10.1 发行注记

fips=1 的新引导菜单条目添加到 ISO 安装中

在这个版本中，DVD 和 Boot ISO 镜像安装提供了一个新的引导菜单条目来设置 fips=1 内核引导选项。这简化了这个过程，如在 RHEL 安装过程中启用 FIPS 模式，可确保系统使用 FIPS 批准的算法生成所有密钥，并持续监控测试。通过使用这个引导选项，您可以使用 fips=1 内核参数开始安装，并可以联邦信息处理标准(FIPS) 140 要求为目标。

现在，RHEL 中提供了软重启

systemd 现在提供软重启，这是 重启 用户空间的功能，而无需系统完全停机。主要改进包括：

rpm 命令在安装环境中现在可用

在以前的版本中，rpm 命令没有包括在安装环境中。在这个版本中，rpm 命令被包括。用户在安装 RHEL 时可以使用这个命令，例如在 %post Kickstart 脚本中。

蓝图文件自定义现在支持从外部源引用文件的 URI 字段

在这个版本中，为蓝图文件自定义结构添加了 URI 字段支持。因此，您可以从外部位置引用和源文件，而不只是直接包含在蓝图中的源文件，从而为构建系统提供更灵活的自定义，以及更适应的构建体验。

RHEL 镜像构建器支持一个新的镜像类型 vagrant-libvirt for vagrant

在这个版本中，RHEL 镜像构建器支持 libvirt hypervisor，您可以使用 Vagrant 轻松运行 RHEL 虚拟机。此功能增强提供预配置的镜像，以确保一致且简化的设置。它还为 Vagrant 框中的 vagrant 用户授予 sudo 特权，从而更轻松地管理和运行管理任务。在 Vagrant 环境中使用 RHEL 虚拟机时，这些增强功能提供了更加高效且无缝的体验。

RHEL Image Builder 现在支持 WSL2 镜像

现在，您可以使用 RHEL 镜像构建器为 Linux (WSL2)创建 Windows 子系统。镜像类型以 wsl 格式提供，并使用镜像，通过双击生成的文件来部署镜像。

RHEL Image Builder GUI 支持模块化内容发现

从 RHEL 9.7 开始，RHEL Image Builder 图形用户界面(GUI)支持模块化的内容发现。这个功能引进了以下改进：

image-installer 为 fips=1提供一个新的引导菜单条目

在这个版本中，image-installer ISO 镜像类型提供一个新的引导菜单条目，用于在安装过程中设置 fips=1 内核引导选项。这简化了这个过程，如 RHEL 10 中，您无法将安装的系统切换到 FIPS 模式，且您必须在开始安装时将 fips=1 添加到内核命令行。通过为安装设置 fips=1，您可以针对系统符合联邦信息处理标准(FIPS) 140 要求。

/etc/fstab 中的逻辑卷设备现在在 fs_spec 字段中使用 UUID

安装后，系统使用 fs_spec 字段中的 UUID 在 /etc/fstab 中写入逻辑卷(LV)设备。这个更改有以下优点：

RHEL 10.1 crypto-policies 默认启用 PQC 算法

RHEL 10.1 中的系统范围的加密策略扩展对 post-quantum 加密(PQC)的支持，并在所有预定义的策略中默认启用 PQC 算法。与 RHEL 10.0 中的版本相比，最显著改进和修复包括：

ad-SUPPORT-LEGACY 子策略重新添加到 crypto-policies

AD-SUPPORT-LEGACY 加密子策略（用于支持传统的 RC4 加密）与过时的 Active Directory 实现互操作性，被重新添加到 RHEL。

openssl rebase 到 3.5

OpenSSL 被 rebase 到上游版本 3.5。此版本提供重要的修复和增强，最重要的是：

NSS rebase 到 3.112

NSS 加密工具包软件包已更新到上游版本 3.112，它提供很多改进和修复。最值得注意的是，以下内容：

libreswan rebase 到 5.3

libreswan 软件包被 rebase 到 5.3 上游版本。

gnutls rebase 到 3.8.10

gnutls 软件包被 rebase 到 3.8.10 上游版本，其中包括以下改进：

Sequoia PGP 已更新，以支持 OpenPGP v6

在这个版本中，sequoia-sq 和 sequoia-sqv 可以处理 post-quantum 加密(PQC)密钥。rpm-sequoia 软件包现在支持 OpenPGP v6 签名的验证。因此，您可以使用符合 Commercial National Security Algorithm Suite (CNSA) 2.0 标准的量子数字签名。

selinux-policy rebase 到 42.1

selinux-policy 软件包被 rebase 到上游版本 42.1。此版本包含许多修复和增强，包括软件包改进。值得注意的是，与 systemd 生成器相关的 SELinux 类型已添加到 SELinux 策略中。

openssl 支持 sslkeylogfile

OpenSSL 支持 TLS 的 sslkeylogfile 格式。因此，您可以通过设置 SSLKEYLOGFILE 环境变量来记录 SSL 连接生成的所有 secret。

NSS 支持 ML-DSA 密钥

在这个版本中，网络安全服务(NSS)数据库支持使用基于 Module-Lattice 的数字签名算法(ML-DSA)密钥。ML-DSA 是美国国家标准与技术研究院(NIST)批准的新签名算法，以免于来自加密机机机(CRQC)的攻击。

混合 ML-KEM 加密在 FIPS 模式下工作

在这个版本中，在 RHEL 的 FIPS 模式中支持混合模块的基于密钥封装机制(ML-KEM) post-quantum 加密算法。当系统以 FIPS 模式运行时，OpenSSL 可以从 FIPS 供应商获取新混合 post-quantum 组一部分的 Elliptic Curve Diffie-Hellman (ECDH)部分。因此，OpenSSL 库对混合子密钥交换的 ECDH 部分使用 FIPS 兼容加密。

OpenSSL 3.5 为 ML-KEM 和 ML-DSA 使用标准格式

在 RHEL 10.0 中，oqsprovider 库对基于 Module-Lattice 的 Key-Encapsulation Mechanism (ML-KEM)和基于 Module-Lattice Signature Algorithm (ML-DSA)私钥使用预标准格式。当 rebase 到 OpenSSL 3.5 时，您必须使用以下命令将 ML-KEM 和 ML-DSA 密钥转换为标准格式：

SCAP 安全指南 rebase 到 0.1.78

如需更多信息，请参阅 SCAP 安全指南发行注记。

与 EPEL 软件包相关的 SELinux 策略模块在 CRB 存储库中移到 -extra 子软件包

在 RHEL 10.0 中，与 Extra Packages for Enterprise Linux (EPEL)存储库中包含的软件包相关的 SELinux 策略模块，而不是任何 RHEL 软件包都从 selinux-policy 软件包移到 selinux-policy-epel 软件包中。这减少了 selinux-policy 的大小，使系统能够更快地执行操作，如重建和加载 SELinux 策略。

setroubleshoot-server 不再需要 initscripts

在此次更新之前，setroubleshoot-server SELinux 诊断工具的 %post 和 %postun scriptlets 称为 /sbin/service。有了这个更新，scriptlets 现在直接调用 auditctl 来重新加载 auditd 服务，并绕过 /sbin/service 的使用。此功能增强简化了依赖项结构，并简化了 scriptlet 的执行。

OpenSSH 忽略 known_hosts中的无效的 RSA hostkeys

在此次更新之前，如果 known_hosts 只包含错误的 hostkey，则 SSH 连接会失败并显示错误的 hostkey：在 OpenSSH 收到服务器 hostkey 时无效密钥长度 消息，即使服务器有有效的 hostkeys 可用。在这个版本中，OpenSSH 会忽略因为 known_hosts 文件中太短的 RSA hostkeys 无效。因此，OpenSSH 接收新密钥并可以建立连接，而不是失败的 SSH 连接。

三个 RHEL 服务从 SELinux permissive 模式中删除

RHEL 服务的以下 SELinux 域已从 SELinux permissive 模式中删除：

gnutls 在 TLS 连接中支持 ML-DSA 密钥。

在这个版本中，GnuTLS 库支持在 TLS 1.3 连接中使用带有 Module-Lattice-Based digital Signature Algorithm (ML-DSA)密钥的 X.509 证书。为了防止量子计算机攻击，证书链和 TLS 握手必须使用 post-quantum 算法进行身份验证，如 ML-DSA。

