー値ストアである Redis 6 は、バージョン 6.2.7 に更新されました。この更新では、RHEL 8.4 以降に利用可能なバージョン 6.0 に対するバグ修正、セキュリティー修正、および改善が提供されます。

httpd 設定の LimitRequestBody ディレクティブのデフォルトが新しくなりました

CVE-2022-29404 を修正するために、Apache HTTP Server の LimitRequestBody ディレクティブのデフォルト値が 0 (無制限) から 1 GiB に変更されました。

新しい GCC Toolset 12

GCC Toolset 12 は最新バージョンの開発ツールを提供するコンパイラーツールセットです。このツールセットは、AppStream リポジトリーにおいて、Software Collection の形式で、Application Streams として利用できます。

GCC Toolset 12: Annobin がバージョン 10.76 にリベースされました。

GCC Toolset 12 では、Annobin パッケージがバージョン 10.76 に更新されました。

GCC Toolset 12: binutils がバージョン 2.38 にリベースされました

GCC Toolset 12 では、elfutils パッケージがバージョン 2.38 に更新されました。

GCC 12 以降は _FORTIFY_SOURCE レベル 3 をサポートします

この機能拡張により、ユーザーは、GCC バージョン 12 以降でビルドする場合に、コンパイラーコマンドラインで -D_FORTIFY_SOURCE=3 を使用してアプリケーションをビルドできます。_FORTIFY_SOURCE レベル 3 では、ソースコード強化の範囲が改善されるため、コンパイラーコマンドラインで -D_FORTIFY_SOURCE=3 を指定してビルドされたアプリケーションのセキュリティーが向上します。これは、GCC バージョン 12 以降および Clang バージョン 9.0 以降でサポートされており、__builtin_dynamic_object_size ビルトインが含まれています。

DNS スタブリゾルバーオプションが no-aaaa オプションをサポートするようになりました

今回の機能拡張により、glibc は /etc/resolv.conf の no-aaaa スタブリゾルバーオプションと RES_OPTIONS 環境変数を認識するようになりました。このオプションが有効な場合、AAAA クエリーはネットワーク経由で送信されません。システム管理者は、診断目的で AAAA DNS ルックアップを無効にすることができます。たとえば、IPv4 のみのネットワークでの余分なルックアップが DNS の問題に影響しないように除外できます。

glibc で IBM Z シリーズ z16 のサポートを追加

glibc の IBM z16 プラットフォームで s390 命令セットがサポートされるようになりました。IBM z16 は、HWCAP_S390_VXRS_PDE2 と HWCAP_S390_NNPA という 2 つの追加のハードウェア機能を提供します。その結果、アプリケーションはこれらの機能を使用して、最適化されたライブラリーと機能を提供できるようになりました。

新しい make-latest パッケージ

今回の機能拡張により、make ユーティリティーの最新バージョンを含む make-latest パッケージが導入されました。以前は、GCC Toolset を通じて最新の make バージョンを提供していました。これで、make-latest パッケージを個別にインストールし、scl enable make43/bin/bash で最新バージョンを実行できます (make43 バージョンが最新の場合)。

GCC Toolset 12: GDB がバージョン 11.2 にリベースされました。

GCC Toolset 12 では、GDB パッケージがバージョン 11.2 に更新されました。

libpfm が AMD Zen 2 および Zen 3 プロセッサーをサポートするようになりました

この機能強化により、ユーザーは libpfm を使用して AMD Zen 2 および Zen 3 パフォーマンス監視ハードウェアにアクセスできるようになりました。

papi が AMD Zen 2 および Zen 3 プロセッサーをサポートするようになりました

この機能強化により、ユーザーは papi を使用して AMD Zen 2 および Zen 3 パフォーマンス監視ハードウェアにアクセスできるようになりました。

ARM プロセッサーのハードウェア識別の改善

この機能強化により、papi_avail ユーティリティーは、さまざまな ARM ベンダーのベンダー文字列とコード情報を正しく報告するようになりました。このユーティリティーを使用すると、PAPI_get_hardware_info() 関数を使用して、aarch64 アーキテクチャーで、ARM 以外のメーカーが製造したプロセッサーを識別できます。その結果、開発者は必要なアーキテクチャーに合わせてコードを調整できます。

富士通 A64FX イベントマッピングの更新

PAPI ライブラリーは、Fujitsu A64FX プロセッサー用に更新されました。ユーザーは、プログラムのパフォーマンスを分析するために使用できる papi_avail の出力で追加のプリセットを使用できるようになりました。

dyninst パッケージ化がバージョン 12.1 にリベースされました

dyninst パッケージがバージョン 12.1 にリベースされました。主なバグ修正と機能拡張は、以下のとおりです。

systemtap パッケージがバージョン 4.7 にリベース

systemtap パッケージがバージョン 4.7 にリベースされました。主なバグ修正と機能拡張は、以下のとおりです。

Rust Toolset がバージョン 1.62.1にリベースされました

Rust Toolset が、バージョン 1.62.1 に更新されました。主な変更点は、以下のとおりです。

LLVM Toolset がバージョン 14.0.6 にリベース

LLVM Toolset はバージョン 14.0.6 にリベースされました。主な変更点は、以下のとおりです。

Go Toolset がバージョン 1.18.2 にリベース

Go Toolset はバージョン 1.18.2 にリベースされました。

LLVM ゴールドプラグイン が IBM Z アーキテクチャーで利用可能になりました

この機能拡張により、ユーザーは IBM Z (s390x) アーキテクチャーで clang および ld.bfd を使用して LTO ビルドを作成できます。s390x アーキテクチャーは、ld.bfd および LTO とのリンクをサポートするようになりました。

新しいモジュールストリーム: maven:3.8。

RHEL 8.7 では、新しいモジュールストリームとして Maven 3.8 が導入されています。

.NET バージョン 7.0 が利用可能

Red Hat Enterprise Linux 8.7 には .NET バージョン 7.0 が同梱されています。以下は、主な改善点です。

SSSD が SID リクエストのメモリーキャッシングをサポートするようになりました

この機能拡張により、SSSD は SID 要求のメモリーキャッシングをサポートするようになりました。これには、SID による GID および UID ルックアップと、その逆が含まれます。メモリーキャッシングにより、たとえば、Samba サーバーとの間で大量のファイルをコピーする場合などに、パフォーマンスが向上します。

IdM は、Windows Server 2022 での AD Trust の設定をサポートするようになりました

この機能拡張により、Identity Management (IdM) ドメインと、Windows Server 2022 を実行するドメインコントローラーを使用する Active Directory フォレストとの間でフォレスト間の信頼を確立できます。

IdM は、ユーザーパスワードの有効期限が切れた後に許可される LDAP バインド数の制限をサポートするようになりました

今回の機能拡張により、Identity Management (IdM) ユーザーのパスワードの有効期限が切れたときに許可される LDAP バインドの数を設定できます。

IdM は、名前検索中に、指定された名前が信頼された AD ドメインのユーザーまたはグループであるかどうかを示すようになりました

今回の更新により、新しい getorigbyusername() および getorigbygroupname() 呼び出しが、SID ベースのルックアップ用のユーティリティーライブラリーである libsss_nss_idmap に追加されました。この追加により、Identity Management (IdM) が Active Directory (AD) ドメインと信頼関係にある場合に、ユーザーとグループのルックアップがより堅牢になります。ユーザーまたはグループのルックアップを実行するときに、IdM は、指定された名前が信頼できるドメインのユーザーまたはグループに属しているかどうかを表示できるようになりました。

新しい ipasmartcard_server および ipasmartcard_client ロールが追加されました

今回の更新により、ansible-freeipa パッケージは、スマートカード認証用に Identity Management (IdM) サーバーとクライアントを設定するための Ansible ロールを提供します。ipasmartcard_server および ipasmartcard_client ロールは、統合を自動化および簡素化するために ipa- advise スクリプトを置き換えます。他の ansible-freeipa ロールと同じインベントリーと命名スキームが使用されます。

samba がバージョン 4.16.1 にリベースされました。

samba パッケージがアップストリームバージョン 4.16.1 にアップグレードされ、以前のバージョンに対するバグ修正や機能強化が追加されました。

SSSD が Windows Server 2022 との直接統合をサポートするようになりました

この機能拡張により、SSSD を使用して、Windows Server 2022 を実行するドメインコントローラーを使用する Active Directory フォレストと RHEL システムを直接統合できます。

Directory Server が Auto Membership プラグインタスクのキャンセルに対応

以前は、ディレクトリーサーバーの設定が複雑な場合 (大規模なグループ、複雑なルール、他のプラグインとの対話など)、Auto Membership プラグインタスクが原因でサーバーの CPU 使用率が高くなる可能性がありました。この機能強化により、Auto Membership プラグインタスクをキャンセルできます。その結果、パフォーマンスの問題は発生しなくなりました。

Directory Server は、ldapdelete 使用時に再帰的な削除操作をサポートするようになりました

この機能拡張により、Directory Server が Tree Delete Control [1.2.840.113556.1.4.805] OpenLDAP コントロールをサポートするようになりました。その結果、ldapdelete ユーティリティーを使用して、親エントリーのサブエントリーを再帰的に削除できます。

Directory Server インストール時における基本的な複製オプションの設定に対応

この機能強化により、インスタンスのインストール時に .inf ファイルを使用して、認証情報や変更履歴のトリミングなどの基本的なレプリケーションオプションを設定することができるようになりました。

Directory Server でレプリケーション changelog のトリミングがデフォルトで有効化

以前は、Directory Server はデフォルトでレプリケーション changelog ファイルを自動的にトリミングするように設定されていませんでした。その結果、changelog ファイルが非常に大きくなる可能性があります。今回の更新により、Directory Server はデフォルトで 7 日より古い変更ログエントリーをトリミングするように設定され、changelog ファイルが過度に大きくなるのを防ぎます。

pki パッケージの名前を idm-pki に変更

以下の pki パッケージの名前が idm-pki に変更され、IDM パッケージと Red Hat Certificate System パッケージを区別しやすくなりました。

Vulkan パッケージは 64 ビット IBM POWER で利用可能です

Vulkan 3D グラフィックス API のサポートを提供するパッケージが、リトルエンディアン 64 ビット IBM POWER アーキテクチャー (ppc64le) で利用できるようになりました。

新しい AMD GPU のサポート

今回のリリースで、AMD Ryzen 6000 Series CPU の複数の AMD Radeon RX 6000 Series GPU と統合グラフィックスのサポートが追加されました。

force_probe オプションは第 12 世代 Intel Core GPU で不要に

このリリースより前は、i915.alpha_support=1 または i915.force_probe=* カーネルオプションを設定して、以前は Alder Lake-S および Alder Lake-P として知られていた第 12 世代 Intel Core GPU のサポートを有効にする必要がありました。

RHEL Web コンソールは、OS のダウンロード の仮想マシンワークフローのオプションとして RHEL を備えています。

この機能拡張により、RHEL Web コンソールは、デフォルトのOS のダウンロード ワークフローを使用した RHEL 仮想マシン (VM) のインストールをサポートするようになりました。その結果、Web コンソール内で直接 RHEL OS を仮想マシンとしてダウンロードおよびインストールできます。

カーネルパッチを個別にインストールするための RHEL Web コンソールの新しいボタン

今回の更新により、RHEL Web コンソールに kpatch 更新のインストール ボタンが表示されます。これを使用して、他の更新のインストールやシステムの再起動なしに、カーネルのパッチのみをインストールできます。

診断レポートページに新機能が追加されました

更新された Web コンソールの診断レポート (sos レポート) ページでは、次のことができるようになりました。

Web コンソール UI からの暗号化ポリシーのセットアップ

今回の更新により、さまざまな暗号化ポリシーレベルを RHEL Web コンソールのユーザーインターフェイス (UI) から直接変更できるようになりました。UI の 概要 ページの 設定 フィールドから、暗号化ポリシーの設定オプションにアクセスできます。

Web コンソールの更新進行状況ページで、自動再起動オプションがサポートされるようになりました

更新の進行状況ページに、完了後に再起動する スイッチが追加されました。これにより、更新のインストール後にシステムが自動的に再起動します。

ha_cluster RHEL システムロールは、SBD フェンシングと Corosync 設定をサポートするようになりました

ha_cluster システムロールは、次の機能をサポートするようになりました。

network RHEL システムロールを使用して、IPoIB 機能で接続を作成できるようになりました

network RHEL システムロールの infiniband 接続タイプが、Internet Protocol over Infiniband (IPoIB) 機能をサポートするようになりました。この機能を有効にするには、infiniband の p_key オプションに値を定義します。p_key を指定する場合は、network_connections 変数の interface_name オプションを未設定にする必要があることに注意してください。network RHEL システムロールの以前の実装では、infiniband 接続タイプの p_key 値と interface_name オプションが適切に検証されませんでした。したがって、IPoIB 機能はこれまで機能しませんでした。詳細については、/usr/share/doc/rhel-system-roles/network/ ディレクトリーにある README ファイルを参照してください。

network RHEL システムロールは、ルーティングルールのネットワーク設定を設定するようになりました

以前は、パケットの宛先アドレスフィールドに基づいてパケットをルーティングできましたが、ソースルーティングおよびその他のポリシールーティングルールを定義できませんでした。今回の機能拡張により、network RHEL システムロールはルーティングルールをサポートし、ユーザーがパケット転送またはルート選択を制御できるようになります。

Networking システムロールは、管理対象設定ファイルで Ansible managed' コメントを使用します

initscripts プロバイダーを使用する場合、Networking システムロールにより、コメント付きの ifcfg ファイルが /etc/sysconfig/network-scripts ディレクトリーに生成されるようになりました。Networking ロールは、Ansible 標準の ansible_managed 変数を使用して Ansible managed コメントを挿入します。コメントは、ifcfg ファイルが Ansible によって管理されていることを宣言し、Networking ロールによってファイルが上書きされるため、ifcfg ファイルを直接編集してはならないことを示しています。プロバイダーが initscripts の場合、Ansible managed コメントが追加されます。nm (NetworkManager) プロバイダーで Networking ロールを使用する場合、ifcfg ファイルは Networking ロールではなく NetworkManager によって管理されます。

