8.9 リリースノート

AWS EC2 イメージのレガシーブートと UEFI ブートの両方をサポート

以前は、RHEL Image Builder は、レガシーブートタイプのみをサポートする EC2 AMD または Intel 64 ビットアーキテクチャーの AMI イメージを作成していました。その結果、セキュアブートなど、UEFI ブートを必要とする特定の AWS 機能を利用できませんでした。この機能拡張により、AWS EC2 AMD または Intel 64 ビットアーキテクチャーの AMI イメージが拡張され、レガシー BIOS ブートに加えて UEFI ブートもサポートされるようになりました。その結果、UEFI でイメージをブートする必要がある AWS の機能を利用できるようになりました。

キックスタートファイルまたはカーネルドライバーをロードするための待機時間を追加する新しいブートオプション inst.wait_for_disks=

場合によっては、ブートプロセス中に OEMDRV ラベルが付いたデバイスからキックスタートファイルまたはカーネルドライバーをロードするのに数秒かかることがあります。待機時間を調整するために、新しいブートオプション inst.wait_for_disks= を使用できるようになりました。このオプションを使用すると、インストール前に待機する秒数を指定できます。デフォルト時間は 5 秒に設定されていますが、0 秒を使用して遅延を最小限に抑えることができます。このオプションの詳細は、ストレージブートオプション を参照してください。

DNS 処理を制御するための新しい network キックスタートオプション

次の新しいオプションを指定した network キックスタートコマンドを使用して、DNS 処理を制御できるようになりました。これらの新しいオプションは --device オプションと一緒に使用します。

opencryptoki が 3.21.0 にリベース

opencryptoki パッケージはバージョン 3.21.0 にリベースされ、多くの機能拡張とバグ修正が提供されています。最も注目すべき点は、opencryptoki が次の機能をサポートするようになったということです。

fapolicyd がトラブルシューティング用のルール番号を提供するようになる

この機能拡張では、新しいカーネルおよび Audit コンポーネントにより、fapolicyd サービスが拒否を引き起こすルールの番号を fanotify API に送信できるようになります。その結果、fapolicyd に関連する問題をより正確にトラブルシューティングできます。

ANSSI-BP-028 セキュリティープロファイルが、バージョン 2.0 に更新される

SCAP セキュリティーガイド内の以下の French National Agency for the Security of Information Systems (ANSSI) BP-028 プロファイルは、バージョン 2.0 に合わせて更新されました。

インタラクティブユーザーの定義の改善

scap-security-guide パッケージのルールが改善され、より一貫性のあるインタラクティブユーザー設定が提供されるようになりました。以前は、一部のルールで、インタラクティブユーザーと非インタラクティブユーザーを識別するために異なるアプローチが使用されていました。この更新により、インタラクティブユーザーの定義が統一されました。UID が 1000 以上のユーザーアカウントは、nobody および nfsnobody アカウントを除き、またログインシェルとして /sbin/nologin を使用するアカウントを除き、インタラクティブユーザーとみなされます。

DISA STIG プロファイルが audit_rules_login_events_faillock をサポートするようになりました。

この機能拡張により、STIG ID RHEL-08-030590 を参照する SCAP セキュリティーガイドの audit_rules_login_events_faillock ルールが、RHEL 8 の DISA STIG プロファイルに追加されました。このルールは、/var/log/faillock ディレクトリーに保存されているログインイベントログを変更しようとする試みを記録するように Audit デーモンが設定されているかどうかを確認します。

OpenSCAP が 1.3.8 にリベース

OpenSCAP パッケージがアップストリームバージョン 1.3.8 にリベースされました。このバージョンは、さまざまなバグ修正と機能拡張を提供します。特に、次のとおりです。

SCAP セキュリティーガイドがバージョン 0.1.69 にリベース

SCAP セキュリティーガイド (SSG) パッケージが、アップストリームバージョン 0.1.69 にリベースされました。このバージョンでは、さまざまな機能拡張とバグ修正が提供されています。特に注目すべきは、2022 年 10 月に National Cryptologic Center of Spain によって発行された CCN-STIC-610A22 ガイドの 3 つのレベルに準拠した RHEL 9 用の 3 つの新しい SCAP プロファイルです。

RHEL 8.8 以降から RHEL 9.2 以降への FIPS 対応のインプレースアップグレードがサポートされます。

RHBA-2023:3824 アドバイザリーのリリースにより、FIPS モードが有効な RHEL 8.8 以降のシステムから RHEL 9.2 以降のシステムへのインプレースアップグレードを実行できるようになりました。

crypto-policies permitted_enctypes が FIPS モードでのレプリケーションを破損しなくなる

この更新前は、RHEL 8 で実行されている IdM サーバーは、FIPS モードで RHEL 9 を実行している IdM レプリカに AES-256-HMAC-SHA-1 で暗号化されたサービスチケットを送信していました。その結果、デフォルトの permitted_enctypes krb5 設定により、FIPS モードでの RHEL 8 IdM サーバーと RHEL 9 IdM レプリカ間のレプリケーションが破損していました。

Audit が FANOTIFY レコードフィールドをサポートするようになる

audit パッケージの今回の更新で、FANOTIFY Audit レコードフィールドがサポートされるようになりました。Audit サブシステムは、特に次のような追加情報を AUDIT_FANOTIFY レコードに記録するようになりました。

QEMU ゲストエージェントが限定されたコマンドを実行できるようにする新しい SELinux ブール値

以前は、QEMU ゲストエージェントデーモンプログラムを通じて限定されたコンテキストで実行されるはずのコマンド (mount など) が、アクセスベクターキャッシュ (AVC) 拒否で失敗していました。これらのコマンドを実行するには、guest-agent が virt_qemu_ga_unconfined_t ドメインで実行されている必要があります。

Postfix が SRV ルックアップをサポートするようになる

この機能拡張により、Postfix DNS サービスレコード解決 (SRV) を使用して、メールクライアントを自動的に設定し、サーバーの負荷を分散できるようになりました。さらに、Postfix 設定で次の SRV 関連のオプションを使用することで、一時的な DNS の問題や SRV レコードの設定ミスによるメール配信の中断を防ぐことができます。

vsftpd で TLS 1.3 暗号スイートを指定できるようになりました。

この機能拡張により、新しい ssl_ciphersuites オプションを使用して、vsftpd が使用する暗号スイートを設定できるようになりました。その結果、以前の TLS バージョンとは異なる TLS 1.3 暗号スイートを指定できます。複数の暗号スイートを指定するには、エントリーをコロン (:) で区切ります。

Generic LF-to-CRLF ドライバーが cups-filters で利用可能になる

この機能拡張により、CR+LF 文字を含むファイルを受け入れるプリンターで、LF 文字を CR+LF 文字に変換する Generic LF-to-CRLF ドライバーを使用できるようになりました。キャリッジリターン (CR) とラインフィード (LF) は、行の終わりを示す制御文字です。その結果、このドライバーを使用すると、LF 文字で終了するファイルをアプリケーションから CR+LF 文字のみを受け入れるプリンターに送信できます。Generic LF-to-CRLF ドライバーは、RHEL 7 の text-only ドライバーの名前が変更されたバージョンです。新しい名前は実際の機能を反映しています。

iproute がバージョン 6.2.0 にリベース

iproute パッケージはアップストリームバージョン 6.2.0 にアップグレードされ、以前のバージョンに比べて多くの機能拡張とバグ修正が行われました。主な変更点は以下のとおりです。

デフォルトの nftables サービス設定のセキュリティー向上

この機能拡張により、/etc/sysconfig/nftables/nat.nft ファイル内のデフォルトの nftables サービス設定に do_masquerade チェーンが追加されます。これにより、CVE-2021-3773 で説明されているポートシャドウ攻撃のリスクが軽減されます。do_masquerade チェーンの最初のルールが、適切なパケットを検出し、送信元ポートのランダム化を適用して、ポートシャドウ攻撃のリスクを軽減します。

NetworkManager が no-aaaa DNS オプションをサポートするようになりました。

no-aaaa オプションを使用して、スタブリゾルバーによって生成された AAAA クエリーを抑制することにより、マネージドノードで DNS 設定を設定できるようになりました。以前は、getaddrinfo などの NSS ベースのインターフェイスによってトリガーされる AAAA ルックアップを含む、スタブリゾルバーによって生成される AAAA クエリーを抑制するオプションはありませんでした。DNS ルックアップのみが影響を受けていました。この機能拡張により、nmcli ユーティリティーを使用して IPv6 解決を無効にできるようになりました。NetworkManager サービスの再起動後、no-aaaa 設定が /etc/resolv.conf ファイルに反映され、DNS ルックアップの制御が追加されます。

nm-cloud-setup ユーティリティーが IMDSv2 設定をサポートするようになる

ユーザーは、nm-cloud-setup ユーティリティーを使用して、Instance Metadata Service Version 2 (IMDSv2)を使用する AWS Red Hat Enterprise Linux EC2 インスタンスを設定できます。EC2 メタデータや新機能への不正アクセスを制限するセキュリティー強化に準拠するには、高度な機能を提供するために AWS と Red Hat のサービスを統合する必要があります。この機能拡張により、nm-cloud-setup ユーティリティーは保護された IMDSv2 トークンを使用することで、IMDSv2 トークンを取得して保存し、EC2 環境を検証して、利用可能なインターフェイスと IP 設定に関する情報を取得できるようになります。

libnftnl パッケージがバージョン 1.2.2 にリベース

カーネル内 nf_tables サブシステムの Netlink API (libnftnl) のパッケージがリベースされました。注目すべき変更点と機能拡張は次のとおりです。

RHEL 8.9 のカーネルバージョン

Red Hat Enterprise Linux 8.9 は、カーネルバージョン 4.18.0-513.5.1 で配布されます。

RHEL カーネルが AutoIBRS をサポートするようになる

Automatic Indirect Branch Restricted Speculation (AutoIBRS) は、AMD EPYC 9004 Genoa プロセッサーファミリーおよびそれ以降の CPU バージョンによって提供される機能です。AutoIBRS は Spectre v2 CPU の脆弱性に対するデフォルトの軽減策であり、パフォーマンスを向上させ、スケーラビリティーを向上させます。

Intel® QAT カーネルドライバーがアップストリームバージョン 6.2 にリベース

Intel® Quick Assist Technology (QAT) は、アップストリームバージョン 6.2 にリベースされました。Intel® QAT には、対称および非対称暗号化、圧縮パフォーマンス、その他の CPU を集中的に使用するタスク用に最適化されたアクセラレーターが含まれています。

makedumpfile がバージョン 1.7.2 にリベースされました。

makedumpfile ツールが、バージョン 1.7.2 にリベースされました。これは、ページを圧縮するか、不要なメモリーページを除外することでクラッシュダンプファイルを小さくするツールです。リベースには多くのバグ修正と機能拡張が含まれています。

GFS2 ファイルシステム作成時の UUID 指定のサポート

mkfs.gfs2 コマンドは、新しい -U オプションをサポートするようになりました。これにより、作成するファイルシステムのファイルシステム UUID を指定できるようになります。このオプションを省略した場合、ファイルシステムの UUID はランダムに生成されます。

fuse3 では、umount をトリガーせずにディレクトリーエントリーを無効にできるようになる

この更新により、新しいメカニズムが fuse3 パッケージに追加されました。これにより、エントリーに存在するマウントの umount を自動的にトリガーすることなく、ディレクトリーエントリーを無効にすることができます。

Pacemaker のスケジューラーが、必須のコロケーション制約をすべて満たしてから、任意のコロケーション制約を満たすように変更されました。

以前は、コロケーション制約は、必須であるか任意であるかに関係なく、1 つずつ考慮されていました。そのため、ノードの割り当てが可能であっても、特定のリソースを実行できない可能性がありました。Pacemaker のスケジューラーは、任意のコロケーション制約を満たす前に、グループメンバー間の暗黙的な制約を含む、すべての必須のコロケーション制約を満たすことを試みるようになりました。その結果、任意と必須のコロケーション制約が混在するリソースを実行できる可能性が高くなりました。

IPaddr2 および IPsrcaddr クラスターリソースエージェントがポリシーベースのルーティングをサポートするようになる

IPaddr2 および IPsrcaddr クラスターリソースエージェントは、ポリシーベースのルーティングをサポートするようになりました。これにより、複雑なルーティングシナリオを設定できるようになります。ポリシーベースのルーティングでは、リソースエージェントの table パラメーターを設定する必要があります。

Filesystem リソースエージェントが EFS ファイルシステムタイプをサポートするようになる

ocf:heartbeat:Filesystem クラスターリソースエージェントは、Amazon Elastic File System (EFS) をサポートするようになりました。Filesystem リソースを設定するときに fstype=efs を指定できるようになりました。

alert_snmp.sh.sample アラートエージェントが SNMPv3 をサポートするようになりました。

alert_snmp.sh.sample アラートエージェント (Pacemaker に付属のサンプルアラートエージェント) は、SNMPv2 だけでなく SNMPv3 プロトコルもサポートするようになりました。この更新により、alert_snmp.sh.sample エージェントを変更せずにコピーして、Pacemaker アラートで SNMPv3 を使用できるようになります。

Pacemaker アラートを無効にする新しい enabled アラートメタオプション

Pacemaker アラートとアラート受信者は、enabled メタオプションをサポートするようになりました。

Pacemaker Remote ノードが短時間の接続停止の後でも一時的なノード属性を保持するようになりました。

以前は、Pacemaker Remote 接続が失われると、Pacemaker は常に一時ノード属性をパージしていました。接続がすぐに回復でき、その間にリモートデーモンが再起動されなかった場合、これは不要でした。Pacemaker Remote ノードは、回復可能な短時間の接続停止の後でも一時的なノード属性を保持するようになりました。

pcs property コマンドの機能拡張

pcs property コマンドは、次の機能拡張をサポートするようになりました。

新しい nodejs:20 モジュールストリームが完全にサポートされるようになりました。

以前はテクノロジープレビューとして利用できた新しい nodejs:20 モジュールストリームが、RHEA-2023:7249 アドバイザリーのリリースに伴い、フルサポート対象になりました。nodejs:20 モジュールストリームでは、LTS (Long Term Support) バージョンの Node.js 20.9 が提供されるようになりました。