OpenSSH 服务器支持 Kerberos 身份验证指标

在 Match 配置中，OpenSSH 服务器支持来自 Kerberos 票据的身份验证指标。如果在 sshd 配置中定义 GSSAPIIndicators 选项，则带有指示器但与策略不匹配的 Kerberos 票据将被拒绝。如果至少配置一个指示符，无论是访问还是拒绝，在没有验证指示器的情况下，在没有验证指标的情况下的票据都会被明确拒绝。如需更多信息，请参阅您系统上的 sshd_config (5) 手册页。

RHEL 10.1 中通常提供 TLS 的 DNS

加密 DNS (eDNS)通常可使用 DNS-over-TLS (DoT)协议来保护所有 DNS 通信。您可以使用 eDNS 在引导时保护新的 RHEL 安装，这样可保证不会发送纯文本 DNS 流量。您还可以将现有 RHEL 系统转换为使用 eDNS。

新软件包： fips-provider-next

fips-provider-next 软件包提供下一版本 FIPS 提供程序，该提供程序提交至国家标准与技术研究院(NIST)进行验证。默认情况下不安装软件包，因为 openssl-fips-provider 软件包是经过验证的 OpenSSL FIPS 供应商。从 openssl-fips-provider 切换到 fips-provider-next ：

rsyslog imuxsock 提供了新的 ratelimit.discarded 计数器

在这个版本中，imuxsock Rsyslog 模块包括一个新的计数器 ratelimit.discarded，它跟踪因为 UNIX 套接字速率限制而丢弃的消息数量。此增强为管理员提供对消息丢失的可见性，因为速率限制，使它们能够微调速率限制设置，并防止关键日志被丢弃。

SELinux 策略为 qgs 守护进程添加规则和类型

qgs 守护进程添加到带有 linux-sgx 软件包的 RHEL 中，它支持 TDX 机密虚拟化。当客户机操作系统在测试虚拟机(VM)时，qgs 守护进程通过 UNIX 域套接字与 QEMU 通信。为了实现此目的，SELinux 策略会添加新的 qgs_t 类型、访问规则和权限。

audit.cron 有助于设置基于时间的 auditd 日志轮转

在这个版本中，auditd.cron 文件已添加到 审计软件包中。此增强提供了使用现有工具配置基于时间的 auditd 日志轮转的明确记录示例。因此，管理员有一个简单的官方指南，根据时间设置 auditd 日志轮转。

SELinux 策略中限制的其他服务

此更新将额外的规则添加到限制以下 systemd 服务的 SELinux 策略中：

rsyslog imfile 提供新的 deleteStateOnFileMove 选项

在这个版本中，新的 deleteStateOnFileMove 参数已被添加到 imfile 模块中，作为模块级别和 per-action 选项提供。当监控日志文件被轮转或移动时，这个增强解决了在 spool/ 目录中累积的孤立状态文件的问题。通过启用此参数，您可以在移动日志文件时自动清理这些过时的文件，防止磁盘空间被浪费并简化管理。

RPM 支持 spec-local 文件属性和依赖项生成器

文件属性及其依赖项生成器通常在构建使用这些属性的软件包之前必须安装的独立软件包中提供。但是，您可能需要 file 属性在构建附带此属性的软件包期间生效。您可能还需要只用于构建软件包的 file 属性，而无需提供属性。

RPM 在安装过程中记录原始软件包的校验和

在这个版本中，RPM 会在安装过程中记录整个 .rpm 软件包的 SHA256 和 SHA512 摘要。然后，您可以从 RPM 数据库检索这些摘要，以验证安装的软件包是否与特定的 .rpm 文件对应。因此，您可以通过重新验证安装的软件包集是否与位位（位位，一组已知 .rpm 软件包的集合）来改进 RHEL 系统的完整性，如 DNF 存储库中可用的软件包。

在 dnf 事务过程中报告系统时钟偏移

在系统和授权服务器之间显著时钟偏移会使内容存储库不可用，即使在正确注册的系统上也是如此。很难进行故障排除，特别是当负偏移在以后启动权利时。

添加了对 tog-pegasus中 post-quantum 加密的支持

在以前的版本中，没有同时支持经典证书链和 ML-DSA 证书的机制。

在 sblim-sfcb中为 post-quantum 加密添加的支持

在以前的版本中，如果 peer 支持，则软件包默认使用 post-quantum 密钥交换。此外，没有同时支持经典证书链和 ML-DSA 证书的机制。

添加了对 openwsman中 post-quantum 加密的支持

在以前的版本中，如果 peer 支持，则软件包默认使用 post-quantum 密钥交换。此外，没有同时支持经典证书链和 ML-DSA 证书的机制。

3.25.0 提供的 openCryptoki

openCryptoki 软件包在 3.25.0 版本中提供。添加了对以下情况的支持：

RHEL 现在装有 dyninst 版本 13.0.0

dyninst 框架被 rebase 到上游版本 13.0.0 此版本提供以下改进列表：

RHEL 现在装有 SystemTap 版本 5.3

SystemTap 被 rebase 到版本 5.3，其多线程解析功能现在通过缩短几秒的初始化时间来提高启动性能。

elfutils 现在被 rebase 到版本 0.193

elfutils 0.193 现在包括在 RHEL 10.1 中。这个版本中的显著变化包括：

Valgrind 已升级至上游版本 3.25.1

从版本 3.24.0 (RHEL 10.0)升级到上游版本 3.25.1 (RHEL 10.1)提供以下显著改进：

Valgrind 软件包被分成子软件包以灵活安装

在此次更新之前，swigvalgrind 软件包包括了所有核心功能、后处理脚本、GDB 集成和文档，您所需的单个软件包中也需要安装所有组件，即使您只需要特定的功能。

jemalloc 5.3.0 在 Varnish 中集成

在此次更新之前，一些用户在升级到较新版本的 Red Hat Enterprise Linux 后在 Varnish 中报告过量内存用量。尽管设置明确的内存限值（例如 malloc,1G），但内存消耗会随着时间而持续增长。

BrowseOptionsUpdate 指令现在包括在 RHEL 中

BrowseOptionsUpdate 指令决定了默认打印选项的源和更新频率。它指定系统是否从本地系统或远程打印服务器检索选项，如果它在服务启动时、以特定间隔更新它们。

NetworkManager 和 Nmstate 支持为每个接口配置 IPv4 转发

在这个版本中，NetworkManager 可以为每个网络接口启用和禁用 IPv4 转发。这可直接在 NetworkManager 连接配置集中启用精细的控制，不再需要更新 sysctl 内核设置。如果您在配置集中启用 ipv4.forwarding 参数，则对应的接口充当路由器并转发 IPv4 数据包。使用默认值 auto，NetworkManager 会在任何共享连接处于活跃状态时启用 IPv4 转发，在其他情况下，它使用内核默认值。

KTLS 现在支持为 TLS 1.3 重新密钥

内核传输层安全(KTLS)是 RHEL 中不支持的技术预览，现在支持 TLS 1.3 的内核重新密钥。在以前的版本中，无法进行带有大型数据传输的长期会话，因为初始密钥只能发送有限数量的字节数。在这个版本中，更新会在活跃会话中无缝进行，支持传输大量数据，而无需重启连接。请注意，要使用这个功能，用户空间库（如 OpenSSL 和 GnuTLS）还必须支持 KTLS 重新密钥功能。

nmstate 现在支持 mtu 和 quickack 路由选项

在这个版本中，您可以使用 Nmstate 设置 mtu 和 quickack 路由选项。如果最大传输单元与默认值和调整 TCP 确认行为不同，这些设置对于优化网络性能非常重要。现在，您可以更加精确地控制网络流量行为。

nmstate 现在支持为网络接口配置 FEC 设置

在这个版本中，您可以使用 Nmstate 应用 Forward Error Correction (FEC)模式，如 RS-FEC、Base-R 和 Disabled 到接口。这些设置对于在不重新传输的情况下检测和更正错误来提高数据传输可靠性至关重要。现在，您可以使用 Nmstate 应用 FEC 设置，而不是手动配置它们或使用特定于平台的工具。