新しい previous:replaced 設定により、firewall システムロールがファイアウォール設定をデフォルトにリセットできるようになります

各マシンで既存のファイアウォール設定が異なる一連のマシンを管理するシステム管理者は、firewall ロールの previous: replaced 設定を使用して、すべてのマシンで同じファイアウォール設定を設定できるようになりました。previous: replaced 設定では、既存のすべてのファイアウォール設定を消去し、それらを一貫した設定に置き換えることができます。

強化された Microsoft SQL Server RHEL システムロール

次の新しい変数が、microsoft.sql.server RHEL システムロールで使用できるようになりました。

logging RHEL システムロールが、ファイル入力で startmsg.regex および endmsg.regex オプションをサポートするようになりました

この機能拡張により、正規表現を使用して、ファイルからのログメッセージをフィルタリングできるようになりました。オプション startmsg_regex と endmsg_regex がファイルの入力に含まれるようになりました。startmsg_regex はメッセージの開始部分に一致する正規表現を表し、endmsg_regex はメッセージの最後の部分に一致する正規表現を表します。その結果、日時、優先度、重大度などのプロパティーに基づいてメッセージをフィルタリングできるようになりました。

シンプロビジョニングされたボリュームが、storage RHEL システムロールでサポートされます。

storage RHEL システムロールは、シンプロビジョニングされた LVM 論理ボリュームを作成し、管理できるようになりました。シンプロビジョニングされた LV は書き込み時に割り当てられます。これにより、後で必要に応じてシンプロビジョニングされた LV に提供される物理ストレージとしてボリュームを作成する際の柔軟性が向上します。LVM シンプロビジョニングでは、シン LV とそのスナップショットに共通するデータブロックが共有されるため、より効率的なスナップショットを作成できます。

logging RHEL システムロールが、template、severity、および facility オプションをサポートするようになりました

logging RHEL システムロールに、ファイル入力に対する新しい便利な severity および facility オプションと、ファイルおよび転送出力に対する新しい template オプションが追加されました。template オプションでは、traditional パラメーターを使用して従来の時刻形式を指定し、syslog パラメーター を使用して syslog プロトコル 23 形式を指定し、modern パラメーター を使用してモダンスタイル形式を指定します。そうすることで、logging ロールを使用して、severity と facility でフィルタリングしたり、template で出力形式を指定したりできるようになりました。

RHEL システムロールが、ファクト収集が無効になっている Playbook でも利用できるようになりました

Ansible ファクト収集は、パフォーマンスまたはその他の理由により、環境内で無効になっている場合があります。以前は、このような設定で RHEL システムロールを使用することはできませんでした。今回の更新により、システムは設定内の ANSIBLE_GATHERING=explicit パラメーターと Playbook 内の gather_facts: false パラメーターを検出し、setup: モジュールを使用して、指定されたロールに必要なファクトのみを収集します (ファクトキャッシュから取得できない場合)。

sshd RHEL システムロールが、ドロップインディレクトリーの include ディレクティブを検証するようになりました

RHEL 9 の sshd RHEL システムロールは、ドロップインディレクトリー内のファイルのみを管理します。しかし、以前はメインの sshd_config ファイルからディレクトリーが組み込まれているかどうかは検証していませんでした。この更新により、ドロップインディレクトリーの include ディレクティブが sshd_config に含まれていることをロールが検証するようになりました。その結果、ロールは提供された設定をより確実に適用します。

sshd RHEL システムロールを /etc/ssh/sshd_config から管理できるようになりました

RHEL 9 管理対象ノードに適用される sshd RHEL システムロールが、SSHD 設定をドロップインディレクトリー (デフォルトでは /etc/ssh/sshd_config.d/00-ansible_system_role.conf) に配置するようになりました。以前は、/etc/ssh/sshd_config ファイルを変更すると、00-ansible_system_role.conf のデフォルト値が上書きされていました。今回の更新により、00-ansible_system_role.conf のシステムデフォルト値を保持しながら、00-ansible_system_role.conf の代わりに /etc/ssh/sshd_config を使用して SSHD を管理できるようになりました。

masquerade または icmp_block_inversion を設定するときに、firewall RHEL システムロールに state パラメーターが不要になりました

カスタムファイアウォールゾーンを設定する場合、変数 masquerade と icmp_block_inversion はブール値で設定します。true の値は state: present を意味し、false の値は state: Absent を意味します。したがって、masquerade または icmp_block_inversion を設定する場合、state パラメーターは必要ありません。

metrics ロールは、postfix パフォーマンスデータをエクスポートできるようになりました。

記録と詳細なパフォーマンス分析のために、metrics ロールで新しい metrics_from_postfix ブール変数を使用できるようになりました。今回の機能強化により、変数を設定すると、システムで pmdapostfix メトリックエージェントが有効になり、postfix に関する統計が利用可能になります。

デフォルトで、storage システムロールの詳細度が低くなりました

storage ロール出力の詳細レベルがデフォルトで低くなりました。今回の更新により、ユーザーは storage ロール出力の詳細レベルを上げて、Ansible 詳細レベル 1 以上を使用している場合にのみデバッグ出力を生成できるようになりました。

metrics システムロールは、ヘッダーに適切な ansible_managed コメントを含むファイルを生成するようになりました

以前は、metrics ロールは、ロールによって生成されたファイルに ansible_managed ヘッダーコメントを追加しませんでした。この修正により、metrics ロールは生成するファイルにansible_managed ヘッダーコメントを追加するようになりました。その結果、ユーザーは metrics ロールによって生成されたファイルを簡単に識別できます。

postfix システムロールは、ヘッダーに適切な ansible_managed コメントを含むファイルを生成するようになりました

以前は、postfix ロールは、ロールによって生成されたファイルに ansible_managed ヘッダーコメントを追加しませんでした。この修正により、postfix ロールは生成するファイルに ansible_managed ヘッダーコメントを追加するようになりました。その結果、ユーザーは postfix ロールによって生成されたファイルを簡単に識別できます。

以前の設定をオーバーライドする postfix RHEL システムロールの新しいオプションが追加されました

グループ内で postfix 設定が異なるシステムグループを管理していると、設定を一貫させる必要があるバイアがあります。この機能拡張により、postfix_conf ディクショナリー内で previous: replaced オプションを指定して、既存の設定を削除し、クリーンな postfix インストール上に目的の設定を適用できます。その結果、既存の postfix 設定を消去して、管理対象のすべてのシステムで一貫性を確保できます。

firewall RHEL システムロールの absent および present 状態を使用して、サービスを追加、更新、削除できるようになりました

この機能拡張により、present の状態を使用してポート、モジュール、プロトコル、サービス、および宛先アドレスを追加したり、absent 状態を使用してそれらを削除したりできます。firewall RHEL システムロールで absent 状態と present 状態を使用するには、permanent オプションを true に設定してください。permanent オプションを true に設定すると、状態の設定は変更されるまで適用され、ロールをリロードしても影響を受けません。

firewall システムロールは、PCI デバイス ID を使用してゾーンにインターフェイスを追加または削除できます

firewall システムロールは、PCI デバイス ID を使用して、ネットワークインターフェイスをゾーンに割り当てたり、ゾーンから削除したりできるようになりました。以前は、インターフェイス名ではなく PCI デバイス ID しか分からない場合、ユーザーはまず対応するインターフェイス名を識別し、firewall システムロールを使用する必要がありました。今回の更新により、firewall システムロールは PCI デバイス ID を使用して、ゾーン内のネットワークインターフェイスを管理できるようになりました。

network RHEL システムロールが、nmstate API を使用したネットワーク設定をサポートするようになりました

この更新により、network RHEL システムロールは nmstate API を介したネットワーク設定をサポートするようになりました。ユーザーは、接続プロファイルを作成する代わりに、必要なネットワーク状態の設定をネットワークインターフェイスに直接適用できるようになりました。この機能により、ネットワークの部分的な設定も可能になります。これには次の利点があります。

カスタムリスニングポートを設定するための新しい cockpit システムロール変数

cockpit システムロールに、デフォルトの 9090 ポート以外のカスタムリスニングポートを設定できる cockpit_port 変数が導入されています。カスタムのリッスンポートを設定する場合は、Web コンソールがそのポートでリッスンできるように SELinux ポリシーを調整する必要があることに注意してください。

firewall RHEL システムロールが、Ansible ファクトを提供できるようになりました

この機能拡張により、Playbook に引数なしの firewall: 変数を含めることで、すべてのシステムから firewall RHEL システムロールの Ansible ファクトを収集できるようになりました。Ansible ファクトのより詳細なバージョンを収集するには、detailed: true 引数を使用します。以下はその例です。

selinux RHEL システムロールに seuser と selevel の設定を追加しました

SELinux コンテキストファイルシステムのマッピング設定時に、seuser および selevel パラメーターを設定する必要がある場合があります。今回の更新により、selinux_fcontext でオプション引数 seuser および selevel を使用し、SELinux コンテキストファイルシステムマッピングで SELinux ユーザーとレベルを指定できるようになりました。

ap-check が RHEL 8 で利用可能になりました

mdevctl ツールは、新しい ap-check サポートユーティリティーを提供するようになりました。mdevctl を使用して、matrix および vfio-ap デバイスだけでなく、仮想マシンへのパススルー使用が許可されている暗号化アダプターとドメインを永続的に設定できます。mdevctl を使用すると、IPL のたびにこれらのアダプター、ドメイン、デバイスを再設定する必要がなくなります。さらに、mdevctl は、ディストリビューターがそれらを再設定する他の方法を発明するのを防ぎます。

IBM Z 上の一部の VM は、896 バイトを超えるカーネルコマンドラインで起動できるようになりました

以前は、RHEL 8 IBM Z ホストでの仮想マシン (VM) の起動は、VM のカーネルコマンドラインが 896 バイトより長い場合、常に失敗していました。今回の更新により、QEMU エミュレーターは 896 バイトを超えるカーネルコマンドラインを処理できるようになりました。その結果、VM カーネルがサポートしている場合、非常に長いカーネルコマンドラインで VM の QEMU ダイレクトカーネルブートを使用できるようになりました。具体的には、896 バイトを超えるコマンドラインを使用するには、VM で Linux カーネルバージョン 5.16-rc1 以降を使用する必要があります。

複数のスレッドを使用した VM メモリーの事前割り当て

次の例のように、ドメイン XML 設定で仮想マシン (VM) メモリー割り当て用に複数の CPU スレッドを定義できるようになりました。

ESXi ハイパーバイザーと SEV-ES が完全にサポートされるようになりました

AMD Secure Encrypted Virtualization-Encrypted State (SEV-ES) を有効にして、VMware の ESXi ハイパーバイザー (バージョン 7.0.2 以降) で RHEL 仮想マシンのセキュリティーを確保できるようになりました。この機能は、以前は RHEL 8.4 でテクノロジープレビューとして導入されていました。今回、完全にサポートされるようになりました。

IBM Z でのセキュアな実行がリモート認証をサポートするようになりました

IBM Z アーキテクチャーの Secure Execution 機能は、リモート認証をサポートするようになりました。pvattest ユーティリティーは、Secure Execution が有効になっている仮想マシン (VM) の整合性を検証するリモート認証要求を作成できます。

RHEL 仮想マシンが Ampere Altra アーキテクチャーでサポートされるようになりました

今回の更新により、RHEL オペレーティングシステムの実行が、Ampere® Altra® アーキテクチャーに基づくプロセッサーを搭載した Azure Virtual Machines でサポートされるようになりました。

open-vm-tools が 12.0.5 にリベースされました

open-vm-tools パッケージがバージョン 12.0.5 にアップグレードされ、多数の バグ修正および新機能が追加されました。最も注目すべきは、Salt Minion ツールをゲスト OS 変数で管理するためのサポートが追加されたことです。

cloud-init の新しい SSH モジュール

今回の更新で、cloud-init ユーティリティーに SSH モジュールが追加され、インスタンスの作成時にホストキーが自動的に生成されるようになりました。

Container Tools パッケージが更新されました

Podman、Buildah、Skopeo、crun、および runc ツールを含む Container Tools パッケージが利用可能になりました。今回の更新で、以前のバージョンに対するバグ修正および機能拡張のリストが追加されました。

GitLab Runner が Podman を使用して RHEL で利用できるようになりました

GitLab Runner 15.1 以降では、GitLab Runner Docker Executor でコンテナーランタイムとして Podman を使用できます。詳細については、GitLab のリリースノート を参照してください。

Podman が --health-on-failure オプションをサポートするようになりました

podman run および podman create コマンドで --health-on-failure オプションがサポートされるようになり、コンテナーのステータスが異常になったときに実行するアクションを決定できるようになりました。

Netavark ネットワークスタックが利用可能になりました。

Podman 4.0 以降で利用可能な新しいネットワークスタックは、Netavark ネットワークセットアップツールと Aardvark DNS サーバーの 2 つのツールで設定されます。RHEL 8 では、以前はテクノロジープレビューとして利用できた Netavark スタックが完全にサポートされるようになりました。

インストーラーは以前のバージョンのパッケージをインストールしなくなりました

以前は、インストーラーはインストールプロセス中に DNF 設定ファイルを正しくロードしませんでした。その結果、インストーラーは、RPM トランザクションで選択したパッケージの以前のバージョンをインストールすることがありました。

stage2 でネットワーク設定を変更しても Anaconda のインストールは成功します

以前は、rd.live.ram ブート引数を使用すると、Anaconda は initramfs でメモリーにインストールイメージをフェッチするために使用される NFS マウントポイントをアンマウントしませんでした。その結果、stage2 でネットワーク設定が変更された場合、インストールプロセスが応答しなくなるか、タイムアウトエラーで失敗する可能性がありました。

インストーラーは、インストール中に、暗号化されたデバイスのキックスタートファイルにないパスフレーズを要求します。

以前は、グラフィカルモードでインストーラーを実行するときに、キックスタートファイルでパスフレーズが指定されていない場合、インストーラーは暗号化されたデバイスのパスフレーズの入力を求めませんでした。その結果、キックスタートファイルで指定されたパーティショニングがインストール中に適用されませんでした。