Python tarfile 抽出関数への新しい filter 引数

CVE-2007-4559 の問題を軽減するために、Python は tarfile 抽出関数に filter 引数を追加します。この引数により、安全性を高めるために tar 機能をオフにすることができます (CVE-2007-4559 ディレクトリートラバーサル攻撃のブロックを含む)。フィルターが指定されていない場合、RHEL ではデフォルトで、最も安全ですが制限が最も高い 'data' フィルターが使用されます。さらに、アプリケーションが影響を受けると、Python は警告を発行します。

HTTP::Tiny Perl モジュールは、デフォルトで TLS 証明書を検証するようになる

HTTPS の使用時に TLS 証明書を検証するために、HTTP::Tiny Perl モジュールの verify_SSL オプションのデフォルト値が 0 から 1 に変更されました。この変更により、HTTP::Tiny の CVE-2023-31486 と CPAN Perl モジュールの CVE-2023-31484 が修正されます。

メールアドレスの解析を制御するための Python の新しい環境変数

CVE-2023-27043 の問題を軽減するために、メールアドレスをより厳密に解析するための後方互換性のない変更が Python 3 に導入されました。

glibc の Intel® Xeon® v5 ベースのハードウェアでの文字列およびメモリールーチンのパフォーマンスが向上

以前は、文字列およびメモリールーチン用に glibc によって使用されるデフォルトのキャッシュ量により、Intel® Xeon® v5 ベースのシステムで、パフォーマンスが予想よりも低下していました。今回の更新では、パフォーマンスを向上させるために使用するキャッシュの量が調整されました。

GCC はレジスター引数の保持をサポートするようになる

今回の更新により、引数レジスターの内容をスタックに保存し、適切な Call Frame Information (CFI) を生成して、アンワインダーがパフォーマンスに悪影響を与えることなく CFI を特定できるようになりました。

新しい GCC Toolset 13

GCC Toolset 13 は、最新バージョンの開発ツールを提供するコンパイラーツールセットです。これは、AppStream リポジトリー内の Software Collection の形式で Application Stream として利用できます。

GCC Toolset 13: GCC がバージョン 13.1.1 にリベース

GCC Toolset 13 では、GNU Compiler Collection (GCC) がバージョン 13.1.1 に更新されました。主な変更点は、以下のとおりです。

GCC Toolset 13: annobin がバージョン 12.20 にリベース

GCC Toolset 13 は、annobin パッケージのバージョン 12.20 を提供します。主な機能拡張は、次のとおりです。

GCC Toolset 13: GDB がバージョン 12.1 にリベース

GCC Toolset 13 は、GDB バージョン 12.1 を提供します。

GCC Toolset 13: binutils がバージョン 2.40 にリベース

GCC Toolset 13 は、binutils パッケージバージョン 2.40 を提供します。主な機能拡張は、次のとおりです。

GCC Toolset 13: annobin がバージョン 12.20 にリベース

GCC Toolset 13 は、annobin パッケージのバージョン 12.20 を提供します。主な機能拡張は、次のとおりです。

Valgrind がバージョン 3.21.0 にリベース

Valgrind がバージョン 3.21.0 に更新されました。主な機能拡張は、次のとおりです。

systemtap がバージョン 4.9 にリベース

systemtap パッケージがバージョン 4.9 にアップグレードされました。主な変更点は、以下のとおりです。

elfutils がバージョン 0.189 にリベース

elfutils パッケージがバージョン 0.189 に更新されました。主な改善点とバグ修正は次のとおりです。

libpfm がバージョン 4.13 にリベース

libpfm パッケージがバージョン 4.13 に更新されました。この更新により、libpfm は、次のプロセッサーマイクロアーキテクチャーのパフォーマンス監視ハードウェアネイティブイベントにアクセスできるようになります。

papi は、新しいプロセッサーマイクロアーキテクチャーをサポートする

この機能拡張により、次のプロセッサーマイクロアーキテクチャー上の papi イベントプリセットを使用して、パフォーマンス監視ハードウェアにアクセスできるようになります。

papi は、64 ビット ARM の高速パフォーマンスイベントカウント読み取り操作をサポートするようになる

以前の 64 ビット ARM プロセッサーでは、すべてのパフォーマンスイベントカウンターの読み取り操作で、リソースを大量に消費するシステムコールを使用する必要がありました。papi は、64 ビット ARM 用に更新され、パフォーマンスカウンターで自身を監視するプロセスが、パフォーマンスイベントカウンターのより高速なユーザー空間読み取りを使用できるようになりました。/proc/sys/kernel/perf_user_access パラメーターを 1 に設定すると、papi が 2 つのカウンターを読み取るための平均クロックサイクル数が 724 サイクルから 29 サイクルに減少します。

LLVM Toolset がバージョン 16.0.6 にリベース

LLVM Toolset がバージョン 16.0.6 に更新されました。

Rust Toolset がバージョン 1.71.1 にリベース

Rust Toolset がバージョン 1.71.1 に更新されました。主な変更点は、以下のとおりです。

Rust profiler_builtins ランタイムコンポーネントが利用可能になる

この機能拡張により、Rust profile_builtins ランタイムコンポーネントが利用できるようになりました。このランタイムコンポーネントは、次のコンパイラーオプションを有効にします。

Go Toolset がバージョン 1.20.10 にリベース

Go Toolset がバージョン 1.20.10 に更新されました。

grafana がバージョン 9.2.10 にリベース

grafana パッケージがバージョン 9.2.10 に更新されました。主な変更点は、以下のとおりです。

grafana-pcp がバージョン 5.1.1 にリベースされました。

Performance Co-Pilot Grafana プラグインを提供する grafana-pcp パッケージがバージョン 5.1.1 に更新されました。主な変更点は、以下のとおりです。

.NET 8.0 が利用可能になる

Red Hat Enterprise Linux 8.9 には .NET バージョン 8.0 が同梱されています。以下は、主な改善点です。

samba がバージョン 4.18.4 にリベース

samba パッケージはアップストリームバージョン 4.18.4 にアップグレードされ、以前のバージョンに対するバグ修正と拡張機能が提供されています。最も注目すべき変更点:

ipa がバージョン 4.9.12 にリベース

ipa パッケージがバージョン 4.9.12 にアップグレードされました。詳細は、アップストリームの FreeIPA のリリースノート を参照してください。

複数の IdM グループとサービスを単一の Ansible タスクで管理できるようになる

ansible-freeipa のこの機能拡張により、単一の Ansible タスクを使用して、複数の Identity Management (IdM) ユーザーグループとサービスを追加、変更、削除できるようになりました。そのためには、ipagroup モジュールと ipaservice モジュールの groups と services オプションを使用します。

ansible-freeipa ipaserver ロールが Random Serial Numbers をサポートするようになる

この更新により、ansible-freeipa ipaserver ロールで ipaserver_random_serial_numbers=true オプションを使用できるようになりました。このようにして、Ansible を使用して Identity Management (IdM) サーバーをインストールするときに、PKI で証明書とリクエストの完全にランダムなシリアル番号を生成できます。RSNv3 を使用すると、大規模な IdM インストールでの範囲管理を回避し、IdM を再インストールする際の一般的な競合を防ぐことができます。

ipaserver_remove_on_server オプションと ipaserver_ignore_topology_disconnect オプションが、ipaserver ロールで利用できるようになりました。

ipaserver ansible-freeipa ロールの remove_server_from_domain オプションを使用して、Identity Management (IdM) トポロジーからレプリカを削除すると、トポロジーが切断されます。ここで、ドメインの保持したい部分を指定する必要があります。具体的には、次のことを行う必要があります。

ipaclient ロールにより、IdM レベルでユーザーの subID 範囲を設定できるようになる

この更新により、ipaclient ロールには ipaclient_subid オプションが提供され、これを使用して Identity Management (IdM) レベルで subID 範囲を設定できるようになりました。新しいオプションを明示的に true に設定しないと、ipaclient ロールはデフォルトの動作を維持し、IdM ユーザーに設定された subID 範囲なしでクライアントをインストールします。

ipacert Ansible モジュールを使用して IdM 証明書を管理できるようになる

ansible-freeipa ipacert モジュールを使用して、Identity Management (IdM) ユーザー、ホスト、およびサービスの SSL 証明書をリクエストまたは取得できるようになりました。ユーザー、ホスト、およびサービスは、これらの証明書を使用して IdM に対する認証を行うことができます。証明書を取り消したり、保留された証明書を復元したりすることもできます。

MIT Kerberos が拡張 KDC MS-PAC 署名をサポートするようになる

この更新により、Red Hat が使用する MIT Kerberos は、最近の CVE に対応して Microsoft が導入した、2 種類の特権属性証明書 (PAC) 署名のうち 1 種類のサポートを実装します。具体的には、RHEL 8 の MIT Kerberos は、KB5020805 でリリースされ、CVE-2022-37967 に対処する拡張 KDC 署名をサポートします。

RHEL 8.9 は 389-ds-base 1.4.3.37 を提供する

RHEL 8.9 は、389-ds-base パッケージのバージョン 1.4.3.37 とともに配布されます。

新しい passwordAdminSkipInfoUpdate: on/off 設定オプションが利用可能になる

新しい passwordAdminSkipInfoUpdate: on/off 設定を cn=config エントリーに追加すると、パスワード管理者が実行するパスワード更新をきめ細かく制御できます。この設定を有効にすると、パスワードの更新では、passwordHistory、passwordExpirationTime、passwordRetryCount、pwdReset、および passwdExpWarned などの特定の属性は更新されません。

Intel Arc A シリーズグラフィックスが完全にサポートされるようになる

以前はテクノロジープレビューとして利用可能であった Intel Arc A-Series グラフィックス (Alchemist または DG2) 機能が完全にサポートされるようになりました。Intel Arc A-Series グラフィックスは、ハードウェアアクセラレーションを可能にする GPU で、主に PC ゲームで使用されます。

Podman ヘルスチェックアクションが利用可能になる

新しいコンテナーを作成するときに、次の Podman ヘルスチェックアクションのいずれかを選択できます。

Web コンソールのアカウントページの更新

この更新により、以下のように Accounts ページが更新されます。

postgresql RHEL システムロールが利用可能になる

新しい postgresql RHEL システムロールは、PostgreSQL サーバーをインストール、設定、管理、起動します。このロールは、データベースサーバー設定を最適化してパフォーマンスを向上させます。

keylime_server RHEL システムロール

新しい keylime_server RHEL システムロールを使用すると、Ansible Playbook を使用して、RHEL 9 システム上で verifier および registrar Keylime コンポーネントを設定できます。Keylime は、Trusted Platform Module (TPM) テクノロジーを使用するリモートマシン証明ツールです。

新しい ha_cluster システムロール機能のサポート

ha_cluster システムロールは、次の機能をサポートするようになりました。

storage システムのロールは、RAID LVM ボリュームのストライプサイズの設定をサポートする

この更新により、RAID LVM デバイスの作成時に、カスタムストライプサイズを指定できるようになりました。パフォーマンスを向上させるには、SAP HANA のカスタムストライプサイズを使用してください。RAID LVM ボリュームの推奨ストライプサイズは 64 KB です。

podman RHEL システムロールが Quadlets、ヘルスチェック、シークレットをサポートするようになる

Podman 4.6 以降では、podman RHEL システムロールで podman_quadlet_specs 変数を使用できるようになりました。Quadlet は、ユニットファイルを指定するか、インベントリー内で名前、ユニットのタイプ、仕様を指定して定義できます。ユニットのタイプは次のとおりです: container、kube、network、および volume。Quadlet は RHEL 8 上のルートコンテナーでのみ機能することに注意してください。Quadlet は、RHEL 9 上のルートレスコンテナーで動作します。

マウントポイントカスタマイズ用の新しいボリュームオプションが RHEL システムロールに追加される

この更新により、マウントディレクトリーに mount_user、mount_group、および mount_permissions パラメーターを指定できるようになりました。

kdump RHEL システムロールの更新

kdump RHEL システムロールが新しいバージョンに更新され、次の主な機能拡張が行われました。

ad_integration RHEL システムロールが AD ドメインに再参加できるようになる

この更新により、ad_integration RHEL システムロールを使用して Active Directory (AD) ドメインに再参加できるようになりました。これを行うには、ad_integration_force_rejoin 変数を true に設定します。realm_list の出力で、ホストがすでに AD ドメインに存在していることが示されている場合、ホストは再参加する前に既存のドメインから離脱します。

rhc システムロールがプロキシーサーバータイプの設定をサポートするようになる

rhc_proxy パラメーターの下に新しく導入された属性 スキーム により、rhc システムロールを使用してプロキシーサーバータイプを設定できるようになります。デフォルトの http と https の 2 つの値を設定できます。

設定バックアップを無効にする ssh ロールの新しいオプション

新しい ssh_backup オプションを false に設定することで、古い設定ファイルが上書きされる前にバックアップされることを阻止できるようになりました。以前は、バックアップ設定ファイルが自動的に作成されていましたが、これは不要な場合がありました。ssh_backup オプションのデフォルト値は true で、元の動作が保持されます。

certificate RHEL システムロールで、certmonger の使用時に証明書ファイルモードを変更できるようになる

以前は、certmonger プロバイダーを使用して certificate RHEL システムロールによって作成された証明書で、デフォルトのファイルモードが使用されていました。ただし、ユースケースによっては、より制限のあるモードが必要になる場合があります。この更新により、mode パラメーターを使用して別の証明書とキーファイルモードを設定できるようになりました。

systemd ユニットを管理するための新しい RHEL システムロール

rhel-system-role パッケージに systemd RHEL システムロールが含まれるようになりました。このロールを使用して、ユニットファイルをデプロイし、複数のシステム上で systemd ユニットを管理できます。systemd ユニットファイルとテンプレートを提供し、それらのユニットの状態 (開始、停止、マスクなど) を指定することで、systemd の機能を自動化できます。

network RHEL システムロールは、no-aaaa DNS オプションをサポートする

no-aaaa オプションを使用して、マネージドノードで DNS 設定を設定できるようになりました。以前は、getaddrinfo などの NSS ベースのインターフェイスによってトリガーされる AAAA ルックアップを含む、スタブリゾルバーによって生成される AAAA クエリーを抑制するオプションはありませんでした。DNS ルックアップのみが影響を受けていました。この機能拡張により、スタブリゾルバーによって生成された AAAA クエリーを抑制できるようになりました。

network RHEL システムロールは、DNS レコードの自動更新を制御する auto-dns オプションをサポートする

この機能拡張により、定義されたネームサーバーと検索ドメインのサポートが提供されます。DHCP からの dns record など、自動的に設定されたネームサーバーと検索ドメインを無効にしながら、dns および dns_search プロパティーで指定されたネームサーバーと検索ドメインのみを使用できるようになりました。この機能拡張により、auto-dns 設定を変更することで、自動 DNS 記録を自動的に無効にすることができます。

firewall RHEL システムロールが、ipsets に関連する変数をサポートするようになる

firewall RHEL システムロールの今回の更新により、ipsets を定義、変更、削除できるようになりました。また、これらの ipsets をファイアウォールゾーンに追加したり、ファイアウォールゾーンから削除したりすることもできます。あるいは、ファイアウォールのリッチルールを定義するときに、これらの ipsets を使用することもできます。

restorecon -T 0 による selinux システムロールのパフォーマンスの向上

selinux システムロールは、該当するすべてのケースで、restorecon コマンドで -T 0 オプションを使用するようになりました。これにより、ファイル上でデフォルトの SELinux セキュリティーコンテキストを復元するタスクのパフォーマンスが向上します。

firewall RHEL システムロールに競合するサービスを無効にするオプションが追加され、firewalld がマスクされている場合でもロールが失敗しなくなる