NBFT 解析器添加到 nm-initrd-generator

NVMe Boot Firmware Table (NBFT)是使用 ACPI 表将网络引导和存储配置到操作系统的标准方法。nm-initrd-generator 程序现在使用这个解析器来自动检测并应用此配置，并在没有手动设置的情况下创建必要的连接。这个实现替换了 dracut 中的 95nvmf 模块，它依赖于 systemd 自动化来实现更精简且可靠的引导序列。

NetworkManager 现在在使用 IPv6 前缀长度时支持下游接口的固定子网 ID

在这个版本中，在使用 IPv6 前缀长度时，您可以在 NetworkManager 中为下游接口指定固定子网 ID。在以前的版本中，当重启系统时，这些接口的子网 ID 可能会改变。使用固定子网 ID 时，在重启 RHEL 主机时，分配给下游网络中设备的 IPv6 地址不会改变。

nmstate 现在支持使用 MAC 地址而不是接口名称配置路由

使用 Nmstate 时，您可以通过为其分配接口的 MAC 地址来创建网络连接。在这个版本中，您可以在路由配置中的 next-hop-interface 参数中使用配置集名称而不是接口名称。使用此功能，您可以在不了解接口名称的情况下创建静态路由。

nmstate 可以根据 PCI 地址为网络接口分配设置

在这个版本中，您可以使用 Nmstate 根据其 PCI 地址而不是设备名称设置网络接口。使用此功能来确保集群中跨节点的一致性配置。详情请查看 使用带有设备路径的 nmstatectl 配置带有动态 IP 地址 的以太网连接，以及使用设备路径的 nmstatectl 配置以太网连接。

nmstate 现在支持 VLAN 接口的出口和入口优先级映射

NetworkManager 已经支持为 VLAN 接口配置流量优先级映射。在这个版本中，Nmstate 库也可以处理出口和入口优先级服务质量(QoS)映射规则。因此，您可以使用 Nmstate 创建 VLAN 并定义双向优先级映射，以帮助更精确地管理流量。

nmtui 现在支持配置 loopback 接口

NetworkManager 已支持使用 nmcli 工具配置 loopback 接口。此功能增强为 nmtui 应用程序添加了相同的功能。因此，您可以在回环接口上配置 IP 地址和路由。

NetworkManager-libreswan 插件支持使用 Libreswan 默认值

在这个版本中，您可以将 Libreswan VPN 连接配置集中的 no-nm-default 属性设置为 true 来使用 Libreswan 而不是 NetworkManager 的默认值。这样可确保与为原生 Libreswan 定义的配置兼容。现在，您可以配置 subnet-to-subnet 隧道。

Nmstate 中的绑定配置支持优化设置

在这个版本中，Nmstate API 支持以下绑定选项：

iproute rebase 到版本 6.14.0

iproute 软件包已更新至版本 6.14.0。

新的网络数据包丢弃原因和 MIB 计数器

现在，内核的网络堆栈在丢弃网络数据包时提供了更详细的原因。此功能增强还添加了两个新的管理信息基础(MIB)计数器： LINUX_MIB_PAWS_TW_REJECTED 和 LINUX_MIB_PAWS_OLD_ACK。因此，调试和诊断网络问题现在更为容易。

nft monitor trace 命令现在显示连接跟踪信息

现在，您可以使用 nft monitor trace 命令显示连接跟踪的详情。此功能简化了调试连接，有助于更好地了解连接状态。

fwctl 子系统已添加到内核中

如果启用了内核锁定功能，则内核不允许访问 /sys/ 目录和 PCI 配置空间中的 resource0 文件。fwctl 内核子系统管理与软件定义设备中固件的通信，如 mlx5 网络接口控制器。这个子系统建立了一个标准化且安全的远程过程调用(RPC)接口，它允许用户空间应用程序与设备固件交互以进行诊断、配置和更新。除了新的子系统外，mstflint 工具现在也使用 fwctl 子系统，在这些安全环境中完全使用实用程序功能。

ice 驱动程序现在支持减少 PF 的 MSI-X 向量使用情况，以释放相关 VF 的向量

有了这个增强，您可以减少分配给物理功能(PF)的 Message Signaled Interrupts eXtended (MSI-X)向量，以确保有足够数量的向量可用于关联的虚拟功能(VF)。详情请查看 物理功能 的 MSI-X 向量使用情况来释放相关虚拟功能的向量。

named 和 dnssec 工具现在支持硬件令牌的 OpenSSL 供应商

在此次更新之前，在删除 OpenSSL ENGINE 后，无法使用硬件安全令牌为 DNSSEC 区域签名存储私钥。直接使用具有 named 服务的硬件令牌和 ipa-server-dns 软件包中的 DNSSEC 功能时，需要此功能。

NetworkManager 和 Nmstate 支持为每个接口配置 IPv4 转发

在这个版本中，NetworkManager 可以为每个网络接口启用和禁用 IPv4 转发。这可直接在 NetworkManager 连接配置集中启用精细的控制，不再需要更新 sysctl 内核设置。如果您在配置集中启用 ipv4.forwarding 参数，则对应的接口充当路由器并转发 IPv4 数据包。使用默认值 auto，NetworkManager 会在任何共享连接处于活跃状态时启用 IPv4 转发，在其他情况下，它使用内核默认值。

RHEL 10.1 中的内核版本

Red Hat Enterprise Linux 10.1 与内核版本 6.12.0-124.8.1 一起分发。

Intel Panther Lake CPU 支持的 perf core 计数器

在以前的版本中，用户无法在 Intel Panther Lake CPU 上使用 perf core 计数器来监控硬件事件。在 perf 软件包中添加了 Panther Lake 支持后，用户可以访问此微架构上的硬件事件监控。

rteval 的默认测量模块现在是 rtla timerlat，用于更好地追踪问题延迟

有了这个增强，您应能够轻松识别问题延迟的来源。可以使用 rteval.config 文件选择所需的 cyclictest measurement 模块。

kpatch-dnf 插件通过改进的内核管理来更新

在此次更新之前，kpatch-dnf 插件无法与 kpatch 支持使内核升级保持一致。因此，管理员可能会安装或升级到 kpatch 不支持的内核，从而增加运行不支持的内核的风险，并降低系统稳定性。

perf 工具 rebase 到上游 v6.14

perf 工具及其内核后端被 rebase 以与上游版本 v6.14 保持一致。这个版本引进了几个改进和程序错误修复。最值得注意的是，以下内容：

添加了对 virtio 设备的支持

在此次更新之前，KVM 客户端中的 virtio 设备都列为 generic-ccw。有了这个增强，您可以使用 lszdev 命令轻松地识别在哪个设备号连接了哪些设备类型：

内核中Intel Arrow Lake U RAPL 能源事件支持

内核软件包 现在支持 Intel Arrow Lake U microarchitecture 的 RAPL (Running Average Power Limit)能源性能计数器。在这个版本中，perf 工具为 Arrow Lake U 平台标识节能事件，以监控 CPU 内核、GPU、软件包和系统域的能源使用情况。

自适应 PEBS 支持在 Intel Panther Lake 上的 perf 中启用计数器快照支持

在此次更新之前，Linux 内核的 perf 工具依赖于基于软件的示例读取来收集性能事件数据。这种方法引入了小时间差距，以及事件溢出后读取计数器时的额外开销。在这个版本中，adaptive PEBS 计数器快照在 Intel Panther Lake CPU 上提供。使用此功能，内核使用 PEBS 格式版本 6 直接在 PEBS 记录中捕获可编程计数器、固定功能计数器和性能指标。

Intel Trace Hub 支持 Intel Panther Lake

在此次更新之前，内核软件包 不支持 Intel Panther Lake (P、H、U 变体)。在这个版本中，Panther Lake 平台的设备 ID 添加到内核软件包中的 Intel Trace Hub 中。