条件付き依存関係を含むブループリントのパッケージのイメージが正常にビルドされるようになりました

以前は、Web コンソールを使用して、ipa-client、cockpit、podman などの条件付き依存関係を含むパッケージでブループリントをカスタマイズすると、依存関係がないためにビルドが失敗していました。その結果、dep-solve パッケージ中に条件付き依存関係が満たされませんでした。この問題は現在修正されており、条件付き依存関係を dep-solve するときにビルドが失敗することはなくなりました。

DNF は、Reason Change Action タイプのアイテムを含むトランザクションを正しくロールバックするようになりました

以前は、Reason Change Action タイプの項目を含むトランザクションで dnf history rollback コマンドを実行すると失敗しました。今回の更新で問題が修正され、dnf 履歴のロールバック が期待どおりに機能するようになりました。

パラメーターのない cmx 操作により CIM クライアントがクラッシュしなくなりました

cmx 操作はメソッドを呼び出し、XML を返します。パラメーターは呼び出されたメソッドの名前を指定します。以前は、追加のパラメーターなしで cmx 操作を実行すると、コマンドライン sblim-wbemcli Common Information Model (CIM) クライアントがクラッシュしていました。今回の更新により、cmx 操作には、呼び出されたメソッドの名前を定義するパラメーターが必要になりました。このパラメーターなしで cmx 操作を呼び出すとエラーメッセージが表示され、CIM クライアントはクラッシュしなくなりました。

opencv ライブラリーの cvSaveImage 関数がユーザーアプリケーションを終了させなくなりました。

以前は、opencv ライブラリーは cvSaveImage 関数を正しく使用できませんでした。その結果、ユーザーアプリケーションが予期せず終了しました。今回の更新により、cvSaveImage 関数はイメージデータをディスクに書き込み、ユーザーアプリケーションを終了しなくなりました。

/etc/fstab で UUID を更新しない場合、ReaR はエラーメッセージの表示に失敗しなくなりました

これまで ReaR では、Universally Unique Identifier (UUID) が異なる場合に /etc/fstab の UUID を新しく作成されたパーティションの UUID と一致するように更新できなかった場合、リカバリー中にエラーメッセージを表示しませんでした。これは、レスキューイメージがバックアップと同期していない場合に発生する可能性がありました。今回の更新により、復元された基本システムファイルが再作成されたシステムと一致しない場合、リカバリー中にエラーメッセージが表示されます。

PXE 出力メソッドを使用する ReaR は、出力ファイルを rsync OUTPUT_URL 内に出力ファイルを保存する際に失敗しなくなりました

RHEL 8.5 では、OUTPUT=PXE および BACKUP=RSYNC オプションを使用した OUTPUT_URL 変数の処理が削除されていました。その結果、OUTPUT_URL に rsync の場所を使用すると、ReaR は initrd およびカーネルファイルをこの場所にコピーできず、それらは BACKUP_URL で指定された場所にアップロードされました。今回の更新により、RHEL 8.4 以前のリリースの動作が復元されました。ReaR は、rsync を使用して、指定された OUTPUT_URL の宛先に必要なファイルを作成します。

ReaR は、NetBackup バージョン 9 を使用したシステムの復元をサポートするようになりました

以前は、NetBackup バージョン 9 以降で NetBackup (NBU) メソッドを使用してシステムを復元すると、ライブラリーやその他のファイルが見つからないために失敗していました。今回の更新により、NBU_LD_LIBRARY_PATH 変数に必要なライブラリーパスが含まれ、レスキューシステムに必要なファイルが組み込まれるようになり、ReaR は NetBackup メソッドを使用できるようになりました。

ReaR では、シンボリックリンクターゲットの欠落に関する誤ったエラーメッセージが表示されなくなりました

以前のリリースでは、ReaR はレスキューイメージの作成時に、/usr/lib/modules/ の build および source シンボリックリンクのターゲットがないことを示す誤ったエラーメッセージを表示していました。この状況は安全性に問題がないため、エラーメッセージを無視しても問題はありませんでした。今回の更新により、この状況で ReaR は、シンボリックリンクターゲットが欠落していることを示す誤ったエラーメッセージを報告しなくなりました。

SR-IOV デバイスのフォールバックが正常に完了するようになりました

以前は、hcnmgr スクリプトが primary 属性ではなく誤った active_slave 属性を使用していたため、Single Root I/O Virtualization (SR-IOV) デバイスはデバイスのフェイルオーバー後にフォールバックしませんでした。今回の更新により、hcnmgr スクリプトは正しい属性を使用し、SR-IOV デバイスのフォールバックが正常に完了します。

ppc64-diag がバージョン 2.7.8 にリベースされました

プラットフォーム診断用の ppc64-diag パッケージがバージョン 2.7.8 に更新されました。主な改善点とバグ修正は次のとおりです。

lsvpd がバージョン 1.7.14 にリベースされました

ハードウェアインベントリーシステムを設定するためのコマンドを提供する lsvpd パッケージがバージョン 1.7.14 に更新されました。今回の更新により、lsvpd ユーティリティーは、vpdupdate コマンドの実行時にデータベースファイルが破損するのを防ぎます。

libvpd がバージョン 2.2.9 にリベースされました

Vital Product Data (VPD) にアクセスするためのクラスを含む libvpd パッケージがバージョン 2.2.9 に更新されました。主な改善点とバグ修正は次のとおりです。

RHEL 8 のプリンターテストページのレイアウトが変更されました

以前は、宛先ドキュメント形式が PDF の場合、印刷テストページが印刷されませんでした。この更新プログラムでは、より広範なプリンターセットで動作する新しいテストページレイアウトが導入されています。テストページには、プリンターまたはテストページの印刷ジョブに関する情報は含まれていないことに注意してください。

frr バイナリーファイルとスクリプトの場所が新しくなりました

以前は、動的ルーティングスタックを管理するための frr パッケージには、バイナリーファイルとスクリプトが /usr/lib/frr ディレクトリーに含まれていたため、新しいターゲット SELinux ポリシーを適用するときに特定の問題が発生していました。その結果、SELinux は拒否メッセージをアクセスベクターキャッシュ (AVC) に記録し、frr が適切に起動するのを妨げていました。

OpenSCAP の修復により、/etc/tmux.conf の正しいアクセス許可が設定されます

以前は、SCAP ルール configure_tmux_lock_after_time を修正するときに、umask (600) に関する権限で /etc/tmux.conf ファイルが作成されました。これにより、通常のユーザーが /etc/tmux.conf を読み取れなくなりました。通常のユーザーがログインすると、エラーメッセージが表示され、タイムアウトが発生してログインするまで数分間待たなければなりませんでした。今回の更新では、configure_tmux_lock_after_time ルールの修正により、/etc/tmux.conf の特定の権限が 644 に設定されます。その結果、通常のユーザーはエラーメッセージやログインの遅延に遭遇しなくなりました。

Rsyslog の SCAP ルールは .conf ファイルを正しく識別します

以前は、ルールシステムログファイルに正しいアクセス許可があることを確認する (xccdf_org.ssgproject.content_rule_rsyslog_files_permissions) は、Rsyslog インクルードステートメントの glob 式を展開しませんでした。その結果、ルールは関連するすべての設定ファイルを解析しませんでした。また、一部のログファイルの権限がチェックされませんでした。今回の更新により、ルールは glob 式を正しく展開して、解析する必要がある .conf ファイルを識別します。その結果、ルールは必要な .conf ファイルを正しく処理し、設定されたすべてのログファイルに正しい権限が付与されるようになりました。

chronyd のルールでは、明示的な chrony ユーザー設定は必要ありません

RHEL は、デフォルトで chrony ユーザーの下で chronyd を実行します。以前は、chronyd サービス設定ユーザーのチェックと修復が必要以上に厳格でした。厳しすぎるチェックは、誤検知と過剰な修復につながりました。このバージョンでは、ルール xccdf_org.ssgproject.content_rule_chronyd_run_as_chrony_user のチェックと修復が更新され、最小限の正しい設定と従来の明示的な正しい設定パスの両方がパスされます。その結果、ルールはデフォルトの RHEL の動作を尊重し、明示的な chrony ユーザー設定を必要としません。

rsyslog_remote_loghost に追加された警告

SCAP ルール xccdf_org.ssgproject.content_rule_rsyslog_remote_loghost により、Rsyslog デーモンがログメッセージをリモートログホストに送信するように設定されます。ただし、ルールは TCP キューを設定しません。その結果、TCP キューが設定されていないとシステムがハングし、リモートログホストが使用できなくなります。この更新により、TCP キューの設定方法を説明する警告メッセージが追加されました。このルールの使用中にシステムがハングした場合は、警告を読み、システムを適切に設定してください。

sudo_custom_logfile の修復は、カスタム sudo ログファイルに対して機能します

以前は、SCAP セキュリティーガイドルール xccdf_org.ssgproject.content_sudo_custom_logfile の修正が、/var/log/sudo.log とは異なるパスを持つカスタム sudo ログファイルに対して機能しませんでした。今回の更新でルールが修正され、予想されるパスと一致しないカスタム sudo ログファイルがシステムにある場合に適切に修復できるようになりました。

firewalld_sshd_port_enabled の修復が正しく機能するようになりました

以前は、SCAP ルール xccdf_org.ssgproject.content_rule_firewalld_sshd_port_enabled の Bash 修正で、ネットワークインターフェイスのリストが正しく処理されませんでした。さらに、設定ファイルの名前が必要とは異なるものでした。この更新により、修復が修正されました。その結果、修復によってすべてのネットワークインターフェイスが正しく処理され、設定ファイルには予測可能な名前が付けられます。

fagenrules --load が正常に動作するようになりました

以前は、fapolicyd サービスはシグナルのハングアップ (SIGHUP) を正しく処理しませんでした。その結果、fapolicyd は SIGHUP シグナルを受信した後に終了し、fagenrules --load コマンドが正しく機能しませんでした。この更新では、その問題が修正されました。その結果、fagenrules --load が正常に機能し、ルール更新時に fapolicyd を手動で再起動する必要がなくなりました。

NetworkManager ユーティリティーは、さまざまなソースからの IPv6 アドレスの正しい順序付けを強制します

通常、IPv6 アドレスの順序は、ソースアドレス選択の優先度に影響します。たとえば、発信 TCP 接続を確立する場合などです。以前は、manual、dhcpv6、および autoconf6 メソッドで追加された IPv6 アドレスの相対的な優先度は、正しくありませんでした。今回の更新で問題が修正され、順序付けの優先順位が次のロジックを反映するようになりました: manual > dhcpv6 > autoconf6。ただし、ipv6.addresses 設定でのアドレスの順序は変更されておらず、最後に追加されたアドレスが引き続き最高の優先度になります。

非対称ルーティングが正しく機能するようになりました

RHEL 8 の以前のマイナーバージョンには、場合によっては接続追跡が失敗する原因となる変更が含まれていました。その結果、非対称ルーティングが正しく機能していませんでした。このリリースは、RHEL 8.6 で導入された変更を元に戻します。その結果、非対称ルーティングは正しく機能します。

CgroupV1 memory.swappiness を非推奨にする新しい機能により、一貫したスワップ動作が可能になります

CgroupV1 には、指定された cgroup のスワップ動作を制御する cgroup ごとの swappiness 値の memory.swappiness が含まれています。

暗号化されたデバイスのパスフレーズを入力した後に Anaconda が失敗しなくなりました

以前は、インストールの準備時に kdump が無効になっていて、ユーザーが暗号化されたディスクのパーティショニングを選択した場合、暗号化されたデバイスのパスフレーズを入力した後、Anaconda インストーラーがトレースバックで失敗していました。

v1 モードの net_prio または net_cls コントローラーが正しく動作するようになりました

以前は、cgroup-v2 環境では、v1 モードで net_prio または net_cls コントローラーのいずれかを使用すると、ソケットデータの階層追跡が無効になっていました。その結果、ソケットデータトラッキングコントローラーの cgroup-v2 階層がアクティブではなく、dmesg コマンドが次のメッセージを報告しました。

grubby が引数を将来のカーネルに渡すようになりました

新しいバージョンのカーネルをインストールすると、grubby ツールは、以前のカーネルバージョンからのカーネルコマンドライン引数を渡しませんでした。その結果、GRUB ブートローダーがユーザー設定を無視していました。今回の修正により、新しいカーネルバージョンのインストール後も、ユーザー設定が永続化されるようになりました。

pcs が新しい Booth チケットの作成時に mode オプションを認識するようになりました

以前は、新しい Booth チケットを追加するときにユーザーが mode オプションを指定すると、pcs がエラー invalid booth ticket option 'mode' を報告していました。今回の修正により、Booth チケットの作成時に mode オプションを指定できるようになりました。

pcs が stonith-watchdog-timeoutの値を検証するようになりました

以前は、stonith-watchdog-timeout プロパティーを SBD 設定と互換性のない値に設定できました。これにより、フェンスループが発生したり、アクションが終了していなくても、クラスターがフェンシングアクションが成功したとみなす可能性がありました。この修正により、不正な設定を防ぐために、pcs 設定時に stonith-watchdog-property の値を検証するようになりました。

OQGraph プラグインが有効になっている場合、MariaDB 10.5 は存在しないテーブルの削除について警告するようになりました

以前は、OQGraph ストレージエンジンプラグインが MariaDB 10.5 サーバーにロードされたときに、MariaDB は存在しないテーブルの削除について警告しませんでした。特に、ユーザーが DROP TABLE コマンドまたは DROP TABLE IF EXISTS SQL コマンドを使用して存在しないテーブルをドロップしようとすると、MariaDB はエラーメッセージを返したり警告をログに記録したりしません。このバグは修正され、説明されているシナリオで警告が表示されるようになりました。

fork ハンドラーコールバックから pthread_atfork または dclose を呼び出すときに、アプリケーションがデッドロックしなくなりました

以前は、glibc が内部ロックを取得している間に、アプリケーションが pthread_atfork ハンドラーコールバックを呼び出していました。その結果、フォークハンドラーを登録したり、フォークハンドラーから dclose を呼び出したりすると、アプリケーションがデッドロックする可能性がありました。