以前は、ロールの実行時に firewalld サービスがマスクされていた場合、または競合するサービスが存在した場合に、firewall システムロールは失敗していました。この更新では、次の 2 つの主な機能拡張が提供されます。

podman RHEL システムロールが getsubid を使用して subuid と subgid を取得するようになりました。

podman RHEL システムロールが、getubids コマンドを使用して、ユーザーとグループの subuid と subgid の範囲をそれぞれ取得するようになりました。podman RHEL システムロールは、ユーザーとグループがアイデンティティー管理で動作することを検証するのにも、このコマンドを使用します。

podman_kube_specs 変数が pull_image と continue_if_pull_fails フィールドをサポートするようになりました。

podman_kube_specs 変数が新しいフィールドをサポートするようになりました。

firewall RHEL システムロール設定をリセットしたときに、ダウンタイムが最小限で済むようになる

以前は、previous: replace 変数を使用して firewall ロール設定をリセットすると、firewalld サービスが再起動されました。再起動するとダウンタイムが追加され、firewalld がアクティブな接続からのトラフィックをブロックしないオープン接続の期間が長くなります。この機能拡張により、firewalld サービスは再起動ではなく再ロードすることで、設定のリセットを完了します。リロードによりダウンタイムが最小限に抑えられ、ファイアウォールルールをバイパスする機会が減ります。その結果、以前の: replace 変数を使用して firewall ロール設定をリセットすると、ダウンタイムが最小限で済むようになりました。

cloud-init は、NetworkManager キーファイルをサポートする

この更新により、cloud-init ユーティリティーは NetworkManager (NM) キーファイルを使用して、作成されたクラウドインスタンスのネットワークを設定できるようになりました。

cloud-init が ESXi 上でデフォルトで VMware データソースを使用するようになる

VMware vSphere クラウドプラットフォームなどの VMware ESXi ハイパーバイザーを使用するホスト上に RHEL 仮想マシン (VM) を作成する場合。これにより、cloud-init を使用して RHEL の ESXi インスタンスを作成する際のパフォーマンスと安定性が向上します。ただし、ESXi は Open Virtualization Format (OVF) データソースと引き続き互換性があり、VMware のデータソースが使用できない場合でも OVF データソースを使用できる点に留意してください。

sos がバージョン 4.6 にリベース

設定、診断、およびトラブルシューティングデータを収集するための sos ユーティリティーが、バージョン 4.6 にリベースされました。この更新では、次の機能拡張が提供されます。

Podman は、zstd で圧縮されたイメージのプルとプッシュをサポートする

zstd 形式で圧縮されたイメージをプルおよびプッシュできます。zstd 圧縮は、gzip よりも効率的で高速です。イメージのプルとプッシュに関連するネットワークトラフィックとストレージの量を削減できます。

Podman の Quadlet が利用可能になる

Podman v4.6 以降では、Quadlet を使用して、コンテナーの説明から systemd サービスファイルを自動的に生成できます。Quadlets は、関連するコンテナーの詳細に焦点を当てて説明しており、systemd でコンテナーを実行するという技術的な複雑さを考慮していないため、podman generate systemd コマンドよりも使いやすい可能性があります。なお、Quadlet はルートフルコンテナーでのみ機能します。

Container Tools パッケージが更新される

Podman、Buildah、Skopeo、crun、runc ツールを含む、更新された Container Tools パッケージが利用可能になりました。この更新では、以前のバージョンに対する一連のバグ修正と機能拡張が適用されます。

Podman が Podmansh ログインシェルをサポートするようになる

Podman v4.6 以降、Podmansh ログインシェルを使用して、ユーザーアクセスと制御を管理できるようになりました。CGroups v2 に切り替えるには、systemd.unified_cgroup_hierarchy=1 をカーネルコマンドラインに追加します。標準のシェルコマンド (/usr/bin/bash など) の代わりに、ログインシェルとして /usr/bin/podmansh コマンドを使用するようにユーザーの設定を行います。ユーザーがシステムセットアップにログインすると、podmansh コマンドはユーザーのセッションを podmansh という名前の Podman コンテナー内で実行します。ユーザーがログインするコンテナーは、/etc/containers/systemd/users/ ディレクトリーに作成される Quadlet ファイルを使用して定義されます。これらのファイルで、[Container] セクションの ContainerName フィールドを podmansh に設定します。systemd は、ユーザーセッションの開始時に podmansh を自動的に起動し、すべてのユーザーセッションが終了するまで実行を続けます。

Fulcio および Rekor を使用した sigstore 署名のクライアントが利用可能になる

Fulcio および Rekor サーバーを使用すると、秘密鍵を手動で管理する代わりに、OpenID Connect (OIDC) サーバー認証に基づく短期証明書を使用して署名を作成できるようになりました。以前はテクノロジープレビューとして利用可能であった、Fulcio および Rekor を使用した sigstore 署名のクライアントが、完全にサポートされるようになりました。この追加機能はクライアント側のサポートのみであり、Fulcio サーバーや Rekor サーバーは含まれません。

liveimg の --noverifyssl オプションは、HTTPS を使用してダウンロードされたイメージのサーバーの証明書をチェックしなくなる

以前は、インストーラーは liveimg キックスタートコマンドの --noverifyssl オプションを無視していました。したがって、HTTPS プロトコルを使用してダウンロードされたイメージに対してサーバーの証明書を検証できない場合、インストールプロセスは失敗しました。今回の更新により、この問題は修正され、liveimg キックスタートコマンドの --noverifyssl オプションが期待どおりに機能するようになりました。

NFS ファイルシステムからのブートは、enforcing モードに設定された SELinux で機能するようになる

以前は、NFS をルートファイルシステムとして使用すると、SELinux ラベルがサーバーから転送されず、SELinux が enforcing モードに設定されているときに起動エラーが発生していました。

USB スマートカードリーダーが取り外された場合でも、自動画面ロックが正しく機能するようになりました。

RHEL 8.9 より前では、opensc パッケージが USB スマートカードリーダーの取り外しを誤って処理していました。そのため、スマートカードが取り外されたときに画面をロックするように GNOME ディスプレイマネージャー (GDM) を設定しても、システムがロック解除されたままでした。さらに、USB リーダーを再接続してからスマートカードを取り外した後も、画面がロックされませんでした。このリリースでは、USB スマートカードリーダーの取り外しを処理するコードが修正されました。その結果、スマートカードまたは USB スマートカードリーダーが取り外された場合でも、画面が正しくロックされるようになりました。

SCAP enable_fips_mode ルールが、64 ビット IBM Z アーキテクチャーで fips=1 のみをチェックするようになりました。

以前は、SCAP セキュリティーガイドルールの enable_fips_mode が、/boot/grub2/grubenv ファイルの内容をチェックしていました。したがって、64 ビット IBM Z アーキテクチャーでは、FIPS モードに /boot/grub2/grubenv ファイルが使用されませんでした。今回の更新により、OVAL ルールの enable_fips_mode によって、Linux カーネルの引数 fips=1 が 64 ビット IBM Z アーキテクチャーの /boot/loader/entries/.*.conf ファイルに存在するかどうかテストされるようになりました。

SCAP journald ルールが無効な設定に修正されなくなりました。

以前は、SCAP セキュリティーガイドのルール journald_compress、journald_forward_to_syslog、および journald_storage の修復スクリプトにバグが含まれており、/etc/systemd/journald.conf 設定ファイル内のそれぞれのオプションに余分な引用符が追加されていました。その結果、journald システムサービスは設定オプションの解析に失敗し、それらを無視しました。したがって、設定オプションは効果がなく、OpenSCAP が誤った合格結果を報告していました。この更新により、ルールと修復スクリプトが修正され、余分な引用符が追加されなくなりました。このルールにより、journald の有効な設定が作成されるようになりました。

セキュリティープロファイルを使用してイメージを設定できるようになりました。

マウントポイントオプションを設定する SCAP セキュリティーガイドのルールが再設計され、Image Builder でオペレーティングシステムのイメージをビルドする際のイメージのハードニングにも、ルールを使用できるようになりました。その結果、特定のセキュリティープロファイルに合わせたパーティション設定でイメージをビルドできるようになりました。

AIDE 設定に関連する SSG ルールから厳格な要件を削除しました。

以前は、SCAP セキュリティーガイド (SSG) のルール aide_build_database は、/var/lib/aide/aide.db.new.gz ファイルと /var/lib/aide/aide.db.gz ファイルの両方が存在することを合格の要件としていました。AIDE ユーティリティーに /var/lib/aide/aide.db.new.gz ファイルが不要になったため、この更新により、aide_build_database ルールから対応する要件が削除されました。その結果、ルールの合格要件が /var/lib/aide/aide.db.gz ファイルだけになりました。

pam_faillock に関連する SCAP ルールに不適切な記述が含まれています。

以前は、pam_faillock に関連する SCAP セキュリティーガイドのルールに、一部のプロファイル値と整合性がない記述が含まれていました。したがって、記述は正しくありませんでした。今回の更新により、ルールの記述で XCCDF 変数が使用されるようになりました。

/boot/efi のマウント時に file_permissions_efi_user_cfg SCAP ルールが失敗しなくなりました。

以前は、UEFI ファイルのデフォルトのパーミッションは受け入れられませんでした。したがって、/boot/efi パーティションで Virtual File Allocation Table (VFAT) ファイルシステムが使用されている場合は、chmod コマンドでパーミッションを変更できませんでした。その結果、file_permissions_efi_user_cfg ルールが失敗しました。この更新により、デフォルトのパーミッションが 0600 から 0700 に変更されます。0700 パーミッションは CIS でも受け入れられるため、評価および修復と CIS プロファイルとの整合性が改善しました。

SSG 修復が configure_openssl_cryptopolicy に合わせて調整されました。

以前は、SCAP セキュリティーガイド (SSG) の修復により、opensslcnf.config ファイルに = 文字が追加されていました。この構文は、configure_openssl_cryptopolicy ルールの記述と一致しませんでした。そのため、修復によって opensslcnf.config に .include の代わりに .include = が挿入されると、コンプライアンスチェックが失敗することがありました。このリリースでは、修復スクリプトがルールの記述に合わせて調整され、configure_openssl_cryptopolicy を使用する SSG 修復が追加の = によって失敗することがなくなりました。

postfix_prevent_unrestricted_relay ルールが = 記号の前後の空白を受け入れるようになりました。

以前は、SCAP ルール xccdf_org.ssgproject.content_rule_postfix_prevent_unrestricted_relay の OVAL チェックが厳密すぎたため、= 記号の前後に空白が含まれる postconf 設定割り当てステートメントが考慮されていませんでした。その結果、設定がルールの要件を技術的に満たしていても、このルールは最終レポートで失敗と報告されていました。今回の更新により、= 記号の前後に空白があるステートメントをチェックで受け入れるようにルールが変更されました。その結果、最終レポートのルールで、このルールが正しい設定ステートメントに合格しているとマークされるようになりました。

SCAP ルールが /var/log および /var/log/audit パーティションが存在するかどうかを正しく評価するようになりました。

以前は、/var/log および /var/log/audit パーティションに関連する一部の SCAP ルールが、適切なディスクパーティションが存在しない場合でも評価され、修正されていました。これは次のルールに影響を与えました。

SCAP ルール accounts_passwords_pam_faillock_interval が新しい STIG ID を対象とするようになりました。

以前は、SCAP セキュリティーガイドのルール accounts_passwords_pam_faillock_interval は、 RHEL-08-020012 および RHEL-08-020013 を対象としていませんでした。その結果、ルール accounts_passwords_pam_faillock_interval は、/etc/pam.d/password-auth、/etc/pam.d/system-auth、および /etc/security/faillock.conf ファイルの faillock 設定をチェックしていました。今回の更新により、このルールは STIG ID RHEL-08-020012 および RHEL-08-020013 も対象とするようになりました。

Red Hat CVE フィードが更新される

https://access.redhat.com/security/data/oval/ にある Red Hat Common Vulnerabilities and Exposures (CVE) フィードのバージョン 1 は廃止され、https://access.redhat.com/security/data/oval/v2/ にある CVE フィードのバージョン 2 に置き換えられました。

wget ユーティリティーが、制限されたリソースにアクセスするときに TLS ハンドシェイクに失敗しなくなりました。

以前は、TLS でチケットベースのセッション再開が有効になっている場合、制限されたリソースにアクセスするためにサーバーがクライアントに再認証を要求した場合でも、wget ユーティリティーは TLS セッションが再開されることを予期していました。この動作により、wget は 2 回目の TLS ハンドシェイクに失敗していました。この更新により、wget は新しいハンドシェイクを適切に開始するようになり、制限されたリソースへのアクセスが失敗しなくなりました。

SELinux が有効なシステムで pam_cap の設定が正しく適用されるようになりました。

以前は、SELinux ポリシーには pam_cap モジュールを使用するためのルールが含まれていませんでした。その結果、/etc/security/capability.conf 設定ファイルで pam_cap によって制御されるログイン機能をユーザーに付与しても、ユーザーが ssh またはコンソールを使用してログインした場合、権限の付与が機能しませんでした。この更新により、新しいルールがポリシーに追加されます。その結果、/etc/security/capability.conf での機能の付与が機能するようになり、pam_cap で設定されたユーザー機能がログイン時に考慮されるようになりました。