对 Intel Clearwater Forest 的 perf uncore 事件支持

perf 软件包在 Clearwater Forest 微架构上添加非核心事件监控。在这个版本中，perf 软件包支持 Clearwater Forest 系统上的非内核事件监控。因此，用户可以在支持的硬件上执行高级性能分析和调试。

对 Intel Clearwater Forest 的 perf core 事件支持

perf 软件包在 Clearwater Forest 微架构上添加核心事件监控。因此，用户可以使用 perf 监控和分析 Intel Clearwater 上核心级别的性能事件。

AMD Milan CPU 支持使用 RAPL perf 事件进行每个内核能源跟踪

在此次更新之前，AMD 系统上的能源监控仅限于软件包级别的测量。在这个版本中，内核软件包通过 AMD Milan CPU 上的运行平均电源限制(RAPL)性能事件支持每个内核能源跟踪。因此，您可以测量和分析单个内核级别的能源消耗，以便更精细的性能和电源管理。

Intel Arrow Lake H microarchitecture 支持添加到 intel_th

在此次更新之前，Intel Trace Hub 无法识别 Arrow Lake H NPK 设备 ID，这会对使用这个硬件的系统进行追踪和调试功能。在这个版本中，Intel Arrow Lake H microarchitecture 支持 Intel Arrow Lake H microarchitecture。通过新的支持，用户在 Arrow Lake H 平台上增强了追踪和调试功能。

在内核中为 Intel Arrow Lake H 启用 perfmon 支持

在这个版本中，内核软件包 在 Intel Arrow Lake H microarchitecture 上为 Core、Uncore、Cstate 和 MSR 功能提供 PerfMon 支持。因此，您可以使用 perf 工具监控和分析特定于 Arrow Lake H 系统的性能指标。

KVM 模块集成到 realtime 内核软件包中

在这个版本中，删除了 RHEL 中 realtime 内核的 KVM 模块软件包的生成，与决定使 realtime 内核成为基础 RHEL 的部署选项保持一致。这个更改简化了部署过程，将 KVM 模块直接集成到 realtime 内核软件包中，并消除了单独的 kernel-rt-kvm 软件包。因此，用户在 RHEL 上部署 realtime 内核时，用户将遇到更加无缝、高效的设置，从而提高了整体用户体验。

在 perf 工具中添加了 Processor Trace Trigger Tracing (PTTT)支持

在这个版本中，性能分析通过引入 Processor Trace (PT) Trigger tracing 提升。这可让软件选择特定的事件作为暂停和恢复追踪活动的触发器点，从而提高性能监控的效率和准确性。这导致了更高效和有针对性的追踪，最终为应用程序的性能提供更清晰的理解。

python-drgn rebase 到版本 0.0.31

python-drgn 已 rebase 到版本 0.0.31。这个版本引进了几个改进和新功能：

eBPF 子系统 rebase 到版本 6.14。

eBPF 子系统 rebase 到 Linux 内核上游版本 v6.14。此版本包括以下变化和增强：

perf 工具 rebase 到上游 v6.15

perf 工具及其内核后端被 rebase 以与上游版本 v6.15 保持一致。这个版本引进了几个改进和程序错误修复。最值得注意的是，以下内容：

crash rebase 到 9.0.0

crash 软件包（为实时系统和各种转储文件提供内核分析工具）已 rebase 到上游版本 9.0.0。此版本提供几个修复和增强，最重要的是：

默认配置现在在 rng-tools中禁用 jitter 熵源

现在，在 rng-tools 中默认禁用 jitter 熵源。现代 CPU 提供硬件熵源，大多数虚拟机都将 /dev/hwrng 设备作为虚拟主机中的熵源提供。在这些环境中，jitter 熵源会消耗不必要的 CPU 周期。对于没有硬件熵源的旧硬件，您可以在 /etc/sysconfig/rngd 中明确启用 jitter 熵源。

stalld 不再与 dl-server 一起工作冲突

在这个版本中，stalld 功能会检测主机内核中的 dl-server，并只增强 dl-server 无法运行的任务。目前，dl-server 不会增强 FIFO 任务。您可能希望在系统升级过程中继续使用 stalld，并禁用 dl-server。dl-server 是负责运行 starving 任务的唯一实体。

x86_64 和 aarch64上的 RHEL 10 安全引导 shim 签名

RHEL 10 需要经过签名的 shim 二进制文件，才能在 AMD 和 Intel 64 位构架和 64 位 ARM 架构中启用安全引导。如果没有经过签名且可信的 shim，带有强制安全引导的系统没有引导，这会影响企业和云部署。

multipathd 支持基于文件的套接字

在这个版本中，multipathd 守护进程除 abstract 命名空间套接字外，还会侦听基于文件的套接字 /run/multipathd.socket 上的命令。您可以使用新套接字文件的绑定挂载，从容器中与主机的 multipathd 守护进程通信。

LVM RAID 在多个同时设备失败后修复卷

有了这个增强，您可以使用 lvconvert --repair /dev/VG-name/LV-name 命令重新集成缺少的 RAID 设备回条带 RAID (raid4、raid5 和 raid6)。即使临时缺少的设备数量超过 RAID 级别的容错性，在设备重新应用后，这个修复过程也可以正常工作。请注意，在修复卷之前，您必须卸载并停用卷以及顶部的文件系统。

IPaddr2 资源代理现在检测到网络链接失败

在此次更新之前，IPaddr2 资源代理不会监控网络接口的链接状态。因此，IPaddr2 资源继续报告节点上的成功，即使底层接口处于 DOWN 或 LOWERLAYERDOWN 状态，从而导致集群在另一个节点上恢复资源。

AWS 资源代理重复使用 IMDS 令牌来提高可靠性

在此次更新之前，AWS 资源代理为每个操作请求一个新的实例元数据服务(IMDS)令牌。这可能会导致单个节点上的大量 API 调用，这会增加资源故障的风险，特别是在具有多个 AWS 资源的环境中。

awsvip 资源代理允许指定网络接口

在此次更新之前，awsvip 资源代理总是将虚拟 IP 地址分配给 EC2 实例的主网络接口。无法将二级网络接口用于该资源。

fence_sbd 代理可以自动检测 SBD 设备

在此次更新之前，在配置 fence_sbd 资源时，您需要使用 devices 参数明确指定 SBD 设备路径。

watchdog 设备列表提供更详细的信息

在此次更新之前，当列出可用的 watchdog 设备时，输出仅显示设备路径，如 /dev/watchdog0。这使得管理员难以区分同一系统上的多个设备。

Nutanix AHV 虚拟化的新隔离代理现在可用

在以前的版本中，红帽高可用性附加组件没有为 Nutanix Acropolis Hypervisor (AHV)环境提供专用的隔离代理。

pcs 在删除最后一个隔离设备前警告用户

在此次更新之前，pcs allowed users to disable or remove the last fence device from a cluster, without a warning.这可能会意外地使集群处于不受支持的状态，而无需配置任何 STONITH 或 SBD 隔离。

pcs 为失败的 CIB 更新提供更详细的错误消息

在以前的版本中，当使用 pcs cluster edit 或 pcs cluster cib-push 命令时 CIB 更新失败时，Pacemaker 提供的错误消息是通用的。它没有解释故障的具体原因，这会导致对无效配置进行故障排除。

pcs alert config 命令现在支持多种输出格式

在以前的版本中，pcs alert config 命令只以人类可读的纯文本格式显示其输出。这个格式不适用于机器解析或轻松复制配置。

改进了 pcs resource meta 命令，以支持捆绑包，并防止客户机节点错误配置

在以前的版本中，pcs resource meta 命令不支持管理捆绑包资源的 meta 属性。另外，命令不会阻止用户错误地修改客户机节点的连接参数，这可能会导致错误的资源。

新的 pcs 命令可用于重命名集群

在以前的版本中，无法使用 pcs 命令更改现有集群的名称。管理员必须执行一系列手动步骤，这些步骤比较复杂，并可能导致错误。

pcs node 属性和 pcs node utilization 命令现在支持多种输出格式

在以前的版本中，pcs node 属性和 pcs node utilization 命令仅以人类可读的纯文本格式显示其输出。这个格式不适用于机器解析或轻松复制配置。

pcs 会自动验证 CIB 以了解潜在的问题

在以前的版本中，pcs 工具不会自动在 Cluster Information Base (CIB)上运行高级验证检查。因此，某些集群错误配置可能会在常规操作过程中保持不变。