ディレクトリーのみが想定されている場合、Makefile のワイルドカード関数はシンボリックリンクを返さなくなりました

以前は、glob() で使用される GLOB_ONLYDIR ヒントが、シンボリックリンクを特定の XFS ファイルシステムのディレクトリーとして誤って報告していました。glob() を使用する場合、make はヒントが実際にディレクトリーであることを確認せず、その結果、ディレクトリーのみが予期される場合に、Makefile のワイルドカード関数がシンボリックリンクを返しました。

popen() がマルチスレッドプロセスをクラッシュさせなくなりました

以前は、popen() の不具合により、マルチスレッドプロセスからインターフェイスを使用すると、アプリケーションがクラッシュしました。今回の更新でバグが修正され、マルチスレッドプロセスが popen() を使用してもクラッシュしなくなりました。

一部の IBM 文字セットの 0xBC コードポイントのマッピングは U+00AF MACRON になりました

以前は、IBM256、IBM277、IBM278、IBM280、IBM284、IBM297、および IBM424 文字セットは、EBCDIC コードポイント 0xBC を Unicode 文字 U+203E OVERLINE としてエンコードしていました。その結果、glibc が提供する iconv プログラムを使用する場合、0xBC コードポイントを含む文字セットのテキストの変換は、ISO-8859-1 などの非 Unicode 文字セットでは失敗しました。これは、U+203E OVERLINE 文字をエンコードできなかったためです。

tempnam 関数は getrandom を使用して、生成されたファイル名のランダム性を高めるようになりました

以前は、Red Hat Enterprise Linux 8.4 以降の tempnam 関数は、パスの選択に時間由来のランダム性を使用していました。その結果、tempnam 関数は、立て続けに繰り返し呼び出されると、可能なファイル名の完全なセットを生成しませんでした。このバグは、getrandom 関数を使用して生成されるファイル名のランダム性を高める新しい実装によって修正されました。その結果、tempnam 関数はより明確なファイル名を生成するようになりました。

POWER9 向けに最適化された strncpy 関数が誤った結果を返さなくなりました

以前は、POWER9 の strncpy 関数は、埋め込み用の NUL バイトのソースとして正しいレジスターを使用していませんでした。その結果、出力バッファーには、NUL パディングではなく、初期化されていないレジスタコンテンツが含まれていました。今回の更新で、strncpy 関数が修正され、出力バッファーの末尾が NUL バイトで正しくパディングされるようになりました。

en_US@ampm ロケールが locale -a によって正しくリストされるようになりました

以前は、locale -a コマンドの出力の en_US@ampm のリストに欠陥がありました。その結果、locale -a によって出力された名前/エイリアスを使用してこのロケールを設定しようとすると、setlocale API が失敗しました。今回の更新により、en_US@ampm が正しくリストされ、locale -a によって出力されるすべてのロケールで setlocale の呼び出しが成功するようになりました。

イベントのユニットマスクがすべて papi_xml_event_info 出力に含まれるようになりました

以前は、papi_xml_event_info のイベントユニットマスク情報のテストが不完全でした。場合によっては、イベントのユニットマスクが papi_xml_event_info 出力に含まれていませんでした。このバグは修正され、その結果、papi_xml_event_command はイベントのすべてのユニットマスクを出力するようになりました。

デフォルトで/var/log/messages に記録されなくなったデバッグメッセージ

以前は、ipa-dnskeysyncd および ipa-ods-exporter デーモンがデフォルトですべてのデバッグメッセージを /var/log/messages に記録していたため、ログファイルが大幅に増大していました。必要に応じて、/etc/ipa/dns.conf ファイルで debug=True を設定することにより、デバッグログレベルを設定できるようになりました。詳細は、default.conf(5) の man ページを参照してください。

ユーザーアカウントの保持

以前は、ipa user-del --preserve user_login コマンドを実行してユーザーアカウントを保存すると、出力に Deleted user "user_login" というメッセージが誤って返されていました。このメッセージは、ユーザーが削除され、期待どおりに保持されていないことを誤って示しています。今回の更新で、出力は Preserved user “user_login” を返すようになりました。

4 GB を超える Kerberos データベースの転送

以前は、kprop サービスと kpropd コマンドは、Kerberos KDC データベースのサイズを格納するときに 32 ビット値を使用していました。その結果、データベースサイズが 4 GB を超えると、プライマリー Kerberos サーバーからレプリカサーバーへの Kerberos データベースダンプファイルの転送が失敗しました。

LDAP グループのメンバーリスト内の読み取り不能オブジェクトの処理

この更新の前は、SSSD が LDAP グループのメンバーリスト内の読み取り不能オブジェクトを一貫して処理していなかったため、読み取り不能オブジェクトが原因でエラーが発生したり、特定の状況で読み取り不能オブジェクトが無視されたりしていました。

機内モードスイッチは常に表示されます

以前は、機内モードを有効にすると、Settings アプリケーションの Wi-Fi セクションにある Airplane Mode スイッチが消えていました。今回の更新で問題が修正され、状態に関係なく、Settings には常に Airplane Mode スイッチが表示されます。

Motif アプリケーションのホットキーが正しい項目をアクティブにする

以前は、Motif ツールキットを使用するアプリケーションで、メニューホットキーが間違ったメニュー項目をアクティブにしていました。サブメニューが開いているときに、その項目に関連付けられたホットキーを押すと、アプリケーションは代わりに親メニューの項目をアクティブにしました。

デスクトップが無効な IPv6 および DisallowTCP=false で起動に失敗しなくなりました

以前は、次の状況でログイン後に X11 デスクトップセッションを開始できませんでした。

Web コンソールを使用した USB ホストデバイスの削除が期待どおりに機能するようになりました

以前は、USB デバイスを仮想マシン (VM) に接続すると、USB デバイスのデバイス番号とバス番号が仮想マシンに渡された後に変更されていました。その結果、Web コンソールを使用してこのようなデバイスを削除すると、デバイスとバス番号の相関が正しくないため失敗していました。今回の更新で問題が修正され、Web コンソールを使用して USB ホストデバイスを削除できるようになりました。

Web コンソールを使用した複数のホストデバイスの接続が想定通りに機能するようになりました

以前は、Web コンソールを使用して仮想マシンに接続する複数のデバイスを選択すると、1 つのデバイスのみが接続され、残りは無視されていました。今回の更新で問題が修正され、Web コンソールを使用して複数のホストデバイスを同時に接続できるようになりました。

正しいボンディングモードの active-backup をサポートするようにタイプミスを修正する

以前は、active-backup ボンディングモードを指定する際に InfiniBand ポートをサポートする際に、タイプミス (active_backup) がありました。このタイプミスが原因で、接続は InfiniBand ボンディングポートの正しいボンディングモードをサポートできませんでした。この更新では、ボンディングモードを active-backup に変更することで、タイプミスを修正しています。これで、接続は InfiniBand ボンディングポートを正常にサポートします。

IPRouteUtils.get_route_tables_mapping() 関数が空白シーケンスを受け入れるようになりました。

以前は、/etc/iproute2/rt_tables などの iproute2 ルーティングテーブルデータベースのパーサーは、254 main の形式でファイルにエントリーをアサートしていたため、数値 ID と名前は 1 つのスペースのみで区切られていました。その結果、パーサーはルートテーブル名とテーブル ID 間のすべてのマッピングをキャッシュできませんでした。これにより、ユーザーはルートテーブル名を定義して静的ルートをルートテーブルに追加できませんでした。今回の更新で、パーサーはテーブル ID とテーブル名の間に空白シーケンスを受け入れるようになりました。その結果、パーサーはルートテーブル名とテーブル ID 間のすべてのマッピングをキャッシュし、ユーザーはルートテーブル名を定義して静的ルートをルートテーブルに追加できます。

metrics による設定 RHEL システムロールはシンボリックリンクを正しくたどります

mssql pcp パッケージがインストールされると、mssql.conf ファイルは /etc/pcp/mssql/ に配置され、シンボリックリンク /var/lib/pcp/pmdas/mssql/mssql.conf のターゲットになります。ただし、以前の metrics ロールはシンボリックリンクをたどって、mssql.conf を設定する代わりにシンボリックリンクを上書きしていました。その結果、metrics ロールを実行すると、シンボリックリンクが通常のファイルに変更され、/var/lib/pcp/pmdas/mssql/mssql.conf ファイルのみ設定の影響を受けました。これによりシンボリックリンクが失敗し、メインの設定ファイル /etc/pcp/mssql/mssql.conf は設定の影響を受けませんでした。この問題は修正され、シンボリックリンクをたどる follow: yes オプションが metrics ロールに追加されました。その結果、metrics ロールはシンボリックリンクを保持し、メイン設定ファイルを正しく設定します。

tlog RHEL システムロールが SSSD によって正しくオーバーレイされるようになりました

以前は、tlog RHEL システムロールは、System Security Services Daemon (SSSD) ファイルプロバイダーと有効な authselect オプション with-files-domain に依存して、nsswitch.conf ファイルに正しい passwd エントリーを設定していました。今回の修正により、tlog ロールは nsswitch.conf を更新して、tlog-rec-session が SSSD によって正しくオーバーレイされるようになりました。

ボリュームの mount_options パラメーターがボリュームに対して有効になりました

以前は、ボリュームの有効なパラメーターの一覧からパラメーターが誤って削除されていました。そのため、ユーザーはボリュームに mount_options パラメーターを設定できませんでした。今回のバグ修正により、mount_options パラメーターが有効なパラメーターの一覧に戻され、エラーをキャッチするようにコードがリファクタリングされました。その結果、storage RHEL システムロールは、ボリュームの mount_options パラメーターを設定できます。

metrics RHEL システムロールの README およびドキュメントで、特定のバージョンの RHEL においてロールがサポートする Redis および Grafana バージョンが明記されるようになりました

以前のバージョンでは、サポートされていないバージョンの Redis および Grafana で metrics ロールを使用しようとすると、ロールは失敗していました。この更新により、どのバージョンの RHEL でどのバージョンの Redis と Grafana がロールによってサポートされているかについて、ドキュメントが明確化されました。そのため、サポート対象外のバージョンの Redis および Grafana をサポート対象外のプラットフォームで使用することを回避できます。

kernel_settings システムロールが python3-configobj を正しくインストールするようになりました

以前は、kernel_settings ロールは python3-configobj パッケージが見つからないというエラーを返していました。マネージドホストに python3-configobj がインストールされていないため、ロールはパッケージを見つけることができませんでした。今回の更新で、ロールはマネージドホストに python3-configobj をインストールし、正しく機能するようになりました。

storage RHEL システムロールは、LVM ボリュームの striped および RAID0 レベルを正しくサポートするようになりました

以前は、storage RHEL システムロールは、LVM ボリュームに対応していないため、RAID レベルの striped および raid0 を誤って報告していました。これは修正され、ロールは LVM でサポートされているすべての RAID レベルの LVM ボリュームを正しく作成できるようになりました。これには、raid0、raid1、raid4、raid5、raid6、raid10、striped、および mirror が含まれます。

metrics RHEL システムロールが、設定の更新後に pmie および pmlogger サービスを自動的に再起動するようになりました

以前は、pmie および pmlogger サービスは、設定が変更され、ハンドラーの実行を待機した後、再起動しませんでした。これにより、他の metrics サービスでエラーが発生し、pmie と pmlogger の設定を実行時の動作と一致させる必要がありました。今回の更新により、ロールは設定の更新直後に pmie と pmlogger を再起動し、それらの設定は依存メトリックサービスの実行時の動作と一致し、正しく機能します。

forward_port パラメーターが、string オプションと dict オプションの両方を受け入れるようになりました。

以前は、firewall RHEL システムロールで、forward_port パラメーターは string オプションのみを受け入れていました。しかし、ロールのドキュメントでは、string および dict の両オプションがサポートされているとしていました。そのため、ドキュメントを読み込んだユーザーはエラーを経験していました。このバグは、forward_port で両方のオプションを受け入れるようにすることで修正されました。その結果、ユーザーはドキュメントに従いポート転送を設定できるようになりました。

追加の Dracut コマンドラインパラメーターを指定する際に、nbde_client システムロールが適切な間隔を使用するように

Dracut フレームワークでは、カーネルコマンドラインパラメーターなどの追加のパラメーターを指定する場合には、適切な間隔が必要です。パラメーターが適切な間隔で指定されていない場合、Dracut は指定された追加パラメーターをカーネルコマンドラインに追加しない場合があります。今回の更新で、nbde_client システムロールは、アドオン Dracut 設定ファイルの作成時に適切な間隔を使用するようになりました。その結果、ロールは Dracut コマンドラインパラメーターを正しく設定します。

ssh および sshd RHEL システムロールの RSA 鍵最小ビット長オプションが追加されました

誤って短い RSA 鍵を使用すると、システムが攻撃に対してより脆弱になる可能性があります。今回の更新で、ssh および sshd RHEL システムロールの RSAMinSize オプションを使用して、OpenSSH クライアントおよびサーバーに RSA 鍵の最小ビット長を設定できるようになりました。

NBDE Client システムロールが静的 IP アドレスをサポートするようになりました

以前のバージョンの RHEL では、静的 IP アドレスを持ち、Network Bound Disk Encryption (NBDE) Client システムロールが設定されたシステムを再起動すると、システムの IP アドレスが変更されていました。この変更により、静的 IP アドレスを持つシステムが NBDE Client システムロールによってサポートされるようになり、再起動後も IP アドレスが変更されなくなります。

フェイルオーバー VF を使用した仮想マシンのコピー前のライブ移行が正しく機能するようになりました

以前のリリースでは、VM が仮想機能 (VF) フェイルオーバー機能が有効になっているデバイスを使用している場合に、実行中の仮想マシン (VM) のコピー前移行の試行に失敗しました。今回の更新で問題が修正され、説明したシナリオでの仮想マシンの移行が正しく機能するようになりました。