SELinux が有効なシステムで systemd-fsck-root サービスが正しくラベル付けされるようになりました。

以前は、/run/fsck ディレクトリーは systemd-fsck-root サービスまたは fsck コマンドによって作成されていましたが、SELinux ポリシーにはディレクトリーの適切なラベル付けに関するルールが含まれていませんでした。その結果、systemd-fsck-root サービスが正しく動作しませんでした。この更新により、/run/fsck の正しいラベルとファイル遷移がポリシーに追加されました。その結果、systemd-fsck-root サービスがエラーを報告することなく動作するようになりました。

SELinux ポリシーにより D-Bus での双方向通信が許可されるようになりました。

以前は、SELinux ポリシーに、D-Bus メッセージバスシステム上の 2 つのドメイン間で一方向の通信のみを許可するルールが含まれていました。しかし、このような通信は双方向で許可される必要があります。この問題は、Pacemaker 高可用性クラスターリソースマネージャーが hostnamectl または timedatectl コマンドを実行したときにも発生しました。その結果、Pacemaker がこれらのコマンドを実行すると、SELinux が応答をブロックするため、コマンドが D-Bus 上で応答を受信せずにタイムアウトになりました。SELinux ポリシーのこの更新により、D-Bus での双方向通信が許可されます。その結果、Pacemaker によって実行される、D-Bus での双方向通信を必要とするコマンドが、正常に終了するようになりました。

tangd-keygen がデフォルト以外の umask を正しく処理するようになる

以前は、tangd-keygen スクリプトは、生成されたキーファイルのファイル権限を変更しませんでした。その結果、他のユーザーへのキーの読み取りを防止するデフォルトのユーザーファイル作成モードマスク (umask) が設定されているシステムでは、tang-show-keys コマンドはキーを表示する代わりにエラーメッセージ Internal Error 500 を返していました。今回の更新により、tangd-keygen は、生成されたキーファイルのファイルパーミッションを設定するため、スクリプトはデフォルト以外の umask を使用するシステムで正しく動作するようになりました。

Clevis が SHA-256 サムプリントを処理できるようになりました。

この更新の前は、Clevis クライアントは thp 設定オプションで指定された SHA-256 サムプリントを認識しませんでした。その結果、クライアントは SHA-256 サムプリントを使用する Tang サーバーにバインドされず、対応するすべての clevis encrypt tang コマンドでエラーが報告されました。今回の更新により、Clevis が SHA-256 を使用してサムプリントを認識し、それらを正しく処理できるようになりました。その結果、Clevis クライアントは、SHA-1 だけでなく SHA-256 サムプリントを使用して Tang サーバーにバインドできるようになりました。

Rsyslog は capabilities がなくても起動可能

Rsyslog が通常のユーザーとして実行される場合、またはコンテナー化された環境で実行される場合、rsyslog プロセスには capabilities がありません。その結果、Rsyslog は capabilities をドロップできず、起動時に終了しました。今回の更新により、プロセスは、capabilities がない場合に capabilities をドロップしようとしなくなりました。その結果、Rsyslog は capabilities がない場合でも起動できます。

fapolicyd サービスが、信頼されたデータベースから削除されたプログラムを実行しなくなる

以前は、fapolicyd サービスは、プログラムが信頼されたデータベースから削除された後でも、プログラムを信頼できるものとして誤って処理していました。その結果、fapolicyd-cli --update コマンドを入力しても効果はなく、プログラムは削除された後でも実行される可能性がありました。この更新により、fapolicyd-cli --update コマンドによって信頼されたプログラムデータベースが正しく更新され、削除されたプログラムは実行できなくなりました。

fapolicyd サービスが正しい所有権を持つ RPM データベースファイルを作成するようになりました。

以前は、fapolicyd サービスは /var/lib/rpm/ ディレクトリーに RPM データベースファイルを作成して所有していました。その結果、他のプログラムがファイルにアクセスできなくなり、可用性制御エラーが発生していました。この更新により、fapolicyd が正しい所有権を持つファイルを作成するようになり、エラーが発生しなくなりました。

yum needs-restarting -s コマンドで systemd サービスのリストが正しく表示されるようになる

以前は、needs-restarting コマンドを -s または --services オプションとともに使用すると、systemd 以外のプロセスまたは誤動作しているプロセスが検出されたときにエラーが発生していました。今回の更新により、yum needs-restarting -s コマンドはそのようなプロセスを無視し、代わりに影響を受ける systemd サービスのリストとともに警告を表示します。

dnf-automatic コマンドがトランザクションの終了ステータスを正しく報告するようになる

以前は、dnf-automatic コマンドは、トランザクション中の一部のアクションが正常に完了しなかった場合でも、トランザクションの成功終了コードを返しました。これにより、エラータの自動デプロイメントに dnf-automatic を使用するマシンでセキュリティーリスクが発生する可能性があります。今回の更新により、この問題は修正され、dnf-automatic は、トランザクション中にパッケージに関するすべての問題を報告するようになりました。

YUM は proxy=_none_ を正しく処理するようになりました

YUM proxy=_none_ 設定オプションを使用すると、プロキシー設定の変更を禁止できます。以前は、メイン設定ファイルで proxy=_none_ を設定すると、YUM によってエラーが検出されました。この更新によりバグが修正され、YUM が proxy=_none_ を正しく処理できるようになりました。

dbus が所有するファイルが zlib によって更新された場合に、needs-restarting プラグインがシステムの再起動を正しく要求するようになりました。

以前は、YUM needs-restarting プラグインを実行すると、dbus パッケージが所有するファイルが、依存する zlib パッケージによって更新されたときに、システムの再起動を求めるプロンプトが表示されませんでした。今回の更新により、この問題が修正され、zlib の更新時に dbus を再起動する必要があるという内容のメッセージを needs-restarting プラグインが表示するようになりました。

which コマンドが長いパスでも失敗しなくなる

以前は、パスが 256 文字を超えるディレクトリーで which コマンドを実行すると、Can’t get current working directory というエラーメッセージが表示されてコマンドが失敗していました。この修正により、which コマンドはパスの長さの制限として PATH_MAX 値を使用するようになりました。その結果、コマンドは失敗しなくなりました。

ReaR は OUTPUT=USB で UEFI セキュアブートをサポートするようになる

以前は、ブータブルディスクドライブにレスキューイメージを保存する OUTPUT=USB ReaR 出力メソッドは、SECURE_BOOT_BOOTLOADER 設定を尊重しませんでした。その結果、UEFI セキュアブートが有効になっているシステムでは、ブートローダーが署名されていないため、レスキューイメージを含むディスクは起動しませんでした。

SEL 要求がタイムアウトしたときに、ipmievd が SEL 応答を正しく認識するようになりました。

ipmievd サービスは、/dev/ipmi0 デバイス経由でシステムイベントログ (SEL) 要求を送信します。以前は、返された IPMI メッセージの ID チェックが欠落していたため、要求がタイムアウトすると、次の応答が正しく処理されませんでした。たとえば、ベースボード管理コントローラー (BMC) がリセットされた場合、ipmievd サービスからの SEL 要求が、SEL 応答がないためにタイムアウトになりました。そのため、対応しない SEL 応答により、ipmievd が正しく動作しませんでした。その結果、正しいハードウェア状態が取得されず、大量の誤ったハードウェア情報が /var/log/messages に出力されました。この修正により、ipmitool と ipmievd が、返された IPMI メッセージの ID を要求の ID と照合してチェックし、対応しない SEL 要求をスキップするようになりました。ipmevd が誤ったハードウェア情報をログに記録しなくなりました。

Intel Corporation I350 Gigabit Fiber Network Connection は、カーネル更新後にリンクを提供するようになる

以前は、External Thermal Sensor (ETS) のない Small Formfactor Pluggable (SFP) トランシーバーモジュールを使用したハードウェア設定により、igb ドライバーが ETS を読み取るために Inter-Integrated Circuit (I2C) を誤って初期化していました。その結果、接続はリンクを取得できませんでした。このバグ修正により、igb ドライバーは、ETS を備えた SFP が使用可能な場合にのみ I2C を初期化します。その結果、接続はリンクを取得します。

grubby は引数を新しいカーネルに正しく渡すようになりました。

grubby ツールを使用して新しいカーネルを追加し、引数を指定しないか、引数を空白のままにすると、grubby は新しいカーネルに引数を渡さず、root は設定されません。--args および --copy-default オプションを使用すると、新しい引数がデフォルトの引数に追加されます。

multipathd が永続予約登録キーをすべてのパスに追加する

以前は、multipathd デーモンが起動して、既存のマルチパスデバイスの 1 つのパス上の永続予約登録キーを認識したとき、そのデバイスのすべてのパスに登録キーがあるわけではありませんでした。その結果、multipathd が停止している間に永続予約を持つマルチパスデバイスに新しいパスが現れた場合、それらのパスには永続予約はセットアップされませんでした。これにより、予約キーによって禁止されているはずのパス上での IO 処理が可能になりました。

OS のインストール中に LUN が表示されるようになる

以前は、特に iSCSI iBFT (Boot Firmware Table) に保存されている CHAP (Challenge-Handshake Authentication Protocol) 認証による iSCSI ハードウェアオフロードが関係する場合、システムはファームウェアソースからの認証情報を使用していませんでした。その結果、インストール中に iSCSI ログインが失敗しました。

保留中のアクションがすべて完了するまで、Pacemaker Designated Controller の選出が確定しなくなりました。

クラスターが新しい Designated Controller (DC) を選出すると、すべてのノードが現在の履歴を新しい DC に送信し、CIB に保存します。その結果、新しい DC が選出されたときにアクションがすでに進行中で、ノードが現在の履歴を新しい DC に送信した後にアクションが終了した場合、アクションの結果が失われる可能性がありました。この修正により、保留中のアクションがすべて完了し、アクションの結果が失われることがなくなるまで、DC の選出が確定しなくなりました。

fence_scsi エージェントが共有 lvmlockd デバイスを自動検出できるようになる

以前は、fence_scsi エージェントは共有 lvmlockd デバイスを自動検出しませんでした。今回の更新により、fence_scsi は、devices 属性が設定されていない場合に、lvmlockd デバイスを自動検出できるようになりました。

リソースのスティッキネスがコロケーションスコアと適切に比較されるようになりました。

チェーンリソースコロケーションは、割り当て中のリソースと同じ場所にあるリソースです。以前は、元のコロケーションに有限の負のスコアがあり、チェーンコロケーションが必須の場合、resource-stickiness が INFINITY に設定されている場合でも、割り当て中の元のリソースがそのノードから禁止される可能性がありました。この修正により、チェーンコロケーションが比例的に考慮されるようになり、スティッキネスがコロケーションスコアと適切に比較されるようになりました。

crm_resource コマンドで、アクティブなレプリカが 1 つだけあるバンドルを禁止または移動できるようになりました。

以前は、crm_resource コマンドが、単一のレプリカを持つバンドルがアクティブな場所をチェックするときに、アクティブなコンテナーを持つノードと、コンテナー自体に対して作成されたゲストノードの両方をカウントしていました。その結果、crm_resource コマンドは、単一のアクティブなレプリカを持つバンドルの禁止や移動を行いませんでした。この修正により、crm_resource コマンドは、アクティブなレプリカの数を決定するときに、バンドルのコンテナーがアクティブなノードのみをカウントするようになりました。

mysql リソースエージェントがプロモート可能なクローンリソースで正しく動作するようになる

以前は、プロモートされた値とプロモートされていない値の間でプロモーションスコアが変化するため、mysql リソースエージェントは Master ロールで動作しているクローンリソースをノード間で移動していました。この修正により、昇格されたノードは昇格されたままになります。

プロモートされていないクローンインスタンスが不必要に再起動されなくなりました。

以前は、プロモート可能なクローンインスタンスは、プロモートされたインスタンスが最初となる番号順に割り当てられていました。その結果、プロモートされたクローンインスタンスを起動する必要がある場合、インスタンス番号が変更されたため、プロモートされていないインスタンスが予期せず再起動する場合がありました。この修正により、ノードにインスタンス番号を割り当てるときにロールが考慮されるようになり、その結果、不要な再起動が発生しなくなります。

2 番目のフェンシングデバイスとして設定されたフェンス watchdog は、最初のデバイスがタイムアウトになったときにノードをフェンスするようになる

以前は、watchdog フェンシングデバイスがフェンシングトポロジーの 2 番目のデバイスとして設定されている場合、フェンシング操作のタイムアウトを計算するときに watchdog タイムアウトは考慮されませんでした。その結果、最初のデバイスがタイムアウトすると、watchdog がノードをフェンスしても、フェンシング操作はタイムアウトになります。この修正により、watchdog タイムアウトがフェンシング操作のタイムアウトに含まれ、最初のデバイスがタイムアウトになった場合にフェンシング操作は成功します。

リストがノードごとにグループ化されている場合、ルールを含む場所の制約が表示されなくなる

ルールを含むロケーション制約にはノードを割り当てることができません。以前は、ノードごとにリストをグループ化すると、ルールを含む場所の制約が空のノードの下に表示されていました。この修正により、ルールのある場所の制約は表示されなくなり、ルールのある制約が表示されないことを示す警告が表示されます。