用于管理加密卷的新 crypt 资源代理

在以前的版本中，红帽高可用性附加组件不提供用于管理加密设备的资源代理。这使得难以将 cryptsetup 加密的卷配置为 Pacemaker 集群中高度可用的资源。

PostGIS 扩展可用于 PostgreSQL

此功能增强为 PostgreSQL 添加了 PostGIS 扩展。借助此扩展，PostgreSQL 支持地理对象，启用对 Geographic Information System (GIS)应用程序的 patial 查询和分析，如关系数据库中的映射、地理位置和距离计算。

glibc 现在支持 sched_setattr 和 sched_getattr 用于高级调度程序选项

在以前的版本中，glibc 通过 < sched.h> 中定义的功能只能访问一组有限的 Linux 调度程序选项。这限制了使用直接系统调用或 Linux 内核标头访问高级调度功能所需的应用程序。

Geomap 支持为 grafana-pcp中的 PCP Valkey 数据源添加

在以前的版本中，用户无法在 Grafana 中的映射上视觉化 PCP 指标，因为 PCP Valkey 数据源不提供 geomap 面板所需的 longitude 和 latitude 标签。这种限制使得在不同位置上监控系统的性能比较困难。

llvm-toolset rebase 到 LLVM 20

llvm-toolset 更新至 LLVM 20，在 C、C++ 和 Rust 工作流之间提供改进的代码生成、性能优化以及扩展语言前端和库支持。此 rebase 协调 RHEL 中的依赖组件，包括为 Rust、annobin、bcc、bpftrace、qt5-qttools 和 mesa 重建。通过 llvm-20.1.8-1.el10 验证构建。

GDB 现在支持 IBM 的 z17 CPU 架构

gdb 软件包已被改进，以支持使用 IBM 的 z17 CPU 架构引入的新硬件指令的二进制文件。在这个版本中，开发人员和系统管理员能够调试在 RHEL 10.1 上为最新的 IBM Z 硬件编译的应用程序。

GCC Toolset 15 现已正式发布

在这个版本中，在 RHEL 10.1 中提供了 gcc-toolset-15。工具集包括 GCC 和相关实用程序的最新支持版本，使开发人员能够利用最新的编译器技术构建、测试和部署应用程序。

glibc 在 x86_64 上提供 GLIBC_ABI_GNU2_TLS 符号

glibc 在 x86_64 系统上包括 GLIBC_ABI_GNU2_TLS 符号。使用 gnu2 线程本地存储访问惯例的程序可能需要此符号才能启动。在此次更新之前，如果 glibc 没有提供这个符号，受影响的程序将无法启动。在这个版本中，依赖于 GLIBC_ABI_GNU2_TLS 的程序按预期启动和运行。

glibc 为 x86_64 添加了 GLIBC_ABI_DT_X86_64_PLT 符号支持

在此次更新之前，需要 GLIBC_ABI_DT_X86_64_PLT 符号的程序在 glibc 中没有时无法启动。有了这个增强，glibc 包含 x86_64 系统的 GLIBC_ABI_DT_X86_64_PLT 符号。有了这个增强，需要此符号的程序现在可以按预期运行。

更新的 glibc 头文件与 Linux 6.12 UAPI 保持一致

Red Hat Enterprise Linux 10 中的 glibc 头文件被更新为包含来自 Linux 内核版本 6.12 的最新的 Linux 用户空间 API (UAPI)合并。 因此，开发人员可以在构建应用程序时访问新的和修订的 UAPI 常量，确保与最新内核功能保持一致和兼容性。

GDB 被 rebase 到版本 16.3

这个 gdb 更新至 RHEL 10.1 中的版本 16.3 提供了以下显著改进：

IBM z16 的 GCC 调整默认为 s390x

在 RHEL 10.1 中的 s390x 架构上由 gcc 编译器生成的代码的默认调整现在与 IBM z16 一致。

对 IBM Z z17 的初始支持添加到 glibc

glibc 中的动态加载程序已被改进，以支持检测 IBM z17 CPU 或它们的特定功能。因此，在 /usr/lib64/glibc-hwcap/z17/ 目录中安装的任何 IBM z17 优化库都会在 z17 系统上自动加载。这个版本提高了 IBM Z z17 平台的硬件兼容性和性能。

Rust Toolset rebase 到版本 1.88.0

RHEL 10.1 提供了 1.88.0 中的 Rust Toolset。这个版本包括以下显著的改进：

tzdata 包括 NEWS 文件

在这个版本中，tzdata 软件包包括其 NEWS 文件，每个发行版本都提供了时区数据更改的精确描述。因此，您可以详细介绍什么变化。用户可以检查附带的 NEWS 文件，以了解更新中更改的内容。

Red Hat build of OpenJDK 25 可用

红帽推出红帽构建的 OpenJDK (Open Java Development Kit) 25 的最新长期支持(LTS)版本，这是 Java 平台标准版(Java SE)的免费开源实施。从 RHEL 10.1 开始，红帽构建的 OpenJDK 25 可用。有关 OpenJDK 生命周期、支持政策和所有支持的配置的更多信息，请参阅 OpenJDK 生命周期和支持政策。

ipa-healthcheck 现在会发出与过期证书相关的警告

在这个版本中，ipa-healthcheck 工具评估用户提供的 HTTP、DS 和 PKINIT 证书以进行过期，并在其过期日期前提供 28 天警告。这是为了防止证书过期，这可能会导致停机。

ansible-freeipa rebase 到 1.15.1

ansible-freeipa 软件包（提供管理 Red Hat Identity Management (IdM)环境的模块和角色）已从 1.13.2 升级到 1.15.1。更新包括以下功能增强：

如果启用了 krbLastSuccessfulAuth，则 Healthcheck 会警告

如果同时验证大量用户，在 ipaConfigString 属性中启用 krbLastSuccessfulAuth 设置可能会导致性能问题。因此，它会被默认禁用。在这个版本中，如果启用了 krbLastSuccessfulAuth，Healthcheck 会显示一条消息，警告可能的性能问题。

IdM 现在支持最多 Linux 最大 UID 限制的 UID 用于旧的系统兼容性

在这个版本中，您可以使用用户和组 ID 最多 4294、967、293 或 2^32-1。这会使 IdM 的最大值与 Linux UID 限制一致，在标准 IdM 范围最多为 2,147,483,647 的个别情况下非常有用。具体来说，它启用了 IdM 部署以及需要完整 32 位 POSIX ID 空间的传统系统。

samba rebase 到版本 4.22.4

samba 软件包已更新至版本 4.22.4。此版本提供了 bug 修复和增强，最重要的是：

Identity Management Upgrade Helper

Identity Management Upgrade Helper 是一个新应用程序，简化了将 IdM 环境升级到较新的 RHEL 版本。它提供了一个升级计划，其中包含特定于您的升级路径的逐步说明。因此，您可以使用应用程序准备部署，设置新副本，并使用明确的说明弃用旧服务器。

现在，您可以使用 dsconf 或 Web 控制台从属性唯一验证中排除子树

在这个版本中，您可以直接通过 dsconf 实用程序和 web 控制台为 Attribute Uniqueness 插件配置 uniqueness-exclude-subtrees 参数。在此次更新之前，只有使用 ldapmodify 程序设置 uniqueness-exclude-subtrees。

389-ds-base rebase 到版本 3.1.3

389-ds-base 软件包已更新至版本 3.1.3。此版本提供各种程序错误修复和增强，最重要的是：

属性唯一插件中的自定义匹配规则用于搜索唯一属性

在这个版本中，在属性唯一插件配置中，您可以为您要强制唯一性的属性指定匹配的规则。例如，当您想从 大小写准确 或问题单中覆盖属性的语法时，会忽略。

JSON 格式可用于 389-ds-base中的访问和错误日志

在这个版本中，您可以使用以下命令为访问和错误日志文件配置 JSON 格式：

新的 list --full-dn 选项可用于 dsidm 工具

在这个版本中，您可以使用 list --full-dn 选项来获取同一类型条目的完整可分辨名称(DN)列表。例如，要查看角色 DN，请使用以下命令：

389-ds-base 日志文件现在包含用于绑定或修改操作的会话标识符

有了这个增强，复制插件可用于会话跟踪功能，在 389-ds-base 中更正与消费者操作的复制协议活动。

ACME 服务器添加了对 ES256 签名算法的支持

在以前的版本中，自动证书管理环境(ACME)服务器不支持 JSON Web 密钥(JWK)验证的 ES256 签名算法。缺少支持会阻止某些客户端（如 Caddy web 服务器）成功获取证书。