インスタンスは、Alibaba Cloud で nm-cloud-setup サービスを開始した後もプライマリー IP アドレスを保持するようになりました。

以前は、Alibaba Cloud でインスタンスを起動すると、nm-cloud-setup サービスは、複数の IPv4 アドレスがある場合、誤った IP アドレスをプライマリー IP アドレスとして設定していました。そのため、これは発信接続の IPv4 ソースアドレスの選択に影響を与えていました。今回の更新で、セカンダリー IP アドレスを手動で設定すると、NetworkManager パッケージは primary-ip-address メタデータからプライマリー IP アドレスを取得し、プライマリー IP アドレスとセカンダリー IP アドレスの両方を正しく設定するようになりました。

SR-IOV は、Azure 上の ARM 64 RHEL 8 仮想マシンで準最適に動作しなくなりました

これまで、SR-IOV ネットワーキングデバイスは、Microsoft Azure プラットフォームで実行されている ARM 64 RHEL 8 仮想マシンで想定されるよりも、全体でははるかに低く、レイテンシーは高くなっていました。この問題は修正され、影響を受ける仮想マシンが期待どおりに動作するようになりました。

cloud-init を使用して AWS で RHEL 8 仮想マシンを起動しても、予想より時間がかからなくなった

以前のリリースでは、Amazon Web Services (AWS) で cloud-init サービスを使用して RHEL 8 の EC2 インスタンスを初期化するには、非常に長い時間がかかっていました。RHEL 8 の Amazon Machine Image (AMI) が更新され、問題の修正が含まれるようになり、RHEL 8 の EC2 インスタンスの初期化が正しく機能するようになりました。

リポジトリー ID が一致しないために DNF と YUM が失敗することがなくなりました

以前は、DNF および YUM リポジトリー ID は、DNF または YUM が期待する形式と一致しませんでした。たとえば、次の例を実行すると、エラーが発生しました。

ベータ版 GPG キーで署名されたコンテナーイメージがプルできるように

以前は、RHEL ベータコンテナーイメージをプルすると、Podman は次のエラーメッセージで失敗していました｡Error: Source image rejected: None of the signatures were accepted (エラー: ソースイメージが拒否されました: 署名が受け入れられませんでした)。現在のビルドでは、RHEL ベータ版の GPG キーをデフォルトで信頼しないように設定されているため、イメージのプルに失敗していました。今回の更新により、/etc/containers/policy.json ファイルは、信頼できるキーを含むファイルのリストを受け入れる新しい keyPaths フィールドをサポートします。このため、GA および Beta GPG キーで署名されたコンテナーイメージがデフォルト設定で受け入れられるようになりました。

ReaR は、64 ビット IBM Z アーキテクチャーでテクノロジープレビューとして利用できます。

Basic Relax and Recover (ReaR) 機能が、64 ビットの IBM Z アーキテクチャーでテクノロジープレビューとして利用できるようになりました。IBM Z では、z/VM 環境でのみ ReaR レスキューイメージを作成できます。論理パーティション (LPAR) のバックアップおよび復元はテストされていません。

KTLS がテクノロジープレビューとして利用可能に

RHEL は、テクノロジープレビューとして KTLS (Kernel Transport Layer Security) を提供します。KTLS は、AES-GCM 暗号化のカーネルで対称暗号化アルゴリズムまたは複号アルゴリズムを使用して TLS レコードを処理します。KTLS には、この機能を提供するネットワークインターフェイスコントローラー (NIC) に TLS レコード暗号化をオフロードするインターフェイスも含まれています。

AF_XDP がテクノロジープレビューとして利用可能に

AF_XDP (Address Family eXpress Data Path) ソケットは、高性能パケット処理用に設計されています。さらに処理するために、XDP を取り入れ、プログラムにより選択されたパケットの効率的なリダイレクトをユーザー空間アプリケーションに付与します。

テクノロジープレビューとして利用できる XDP 機能

Red Hat は、以下の eXpress Data Path (XDP) 機能をサポート対象外のテクノロジープレビューとして提供します。

TC のマルチプロトコルラベルスイッチがテクノロジープレビューとして利用可能に

Multi-protocol Label Switching (MPLS) は、エンタープライズネットワーク全体でトラフィックフローをルーティングするカーネル内データ転送メカニズムです。MPLS ネットワークでは、パケットを受信するルーターは、パケットに割り当てられたラベルに基づいて、パケットの追加のルートを決定します。ラベルを使用すると、MPLS ネットワークは特定の特性を持つパケットを処理する機能があります。たとえば、特定ポートから受信したパケットの管理や、特定のタイプのトラフィックを一貫した方法で伝送する tc filters を追加できます。

systemd-resolved サービスがテクノロジープレビューとして利用できるようになりました。

systemd-resolved サービスは、ローカルアプリケーションに名前解決を提供します。このサービスは、DNS スタブリゾルバー、LLMNR (Link-Local Multicast Name Resolution)、およびマルチキャスト DNS リゾルバーとレスポンダーのキャッシュと検証を実装します。

kexec fast reboot 機能は、テクノロジープレビューとしてご利用いただけます。

kexec fast reboot 機能は、引き続きテクノロジープレビューとして利用できます。kexec の高速再起動では、カーネルが最初に Basic Input/Output System (BIOS) を経由せずに、2 番目のカーネルを直接起動できるため、起動プロセスが大幅に高速化されます。この機能を使用するには、以下を実行します。

accel-config パッケージがテクノロジープレビューとして利用可能になりました。

accel-config パッケージが、テクノロジープレビューとして、Intel EM64T および AMD64 アーキテクチャーで利用可能になりました。このパッケージは、Linux カーネルでデータストリーミング (DSA) サブシステムを制御し、設定するのに役立ちます。また、sysfs (pseudo-filesystem) を介してデバイスを設定し、設定を json 形式で保存および読み込みます。

SGX がテクノロジープレビューとして利用可能になりました。

Software Guard Extensions (SGX) は、ソフトウェアコードおよび公開および修正からのデータを保護する Intel® テクノロジーです。RHEL カーネルは、SGX v1 および v1.5 の機能を部分的に提供します。バージョン 1 では、Flexible Launch Control メカニズムを使用するプラットフォームが SGX テクノロジーを使用できるようにします。

eBPF がテクノロジープレビューとして利用可能になりました。

eBPF (extended Berkeley Packet Filter) は、限られた一連の関数にアクセスできる制限付きサンドボックス環境において、カーネル領域でのコード実行を可能にするカーネル内の仮想マシンです。

カーネルの Intel データストリーミングタブレットドライバーがテクノロジープレビューとして利用可能になる

カーネルの Intel データストリーミングアクセラレータードライバー (IDXD) は、現在テクノロジープレビューとして利用できます。これは Intel CPU 統合アクセラレーターで、プロセスアドレス空間 ID (pasid) の送信および共有仮想メモリー (SVM) の共有ワークキューが含まれますます。

テクノロジープレビューとして利用できる Soft-RoCE

Remote Direct Memory Access (RDMA) over Converged Ethernet (RoCE) は、RDMA over Ethernet を実装するネットワークプロトコルです。Soft-RoCE は、RoCE v1 および RoCE v2 の 2 つのプロトコルバージョンを維持する RoCE のソフトウェア実装です。Soft-RoCE ドライバーの rdma_rxe は、RHEL 8 ではサポートされていないテクノロジープレビューとして利用できます。

stmmac ドライバーがテクノロジープレビューとして利用可能に

Red Hat は、チップ (SoC) での Intel® Elkhart Lake システムの stmmac の使用をサポート対象外のテクノロジープレビューとして提供します。

ファイルシステム DAX が、テクノロジープレビューとして ext4 および XFS で利用可能に

Red Hat Enterprise Linux 8 では、ファイルシステムの DAX がテクノロジープレビューとして利用できます。DAX は、永続メモリーをそのアドレス空間に直接マッピングする手段をアプリケーションに提供します。DAX を使用するには、システムで利用可能な永続メモリーの形式が必要になります。通常は、NVDIMM (Non-Volatile Dual In-line Memory Module) の形式で、DAX 機能を提供するファイルシステムを NVDIMM に作成する必要があります。また、ファイルシステムは dax マウントオプションでマウントする必要があります。これにより、dax をマウントしたファイルシステムのファイルの mmap が、アプリケーションのアドレス空間にストレージを直接マッピングされます。

OverlayFS

OverlayFS は、ユニオンファイルシステムのタイプです。これにより、あるファイルシステムを別のファイルシステムに重ねることができます。変更は上位のファイルシステムに記録され、下位のファイルシステムは変更しません。これにより、ベースイメージが読み取り専用メディアにあるコンテナーや DVD-ROM などのファイルシステムイメージを、複数のユーザーが共有できるようになります。

Straits がテクノロジープレビューとして利用可能になりました。

Stratis は、新しいローカルストレージマネージャーです。ユーザーへの追加機能を備えたストレージプールに、管理されるファイルシステムを提供します。

テクノロジープレビューとして、IdM ドメインメンバーで Samba サーバーを設定できるようになりました。

今回の更新で、Identity Management (IdM) ドメインメンバーに Samba サーバーを設定できるようになりました。同じ名前パッケージに含まれる新しい ipa-client-samba ユーティリティーは、Samba 固有の Kerberos サービスプリンシパルを IdM に追加し、IdM クライアントを準備します。たとえば、ユーティリティーは、sss ID マッピングバックエンドの ID マッピング設定で /etc/samba/smb.conf を作成します。その結果、管理者が IdM ドメインメンバーに Samba を設定できるようになりました。

NVMe/TCP ホストはテクノロジープレビューとして利用可能です

TCP/IP ネットワーク (NVMe/TCP) および対応する nvme-tcp.ko カーネルモジュールへのアクセスおよび共有がテクノロジープレビューとして追加されました。ホストとしての NVMe/TCP の使用は、nvme-cli パッケージによって提供されるツールを使用して管理できます。NVMe/TCP ホストテクノロジープレビュー機能はテスト目的としてのみ同梱されており、現時点ではフルサポートの予定はありません。

Pacemaker の podman バンドルがテクノロジープレビューとして利用可能になりました。

Pacemaker コンテナーバンドルは、テクノロジープレビューとして利用できるコンテナーバンドル機能を使用して、Podman で動作するようになりました。この機能はテクノロジープレビューとして利用できますが、例外が 1 つあります。Red Hat は、Red Hat Openstack 用の Pacemaker バンドルの使用に完全対応します。

テクノロジープレビューとして利用可能な corosync-qdevice のヒューリスティック

ヒューリスティックは、起動、クラスターメンバーシップの変更、corosync-qnetd への正常な接続でローカルに実行され、任意で定期的に実行される一連のコマンドです。すべてのコマンドが時間どおりに正常に終了すると (返されるエラーコードがゼロである場合)、ヒューリスティックは渡されますが、それ以外の場合は失敗します。ヒューリスティックの結果は corosync-qnetd に送信され、クオーラムとなるべきパーティションを判断するための計算に使用されます。

新しい fence-agents-heuristics-ping フェンスエージェント

Pacemaker は、テクノロジープレビューとして fence_heuristics_ping エージェントを提供するようになりました。このエージェントの目的は、実際にはフェンシングを行わず、フェンシングレベルの動作を新しい方法で活用する実験的なフェンスエージェントのクラスを開くことです。

リソース移動後の場所の制約の自動削除がテクノロジープレビューとして利用可能

pcs resource move コマンドを実行すると、現在実行しているノードでリソースが実行されないように、制約がリソースに追加されます。pcs resource move コマンドの --autodelete オプションが、テクノロジープレビューとして利用可能になりました。このオプションを指定すると、リソースを移動すると、コマンドが作成する場所の制約が自動的に削除されます。

Identity Management JSON-RPC API がテクノロジープレビューとして利用可能になりました。

Identity Management (IdM) では API が利用できます。API を表示するために、IdM は、テクノロジープレビューとして API ブラウザーも提供します。

DNSSEC が IdM でテクノロジープレビューとして利用可能

統合 DNS のある Identity Management (IdM) サーバーは、DNS プロトコルのセキュリティーを強化する DNS に対する拡張セットである DNS Security Extensions (DNSSEC) を実装するようになりました。IdM サーバーでホストされる DNS ゾーンは、DNSSEC を使用して自動的に署名できます。暗号鍵は、自動的に生成およびローテートされます。

ACME はテクノロジープレビューとしてご利用いただけます。

Automated Certificate Management Environment (ACME) サービスが、テクノロジープレビューとして Identity Management (IdM) で利用可能になりました。ACME は、自動化識別子の検証および証明書の発行に使用するプロトコルです。この目的は、証明書の有効期間を短縮し、証明書のライフサイクル管理での手動プロセスを回避することにより、セキュリティーを向上させることです。

RHEL IdM では、ユーザー認証をテクノロジープレビューとして外部 ID プロバイダーに委任できる

RHEL IdM では、OAuth 2 デバイス認証フローをサポートする外部 ID プロバイダー (IdP) にユーザーを関連付けることができるようになりました。これらのユーザーは、RHEL 8.7 で利用可能な SSSD バージョンで認証すると、外部 IdP で認証と承認を実行した後、Kerberos チケットを使用して RHEL IdMSingle Sign-On 機能を受け取ります。

sssd-idp サブパッケージがテクノロジープレビューとして利用可能

SSSD の sssd-idp サブパッケージには、Identity Management (IdM) サーバーに対して OAuth2 認証を実行するクライアント側のコンポーネントである oidc_child プラグインおよび krb5 idp プラグインが含まれます。この機能は、RHEL 8.7 以降、および RHEL 9.1 以降の IdM サーバーでのみ使用できます。

SSSD の内部 krb5 idp プラグインがテクノロジープレビューとして利用可能

SSSD krb5 idp プラグインを使用すると、OAuth2 プロトコルを使用して外部アイデンティティープロバイダー (IdP) に対して認証できます。この機能は、RHEL 8.7 以降、および RHEL 9.1 以降の IdM サーバーでのみ使用できます。

64 ビット ARM アーキテクチャーの GNOME がテクノロジープレビューとして利用できるようになりました。

GNOME デスクトップ環境がテクノロジープレビューとして、64 ビット ARM アーキテクチャーで利用可能になりました。これにより、管理者は VNC セッションを使用して、グラフィカルユーザーインターフェイス (GUI) からサーバーをリモートで設定し、管理できます。