マルチパス SCSI デバイスを更新する pcs コマンドが正しく動作するようになる

Pacemaker CIB ファイルの変更により、pcs stonith update-scsi-devices コマンドが設計どおりに動作しなくなり、一部のクラスターリソースが望ましくない再起動を引き起こしました。この修正により、このコマンドは正しく機能し、同じノード上で実行されている他のクラスターリソースを再起動することなく SCSI デバイスを更新できるようになりました。

pscd Web UI が開いているときに pcsd-ruby デーモンのメモリーフットプリントが削減されるようになる

以前は、pcsd Web UI が開いていると、pcsd-ruby デーモンのメモリー使用量が数時間にわたって着実に増加していました。この修正により、pcsd-ruby デーモンで実行される Web サーバーが定期的にグレースフルリスタートを実行するようになりました。これにより、割り当てられたメモリーが解放され、メモリーフットプリントが削減されます。

azure-events-az リソースエージェントが Pacemaker 2.1 以降でエラーを生成しなくなる

azure-events-az リソースエージェントは crm_simulate -Ls コマンドを実行し、出力を解析します。Pacemaker 2.1 以降では、crm_simulate コマンドの出力に Transition Summary: というテキストが含まれなくなり、エラーが発生しました。この修正により、このテキストが欠落している場合でもエージェントはエラーを生成しなくなりました。

guru モードを使用した systemtap スクリプトがより速くコンパイルされるようになりました。

systemtap の guru モードの liveness 分析では、dyninst ライブラリーを使用してバイナリーを解析します。新しいカーネルは、CONFIG_RETPOLINE=y を使用して軽減コードを有効にし、従来の RET 命令をサンクへのジャンプで置き換えます。その結果、サンクへのジャンプによって導入された制御フローグラフの追加のエッジを liveness 分析ですべて検査する必要があるため、バイナリー解析にはるかに長い時間がかかりました。

eu-addr2line -C が他の引数を正しく認識するようになる

以前は、elfutils の eu-addr2line コマンドで -C 引数を使用すると、次の 1 文字の引数が消えていました。その結果、eu-addr2line -Ci コマンドは eu-addr2line -C と同じように動作し、eu-addr2line -iC は期待どおりに動作しました。このバグは修正され、eu-addr2line -Ci は 両方の引数を認識するようになりました。

eu-addr2line -i は、GCC リンクタイム最適化でコンパイルされたコードを正しく処理するようになる

以前は、elfutils に含まれる libdw ライブラリーの dwarf_getscopes 関数は、GCC リンクタイム最適化でコンパイルされた関数の抽象オリジン定義を見つけることができませんでした。したがって、eu-addr2line コマンドで -i 引数を使用すると、eu-addr2line は gcc -flto でコンパイルされたコードのインライン関数を表示できませんでした。今回の更新により、libdw dwarf_getscopes 関数はインライン化スコープの正しいコンパイル単位を検索し、eu-addr2line -i は 期待どおりに動作するようになりました。

SSSD が GPO ベースのアクセス制御を評価するときに sAMAccountName を使用するようになる

以前は、AD クライアントで ldap_user_name が sAMAccountName 以外の値に設定されている場合、GPO ベースのアクセス制御が失敗しました。今回の更新により、SSSD が GPO ベースのアクセス制御を評価するときに常に sAMAccountName を使用するようになりました。ldap_user_name が AD クライアントの sAMAccountName とは異なる値に設定されている場合でも、GPO ベースのアクセス制御が正しく機能するようになりました。

SSSD は、ユーザーを取得するときに user_attributes オプションで重複した属性を処理するようになる

以前は、sssd.conf が user_attributes オプションに重複した属性を含んでいた場合、SSSD はこれらの重複を正しく処理しませんでした。その結果、それらの属性を持つユーザーを取得できませんでした。この更新により、SSSD は重複を正しく処理できるようになりました。その結果、重複した属性を持つユーザーを取得できるようになりました。

セキュリティーパラメーターの変更が正しく機能するようになる

以前は、dsconf instance_name security set コマンドを使用してセキュリティーパラメーターを変更すると、次のエラーが発生して操作が失敗していました。

Directory Server が、開いている記述子の最大数に基づいて dtablesize を計算するようになりました。

以前は、管理者は nsslapd-conntablesize 設定パラメーターを使用して、接続テーブルのサイズを手動で設定できました。そのため、接続テーブルのサイズ設定が小さすぎると、サーバーがサポートできる接続数に影響が及んでいました。今回の更新により、Directory Server が接続テーブルのサイズを動的に計算するようになり、接続テーブルのサイズが小さすぎる問題を効果的に解決できるようになりました。さらに、接続テーブルのサイズを手動で変更する必要がなくなりました。

dsctl healthcheck コマンドがデフォルトでパスワード保存スキーム PBKDF2-SHA512 を使用するようになりました。

以前は、dsctl healthcheck コマンドはデフォルトで SSHA512 パスワード保存スキームを使用していました。その結果、新しいパスワード保存スキーム PBKDF2-SHA512 が検出されなかったため、このコマンドは警告を報告していました。今回の更新により、dsctl healthcheck コマンドがデフォルトで PBKDF2-SHA512 パスワード保存スキームを使用するようになり、警告が発生しなくなりました。

通常のユーザーによるページ検索はパフォーマンスに影響を与えなくなる

以前は、Directory Server に検索負荷がかかっている場合、ロックがネットワークイベントをポーリングするスレッドと競合するため、通常のユーザーからのページ検索がサーバーのパフォーマンスに影響を与える可能性がありました。さらに、ページ検索の送信中にネットワークの問題が発生した場合、nsslapd-iotimeout パラメーターの期限が切れるまでサーバー全体が応答しなくなっていました。今回の更新では、ネットワークイベントとの競合を避けるために、ロックがいくつかの部分に分割されました。その結果、一般ユーザーからのページ検索中のパフォーマンスへの影響はありません。

Directory Server で暗号を期待どおりに有効または無効にできるようになりました。

以前は、Web コンソールを使用してデフォルトの暗号に加えて特定の暗号を有効または無効にしようとすると、サーバーが特定の暗号のみを有効または無効にし、次のようなエラーをログに記録していました。

IdM admin ユーザーの削除が許可されなくなる

以前は、admin グループのメンバーであれば、Identity Management (IdM) の admin ユーザーを削除できました。admin ユーザーが存在しないと、IdM と Active Directory (AD) の間の信頼が正しく機能しません。この更新により、admin ユーザーを削除できなくなりました。結果として、IdM-AD 信頼は正しく機能します。

IdM クライアントは、信頼できる AD ユーザーの名前に大文字と小文字が混在している場合でも、当該 AD ユーザーの情報を適切に取得する

以前は、ユーザーの検索または認証を試行した際に、その信頼できる Active Directory (AD) ユーザーの名前に大文字と小文字が混在しており、かつ IdM でオーバーライドが設定されていた場合、エラーが返され、ユーザーは IdM リソースにアクセスできませんでした。

ASPEED 2600 を搭載したサーバーでインストーラーがフリーズしなくなりました。

以前は、ASPEED 2600 On System Management チップセットを搭載したサーバーでグラフィカル RHEL 8.8 インストーラーを起動すると、ブラックスクリーンが表示されて応答しなくなりました。そのため、サーバーに RHEL 8.8 をインストールできませんでした。

Web コンソールの NBDE バインディング手順が、ルートファイルシステムを持つボリュームグループで機能するようになる

RHEL 8.8 では、ユーザーがルートファイルシステムに Tang キーを追加したかどうかを判断するコードのバグが原因で、LUKS コンテナー上にファイルシステムがまったく存在しない場合、Web コンソールのバインドプロセスがクラッシュしました。Verify key ダイアログの Trust key ボタンをクリックした後、Web コンソールにエラーメッセージ TypeError: Qe(…​) is undefined が表示されたため、説明されているシナリオのコマンドラインインターフェイスで必要な手順をすべて実行する必要がありました。

VNC コンソールがほとんどの解像度で機能するようになる

以前は、特定のディスプレイ解像度で Virtual Network Computing (VNC) コンソールを使用すると、マウスオフセットの問題が発生したり、インターフェイスの一部しか表示されなかったりしました。そのため、VNC コンソールを使用することはできませんでした。

storage ロールが、アンマウントせずにマウントされたファイルシステムのサイズを変更できるようになる

以前は、ファイルシステムがオンラインサイズ変更をサポートしていても、storage ロールはマウントされたデバイスのサイズを変更できませんでした。その結果、storage ロールはサイズ変更の前にすべてのファイルシステムをアンマウントしましたが、実行中のシステムの / ディレクトリーのサイズ変更中など、使用中のファイルシステムでは失敗しました。

certificate RHEL システムロールが、新しい証明書要求を実行するかどうかを決定するときに証明書のキーサイズをチェックするようになる

以前は、certificate RHEL システムロールは、新しい証明書を要求するかどうかを評価するときに、証明書のキーサイズをチェックしませんでした。その結果、同ロールは、新しい証明書要求を発行すべき場合に、発行しないことがありました。この更新により、certificate は key_size パラメーターをチェックして、新しい証明書要求を実行する必要があるかどうかを判断するようになりました。

rhc ロールを使用して作成された Insights タグが正しく適用されるようになる

以前は、rhc ロールを使用して Insights タグを作成した場合、タグは正しいファイルに保存されませんでした。そのため、タグは Insights に送信されず、その結果、タグは Insights インベントリー内のシステムに適用されませんでした。

RHEL 7 の firewall RHEL システムロールが存在しない Python パッケージのインストールを試行しなくなる

以前は、RHEL 7 の firewall ロールが別のロールから呼び出され、そのロールが python3 を使用していた場合、firewall ロールはそのバージョンの Python の python3-firewall ライブラリーをインストールしようとしていました。ただし、そのライブラリーは RHEL 7 では利用できません。そのため、python3-firewall ライブラリーが見つからず、次のエラーメッセージが表示されていました。

作成前にメンバーディスクからデータを削除できなかった問題が解消される

以前は、RAID ボリュームを作成するときに、システムは RAID ボリュームを形成する前にメンバーディスクから既存のデータを効果的に削除しませんでした。この更新により、RAID ボリュームは必要に応じてメンバーディスクから既存のデータを削除します。

podman_registries_conf 変数で unqualified-search-registries フィールドが正しく設定されるようになる

以前は、podman_registries_conf 変数を設定した後、podman RHEL システムロールが失敗していました。その結果、unqualified-search-registries = ["registry.access.redhat.com"] 設定は、/etc/containers/registries.conf.d/50-systemroles.conf ファイルに生成されませんでした。今回の更新で、この問題が修正されています。

raid_chunk_size パラメーターがエラーメッセージを返さなくなる

以前は、raid_chunk_size 属性は、RAID プールおよびボリュームに対して許可されていませんでした。この更新により、制限を受けることなく RAID プールおよびボリュームの raid_chunk_size 属性を設定できるようになりました。

存在しないサービスを使用して firewall RHEL システムロールをチェックモードで実行しても失敗しなくなる

以前は、存在しないサービスを使用してチェックモードで firewall ロールを実行すると失敗していました。この修正により、チェックモードの Ansible ベストプラクティスへの準拠性が向上しました。その結果、存在しないサービスが有効または無効でも、チェックモードのロールは失敗しなくなりました。代わりに、サービスが以前の Playbook で定義されていることを確認する警告が表示されます。

kdump ロールが authorized_keys をべき等性を持たせて追加する

以前は、authorized_key を追加するタスクは毎回余分な改行文字を追加していました。そのため、ロールはべき等性を持ちませんでした。この修正により、新しい authorized_key の追加は正しく機能し、単一のキー値のみをべき等性を持たせて追加します。

authorized_keys がない場合も、kdump システムロールが失敗しなくなりました。

以前は、kdump_ssh_user 変数で定義されたユーザーが home ディレクトリー内の .ssh ディレクトリーまたは空の .ssh/authorized_keys ファイルにアクセスできない場合、kdump システムロールは SSH 認可キーを追加できませんでした。この修正により、kdump システムロールは認可されたキーを SSH 設定に正しく追加するようになりました。その結果、キーベースの認証は、説明したシナリオで確実に機能します。

firewall RHEL システムロールが、チェックモードで previous: replaced を使用するときに変更を正しく報告するようになる

以前は、previous: replaced ロールは、チェックモードで previous: replaced パラメーターを使用するときに、ファイルの変更についてチェックしていませんでした。その結果、ロールでは未定義の変数に関するエラーが発生しました。この修正により、previous: replaced パラメーターによるファイルの変更を評価する新しいチェック変数がチェックモードに追加されました。firewalld.conf ファイルのチェックでは、rpm データベースを評価して、ファイルがパッケージに同梱されているバージョンから変更されているか判断します。その結果、firewall ロールは、previous: replaced パラメーターを使用する場合、変更を正しく報告するようになりました。

システムロールに対して kdump を有効にするには、RHEL 9 以降のバージョンで failure_action 設定パラメーターを使用する必要があります。

以前は、kdump 設定中に default オプションを使用すると成功せず、以下の警告がログに出力されていました。

firewall RHEL システムロールが、Network Manager インターフェイスにゾーンを割り当てるときに変更を正しく報告するようになる

以前は、Network Manager インターフェイス割り当ては、変更が存在しない場合でも変更を報告していました。この修正により、library/firewall_lib.py ファイル内の try_set_zone_of_interface モジュールは、インターフェイスのゾーンが変更されたかどうかを示す 2 番目の値を返します。その結果、Network Manager によって処理されるインターフェイスにゾーンを割り当てるときに、モジュールは変更を正しく報告するようになりました。

kdump ロールにより、kdump_ssh_server 認証の .ssh/authorized_keys が正常に更新されます。

以前は、kdump ロールが .ssh ディレクトリーにアクセスして、kdump_ssh_server にログインするためのユーザーを安全に認証できませんでした。その結果、kdump ロールは、kdump_ssh_server が失敗したことを確認するための .ssh/authorized_keys ファイルと SSH メカニズムを更新しませんでした。今回の更新でこの問題が修正されています。これにより、kdump_ssh_server の kdump_ssh_user 認証が確実に機能します。

firewall システムロールの previous: replaced パラメーターが、以前の設定を削除せずにオーバーライドするようになる

以前は、変数リストに previous: replaced パラメーターを追加すると、firewall システムロールは既存のユーザー定義設定をすべて削除し、firewalld をデフォルト設定にリセットしていました。この修正では、EL7 リリースで導入された firewalld のフォールバック設定を使用して、以前の設定を保持します。その結果、変数リストで previous: replaced パラメーターを使用すると、firewall.conf 設定ファイルはリセット時に削除されませんが、ファイルとファイル内のコメントが保持されます。

kdump ロールは、複数のキーを authorized_keys にべき等性を持たせて追加する

以前は、authorized_keys ファイルに複数の SSH キーを同時に追加すると、あるホストのキー値が別のホストに置き換えられていました。この更新では、lineinfile モジュールを使用して authorized_keys ファイルを管理することで問題が修正されます。lineinfile はタスクを順番に繰り返し処理し、既存のキーをチェックし、1 つのホストで一度に新しいキーを 1 つのアトミック操作で書き込みます。その結果、複数のホストに SSH キーを追加すると正しく機能し、別のホストのキーの値を置き換えません。