IdM-to-IdM 迁移现在可用

IdM-to-IdM 迁移以前作为技术预览提供，现在完全支持。您可以使用 ipa-migrate 命令将所有特定于 IdM 的数据（如 SUDO 规则、HBAC、DNA 范围、主机、服务等）迁移到另一个 IdM 服务器。例如，当将 IdM 从开发或暂存环境移到生产环境中时，这很有用。

HSM 现在在 IdM 中被完全支持

硬件安全模块(HSM)现在在身份管理(IdM)中被完全支持。您可以在 HSM 上存储用于 IdM 证书颁发机构(CA)和密钥恢复授权(KRA)的密钥对和证书。这为私钥材料增加了物理安全。

改进了具有多个 PKCSxdg 令牌的环境的智能卡验证

SSSD 智能卡验证已被改进，以便在同时插入多个 PKCSredfish 令牌的环境中处理身份验证。这提高了身份验证，特别是在需要多个用户帐户的 STIG 兼容环境中，每个用户帐户都有不同的特权，通常绑定到单独的 PKI 令牌。

新的 SSSD 选项 ldap_read_rootdse 来控制 RootDSE 读取

有了这个更新，SSSD 提供了一个新的选项 ldap_read_rootdse，用于控制 SSSD 如何从 LDAP 服务器读取 Root Directory Service Entry (RootDSE)。默认情况下，SSSD 在用户进行身份验证前，匿名读取 RootDSE。但是，这个默认行为可能与严格的安全策略冲突，这些策略通常会将所有匿名绑定限制到 LDAP 服务器。

在基于 UBI 的 Toolbx 容器中默认支持 OpenGL 和 Vulkan

在此次更新之前，您必须手动安装与 Mesa 相关的软件包，才能启用 OpenGL 和 Vulkan 支持，这没有直观或记录。

cockpit rebase 到版本 344

cockpit 软件包已更新至版本 344，与 RHEL 10.0 中的 334 版本相比提供了很多改进和修复，最重要的是：

新子软件包： cockpit-ws-selinux

cockpit_ws 进程的 SELinux 策略在单独的子软件包 cockpit-ws-selinux 中提供。这可防止 RHEL web 控制台在没有安装 SELinux 的系统中运行时失败，因为软件包管理器会将 selinux_policy 软件包作为依赖项安装。如需更多信息，请参阅系统中的 cockpit_ws_selinux (8) 手册页。

引入了一个变量 MaxRetention 来配置最大保留参数

在这个版本中，用户可以为 journald 配置最大保留参数，从而启用基于时间的日志文件删除。此功能增强提供了根据特定数据保留策略管理日志数据的灵活性，允许同时删除基于时间的日志和基于大小的删除。它有助于遵守数据保留要求，并通过防止过量日志存储来提高整体系统性能。

metrics 角色支持启用额外的 PCP PMDA

在这个版本中，rhel-system-roles 软件包会将 metrics_optional_domains 变量添加到 metrics 系统角色中。域是一组由性能指标域代理(PMDA)管理的指标，如数据库、专用硬件或应用。使用此变量启用其他 PMDA。该角色将这些 PMDA 添加到默认设置（例如，内核）和角色的 PMDA （如 SQL Server 数据库）。因此，用户可以启用他们针对特定用例所需的域，从而提高了数据收集和监控的灵活性。

在 rhel-system-roles中配置默认内核的功能

在以前的版本中，用户无法指定在系统引导过程中应将哪个内核设置为默认值。这个限制会阻止管理员通过自动化管理默认内核选择。

ad_integration RHEL 系统角色可以控制 SSSD 域部分命名并整合重复

在这个版本中，用户可以控制 SSSD 配置文件用于域或域特定设置中使用的部分名称，如 ad_dyndns_update 和 ad_integration_sssd_custom_settings 参数管理。默认情况下，ad_integration 角色使用 ad_integration_realm 变量的小写。但是，如果用户想要使用 ad_integration_realm 的实际情况，用户可以使用一个新的选项 ad_integration_sssd_realm_preserve_case = true 来保留域的情况。这可能会使 SSSD 配置文件保留为 realm 的多个部分。使用新的 ad_integration_sssd_remove_duplicate_sections 设置，将来自多个部分的所有设置整合到所选部分中。因此，ad_integration 系统角色可以正确地管理 SSSD 配置文件中的 domain 和 realm 部分。

journald RHEL 系统角色可以监控磁盘空间

在这个版本中，您可以配置 journald.conf 日志服务中的 SystemKeepFree 选项，来为系统日志设置最大大小。这提高了整体系统稳定性和性能。因此，您可以使用 journald_system_keep_free 变量来配置大小限制。该值以 MB 为单位指定。没有默认值 - 默认情况下，它将使用 journald 默认值。

在 ad_integration 角色中引入了软件包安装的灵活性

在以前的版本中，ad_integration 角色总是会尝试安装所需的软件包，如 realmd、sssd-ad、adcli 以及 __ad_integration_packages 中列出的更多内容。在外部系统处理软件包管理的环境中，例如，通过此角色之外的配置管理、预先获取的镜像或不可变系统，这一步是冗余且不可取的。

firewall RHEL 系统角色现在支持包括其他服务

在这个版本中，在使用 firewall RHEL 系统角色创建 firewalld 服务定义时，您可以包括其他服务。例如，您可以创建一个包含 http 和 https 服务的服务 webserver。如果您启用 webserver 服务，firewalld 会打开 http 和 https 服务中定义的端口。详情请参阅 使用 firewall RHEL 系统角色创建自定义 firewalld 服务。

podman 角色生成所有 TOML 兼容配置文件

在此次更新之前，当前的基于 Jinja 的格式器不支持许多 TOML 功能，包括表和内联表，这是配置 podman 的所有方面所必需的。在这个版本中，使用 true TOML 格式而不是简单的 Jinja 模板支持 TOML 的所有功能。因此，podman 角色可以生成任何 podman 可以使用的 TOML 兼容配置文件。

metrics 角色现在支持 Apache Spark 指标集合和导出

在以前的版本中，用户无法使用 metrics 角色直接收集或导出 Apache Spark 指标。有了这个更新，rhel-system-roles 软件包增加了对从 Apache Spark 收集和更新指标的支持。引入了两个新布尔值参数：

在使用 rhel-system-roles.timesync 角色时，为 chronyd 服务启用 IPv4 操作

在这个版本中，当节点上禁用 IPv6 时，用户可以自定义 RHEL 10.1 上的 chronyd 配置。增强提供了两个选项：为 timesync 角色添加一个设置来禁用 IPv6，或者传递参数来为 chronyd 设置 OPTIONS 值。这些选项在使用 rhel-system-roles.timesync 角色时，为 chronyd 服务启用 IPv4 操作。这提高了禁用 IPv6 的环境的时间同步准确性和稳定性。

ha_cluster RHEL 系统角色现在可以导出资源定义

在以前的版本中，ha_cluster RHEL 系统角色的导出功能不包括与集群资源相关的变量，如原语、组和克隆。这使得使用角色获取现有集群配置的完整可重复使用的定义变得困难。

ha_cluster RHEL 系统角色现在可以导出操作系统和 pcsd 配置

在以前的版本中，当使用 ha_cluster RHEL 系统角色导出现有集群的配置时，导出不包括重要的操作系统级别设置，如存储库、防火墙或 SELinux 配置。这会导致定义不完整，因此很难从导出的数据完全重新创建集群。

virtio-mem 在 IBM Z 上提供

有了这个更新，virtio-mem 是半虚拟化内存设备，可用于 IBM Z 硬件。通过使用 virtio-mem，您可以在虚拟机中动态添加或删除主机内存。

用于 IBM Z 主机的新命令： virsh hypervisor-cpu-models

这个版本引进了 virsh hypervisor-cpu-models 命令。您可以在 IBM Z 构架中使用这个命令来显示您的 hypervisor 识别的 CPU 型号。

virt-v2v 现在可以转换使用 NVMe 磁盘的 VMware 虚拟机

在这个版本中，在分析 VMware hypervisor 上创建的虚拟机(VM)配置时，libvirt 工具集可以正确地检测到非易失性内存表达(NVMe)磁盘。现在，可以使用 virt-v2v 工具为 KVM hypervisor 转换此类虚拟机。