IBM Z の GNOME デスクトップがテクノロジープレビューとして利用可能に

Firefox Web ブラウザーを含む GNOME デスクトップが、IBM Z アーキテクチャーでテクノロジープレビューとして利用できるようになりました。VNC を使用して GNOME を実行するリモートグラフィカルセッションに接続し、IBM Z サーバーを設定および管理できるようになりました。

64 ビット ARM アーキテクチャーで VNC リモートコンソールがテクノロジープレビューとして利用可能に

64 ビットの ARM アーキテクチャーでは、Virtual Network Computing (VNC) リモートコンソールがテクノロジープレビューとして利用できます。グラフィックススタックの残りの部分は、現在、64 ビット ARM アーキテクチャーでは検証されていません。

KVM 仮想マシンの AMD SEV および SEV-ES

テクノロジープレビューとして、RHEL 8 に、KVM ハイパーバイザーを使用する AMD EPYC ホストマシン用のセキュア暗号化仮想化 (SEV) 機能が同梱されます。仮想マシンで有効になっている場合は、SEV が仮想マシンのメモリーを暗号化して、ホストから仮想マシンへのアクセスを防ぎます。これにより、仮想マシンのセキュリティーが向上します。

Intel vGPU

テクノロジープレビューとして、物理 Intel GPU デバイスを、仲介デバイス と呼ばれる複数の仮想デバイスに分割できるようになりました。この仲介デバイスは、仮想 GPU として複数の仮想マシンに割り当てることができます。これにより、この仮想マシンが、1 つの物理 Intel GPU のパフォーマンスを共有します。

入れ子仮想マシンの作成

入れ子 KVM 仮想化は、RHEL 8 で Intel、AMD64、IBM POWER および IBM Z システムホストで実行している KVM 仮想マシン用のテクノロジープレビューとして提供されます。この機能を使用すると、物理 RHEL 8 ホストで実行中の RHEL 7 または RHEL 8 仮想マシンがハイパーバイザーとして機能し、独自の仮想マシンをホストできます。

テクノロジープレビュー: 一部の Intel ネットワークアダプターが、Hyper-V の RHEL ゲストに SR-IOV を提供するようになりました

テクノロジープレビューとして、Hyper-V ハイパーバイザーで実行している Red Hat Enterprise Linux のゲストオペレーティングシステムは、ixgbevf および ixgbevf ドライバーがサポートする Intel ネットワークアダプターに、シングルルート I/O 仮想化 (SR-IOV) 機能を使用することができるようになりました。この機能は、以下の条件が満たされると有効になります。

virtiofs を使用したホストと仮想マシン間でのファイルの共有

RHEL 8 では、テクノロジープレビューとして virtio ファイルシステム (virtiofs) が追加されました。virtiofs を使用すると、ホストシステムと仮想マシン (VM) との間で、ファイルを効率的に共有できます。

RHEL 8 Hyper-V 仮想マシンで KVM 仮想化が利用可能に

ネストされた KVM 仮想化は、テクノロジープレビューとして、Microsoft Hyper-V ハイパーバイザーで使用できるようになりました。これにより、Hyper-V ホストで実行している RHEL 8 ゲストシステムで仮想マシンを作成できます。

RHEL Confidential VM がテクノロジープレビューとして Azure で利用可能になりました

更新された RHEL カーネルを使用すると、Microsoft Azure で機密仮想マシン (VM) をテクノロジープレビューとして作成して実行できるようになりました。ただし、Azure での起動中に RHEL 機密 VM イメージを暗号化することはまだできません。

Toolbox がテクノロジープレビューとして利用可能になりました。

以前は、Toolbox ユーティリティーは RHEL CoreOS coreos/toolbox に基づいていました。このリリースでは、Toolbox は containers/toolbox に置き換えられました。

sigstore 署名がテクノロジープレビューとして利用可能になりました

Podman 4.2 以降では、コンテナーイメージ署名の sigstore 形式を使用できます。sigstore 署名はコンテナーイメージと共にコンテナーレジストリーに格納されるため、イメージ署名を格納するために別の署名サーバーを用意する必要はありません。

イメージに署名するための複数の信頼できる GPG キーの機能は、テクノロジープレビューとして利用できます。

/etc/containers/policy.json ファイルは、信頼できるキーを含むファイルのリストを受け入れる新しい keyPaths フィールドをサポートします。このため、GA および Beta GPG キーで署名されたコンテナーイメージがデフォルト設定で受け入れられるようになりました。

podman-machine コマンドはサポート対象外です。

仮想マシンを管理するための podman-machine コマンドは、テクノロジープレビューとしてのみ利用可能です。代わりに、コマンドラインから直接 Podman を実行してください。

複数のキックスタートコマンドおよびオプションが非推奨になりました。

RHEL 8 キックスタートファイルで以下のコマンドとオプションを使用すると、ログに警告が表示されます。

キックスタートコマンド ignoredisk の --interactive オプションが非推奨になりました。

Red Hat Enterprise Linux の将来のリリースで --interactive オプション を使用すると、致命的なインストールエラーが発生します。このオプションを削除するには、キックスタートファイルを変更することが推奨されます。

キックスタートの autostep コマンドが非推奨に

autostep コマンドが非推奨になりました。このコマンドに関連するセクションは、RHEL 8 のドキュメント から削除されました。

rpmbuild --sign が非推奨になりました。

rpmbuild --sign コマンドは、RHEL 8.1 以降非推奨になりました。Red Hat Enterprise Linux の今後のリリースでこのコマンドを実行すると、エラーが発生します。代わりに rpmsign コマンドを使用することが推奨されます。

OpenEXR コンポーネントが非推奨になりました。

OpenEXR コンポーネントが非推奨になりました。そのため、EXR イメージ形式のサポートは imagecodecs モジュールから削除されました。

dump からの dump ユーティリティーが非推奨になりました。

ファイルシステムのバックアップに使用される dump ユーティリティーが非推奨になり、RHEL 9 では使用できなくなります。

ABRT ツールは非推奨になりました

アプリケーションのクラッシュを検出して報告するための自動バグ報告ツール (ABRT) は、RHEL8 で非推奨になりました。代わりに、systemd-coredump ツールを使用して、プログラムのクラッシュ後に自動的に生成されるファイルであるコアダンプをログに記録して保存します。

ReaR crontab は非推奨になりました

rear パッケージの /etc/cron.d/rear は RHEL 8 で非推奨になり、RHEL 9 では使用できなくなります。crontab は、ディスクレイアウトが変更されたかどうかを毎晩チェックし、変更が発生した場合は rear mkrescue コマンドを実行します。

Bacula の SQLite データベースバックエンドは廃止されました

Bacula バックアップシステムは、複数のデータベースバックエンド (PostgreSQL、MySQL、および SQLite) をサポートしていました。SQLite バックエンドに非推奨となり、RHEL の今後のリリースではサポートされなくなります。代わりに、他のバックエンド (PostgreSQL または MySQL) のいずれかに移行し、新しい展開では SQLite バックエンドを使用しないでください。

hidepid=n マウントオプションが、RHEL 8 systemd で未サポート

マウントオプションの hidepid=n は、/proc/[pid] ディレクトリーの情報にアクセスできるユーザーを制御しますが、RHEL 8 で提供されている systemd インフラストラクチャーと互換性がありません。

/usr/lib/udev/rename_device ユーティリティーは非推奨になる

ネットワークインターフェイスの名前を変更するための udev ヘルパーユーティリティー /usr/lib/udev/rename_device は非推奨になる

raw コマンドは廃止されました

raw (/usr/bin/raw) コマンドが非推奨になりました。Red Hat Enterprise Linux の今後のリリースでこのコマンドを実行すると、エラーが発生します。

NSS SEED 暗号が非推奨になりました。

Mozilla Network Security Services (NSS) ライブラリーでは、今後のリリースで SEED 暗号化を使用する TLS 暗号スイートのサポートがなくなります。NSS がサポートを削除した際に SEED 暗号に依存するデプロイメントを円滑に移行させるため、Red Hat は、他の暗号スイートのサポートを有効にすることを推奨します。

TLS 1.0 および TLS 1.1 が非推奨になりました。

TLS 1.0 プロトコルおよび TLS 1.1 プロトコルは、システム全体の暗号化ポリシーレベル DEFAULT で無効になります。たとえば、Firefox Web ブラウザーのビデオ会議アプリケーションで、非推奨のプロトコルを使用する必要がある場合は、システム全体の暗号化ポリシーを LEGACY レベルに変更してください。

RHEL 8 で DSA が非推奨になりました。

デジタル署名アルゴリズム (DSA) は、Red Hat Enterprise Linux 8 では非推奨であると考えられています。DSA キーに依存する認証メカニズムはデフォルト設定では機能しません。OpenSSH クライアントは、LEGACY のシステム全体の暗号化ポリシーレベルでも DSA ホストキーを許可しません。

NSS で SSL2 Client Hello が非推奨に

TLS (Transport Layer Security) プロトコルバージョン 1.2 以前は、SSL (Secure Sockets Layer) プロトコルバージョン 2 と後方互換性がある形式の Client Hello メッセージを使用してネゴシエーションを開始できます。NSS (Network Security Services) ライブラリーでのこの機能への対応は非推奨となっており、デフォルトで無効になっています。

TPM 1.2 が非推奨になりました。

Trusted Platform Module (TPM) のセキュアな暗号化プロセッサーの標準バージョンが 2016 年にバージョン 2.0 に更新されました。TPM 2.0 は TPM 1.2 に対する多くの改良を提供しますが、以前のバージョンと後方互換性はありません。TPM 1.2 は RHEL 8 で非推奨となり、次のメジャーリリースで削除される可能性があります。

crypto-policies から派生したプロパティーが非推奨に

カスタムポリシーにおける crypto-policies ディレクティブのスコープの導入により、tls_cipher、ssh_cipher、ssh_group、ike_protocol、および sha1_in_dnssec の派生プロパティーが非推奨になりました。さらに、スコープを指定しない protocol プロパティーの使用も非推奨になりました。推奨される代替は、crypto-policies(7) の man ページを参照してください。

/etc/selinux/config を使用して SELinux を無効にするランタイムが非推奨になりました。

/etc/selinux/config ファイルの SELINUX=disabled オプションを使用して SELinux を無効にするランタイムが非推奨になりました。RHEL 9 では、/etc/selinux/config でのみ SELinux を無効にすると、システムは SELinux が有効化されますが、ポリシーが読み込まれずに開始します。

selinux-policy から ipa SELinux モジュールが削除されました。

ipa SELinux はメンテナンスされなくなったため、selinux-policy から削除されました。この機能は、ipa-selinux サブパッケージに含まれるようになりました。

fapolicyd.rules が非推奨に

実行ルールの許可と拒否を含むファイルの /etc/fapolicyd/rules.d/ ディレクトリーは、/etc/fapolicyd/fapolicyd.rules ファイルを置き換えます。fagenrules スクリプトは、このディレクトリー内のすべてのコンポーネントルールファイルを /etc/fapolicyd/compiled.rules ファイルにマージするようになりました。/etc/fapolicyd/fapolicyd.trust のルールは引き続き fapolicyd フレームワークによって処理されますが、下位互換性を確保するためにのみ使用されます。

RHEL 8 でネットワークスクリプトが非推奨に

Red Hat Enterprise Linux 8 では、ネットワークスクリプトが非推奨になっており、デフォルトでは提供されなくなりました。基本的なインストールでは、nmcli ツール経由で、NetworkManager サービスを呼び出す ifup スクリプトおよび ifdown スクリプトの新しいバージョンが提供されます。Red Hat Enterprise Linux 8 で ifup スクリプトおよび ifdown スクリプトを実行する場合は、NetworkManager を実行する必要があります。

dropwatch ツールが非推奨に

dropwatch ツールが非推奨になりました。このツールは今後のリリースではサポートされませんので、新規デプロイメントには推奨できません。このパッケージの代わりに、Red Hat は perf コマンドラインツールを使用することを推奨します。

cgdcbxd パッケージが非推奨に

コントロールグループデータセンターブリッジング交換デーモン (cgdcbxd) は、データセンターのブリッジ (DCB) のネットリンクイベントをモニターし net_prio control グループサブシステムを管理するサービスです。RHEL 8.5 以降では、cgdcbxd パッケージは非推奨となり、次の RHEL メジャーリリースで削除されます。

xinetd が非推奨に

xinetd サービスが非推奨になり、RHEL 9 では削除される予定です。代わりに systemd を使用します。詳細は、xinetd サービスを systemd に変換する方法 を参照してください。

WEP Wi-Fi 接続方法が非推奨になりました。

安全でない WEP (wired equivalent privacy) の Wi-Fi 接続方法は、RHEL 8 では非推奨となり、RHEL 9.0 では削除されます。安全な Wi-Fi 接続には、Wi-Fi Protected Access 3 (WPA3) または WPA2 の接続方法を使用します。

サポートされていない xt_u32 モジュールが非推奨になりました。

サポートされていない xt_u32 を使用すると、iptable のユーザーはパケットヘッダーまたはペイロード内の任意の 32 ビットにマッチできます。RHEL 8.6 以降、xt_u32 モジュールが非推奨になり、RHEL 9 では削除されます。

slaves という用語は、nmstate API では非推奨です。

Red Hat では、意識的な言語の使用に取り組んでいます。したがって、slaves という用語は Nmstate API では非推奨です。nmstatectl を使用する場合は、port という用語を使用します。

カーネルライブパッチが、すべての RHEL マイナーリリースに対応するようになりました。

RHEL 8.1 以降、カーネルライブパッチは、影響度が重大および重要な Common Vulnerabilities and Exposures (CVE) を修正するために、Extended Update Support (EUS) ポリシーの対象となる RHEL の一部のマイナーリリースストリームに提供されています。同時にカバーされるカーネルとユースケースの最大数に対応するため、各ライブパッチのサポート期間は、カーネルのマイナー、メジャー、および zStream の各バージョンで 12 カ月から 6 カ月に短縮されました。これは、カーネルライブパッチがリリースされると、過去 6 カ月間に配信されたすべてのマイナーリリースとスケジュール済みのエラータカーネルが含まれます。

crash-ptdump-command パッケージは非推奨です

クラッシュユーティリティーの ptdump 拡張モジュールである crash-ptdump-command パッケージは非推奨であり、将来の RHEL リリースでは利用できなくなる可能性があります。ptdump コマンドは、Single Range Output モードで作業している場合、ログバッファーの取得に失敗し、Table of Physical Addresses (ToPA) モードでのみ機能します。crash-ptdump-command は現在、アップストリームに維持されていません