仮想マシンへの Watchdog カードのホットプラグが失敗しなくなる

以前は、使用可能な PCI スロットがない場合、実行中の仮想マシン (VM) に Watchdog カードを追加すると、以下のエラーが発生し、失敗していました。

TuneD 用のソケット API がテクノロジープレビューとして利用可能になる

UNIX ドメインソケットを通じて TuneD を制御するためのソケット API がテクノロジープレビューとして利用可能になりました。ソケット API は D-Bus API と 1 対 1 でマッピングされ、D-Bus が利用できない場合に代替通信方法を提供します。ソケット API を使用すると、TuneD デーモンを制御してパフォーマンスを最適化したり、さまざまなチューニングパラメーターの値を変更したりできます。ソケット API はデフォルトでは無効になっていますが、tuned-main.conf ファイルで有効にできます。

AF_XDP がテクノロジープレビューとして利用可能に

AF_XDP (Address Family eXpress Data Path) ソケットは、高性能パケット処理用に設計されています。さらに処理するために、XDP を取り入れ、プログラムにより選択されたパケットの効率的なリダイレクトをユーザー空間アプリケーションに付与します。

テクノロジープレビューとして利用できる XDP 機能

Red Hat は、以下の eXpress Data Path (XDP) 機能をサポート対象外のテクノロジープレビューとして提供します。

TC のマルチプロトコルラベルスイッチがテクノロジープレビューとして利用可能に

Multi-protocol Label Switching (MPLS) は、エンタープライズネットワーク全体でトラフィックフローをルーティングするカーネル内データ転送メカニズムです。MPLS ネットワークでは、パケットを受信するルーターは、パケットに割り当てられたラベルに基づいて、パケットの追加のルートを決定します。ラベルを使用すると、MPLS ネットワークは特定の特性を持つパケットを処理する機能があります。たとえば、特定ポートから受信したパケットの管理や、特定のタイプのトラフィックを一貫した方法で伝送する tc filters を追加できます。

act_mpls モジュールがテクノロジープレビューとして利用可能になりました。

act_mpls モジュールが、テクノロジープレビューとして kernel-modules-extra rpm で利用可能になりました。モジュールを使用すると、トラフィック制御 (TC) フィルターを使用した Multiprotocol Label Switching (MPLS) アクション (TC フィルターを使用した MPLS ラベルスタックエントリーの push や pop など) の適用が可能になります。また、このモジュールでは、Label、Traffic Class、Botem of Stack、および Time to Live フィールドを独立して設定できます。

systemd-resolved サービスがテクノロジープレビューとして利用できるようになりました。

systemd-resolved サービスは、ローカルアプリケーションに名前解決を提供します。このサービスは、DNS スタブリゾルバー、LLMNR (Link-Local Multicast Name Resolution)、およびマルチキャスト DNS リゾルバーとレスポンダーのキャッシュと検証を実装します。

テクノロジープレビューとして利用できる Soft-RoCE

Remote Direct Memory Access (RDMA) over Converged Ethernet (RoCE) は、RDMA over Ethernet を実装するネットワークプロトコルです。Soft-RoCE は、RoCE v1 および RoCE v2 の 2 つのプロトコルバージョンを維持する RoCE のソフトウェア実装です。Soft-RoCE ドライバーの rdma_rxe は、RHEL 8 ではサポートされていないテクノロジープレビューとして利用できます。

eBPF がテクノロジープレビューとして利用可能になりました。

eBPF (extended Berkeley Packet Filter) は、限られた一連の関数にアクセスできる制限付きサンドボックス環境において、カーネル領域でのコード実行を可能にするカーネル内の仮想マシンです。

kexec fast reboot 機能は、テクノロジープレビューとしてご利用いただけます。

kexec fast reboot 機能は、引き続きテクノロジープレビューとして利用できます。kexec 高速リブートでは、最初に基本入出力システム (BIOS) やファームウェアを経由せずに 2 番目のカーネルを直接ブートできるため、ブートプロセスが大幅に高速化されます。この機能を使用するには、以下を実行します。

カーネルの Intel データストリーミングタブレットドライバーがテクノロジープレビューとして利用可能になる

カーネルの Intel データストリーミングアクセラレータードライバー (IDXD) は、現在テクノロジープレビューとして利用できます。これは Intel CPU 統合アクセラレーターで、プロセスアドレス空間 ID (pasid) の送信および共有仮想メモリー (SVM) の共有ワークキューが含まれますます。

accel-config パッケージがテクノロジープレビューとして利用可能になりました。

accel-config パッケージが、テクノロジープレビューとして、Intel EM64T および AMD64 アーキテクチャーで利用可能になりました。このパッケージは、Linux カーネルでデータストリーミング (DSA) サブシステムを制御し、設定するのに役立ちます。また、sysfs (pseudo-filesystem) を介してデバイスを設定し、設定を json 形式で保存および読み込みます。

SGX がテクノロジープレビューとして利用可能

Software Guard Extensions (SGX) は、ソフトウェアコードおよび公開および修正からのデータを保護する Intel® テクノロジーです。RHEL カーネルは、SGX v1 および v1.5 の機能を部分的に提供します。バージョン 1 では、Flexible Launch Control メカニズムを使用するプラットフォームで SGX テクノロジーを使用できるようになります。バージョン 2 では、Enclave Dynamic Memory Management (EDMM) が追加されています。主な変更には以下のものがあります。

ファイルシステム DAX が、テクノロジープレビューとして ext4 および XFS で利用可能に

Red Hat Enterprise Linux 8 では、ファイルシステムの DAX がテクノロジープレビューとして利用できます。DAX は、永続メモリーをそのアドレス空間に直接マッピングする手段をアプリケーションに提供します。DAX を使用するには、システムで利用可能な永続メモリーの形式が必要になります。通常は、NVDIMM (Non-Volatile Dual In-line Memory Module) の形式で、DAX 機能を提供するファイルシステムを NVDIMM に作成する必要があります。また、ファイルシステムは dax マウントオプションでマウントする必要があります。これにより、dax をマウントしたファイルシステムのファイルの mmap が、アプリケーションのアドレス空間にストレージを直接マッピングされます。

OverlayFS

OverlayFS は、ユニオンファイルシステムのタイプです。これにより、あるファイルシステムを別のファイルシステムに重ねることができます。変更は上位のファイルシステムに記録され、下位のファイルシステムは変更しません。これにより、ベースイメージが読み取り専用メディアにあるコンテナーや DVD-ROM などのファイルシステムイメージを、複数のユーザーが共有できるようになります。

Straits がテクノロジープレビューとして利用可能になりました。

Stratis は、追加機能を備えたストレージプール上に管理されたファイルシステムを提供する、新しいローカルストレージマネージャーです。これはテクノロジープレビューとして提供されます。

NVMe/TCP ホストはテクノロジープレビューとして利用可能です

TCP/IP ネットワーク (NVMe/TCP) および対応する nvme-tcp.ko カーネルモジュールへのアクセスおよび共有がテクノロジープレビューとして追加されました。ホストとしての NVMe/TCP の使用は、nvme-cli パッケージによって提供されるツールを使用して管理できます。NVMe/TCP ホストテクノロジープレビュー機能はテスト目的としてのみ同梱されており、現時点ではフルサポートの予定はありません。

テクノロジープレビューとして、IdM ドメインメンバーで Samba サーバーを設定できるようになりました。

今回の更新で、Identity Management (IdM) ドメインメンバーに Samba サーバーを設定できるようになりました。同じ名前パッケージに含まれる新しい ipa-client-samba ユーティリティーは、Samba 固有の Kerberos サービスプリンシパルを IdM に追加し、IdM クライアントを準備します。たとえば、ユーティリティーは、sss ID マッピングバックエンドの ID マッピング設定で /etc/samba/smb.conf を作成します。その結果、管理者が IdM ドメインメンバーに Samba を設定できるようになりました。

Pacemaker の podman バンドルがテクノロジープレビューとして利用可能になりました。

Pacemaker コンテナーバンドルは、テクノロジープレビューとして利用できるコンテナーバンドル機能を使用して、Podman で動作するようになりました。この機能はテクノロジープレビューとして利用できますが、例外が 1 つあります。Red Hat は、Red Hat OpenStack 用の Pacemaker バンドルの使用に完全対応します。

テクノロジープレビューとして利用可能な corosync-qdevice のヒューリスティック

ヒューリスティックは、起動、クラスターメンバーシップの変更、corosync-qnetd への正常な接続でローカルに実行され、任意で定期的に実行される一連のコマンドです。すべてのコマンドが時間どおりに正常に終了すると (返されるエラーコードがゼロである場合)、ヒューリスティックは渡されますが、それ以外の場合は失敗します。ヒューリスティックの結果は corosync-qnetd に送信され、クオーラムとなるべきパーティションを判断するための計算に使用されます。

新しい fence-agents-heuristics-ping フェンスエージェント

Pacemaker は、テクノロジープレビューとして fence_heuristics_ping エージェントを提供するようになりました。このエージェントの目的は、実際にはフェンシングを行わず、フェンシングレベルの動作を新しい方法で活用する実験的なフェンスエージェントのクラスを開くことです。

Identity Management JSON-RPC API がテクノロジープレビューとして利用可能になりました。

Identity Management (IdM) では API が利用できます。API を表示するために、IdM は、テクノロジープレビューとして API ブラウザーも提供します。

DNSSEC が IdM でテクノロジープレビューとして利用可能

統合 DNS のある Identity Management (IdM) サーバーは、DNS プロトコルのセキュリティーを強化する DNS に対する拡張セットである DNS Security Extensions (DNSSEC) を実装するようになりました。IdM サーバーでホストされる DNS ゾーンは、DNSSEC を使用して自動的に署名できます。暗号鍵は、自動的に生成およびローテートされます。

ACME がテクノロジープレビューとして利用可能

Automated Certificate Management Environment (ACME) サービスが、テクノロジープレビューとして Identity Management (IdM) で利用可能になりました。ACME は、自動化識別子の検証および証明書の発行に使用するプロトコルです。この目的は、証明書の有効期間を短縮し、証明書のライフサイクル管理での手動プロセスを回避することにより、セキュリティーを向上させることです。

sssd-idp サブパッケージがテクノロジープレビューとして利用可能

SSSD の sssd-idp サブパッケージには、Identity Management (IdM) サーバーに対して OAuth2 認証を実行するクライアント側のコンポーネントである oidc_child プラグインおよび krb5 idp プラグインが含まれます。この機能は、RHEL 8.7 以降の IdM サーバーのみで使用できます。

SSSD の内部 krb5 idp プラグインがテクノロジープレビューとして利用可能

SSSD krb5 idp プラグインを使用すると、OAuth2 プロトコルを使用して外部アイデンティティープロバイダー (IdP) に対して認証できます。この機能は、RHEL 8.7 以降の IdM サーバーのみで使用できます。

RHEL IdM では、ユーザー認証をテクノロジープレビューとして外部 ID プロバイダーに委任できる

RHEL IdM のテクノロジープレビューとして、OAuth 2 デバイス認証フローをサポートする外部アイデンティティプロバイダー (IdP) にユーザーを関連付けられるようになりました。これらのユーザーが RHEL 8.7 以降で利用可能な SSSD バージョンで認証すると、外部 IdP で認証と認可を実行した後、Kerberos チケットを使用した RHEL IdMSingle Sign-On 機能を受け取ります。

64 ビット ARM アーキテクチャーの GNOME がテクノロジープレビューとして利用できるようになりました。

GNOME デスクトップ環境は、テクノロジープレビューとして 64 ビット ARM アーキテクチャーで利用できます。

テクノロジープレビューとして利用可能な IBM Z アーキテクチャー用の GNOME

GNOME デスクトップ環境は、テクノロジープレビューとして IBM Z アーキテクチャーで利用できます。

64 ビット ARM アーキテクチャーで VNC リモートコンソールがテクノロジープレビューとして利用可能に

64 ビットの ARM アーキテクチャーでは、Virtual Network Computing (VNC) リモートコンソールがテクノロジープレビューとして利用できます。グラフィックススタックの残りの部分は、現在、64 ビット ARM アーキテクチャーでは検証されていません。

RHEL 8 Hyper-V 仮想マシンで KVM 仮想化が利用可能に

ネストされた KVM 仮想化は、テクノロジープレビューとして、Microsoft Hyper-V ハイパーバイザーで使用できるようになりました。これにより、Hyper-V ホストで実行している RHEL 8 ゲストシステムで仮想マシンを作成できます。

KVM 仮想マシンの AMD SEV および SEV-ES

テクノロジープレビューとして、RHEL 8 に、KVM ハイパーバイザーを使用する AMD EPYC ホストマシン用のセキュア暗号化仮想化 (SEV) 機能が同梱されます。仮想マシンで有効になっている場合は、SEV が仮想マシンのメモリーを暗号化して、ホストから仮想マシンへのアクセスを防ぎます。これにより、仮想マシンのセキュリティーが向上します。

Intel vGPU がテクノロジープレビューとして利用可能になる

テクノロジープレビューとして、物理 Intel GPU デバイスを、mediated devices と呼ばれる複数の仮想デバイスに分割できるようになりました。この仲介デバイスは、仮想 GPU として複数の仮想マシンに割り当てることができます。これにより、この仮想マシンが、1 つの物理 Intel GPU のパフォーマンスを共有します。

入れ子仮想マシンの作成

入れ子 KVM 仮想化は、RHEL 8 で Intel、AMD64、IBM POWER および IBM Z システムホストで実行している KVM 仮想マシン用のテクノロジープレビューとして提供されます。この機能を使用すると、物理 RHEL 8 ホストで実行中の RHEL 7 または RHEL 8 仮想マシンがハイパーバイザーとして機能し、独自の仮想マシンをホストできます。

テクノロジープレビュー: 一部の Intel ネットワークアダプターが、Hyper-V の RHEL ゲストに SR-IOV を提供するようになりました

テクノロジープレビューとして、Hyper-V ハイパーバイザーで実行している Red Hat Enterprise Linux のゲストオペレーティングシステムは、ixgbevf および ixgbevf ドライバーがサポートする Intel ネットワークアダプターに、シングルルート I/O 仮想化 (SR-IOV) 機能を使用することができるようになりました。この機能は、以下の条件が満たされると有効になります。