快速初始化 NetKVM 参数 

在这个版本中，为 NetKVM 驱动程序添加了一个 Fast Initialization (FastInit)参数。启用此参数可确保驱动程序仅将所需内存块的一部分分配给虚拟队列，然后表示内核的就绪状态。然后在后台初始化剩余的内存块。 

virtio-mem 可用于 Windows 虚拟机

有了这个更新，您可以使用 virtio-mem、半虚拟化内存设备，以及运行在 RHEL 10 主机上的 Windows 虚拟机(VM)。使用 virtio-mem 设备，您可以为虚拟机动态添加或删除主机内存。

IBM Z 客户机的性能增强 PCI 转换

在这个版本中，IBM Z 主机上的虚拟机可以使用身份映射直接内存访问(DMA)进行 PCI 设备。这个功能显著提高 PCI 设备透传的性能。请注意，要使用这个功能，您的系统必须配置如下：

基于 virtio 的键盘驱动程序改进

在这个版本中，新的基于 virtio 的键盘驱动程序可在虚拟机中捕获早期键盘输入，特别是在固件设置屏幕中和 GRUB 引导装载程序中。

VM 实时迁移的新选项 ：--available-switchover-bandwidth

当使用 virsh migrate --live 命令实时迁移虚拟机(VM)时，您现在可以添加 --available-available-switchover-bandwidth 选项来指定迁移切换到预复制过程中目标主机的带宽。默认情况下，虚拟机监控程序会自动测量可用的带宽，但当这可能无法可靠地确保实时迁移成功完成时，使用 -available-switchover-bandwidth 可以解决这个问题。

虚拟机现在可以使用 MSDM ACPI 表

在某些 Windows 客户机操作系统上，许可证激活需要使用 Microsoft Data Management (MSDM)高级配置和电源接口(ACPI)表来配置客户机。现在，您可以在 RHEL 上托管的虚拟机(VM)上设置 MSDM ACPI 表。要做到这一点，在虚拟机的 XML 配置中使用以下行：

支持禁用 UEFI 虚拟机的固件配置屏幕

在这个版本中，在 QEMU 中添加了新的阻止 UEFI 虚拟机的固件配置屏幕的功能。阻塞固件配置屏幕可以防止对固件配置应用程序的未授权访问，并确保虚拟机仅从授权设备引导。

主机关闭时虚拟机操作的精细配置

在这个版本中，可以对主机关闭时如何处理虚拟机(VM)配置 libvirt 驱动程序。例如，您可以将虚拟机内存配置为在主机关闭时保存，并使虚拟机在主机启动时从保存的内存自动启动。有关特定配置选项，请查看 /etc/libvirt/virtqemud.conf 文件中的 auto_shutdown 参数。 

新的 QEMU 配置参数： migrate_tls_priority

在这个版本中，您可以在 /etc/libvirt/qemu.conf 文件中配置 migrate_tls_priority 参数。您可以使用此参数在实时迁移虚拟机时解决 TLS 的 QEMU 问题。要获得推荐的值，如果默认值不适用于您的部署，请联系红帽客户支持。

64 位 ARM 主机上虚拟机的新功能

现在，在使用 64 位 ARM 架构(aarch64)的 RHEL 主机上支持以下功能：

现在，使用 post-copy 虚拟机迁移可以进行 multifd pre-copy

在这个版本中，您可以将 multifd pre-copy migration 与 post-copy 迁移合并。因此，您可以使用预复制阶段启动迁移来实时迁移内存密集型虚拟机(VM)，它使用多个文件描述符(multifd)来快速迁移大多数内存页面，然后切换到复制后迁移。与标准实时迁移相比，这个组合提供了更好的迁移性能和灵活性。具体步骤请参阅 使用命令行迁移虚拟机。

SecureBoot 虚拟机支持的直接内核引导

在这个版本中，您可以在使用 SecureBoot 功能配置的虚拟机(VM)中设置直接内核引导。要做到这一点，在虚拟机的 XML 配置中使用 <shim > 参数，例如： 

支持 virtio-scsi 设备中的多个 I/O 线程

有了这个更新，您可以为单个 virtio-scsi 设备配置多个 I/O 线程。要做到这一点，请在附加设备的虚拟机的 XML 配置中使用 < iothreads > 参数。这提供了额外的选项来微调虚拟 SCSI 设备的性能和可扩展性。

虚拟机的 SCSI 透传支持

在这个版本中，RHEL 支持虚拟机的 SCSI 透传。使用此功能，虚拟机可以直接访问主机 SCSI 设备，如磁带驱动器和存储区域网络(SAN)逻辑单元号(LUN)。

对虚拟机的 SCSI3 持久保留支持

在这个版本中，RHEL 支持虚拟机(VM)的 SCSI3 Persistent Reservation (S3-PR)。此功能使多个虚拟机能够协调对共享存储设备的访问，这对 Linux 集群解决方案（如 Pacemaker 和 Windows Server Failover 集群）至关重要。

增强了对有资格的 RHEL 镜像的自动注册

在这个版本中，基于符合条件的市场镜像的 RHEL 实例会自动接收来自红帽内容交付网络(CDN)的内容和更新，而不是 Red Hat Update Infrastructure (RHUI)。RHUI 软件仓库默认关闭。

RHEL 在 Azure 机密虚拟机上提供

您可以使用 RHEL CVM 镜像在 Microsoft Azure 上创建并运行 RHEL 机密虚拟机(CVM)。镜像通过 Azure 中的机密操作系统磁盘加密功能支持完全磁盘加密。

新软件包： azure-vm-utils

这个更新添加了 azure-vm-utils 软件包，它提供了一个实用程序和 udev 规则集合，以优化在 Microsoft Azure 上使用 RHEL 10 作为客户机操作系统的体验。

sos 现在收集 Satellite 指标文件以改进支持诊断

sos 的 foreman-installer 插件现在收集位于 /var/lib/foreman-maintain/ 目录中的 satellite_metrics.yml 文件。它可让您了解 Satellite 正在使用哪些功能以及大规模。

RHEL 中正式发布新的 rhel10/valkey-8 容器镜像

新可用的 rhel10/valkey-8 容器镜像允许原子操作，并支持各种数据类型，如字符串、散列、列表、集合和排序的集合。镜像提供高性能，因为它的内存中数据集，可以通过将命令附加到磁盘或附加命令到日志中。

改进了对可重复生成的容器构建的支持

可重复生成的构建可确保给定输入集合一致生成相同的输出。此功能增强解决了之前在容器镜像构建中复杂可重复生成的几个因素。虽然 use -source-date-epoch and -rewrite-timestamp 提高了构建的可重复性，并与设置和查找 $SOURCE_DATE_EPOCH 等常见实践保持一致，但它不能保证完全的可重复性。

Podman RESTFUL API 的新工件端点

Podman RESTFUL API 现在包括新的工件端点，实现 OCI 工件程序管理。此功能增强简化了将 OCI 工件操作整合到现有系统和脚本中。

Container Tools 软件包已更新

提供了更新的 Container Tools RPM meta-package，其中包括 Podman、Buildah、Skopeo、crun 和 runc 工具。Buildah 软件包已更新至版本 v1.41.0，Skopeo 已更新至版本 1.20.0。