ディスクレスブートを使用した RHEL for Real Time 8 のインストールが非推奨になりました。

ディスクレスブートにより、複数のシステムがネットワーク経由で root ファイルシステムを共有できます。メリットはありますが、ディスクレスブートでは、リアルタイムのワークロードでネットワークレイテンシーが発生する可能性が高くなります。RHEL for Real Time 8 の将来のマイナー更新では、ディスクレスブート機能はサポートされなくなります。

Linux firewire サブシステムおよび関連するユーザー空間コンポーネントは、RHEL 8 では非推奨になりました。

firewire サブシステムは、IEEE 1394 バスでリソースを使用し、維持するインターフェイスを提供します。RHEL 9 では、firewire は、kernel パッケージで対応しなくなります。firewire には、libavc1394、libdc1394、libraw1394 パッケージで提供されるユーザー空間コンポーネントが複数含まれることに注意してください。これらのパッケージも非推奨になります。

rdma_rxe Soft-RoCE ドライバーが非推奨に

Remote Software Direct Memory Access over Converged Ethernet (Soft-RoCE) は RXE としても知られており、RDMA (Remote Direct Memory Access) をエミュレートする機能です。RHEL 8 では、Soft-RoCE 機能が、サポートされていないテクノロジープレビューとして利用できます。ただし、安定性の問題により、この機能は非推奨になり、RHEL 9 では削除されます。

kernelopts 環境変数は非推奨になる

RHEL 8 では、GRUB2 ブートローダーを使用するシステムのカーネルコマンドラインパラメーターが kernelopts 環境変数で定義されていました。変数は、カーネルブートエントリーごとに /boot/grub2/grubenv ファイルに保存されました。ただし、kernelopts を使用してカーネルコマンドラインパラメーターを保存することは堅牢ではありませんでした。したがって、RHEL の将来のメジャー更新では kernelopts が削除され、代わりにカーネルコマンドラインパラメーターが Boot Loader Specification (BLS) スニペットに格納されます。

async 以外の VDO 書き込みモードが非推奨に

VDO は、RHEL 8 で複数の書き込みモードに対応します。

NFSv3 over UDP が無効になりました。

NFS サーバーは、デフォルトで UDP (User Datagram Protocol) ソケットを開いたり、リッスンしなくなりました。バージョン 4 では TCP (Transmission Control Protocol) が必要なため、この変更は NFS バージョン 3 にのみ影響を及ぼします。

cramfs が非推奨になりました。

ユーザーの不足により、cramfs カーネルモジュールが非推奨になりました。代替策として squashfs が推奨されます。

VDO マネージャーが非推奨に

python ベースの VDO 管理ソフトウェアは非推奨となり、RHEL 9 から削除される予定です。RHEL 9 では、LVM-VDO 統合に置き換えられます。そのため、lvcreate コマンドを使用して VDO ボリュームを作成することが推奨されます。

elevator カーネルコマンドラインパラメーターが非推奨になりました。

カーネルコマンドラインパラメーターの elevator は、すべてのデバイスのディスクスケジューラーを設定するために、以前の RHEL リリースで使用されていました。RHEL 8 では、このパラメーターが非推奨になりました。

LVM mirror が非推奨化されました。

LVM mirror セグメントタイプが非推奨になりました。mirror のサポートは、RHEL の今後のメジャーリリースで削除されます。

peripety が非推奨に

peripety パッケージは、RHEL 8.3 以降で非推奨になりました。

clufter ツールに対応する pcs コマンドが非推奨になりました。

クラスター設定フォーマットを分析する clufter ツールに対応する pcs コマンドが非推奨になりました。これらのコマンドにより、コマンドが非推奨になり、コマンドに関連するセクションが pcs ヘルプ表示と、pcs(8) man ページから削除されていることを示す警告が出力されるようになりました。

Apache HTTP サーバーで使用するために PHP に提供されている mod_php モジュールが非推奨になりました。

RHEL 8 の Apache HTTP サーバーで使用するために PHP に付属している mod_php モジュールは利用可能ですが、デフォルト設定では有効になっていません。このモジュールは RHEL 9 では使用できなくなりました。

libdwarf が非推奨に

RHEL 8 では、libdwarf ライブラリーが非推奨になりました。ライブラリーは、将来のメジャーリリースでサポートされない可能性があります。代わりに、ELF/DWARF ファイルを処理するアプリケーションに elfutils および libdw ライブラリーを使用してください。

gdb.i686 パッケージが非推奨に

RHEL 8.1 では、別のパッケージの依存関係の問題が原因で、32 ビットバージョンの GNU Debugger(GDB) gdb.i686 が同梱されていました。RHEL 8 は 32 ビットハードウェアに対応していないため、RHEL 8.4 以降、gdb.i686 パッケージは非推奨になりました。64 ビットバージョンの GDB (gdb.x86_64) は、32 ビットアプリケーションをデバッグできます。

openssh-ldap が非推奨に

openssh-ldap サブパッケージは、Red Hat Enterprise Linux 8 で非推奨になり、RHEL 9 で削除されます。openssh-ldap サブパッケージはアップストリームでは維持されないため、Red Hat は SSSD と sss_ssh_authorizedkeys ヘルパーを使用することを推奨しています。これは、他の IdM ソリューションよりも適切に統合でき、安全です。

DES および 3DES 暗号化タイプが削除されました。

RHEL 7 以降、セキュリティー上の理由から、データ暗号化標準 (DES) アルゴリズムが非推奨になり、デフォルトで無効化になりました。Kerberos パッケージの最近のリベースで、RHEL 8 からシングル DES (DES) およびトリプル DES (3DES) の暗号化タイプが削除されました。

ctdb サービスのスタンドアロン使用が非推奨になりました。

RHEL 8.4 以降、以下の条件がすべて適用されている場合に限り、ctdb クラスター Samba サービスを使用することが推奨されます。

Samba を PDC または BDC として実行することは非推奨になりました。

管理者が Samba を NT4 のようなプライマリードメインコントローラー (PDC) として実行し、バックアップドメインコントローラー (BDC) を実行できるようにする従来のドメインコントローラーモードが非推奨になりました。これらのモードを設定するためのコードおよび設定は、今後の Samba リリースで削除されます。

WinSync による IdM との間接的な AD 統合が非推奨に

WinSync は、さまざまな機能制限のため、RHEL 8 では積極的に開発されなくなりました。

SSSD バージョンの libwbclient が削除される

libwbclient パッケージの SSSD 実装は、RHEL 8.4 で非推奨になりました。最新バージョンの Samba で使用できないため、 libwbclient の SSSD 実装 が削除されています。

Samba で SMB1 プロトコルが非推奨になりました

Samba 4.11 以降、安全でない Server Message Block バージョン 1 (SMB1) プロトコルは非推奨となり、今後のリリースでは削除される予定です。

FreeRADIUS のサポートは限定的です

RHEL 8 では、FreeRADIUS サービスの一部として、次の外部認証モジュールが非推奨になりました。

libgnome-keyring ライブラリーが非推奨になりました

libgnome-keyring ライブラリーがアップストリームで維持されず、RHEL に必要な暗号化ポリシーに従っていないため、libsecret ライブラリーが libgnome-keyring ライブラリーを引き継ぎ、libgnome-keyring は非推奨となりました。新しい libsecret ライブラリーは、必要なセキュリティー標準に準拠する代替ライブラリーです。

AGP グラフィックカードがサポートされなくなりました。

AGP (Accelerated Graphics Port) バスを使用するグラフィックカードは、Red Hat Enterprise Linux 8 ではサポートされていません。推奨される代替として、PCI-Express バスを備えたグラフィックスカードを使用してください。

Motif は非推奨になりました

アップストリームの Motif コミュニティーでの開発は非アクティブであるため、Motif ウィジェットツールキットは RHEL で非推奨になりました。

Web コンソールは、不完全な翻訳への対応を終了しました。

RHEL Web コンソールは、コンソールの翻訳可能な文字列の翻訳率が 50 % 未満の言語に対する翻訳提供を廃止しました。ブラウザーがこのような言語に翻訳を要求すると、ユーザーインターフェイスは英語になります。

RHEL 9 ノードでチームを設定すると、networking システムロールが非推奨の警告を表示します

ネットワークチーミング機能は、RHEL 9 では非推奨になりました。その結果、RHEL 8 コントローラーの networking RHEL システムロールを使用して RHEL 9 ノードにネットワークチームを設定すると、非推奨に関する警告が表示されます。

Ansible Engine は非推奨になりました

以前のバージョンの RHEL8 は、サポートの範囲が限定された Ansible Engine リポジトリーへのアクセスを提供し、RHEL System Roles や Insights 救済策などのサポートされた RHEL Automation ユースケースを有効にしました。Ansible Engine は非推奨になり、Ansible Engine 2.9 は 2023 年 9 月 29 日以降サポートされなくなります。サポートされているユースケースの詳細は、RHEL 9 および RHEL 8.6 以降の AppStream リポジトリーに含まれる Ansible Core パッケージのサポート対象範囲 を参照してください。

geoipupdate パッケージが非推奨に

geoipupdate パッケージにはサードパーティーのサブスクリプションが必要で、プロプライエタリーコンテンツもダウンロードします。したがって、geoipupdate パッケージは非推奨となり、次の RHEL メジャーバージョンで削除されます。

virsh iface-* コマンドが非推奨になりました。

virsh iface-start、virsh iface-destroy などの virsh iface-* コマンドは非推奨になり、将来のメジャーバージョンの RHEL では削除される予定です。また、このようなコマンドは設定の依存関係により頻繁に失敗します。

virt-manager が非推奨になりました

Virtual Machine Manager アプリケーション (virt-manager) は非推奨になっています。RHEL Web コンソール (Cockpit) は、後続のリリースで置き換えられる予定です。したがって、GUI で仮想化を管理する場合は、Web コンソールを使用することが推奨されます。ただし、virt-manager で利用可能な機能によっては、RHEL Web コンソールで利用できない場合があります。

仮想マシンスナップショットのサポートが限定されました

仮想マシンのスナップショットの作成は、現在、UEFI ファームウェアを使用していない仮想マシンのみでサポートされています。さらに、スナップショット操作中に QEMU モニターがブロックされる可能性があり、これは特定のワークロードのハイパーバイザーのパフォーマンスに悪影響を及ぼします。

Cirrus VGA 仮想 GPU タイプが非推奨に

Red Hat Enterprise Linux の今後のメジャー更新では、KVM 仮想マシンで Cirrus VGA GPU デバイスに対応しなくなります。したがって、Red Hat は Cirrus VGA の代わりに stdvga または virtio-vga デバイスの使用を推奨します。

IBM POWER 上の KVM が非推奨に

IBM POWER ハードウェアでの KVM 仮想化の使用は非推奨になりました。その結果、IBM POWER の KVM は、RHEL 8 でも引き続きサポートされますが、RHEL の今後のメジャーリリースではサポートされなくなります。

SHA1 ベースの署名を使用した SecureBoot イメージ検証が非推奨に

UEFI (PE/COFF) 実行ファイルでの SHA1 ベースの署名を使用した SecureBoot イメージ検証の実行は非推奨になりました。代わりに、Red Hat は、SHA2 アルゴリズムまたはそれ以降に基づく署名を使用することを推奨します。

SPICE を使用したスマートカードリーダーの仮想マシンへの接続が非推奨となりました

RHEL 8 では、SPICE リモートディスプレイプロトコルが非推奨になりました。スマートカードリーダーを仮想マシンに割り当てる唯一の推奨される方法は、SPICE プロトコルに依存するため、仮想マシンでのスマートカードの使用も RHEL 8 で非推奨になりました。

SPICE が非推奨になりました

SPICE リモートディスプレイプロトコルが非推奨になりました。その結果、SPICE は RHEL 8 で引き続きサポートされますが、Red Hat では、リモートディスプレイストリーミングに代替ソリューションを使用することを推奨しています。

Podman varlink ベースの API v1.0 が削除されました

Podman varlink ベースの API v1.0 は、以前のリリースの RHEL 8 で非推奨となりました。Podman v2.0 には、新しい Podman v2.0 RESTful API が導入されました。Podman v3.0 のリリースでは、varlink ベースの API v1.0 が完全に削除されました。

container-tools:1.0 が非推奨に

container-tools:1.0 モジュールは非推奨となり、セキュリティー更新を受信しなくなります。container-tools:2.0 や container-tools:3.0 などの新しいサポートされる安定したモジュールストリームを使用することが推奨されます。

container-tools:2.0 モジュールは非推奨になりました

container-tools:2.0 モジュールは非推奨となり、セキュリティー更新を受信しなくなります。container-tools:3.0 など、サポートされている新しい安定したモジュールストリームの使用を推奨します。

GIMP 以外の Flatpak イメージは廃止されました

rhel8/firefox-flatpak、rhel8/thunderbird-flatpak、rhel8/inkscape-flatpak、および rhel8/libreoffice-flatpak RHEL 8 Flatpak アプリケーションが非推奨になり、RHEL 9 バージョンに置き換えられました。RHEL 9 にはまだ代替品がないため、rhel8/gimp-flatpak Flatpak アプリケーションは非推奨ではありません。

IBM Z への RHEL インストール中に、udev が FID によって列挙された RoCE カードに予測可能なインターフェイス名を割り当てない

net.naming-scheme=rhel-8.7 カーネルコマンドラインオプションを使用して RHEL 8.7 以降のインストールを開始すると、RHEL インストールメディア上の udev デバイスマネージャーが、機能識別子 (FID) によって列挙された RoCE カードのこの設定を無視します。その結果、udev はこのデバイスに予測できないインターフェイス名を割り当てます。インストール中の回避策はありませんが、インストール後に機能を設定できます。詳細は、IBM Z プラットフォームでの予測可能な RoCE デバイス名の決定 を参照してください。