RHEL ゲストのインテル TDX

テクノロジープレビューとして、Intel Trust Domain Extension (TDX) 機能が RHEL 8.8 以降のゲストオペレーティングシステムで使用できるようになりました。ホストシステムが TDX をサポートしている場合は、トラストドメイン (TD) と呼ばれる、ハードウェアから分離された RHEL 9 仮想マシン (VM) をデプロイできます。ただし、TDX は現在 kdump では機能せず、TDX を有効にすると VM 上で kdump が失敗することに注意してください。

virtiofs を使用したホストと仮想マシン間でのファイルの共有

RHEL 8 では、テクノロジープレビューとして virtio ファイルシステム (virtiofs) が追加されました。virtiofs を使用すると、ホストシステムと仮想マシン (VM) との間で、ファイルを効率的に共有できます。

RHEL Confidential VMs がテクノロジープレビューとして Azure で利用可能になりました

更新された RHEL カーネルを使用すると、Microsoft Azure で機密仮想マシン (VM) をテクノロジープレビューとして作成して実行できるようになりました。ただし、Azure での起動中に RHEL 機密 VM イメージを暗号化することはまだできません。

Podman の SQLite データベースバックエンドがテクノロジープレビューとして利用可能

Podman v4.6 以降、Podman の SQLite データベースバックエンドはテクノロジープレビューとして利用可能です。データベースバックエンドを SQLite に設定するには、/etc/containers/containers.conf 設定ファイルに database_backend = "sqlite" オプションを追加します。SQLite データベースバックエンドに切り替える前に、podman system reset コマンドを実行してストレージを初期状態にリセットします。すべてのコンテナーと Pod を再作成する必要があることに注意してください。SQLite データベースは、優れた安定性と一貫性を保証します。コンテナースタック内の他のデータベースも同様に SQLite に移動されます。BoltDB は引き続きデフォルトのデータベースバックエンドです。

podman-machine コマンドはサポート対象外です。

仮想マシンを管理するための podman-machine コマンドは、テクノロジープレビューとしてのみ利用可能です。代わりに、コマンドラインから直接 Podman を実行してください。

複数のキックスタートコマンドおよびオプションが非推奨になりました。

RHEL 8 キックスタートファイルで以下のコマンドとオプションを使用すると、ログに警告が表示されます。

キックスタートコマンド ignoredisk の --interactive オプションが非推奨になりました。

Red Hat Enterprise Linux の将来のリリースで --interactive オプション を使用すると、致命的なインストールエラーが発生します。このオプションを削除するには、キックスタートファイルを変更することが推奨されます。

キックスタートの autostep コマンドが非推奨に

autostep コマンドが非推奨になりました。このコマンドに関連するセクションは、RHEL 8 のドキュメント から削除されました。

NSS SEED 暗号が非推奨になりました。

Mozilla Network Security Services (NSS) ライブラリーでは、今後のリリースで SEED 暗号化を使用する TLS 暗号スイートのサポートがなくなります。NSS がサポートを削除した際に SEED 暗号に依存するデプロイメントを円滑に移行させるため、Red Hat は、他の暗号スイートのサポートを有効にすることを推奨します。

TLS 1.0 および TLS 1.1 が非推奨になりました。

TLS 1.0 プロトコルおよび TLS 1.1 プロトコルは、システム全体の暗号化ポリシーレベル DEFAULT で無効になります。たとえば、Firefox Web ブラウザーのビデオ会議アプリケーションで、非推奨のプロトコルを使用する必要がある場合は、システム全体の暗号化ポリシーを LEGACY レベルに変更してください。

RHEL 8 で DSA が非推奨になりました。

デジタル署名アルゴリズム (DSA) は、Red Hat Enterprise Linux 8 では非推奨であると考えられています。DSA キーに依存する認証メカニズムはデフォルト設定では機能しません。OpenSSH クライアントは、LEGACY のシステム全体の暗号化ポリシーレベルでも DSA ホストキーを許可しません。

fapolicyd.rules が非推奨になる

実行ルールの許可と拒否を含むファイルの /etc/fapolicyd/rules.d/ ディレクトリーは、/etc/fapolicyd/fapolicyd.rules ファイルを置き換えます。fagenrules スクリプトは、このディレクトリー内のすべてのコンポーネントルールファイルを /etc/fapolicyd/compiled.rules ファイルにマージするようになりました。/etc/fapolicyd/fapolicyd.trust のルールは引き続き fapolicyd フレームワークによって処理されますが、下位互換性を確保するためのみに使用されます。

NSS で SSL2 Client Hello が非推奨に

TLS (Transport Layer Security) プロトコルバージョン 1.2 以前は、SSL (Secure Sockets Layer) プロトコルバージョン 2 と後方互換性がある形式の Client Hello メッセージを使用してネゴシエーションを開始できます。NSS (Network Security Services) ライブラリーでのこの機能への対応は非推奨となっており、デフォルトで無効になっています。

NTLM と Krb4 は Cyrus SASL では非推奨となりました。

NTLM および Kerberos 4 認証プロトコルは非推奨となり、RHEL の今後のメジャーバージョンでは削除される可能性があります。これらのプロトコルはセキュアであると見なされなくなり、アップストリームの実装からはすでに削除されています。

/etc/selinux/config を使用して SELinux を無効にするランタイムが非推奨になりました。

/etc/selinux/config ファイルの SELINUX=disabled オプションを使用して SELinux を無効にするランタイムが非推奨になりました。RHEL 9 では、/etc/selinux/config でのみ SELinux を無効にすると、システムは SELinux が有効化されますが、ポリシーが読み込まれずに開始します。

selinux-policy から ipa SELinux モジュールが削除されました。

ipa SELinux はメンテナンスされなくなったため、selinux-policy から削除されました。この機能は、ipa-selinux サブパッケージに含まれるようになりました。

TPM 1.2 が非推奨になりました。

Trusted Platform Module (TPM) のセキュアな暗号化プロセッサーの標準バージョンが 2016 年に バージョン 2.0 に更新されました。TPM 2.0 は TPM 1.2 に対する多くの改良を提供しますが、以前のバージョンと後方互換性はありません。TPM 1.2 は RHEL 8 で非推奨となり、次のメジャーリリースで削除される可能性があります。

crypto-policies から派生したプロパティーが非推奨に

カスタムポリシーにおける crypto-policies ディレクティブのスコープの導入により、tls_cipher、ssh_cipher、ssh_group、ike_protocol、および sha1_in_dnssec の派生プロパティーが非推奨になりました。さらに、スコープを指定しない protocol プロパティーの使用も非推奨になりました。推奨される代替は、crypto-policies(7) の man ページを参照してください。

subscription-manager コマンドの --token オプションは非推奨になりました。

subscription-manager register コマンドの --token=<TOKEN> オプションは、システムを Red Hat に登録するのに役立つ認証方法です。このオプションは、エンタイトルメントサーバーが提供する機能に応じて異なります。デフォルトのエンタイトルメントサーバー subscription.rhsm.redhat.com は、この機能をオフにする予定です。その結果、subscription-manager register --token=<TOKEN> を使用しようとすると、次のエラーメッセージが表示されて失敗する可能性があります。

rpmbuild --sign が非推奨になりました。

rpmbuild --sign コマンドは、RHEL 8.1 以降非推奨になりました。Red Hat Enterprise Linux の今後のリリースでこのコマンドを実行すると、エラーが発生します。代わりに rpmsign コマンドを使用することが推奨されます。

OpenEXR コンポーネントが非推奨になりました。

OpenEXR コンポーネントが非推奨になりました。そのため、EXR イメージ形式のサポートは imagecodecs モジュールから削除されました。

dump からの dump ユーティリティーが非推奨になりました。

ファイルシステムのバックアップに使用される dump ユーティリティーが非推奨になり、RHEL 9 では使用できなくなります。

hidepid=n マウントオプションが、RHEL 8 systemd で未サポート

マウントオプションの hidepid=n は、/proc/[pid] ディレクトリーの情報にアクセスできるユーザーを制御しますが、RHEL 8 で提供されている systemd インフラストラクチャーと互換性がありません。

/usr/lib/udev/rename_device ユーティリティーは非推奨になる

ネットワークインターフェイスの名前を変更するための udev ヘルパーユーティリティー /usr/lib/udev/rename_device は非推奨になる

ABRT ツールは非推奨になりました

アプリケーションのクラッシュを検出して報告するための自動バグ報告ツール (ABRT) は、RHEL8 で非推奨になりました。代わりに、systemd-coredump ツールを使用して、プログラムのクラッシュ後に自動的に生成されるファイルであるコアダンプをログに記録して保存します。

ReaR crontab は非推奨になりました

rear パッケージの /etc/cron.d/rear は RHEL 8 で非推奨になり、RHEL 9 では使用できなくなります。crontab は、ディスクレイアウトが変更されたかどうかを毎晩チェックし、変更が発生した場合は rear mkrescue コマンドを実行します。

Bacula の SQLite データベースバックエンドが非推奨になりました

Bacula バックアップシステムは、複数のデータベースバックエンド (PostgreSQL、MySQL、および SQLite) をサポートしていました。SQLite バックエンドに非推奨となり、RHEL の今後のリリースではサポートされなくなります。代わりに、他のバックエンド (PostgreSQL または MySQL) のいずれかに移行し、新しい展開では SQLite バックエンドを使用しないでください。

raw コマンドが非推奨になりました

raw (/usr/bin/raw) コマンドが非推奨になりました。Red Hat Enterprise Linux の今後のリリースでこのコマンドを実行すると、エラーが発生します。

PF_KEYv2 カーネル API が非推奨になりました

アプリケーションは、PV_KEYv2 および新しい netlink API を使用して、カーネルの IPsec 実装を設定できます。PV_KEYv2 はアップストリームで積極的に保守されておらず、最新の暗号、オフロード、拡張シーケンス番号サポートなどの重要なセキュリティー機能が欠けています。そのため、RHEL 8.9 以降、PV_KEYv2 API は非推奨になりました。アプリケーションでこのカーネル API を使用する場合は、代替として最新の netlink API を使用するように移行してください。

RHEL 8 でネットワークスクリプトが非推奨に

Red Hat Enterprise Linux 8 では、ネットワークスクリプトが非推奨になっており、デフォルトでは提供されなくなりました。基本的なインストールでは、nmcli ツール経由で、NetworkManager サービスを呼び出す ifup スクリプトおよび ifdown スクリプトの新しいバージョンが提供されます。Red Hat Enterprise Linux 8 で ifup スクリプトおよび ifdown スクリプトを実行する場合は、NetworkManager を実行する必要があります。

dropwatch ツールが非推奨に

dropwatch ツールが非推奨になりました。このツールは今後のリリースではサポートされませんので、新規デプロイメントには推奨できません。このパッケージの代わりに、Red Hat は perf コマンドラインツールを使用することを推奨します。

xinetd が非推奨に

xinetd サービスが非推奨になり、RHEL 9 では削除される予定です。代わりに systemd を使用します。詳細は、xinetd サービスを systemd に変換する方法 を参照してください。

cgdcbxd パッケージが非推奨に

コントロールグループデータセンターブリッジング交換デーモン (cgdcbxd) は、データセンターのブリッジ (DCB) のネットリンクイベントをモニターし net_prio control グループサブシステムを管理するサービスです。RHEL 8.5 以降では、cgdcbxd パッケージは非推奨となり、次の RHEL メジャーリリースで削除されます。

WEP Wi-Fi 接続方法が非推奨になりました。

安全でない WEP (wired equivalent privacy) の Wi-Fi 接続方法は、RHEL 8 では非推奨となり、RHEL 9.0 では削除されます。安全な Wi-Fi 接続には、Wi-Fi Protected Access 3 (WPA3) または WPA2 の接続方法を使用します。

サポートされていない xt_u32 モジュールが非推奨になりました。

サポートされていない xt_u32 を使用すると、iptable のユーザーはパケットヘッダーまたはペイロード内の任意の 32 ビットにマッチできます。RHEL 8.6 以降、xt_u32 モジュールが非推奨になり、RHEL 9 では削除されます。

slaves という用語は、nmstate API では非推奨です。

Red Hat では、意識的な言語の使用に取り組んでいます。したがって、slaves という用語は Nmstate API では非推奨です。nmstatectl を使用する場合は、port という用語を使用します。

rdma_rxe Soft-RoCE ドライバーが非推奨に

Remote Software Direct Memory Access over Converged Ethernet (Soft-RoCE) は RXE としても知られており、RDMA (Remote Direct Memory Access) をエミュレートする機能です。RHEL 8 では、Soft-RoCE 機能が、サポートされていないテクノロジープレビューとして利用できます。ただし、安定性の問題により、この機能は非推奨になり、RHEL 9 では削除されます。

Linux firewire サブシステムおよび関連するユーザー空間コンポーネントは、RHEL 8 では非推奨になりました。

firewire サブシステムは、IEEE 1394 バスでリソースを使用し、維持するインターフェイスを提供します。RHEL 9 では、firewire は、kernel パッケージで対応しなくなります。firewire には、libavc1394、libdc1394、libraw1394 パッケージで提供されるユーザー空間コンポーネントが複数含まれることに注意してください。これらのパッケージも非推奨になります。

ディスクレスブートを使用した RHEL for Real Time 8 のインストールが非推奨になりました。

ディスクレスブートにより、複数のシステムがネットワーク経由で root ファイルシステムを共有できます。メリットはありますが、ディスクレスブートでは、リアルタイムのワークロードでネットワークレイテンシーが発生する可能性が高くなります。RHEL for Real Time 8 の将来のマイナー更新では、ディスクレスブート機能はサポートされなくなります。