LPAR およびセキュアブートが有効になっている IBM Power 10 システムでのインストールが失敗します

RHEL インストーラーは、IBM Power 10 システムの静的キーセキュアブートと統合されていません。したがって、セキュアブートオプションを使用して論理パーティション (LPAR) を有効にすると、インストールに失敗し、Unable to proceed with RHEL-x.x Installation というエラーが表示されます。

Anaconda がアプリケーションとして実行されているシステムでの予期しない SELinux ポリシー

Anaconda がすでにインストールされているシステムでアプリケーションとして実行されている場合 (たとえば、–image anaconda オプションを使用してイメージファイルに別のインストールを実行する場合)、システムはインストール中に SELinux のタイプと属性を変更することを禁止されていません。そのため、SELinux ポリシーの特定の要素は、Anaconda が実行されているシステムで変更される可能性があります。この問題を回避するには、実稼働システムで Anaconda を実行せず、一時的な仮想マシンで実行します。そうすることで、実稼働システムの SELinux ポリシーは変更されません。boot.iso や dvd.iso からのインストールなど、システムインストールプロセスの一部として anaconda を実行しても、この問題の影響は受けません。

キックスタートコマンドの auth および authconfig で AppStream リポジトリーが必要になる

インストール中に、キックスタートコマンドの auth および authconfig で authselect-compat パッケージが必要になります。auth または authconfig を使用したときに、このパッケージがないとインストールに失敗します。ただし、設計上、authselect-compat パッケージは AppStream リポジトリーでのみ使用可能です。

reboot --kexec コマンドおよび inst.kexec コマンドが、予測可能なシステム状態を提供しない

キックスタートコマンド reboot --kexec またはカーネル起動パラメーター inst.kexec で RHEL インストールを実行しても、システムの状態が完全な再起動と同じになるわけではありません。これにより、システムを再起動せずにインストール済みのシステムに切り替えると、予期しない結果が発生することがあります。

USB CD-ROM ドライブが Anaconda のインストールソースとして利用できない

USB CD-ROM ドライブがソースで、キックスタート ignoredisk --only-use= コマンドを指定すると、インストールに失敗します。この場合、Anaconda はこのソースディスクを見つけ、使用できません。

インストールプログラムでは、ネットワークアクセスがデフォルトで有効になっていない

一部のインストール機能、たとえば、コンテンツ配信ネットワーク (CDN) を使用したシステムの登録、NTP サーバーサポート、およびネットワークインストールソースなどには、ネットワークアクセスが必要です。ただし、ネットワークアクセスはデフォルトでは有効になっていません。そのためこの機能は、ネットワークアクセスが有効になるまで使用できません。

iso9660 ファイルシステムで、ハードドライブがパーティション分割されたインストールが失敗する

ハードドライブが iso9660 ファイルシステムでパーティションが設定されているシステムには、RHEL をインストールできません。これは、iso9660 ファイルシステムパーティションを含むハードディスクを無視するように設定されている、更新されたインストールコードが原因です。これは、RHEL が DVD を使用せずにインストールされている場合でも発生します。

HASH MMU モードの IBM 電源システムが、メモリー割り当ての障害で起動できない

HASH メモリー割り当てユニット (MMU) モードの IBM Power Systems は、最大 192 コアの kdump に対応します。そのため、kdump が 192 コア以上で有効になっていると、メモリー割り当て失敗が原因でシステムの起動が失敗します。この制限は、HASH MMU モードの起動初期段階での RMA メモリーの割り当てによるものです。この問題を回避するには、kdump を使用する代わりに、fadump を有効にした Radix MMU モードを使用します。

rpm-ostree ペイロードをインストールすると、RHEL for Edge インストーラーイメージがマウントポイントの作成に失敗する

RHEL for Edge インストーラーイメージなどで使用される rpm-ostree ペイロードをデプロイする場合、インストーラーはカスタムパーティションの一部のマウントポイントを適切に作成しません。その結果、インストールは以下のエラーで中止されます。

composer-cli compose start の --size パラメーターは、値を MiB ではなくバイトとして扱います

composer-cli compose start --size size_value blueprint_name image_type コマンドを使用する場合、--size パラメーターはそのパラメーターを MiB 形式で使用する必要があります。ただし、設定のバグにより、composer-cli ツールはこのパラメーターをバイト単位として扱います。

syspurpose addons は subscription-manager attach --auto 出力に影響しません。

Red Hat Enterprise Linux 8 では、syspurpose コマンドラインツールの 4 つの属性 (role、usage、service_level_agreement、および addons) が追加されました。現在、role、usage、および service_level_agreement のみが、subscription-manager attach --auto コマンドの実行の出力に影響します。addons 引数に値を設定しても、自動登録されたサブスクリプションには影響がありません。

cr_compress_file_with_stat() がメモリーリークを引き起こす可能性がある

createrepo_c C ライブラリーには API cr_compress_file_with_stat() 関数があります。この関数は、char **dst を 2 番目のパラメーターとして宣言します。他のパラメーターによって、cr_compress_file_with_stat() は、入力パラメーターとして dst を使用するか、割り当てられた文字列を返すために使用します。dst の内容をいつ解放するかユーザーに通知しないため、この予測できない動作いよりメモリーリークが発生する可能性があります。

スクリプトレットが失敗したときに成功したと報告された YUM トランザクション

RPM バージョン 4.6 以降、インストール後のスクリプトレットは、トランザクションに致命的な影響を与えることなく失敗することが許可されています。この動作は YUM まで伝播します。これにより、スクリプトレットが作成され、パッケージトランザクション全体が成功したと報告されているときに失敗することがあります。

アップグレードによってアーキテクチャーを変更するパッケージのセキュリティー YUM アップグレードが失敗する

BZ#2088149 アドバイザリーでリリースされた RHBA-2022:7711 のパッチでは、次のリグレッションが導入されました。セキュリティフィルターを使用した YUM アップグレードは、アップグレードによってアーキテクチャが noarch に (逆もまた然り) 変更されたパッケージでは失敗します。その結果、システムが脆弱な状態になる可能性があります。

ipmitool は特定のサーバープラットフォームと互換性がありません

ipmitool ユーティリティーは、Intelligent Platform Management Interface (IPMI) をサポートするデバイスの監視、設定、および管理に役立ちます。現在のバージョンの ipmitool は、以前の Cipher Suite 3 の代わりに Cipher Suite 17 をデフォルトで使用します。その結果、ipmitool は、ネゴシエーション中に Cipher Suite 17 のサポートを発表しましたが、実際にはこの暗号スイートをサポートしていない特定のベアメタルノードとの通信に失敗します。その結果、ipmitool は、no matching cipher suite エラーメッセージで異常終了します。

復元にクリーンディスクを使用しないと、ReaR がボリュームグループの再作成に失敗する

既存のデータを含むディスクに復元する場合、ReaR は復元の実行に失敗します。

coreutils は、誤解を招く EPERM エラーコードを報告することがあります。

statx() システムコールを使用して、GNU コアユーティリティー (coreutils) が起動しました。seccomp フィルターが、不明なシステムコールに対して EPERM エラーコードを返す場合、EPERM は動作中の statx() の syscall が返す実際の Operation not permitted エラーと区別できないため、coreutils は、誤解を招く EPERM エラーコードを報告します。

FIPS モードの Postfix TLS フィンガープリントアルゴリズムを SHA-256 に変更する必要があります。

RHEL 8 のデフォルトでは、postfix は後方互換性に TLS を使用する MD5 フィンガープリントを使用します。ただし、FIPS モードでは、MD5 ハッシュ関数が利用できないため、デフォルトの postfix 設定で TLS が誤って機能する可能性があります。この問題を回避するには、postfix 設定ファイルのハッシュ関数を SHA-256 に変更する必要があります。

--delete と --filter '-x string.*' オプションを一緒に使用すると rsync が失敗する

ファイルを転送および同期するための rsync ユーティリティーは、RHEL 8 の拡張属性を正しく処理できません。したがって、拡張属性の --filter '-x string.*' オプションとともに --delete オプションを rsync コマンドに渡し、システム上のファイルが正規表現を満たしている場合は、プロトコルの非互換性を示すエラーが発生します。たとえば、--filter '-x system.*' オプションを使用すると、フィルターはシステムに存在する system.mwmrc ファイルを検出し、rsync は失敗します。--filter '-x system.*' オプションを使用した後に発生する次のエラーメッセージを参照してください。

brltty パッケージは multilib 対応ではない

brltty パッケージの 32 ビット版と 64 ビット版の両方をインストールすることはできません。32 ビット版 (brltty.i686) または 64 ビット版 (brltty.x86_64) いずれかのパッケージをインストールすることができます。64 ビット版を推奨します。

/etc/passwd- のファイル権限が CIS RHEL 8 Benchmark 1.0.0 と合致しない

CIS Benchmark の問題により、/etc/passwd- バックアップファイルの権限を保証する SCAP ルールの修正によって、権限が 0644 に設定されます。ただし、CIS Red Hat Enterprise Linux 8 Benchmark 1.0.0 では、そのファイルに対するファイルパーミッション 0600 が必要です。そのため、修正後、/etc/passwd- のファイル権限はベンチマークに合うように設定されません。

libselinux-python は、そのモジュールからのみ利用可能

libselinux-python パッケージには、SELinux アプリケーション開発用の Python 2 バインディングのみが含まれ、後方互換性に使用されます。このため、yum install libselinux-python コマンドを使用すると、デフォルトの RHEL 8 リポジトリーで libselinux-python コマンドを利用できなくなりました。

udica は、--env container=podman で開始したときにのみ UBI 8 コンテナーを処理します。

Red Hat Universal Base Image 8 (UBI 8) コンテナーは、podman の値ではなく、コンテナー 環境変数を oci 値に設定します。これにより、udica ツールがコンテナー JavaScript Object Notation (JSON) ファイルを分析しなくなります。

/etc/selinux/config の SELINUX=disabled が正常に動作しません。

/etc/selinux/config で SELINUX=disabled オプションを使用して SELinux を無効にすると、カーネルが SELinux を有効にして起動し、その後のブートプロセスで無効化モードに切り替わります。これにより、メモリーリークが生じる可能性があります。

sshd -T が、暗号、MAC、および KeX アルゴリズムに関する不正確な情報を提供する

sshd -T コマンドの出力には、システム全体の暗号化ポリシー設定や、/etc/sysconfig/sshd 内の環境ファイルから取得でき、sshd コマンドの引数として適用されるその他のオプションは含まれていません。これは、アップストリームの OpenSSH プロジェクトが RHEL8 で Red-Hat が提供する暗号化のデフォルトをサポートするための Include ディレクティブをサポートしていなかったために発生します。暗号化ポリシーは、EnvironmentFile を使用してサービスを開始するときに、sshd.service ユニットの sshd 実行可能ファイルにコマンドライン引数として適用されます。この問題を回避するには、sshd -T $CRYPTO_POLICY のように、環境ファイルで source コマンドを使用し、暗号化ポリシーを引数として sshd コマンドに渡します。詳細は、暗号、MAC、または KeX アルゴリズムが sshd -T とは異なり、現在の暗号ポリシーレベルで提供されるものとは異なるを参照してください。その結果、sshd -T からの出力は、現在設定されている暗号化ポリシーと一致します。

FIPS モードの OpenSSL が、特定の D-H パラメーターのみを受け入れます。

FIPS モードでは、OpenSSL を使用する TLS クライアントは bad dh value エラーを返し、手動で生成されたパラメーターを使用するようにサーバーへの TLS 接続を中止します。これは、FIPS 140-2 に準拠するよう設定されている場合、OpenSSL が NIST SP 800-56A rev3 付録 D (RFC 3526 で定義されたグループ 14、15、16、17、18、および RFC 7919 で定義されたグループ) に準拠した Diffie-Hellman パラメーターでのみ機能するためです。また、OpenSSL を使用するサーバーは、その他のパラメーターをすべて無視し、代わりに同様のサイズの既知のパラメーターを選択します。この問題を回避するには、準拠するグループのみを使用します。

crypto-policies が Camellia 暗号を誤って許可する。

RHEL 8 システム全体の暗号化ポリシーでは、製品ドキュメントで説明されているように、すべてのポリシーレベルで Camellia 暗号を無効にする必要があります。ただし、Kerberos プロトコルでは、デフォルトでこの Camellia 暗号が有効になります。

OpenSC pkcs15-init によるスマートカードのプロビジョニングプロセスが適切に動作しない

file_caching オプションは、デフォルトの OpenSC 設定で有効になっているため、キャッシュ機能は pkcs15-init ツールから一部のコマンドを適切に処理しません。したがって、OpenSC を使用したスマートカードのプロビジョニングプロセスは失敗します。

SHA-1 署名を使用するサーバーへの接続が GnuTLS で動作しない

証明書の SHA-1 署名は、GnuTLS セキュアな通信ライブラリーにより、セキュアでないものとして拒否されます。したがって、TLS のバックエンドとして GnuTLS を使用するアプリケーションは、このような証明書を提供するピアへの TLS 接続を確立することができません。この動作は、その他のシステム暗号化ライブラリーと一貫性がありません。

IKE over TCP 接続がカスタム TCP ポートで機能しない

tcp-remoteport Libreswan 設定オプションが適切に動作しません。したがって、デフォルト以外の TCP ポートを指定する必要があるシナリオでは、IKE over TCP 接続を確立することができません。

インストール中にシステムを強化すると、RHV ハイパーバイザーが正しく動作しないことがある

Red Hat Virtualization Hypervisor (RHV-H) をインストールし、Red Hat Enterprise Linux 8 STIG プロファイルを適用すると、OSCAP Anaconda Add-on が RVH-H ではなく RHEL としてシステムを強化し、RHV-H の必須パッケージを削除する場合があります。その結果、RHV ハイパーバイザーが機能しない場合があります。この問題を回避するには、プロファイルの強化を適用せずに RHV-H システムをインストールし、インストールが完了したら、OpenSCAP を使用してプロファイルを適用します。その結果、RHV ハイパーバイザーは正しく動作します。