カーネルライブパッチが、すべての RHEL マイナーリリースに対応するようになりました。

RHEL 8.1 以降、カーネルライブパッチは、影響度が重大および重要な Common Vulnerabilities and Exposures (CVE) を修正するために、Extended Update Support (EUS) ポリシーの対象となる RHEL の一部のマイナーリリースストリームに提供されています。同時にカバーされるカーネルとユースケースの最大数に対応するため、各ライブパッチのサポート期間は、カーネルのマイナー、メジャー、および zStream の各バージョンで 12 カ月から 6 カ月に短縮されました。これは、カーネルライブパッチがリリースされると、過去 6 カ月間に配信されたすべてのマイナーリリースとスケジュール済みのエラータカーネルが含まれます。

crash-ptdump-command パッケージは非推奨です

クラッシュユーティリティーの ptdump 拡張モジュールである crash-ptdump-command パッケージは非推奨であり、将来の RHEL リリースでは利用できなくなる可能性があります。ptdump コマンドは、Single Range Output モードで作業している場合、ログバッファーの取得に失敗し、Table of Physical Addresses (ToPA) モードでのみ機能します。crash-ptdump-command は現在、アップストリームに維持されていません

kernelopts 環境変数は非推奨になる

RHEL 8 では、GRUB ブートローダーを使用するシステムのカーネルコマンドラインパラメーターが kernelopts 環境変数で定義されていました。変数は、カーネルブートエントリーごとに /boot/grub2/grubenv ファイルに保存されました。ただし、kernelopts を使用してカーネルコマンドラインパラメーターを保存することは堅牢ではありませんでした。したがって、RHEL の将来のメジャー更新では kernelopts が削除され、代わりにカーネルコマンドラインパラメーターが Boot Loader Specification (BLS) スニペットに格納されます。

elevator カーネルコマンドラインパラメーターが非推奨になりました。

カーネルコマンドラインパラメーターの elevator は、すべてのデバイスのディスクスケジューラーを設定するために、以前の RHEL リリースで使用されていました。RHEL 8 では、このパラメーターが非推奨になりました。

NFSv3 over UDP が無効になりました。

NFS サーバーは、デフォルトで UDP (User Datagram Protocol) ソケットを開いたり、リッスンしなくなりました。バージョン 4 では TCP (Transmission Control Protocol) が必要なため、この変更は NFS バージョン 3 にのみ影響を及ぼします。

peripety が非推奨に

peripety パッケージは、RHEL 8.3 以降で非推奨になりました。

async 以外の VDO 書き込みモードが非推奨に

VDO は、RHEL 8 で複数の書き込みモードに対応します。

VDO マネージャーが非推奨に

python ベースの VDO 管理ソフトウェアは非推奨となり、RHEL 9 から削除される予定です。RHEL 9 では、LVM-VDO 統合に置き換えられます。そのため、lvcreate コマンドを使用して VDO ボリュームを作成することが推奨されます。

cramfs が非推奨になりました。

ユーザーの不足により、cramfs カーネルモジュールが非推奨になりました。代替策として squashfs が推奨されます。

clufter ツールに対応する pcs コマンドが非推奨になりました。

クラスター設定フォーマットを分析する clufter ツールに対応する pcs コマンドが非推奨になりました。これらのコマンドにより、コマンドが非推奨になり、コマンドに関連するセクションが pcs ヘルプ表示と、pcs(8) man ページから削除されていることを示す警告が出力されるようになりました。

Apache HTTP サーバーで使用するために PHP に提供されている mod_php モジュールが非推奨になりました。

RHEL 8 の Apache HTTP サーバーで使用するために PHP に付属している mod_php モジュールは利用可能ですが、デフォルト設定では有効になっていません。このモジュールは RHEL 9 では使用できなくなりました。

gdb.i686 パッケージが非推奨に

RHEL 8.1 では、別のパッケージの依存関係の問題が原因で、32 ビットバージョンの GNU Debugger(GDB) gdb.i686 が同梱されていました。RHEL 8 は 32 ビットハードウェアに対応していないため、RHEL 8.4 以降、gdb.i686 パッケージは非推奨になりました。64 ビットバージョンの GDB (gdb.x86_64) は、32 ビットアプリケーションをデバッグできます。

libdwarf が非推奨に

RHEL 8 では、libdwarf ライブラリーが非推奨になりました。ライブラリーは、将来のメジャーリリースでサポートされない可能性があります。代わりに、ELF/DWARF ファイルを処理するアプリケーションに elfutils および libdw ライブラリーを使用してください。

openssh-ldap が非推奨に

openssh-ldap サブパッケージは、Red Hat Enterprise Linux 8 で非推奨になり、RHEL 9 で削除されます。openssh-ldap サブパッケージはアップストリームでは維持されないため、Red Hat は SSSD と sss_ssh_authorizedkeys ヘルパーを使用することを推奨しています。これは、他の IdM ソリューションよりも適切に統合でき、安全です。

DES および 3DES 暗号化タイプが削除されました。

RHEL 7 以降、セキュリティー上の理由から、データ暗号化標準 (DES) アルゴリズムが非推奨になり、デフォルトで無効化になりました。Kerberos パッケージの最近のリベースで、RHEL 8 からシングル DES (DES) およびトリプル DES (3DES) の暗号化タイプが削除されました。

SSSD バージョンの libwbclient が削除される

libwbclient パッケージの SSSD 実装は、RHEL 8.4 で非推奨になりました。最新バージョンの Samba で使用できないため、 libwbclient の SSSD 実装 が削除されています。

ctdb サービスのスタンドアロン使用が非推奨になりました。

RHEL 8.4 以降、以下の条件がすべて適用されている場合に限り、ctdb クラスター Samba サービスを使用することが推奨されます。

WinSync による IdM との間接的な AD 統合が非推奨に

WinSync は、さまざまな機能制限のため、RHEL 8 では積極的に開発されなくなりました。

Samba を PDC または BDC として実行することは非推奨になりました。

管理者が Samba を NT4 のようなプライマリードメインコントローラー (PDC) として実行し、バックアップドメインコントローラー (BDC) を実行できるようにする従来のドメインコントローラーモードが非推奨になりました。これらのモードを設定するためのコードおよび設定は、今後の Samba リリースで削除されます。

Samba で SMB1 プロトコルが非推奨になりました

Samba 4.11 以降、安全でない Server Message Block バージョン 1 (SMB1) プロトコルは非推奨となり、今後のリリースでは削除される予定です。

FreeRADIUS のサポートは限定的です

RHEL 8 では、FreeRADIUS サービスの一部として、次の外部認証モジュールが非推奨になりました。

libgnome-keyring ライブラリーが非推奨になりました

libgnome-keyring ライブラリーがアップストリームで維持されず、RHEL に必要な暗号化ポリシーに従っていないため、libsecret ライブラリーが libgnome-keyring ライブラリーを引き継ぎ、libgnome-keyring は非推奨となりました。新しい libsecret ライブラリーは、必要なセキュリティー標準に準拠する代替ライブラリーです。

LibreOffice が非推奨になりました

LibreOffice RPM パッケージは非推奨となり、今後の RHEL メジャーリリースで削除される予定です。LibreOffice は、RHEL 7、8、および 9 のライフサイクル全体を通じて引き続き完全にサポートされます。

AGP グラフィックカードがサポートされなくなりました。

AGP (Accelerated Graphics Port) バスを使用するグラフィックカードは、Red Hat Enterprise Linux 8 ではサポートされていません。推奨される代替として、PCI-Express バスを備えたグラフィックスカードを使用してください。

Motif が非推奨になりました

アップストリームの Motif コミュニティーでの開発は非アクティブであるため、Motif ウィジェットツールキットは RHEL で非推奨になりました。

Web コンソールは、不完全な翻訳への対応を終了しました。

RHEL Web コンソールは、コンソールの翻訳可能な文字列の翻訳率が 50 % 未満の言語に対する翻訳提供を廃止しました。ブラウザーがこのような言語に翻訳を要求すると、ユーザーインターフェイスは英語になります。

remotectl コマンドは非推奨になりました

remotectl コマンドは非推奨となり、RHEL の将来のリリースでは使用できなくなります。代わりに cockpit-certificate-ensure コマンドを使用できます。ただし、cockpit-certificate-ensure には remotectl と同等の機能がないことに注意してください。バンドルされた証明書とキーチェーンファイルはサポートされていないため、それらを分割する必要があります。

geoipupdate パッケージが非推奨に

geoipupdate パッケージにはサードパーティーのサブスクリプションが必要で、プロプライエタリーコンテンツもダウンロードします。したがって、geoipupdate パッケージは非推奨となり、次の RHEL メジャーバージョンで削除されます。

RHEL 9 ノードでチームを設定すると、network システムロールが非推奨の警告を表示します

ネットワークチーミング機能は、RHEL 9 では非推奨になりました。その結果、RHEL 8 制御ノードで network RHEL システムロールを使用して RHEL 9 ノードでネットワークチームを設定すると、非推奨についての警告が表示されます。

Ansible Engine は非推奨になりました

以前のバージョンの RHEL8 は、サポートの範囲が限定された Ansible Engine リポジトリーへのアクセスを提供し、RHEL System Roles や Insights 救済策などのサポートされた RHEL Automation ユースケースを有効にしました。Ansible Engine は非推奨になり、Ansible Engine 2.9 は 2023 年 9 月 29 日以降サポートされなくなります。サポートされているユースケースの詳細については、RHEL 9 および RHEL 8.6 以降の AppStream リポジトリーに含まれる Ansible Core パッケージのサポート対象範囲 を参照してください。

virsh iface-* コマンドが非推奨になりました。

virsh iface-start、virsh iface-destroy などの virsh iface-* コマンドは非推奨になり、将来のメジャーバージョンの RHEL では削除される予定です。また、このようなコマンドは設定の依存関係により頻繁に失敗します。

virt-manager が非推奨になりました

Virtual Machine Manager アプリケーション (virt-manager) は非推奨になっています。RHEL Web コンソール (Cockpit) は、後続のリリースで置き換えられる予定です。したがって、GUI で仮想化を管理する場合は、Web コンソールを使用することが推奨されます。ただし、virt-manager で利用可能な機能によっては、RHEL Web コンソールで利用できない場合があります。

仮想マシンスナップショットのサポートが限定されました

仮想マシンのスナップショットの作成は、現在、UEFI ファームウェアを使用していない仮想マシンのみでサポートされています。さらに、スナップショット操作中に QEMU モニターがブロックされる可能性があり、これは特定のワークロードのハイパーバイザーのパフォーマンスに悪影響を及ぼします。

Cirrus VGA 仮想 GPU タイプが非推奨に

Red Hat Enterprise Linux の今後のメジャー更新では、KVM 仮想マシンで Cirrus VGA GPU デバイスに対応しなくなります。したがって、Red Hat は Cirrus VGA の代わりに stdvga または virtio-vga デバイスの使用を推奨します。

SPICE が非推奨になりました

SPICE リモートディスプレイプロトコルが非推奨になりました。その結果、SPICE は RHEL 8 で引き続きサポートされますが、Red Hat では、リモートディスプレイストリーミングに代替ソリューションを使用することを推奨しています。

IBM POWER 上の KVM が非推奨に

IBM POWER ハードウェアでの KVM 仮想化の使用は非推奨になりました。その結果、IBM POWER の KVM は、RHEL 8 でも引き続きサポートされますが、RHEL の今後のメジャーリリースではサポートされなくなります。

SHA1 ベースの署名を使用した SecureBoot イメージ検証が非推奨になりました

UEFI (PE/COFF) 実行ファイルでの SHA1 ベースの署名を使用した SecureBoot イメージ検証の実行は非推奨になりました。代わりに、Red Hat は、SHA2 アルゴリズムまたはそれ以降に基づく署名を使用することを推奨します。

SPICE を使用したスマートカードリーダーの仮想マシンへの接続が非推奨となりました

RHEL 8 では、SPICE リモートディスプレイプロトコルが非推奨になりました。スマートカードリーダーを仮想マシンに割り当てる唯一の推奨される方法は、SPICE プロトコルに依存するため、仮想マシンでのスマートカードの使用も RHEL 8 で非推奨になりました。

RDMA ベースのライブマイグレーションが非推奨になりました

この更新により、リモートダイレクトメモリーアクセス (RDMA) を使用した実行中の仮想マシンの移行は非推奨になりました。その結果、rdma:// 移行 URI を使用して RDMA 経由の移行を要求することは可能ですが、この機能は RHEL の将来のメジャーリリースではサポートされなくなります。

Podman varlink ベースの API v1.0 が削除されました

Podman varlink ベースの API v1.0 は、以前のリリースの RHEL 8 で非推奨となりました。Podman v2.0 には、新しい Podman v2.0 RESTful API が導入されました。Podman v3.0 のリリースでは、varlink ベースの API v1.0 が完全に削除されました。

container-tools:1.0 が非推奨に

container-tools:1.0 モジュールは非推奨となり、セキュリティー更新を受信しなくなります。container-tools:2.0 や container-tools:3.0 などの新しいサポートされる安定したモジュールストリームを使用することが推奨されます。

container-tools:2.0 モジュールは非推奨になりました

container-tools:2.0 モジュールは非推奨となり、セキュリティー更新を受信しなくなります。container-tools:3.0 など、サポートされている新しい安定したモジュールストリームの使用を推奨します。

GIMP 以外の Flatpak イメージが非推奨になりました

rhel8/firefox-flatpak、rhel8/thunderbird-flatpak、rhel8/inkscape-flatpak、および rhel8/libreoffice-flatpak RHEL 8 Flatpak アプリケーションが非推奨になり、RHEL 9 バージョンに置き換えられました。RHEL 9 にはまだ代替品がないため、rhel8/gimp-flatpak Flatpak アプリケーションは非推奨ではありません。

CNI ネットワークスタックが非推奨になりました

Container Network Interface (CNI) ネットワークスタックは非推奨となり、RHEL の今後のマイナーリリースでは Podman から削除される予定です。以前は、コンテナーは DNS 経由のみで単一の Container Network Interface (CNI) プラグインに接続していました。Podman v.4.0 では、新しい Netavark ネットワークスタックが導入されました。Netavark ネットワークスタックは、Podman およびその他の Open Container Initiative (OCI) コンテナー管理アプリケーションとともに使用できます。Podman 用の Netavark ネットワークスタックは、高度な Docker 機能とも互換性があります。複数のネットワーク内のコンテナーは、それらのネットワークのいずれかにあるコンテナーにアクセスできます。

container-tools:3.0 が非推奨になりました。

container-tools:3.0 モジュールは非推奨となり、セキュリティー更新を受信しなくなります。RHEL 上で Linux コンテナーの構築と実行を続けるには、container-tools:4.0 など、より新しく安定したサポートされているモジュールストリームを使用してください。

Inkscape および LibreOffice Flatpak イメージが非推奨になりました

テクノロジープレビューとして利用可能な rhel9/inkscape-flatpak および rhel9/libreoffice-flatpak Flatpak イメージは非推奨になりました。