ADD 和 COPY 指令现在支持- -link 选项

Buildah 和 Podman 现在支持 Containerfiles 中的 ADD 和 COPY 指令的-- link 标志，这会导致在构建镜像中添加新内容作为自己的层。

firewalld中现在提供了 StrictForwardPorts

当 /etc/firewalld/firewalld.conf 配置文件中的 StrictForwardPorts 选项被设置为 yes 时，不再可能从 Podman 进行端口转发，并尝试使用 -p 或 -P 选项启动容器或 pod 会返回错误。所有端口都必须使用 firewalld 进行转发。这样可确保容器不允许流量通过防火墙，而无需管理员干预。详情请查看 netavark-firewalld 手册页。

新的 rhel10/nodejs-24 和 rhel10/nodejs-24-minimal 容器镜像

Red Hat Container Registry 中现在提供了实时 registry.redhat.io/rhel10/nodejs-24 和 registry.redhat.io/rhel10/nodejs-24-minimal 容器镜像。

RHEL 镜像模式支持在运行时创建根目录和符号链接

在这个版本中，您可以使用 RHEL 镜像模式在系统部署后创建根目录和符号链接，然后将文件系统返回到只读模式。因此，您可以在具有不同文件系统要求的多个部署环境中使用单个基础镜像。

bootc-image-builder 默认使用本地容器存储

在这个版本中，bootc-image-builder 工具默认在本地模式下运行，这意味着它不再从远程 registry 中拉取容器镜像。要构建磁盘镜像，您必须在构建磁盘镜像前预加载系统本地容器 registry 中的基本引导容器镜像。如果您有依赖于自动镜像拉取(pull)的现有工作流，您必须更新它们。此更改通过在构建过程中减少外部网络依赖项来提高安全性。

命令行助手支持 RHEL 的镜像模式

有了这个增强，您可以自定义 Containerfile 使其包含 命令行助手 软件包，从容器镜像创建磁盘镜像，并使用该镜像引导系统。因此，系统镜像预安装了命令行助手，您可以在使用 subscription-manager 注册系统后使用它。

命令行助手上下文限制增加到 32KB 的输入

在此次更新之前，命令行助手具有 2KB 的输入上下文限制，从而导致输入超过这个限制时失败。因此，用户体验有限，防止因为 2KB 输入上下文限制而进行彻底的日志分析。在这个版本中，命令行助手输入上下文限制已从 2KB 增加到 32KB。因此，命令行助手现在支持更大的输入上下文，从而提供更好的日志分析和潜在的问题检测。

RHEL Lightspeed 的命令行助手可以更好地处理错误处理和退出代码

有了这个增强，命令行助手可以提供更好的错误处理和退出代码，例如：

命令行 assistant -w 选项显示当前的输出

在此次更新之前，当您试图在没有当前启用捕获模式的情况下使用 -w 选项时，命令行助手会错误地显示之前会话的输出。在这个版本中，终端捕获日志文件会在从 -w 选项输出前主动验证。因此，上面提到的问题已被修复，显示的输出是准确的。

通过红帽提供的加速器驱动程序

在 RHEL 10.1 中，第三方加速器驱动程序和计算堆栈（例如来自 AMD NVIDIA 和 ROCm 的 CUDA）可直接从红帽安装。内核驱动程序在红帽基础架构中构建并签名，并使用安全引导。另外，一个新的 AppStream 组件 rhel-drivers 可简化这些第三方驱动程序的安装和常规更新通过现有的 dnf 更新过程。

使用 rhel-drivers简化了第三方驱动程序安装

RHEL 10.1 引入了 rhel-drivers 安装程序，它包括在 AppStream 存储库中。使用这个工具，您可以使用单一、统一的命令行界面为 GPU 和 AI Accelerators 更轻松地安装第三方硬件驱动程序。rhel-drivers 工具通过直接从 RHEL 扩展和补充频道拉取软件包来管理复杂驱动程序堆栈的安装，如 NVIDIA 内核模块和 CUDA 库。

image-builder-cli 替换 osbuild-composer 和 composer-cli （技术预览）

在这个版本中，您可以安装和使用新的 image-builder-cli 软件包，以使用一个命令构建镜像。新工具支持容器并增强了您的用户体验，以创建可用于构建其他镜像的容器镜像。这个功能是一个技术预览功能。如需了解更多详细信息，请参阅安装 RHEL 镜像构建器。

支持使用 Sequoia PGP 签名软件包作为技术预览提供

将 RPM 配置为使用 Sequoia PGP 而不是签名软件包的 GnuPG 的 macros.rpmsign-sequoia 宏文件现在作为技术预览提供。要启用其用法，请执行以下步骤：

RHEL 10.1 在 aarch64 上作为技术预览提供

RHEL 10.1 为 64 位 ARM 架构(aarch64)引入了 Relax 和 Recover (ReaR)软件包作为技术预览。ReaR 是一个灾难恢复工具，它会生成一个可引导镜像，可用于从备份中恢复系统。目前，您可以在 aarch64 上使用带有 ReaR 的以下输出方法：ISO、USB 和 PXE。

ARM64 上的 Red Hat Enterprise Linux for Real Time 现在作为技术预览提供

有了此技术预览，现在为 ARM64 启用了 Red Hat Enterprise Linux for Real Time 。在 ARM (AARCH64)上为 4k 和 64k ARM 内核启用了 ARM64 。

ublk_drv 驱动程序作为技术预览提供

ublk_drv 内核模块现在作为技术预览提供。它提供了 ublk 框架，您可以使用它从用户空间创建并构建高性能块设备。目前，ublk 需要用户空间实现，如用户空间块驱动程序(ublksrv)或基于 Rust 的 ublk (rublk)才能有效地正常工作。

使用 TLS 的 NVMe/TCP 作为技术预览提供

使用配置了预共享密钥(PSK)的 TLS，通过 TCP (NVMe/TCP)网络流量加密 Non-volatile Memory Express (NVMe/TCP)在 RHEL 10.0 中已添加为一个技术预览。具体说明请参阅 使用带有预共享密钥的 TLS 配置 NVMe/TCP 主机。

xfs_scrub 工具作为技术预览提供

您可以使用 xfs_scrub 工具作为技术预览来检查挂载的 XFS 文件系统上的所有元数据。它在功能上与用于卸载的 XFS 文件系统的 xfs_repair -n 命令类似。详情请查看您系统上的 xfs_scrub (8) 手册页。请注意，目前只有清理功能在 RHEL 10 内核中提供，且在线修复未启用。

XFS 文件系统的有限的缩小作为技术预览提供

您可以使用 xfs_growfs 工具作为技术预览来减少 XFS 文件系统的大小。您可以使用 xfs_growfs 从文件系统末尾删除块，只要以下条件都为 true ：

使用大于系统页面的块挂载 XFS 文件系统作为技术预览提供

您现在可以将挂载使用大于系统页大小的块大小创建的 XFS 文件系统作为技术预览。例如，具有 16-KB 块的文件系统现在可以挂载在具有 4KB 页大小的系统上，如 x86_64。

io-uring 接口作为技术预览提供

io_uring 是一个异步 I/O 接口，作为技术预览提供。默认情况下，此功能在 RHEL 10 中被禁用。您可以通过设置 kernel/io_uring_disabled 变量来启用这个接口：

带有 NBFT 的 NVMe/TCP 引导作为技术预览提供

使用 NVM Express 引导规格(NBFT)的 NVMe/TCP 引导在选择服务器平台中作为技术预览提供。有关平台特定详情和兼容性信息，请参阅您的服务器制造商。

Node.js 24 作为技术预览提供

在 Red Hat Enterprise Linux 10.1 中，一个新的 nodejs24 组件作为技术预览提供。与 RHEL 10.0 中的 Node.js 22 相比，这个更新引入了 Node.js 24，其中包括新功能、错误修复、安全更新和性能改进。

eu-stacktrace 作为技术预览提供

自 0.192 版本以来一直通过 elfutils 软件包分发的 eu-stacktrace 工具作为技术预览功能提供。eu-stacktrace 是一个原型工具，它使用 elfutils 工具包的展开库来支持采样分析器，以展开无帧指针堆栈样本数据。

IdM 部署中的 DNS over TLS (DoT)作为技术预览提供

使用 DNS over TLS (DoT)加密的 DNS 现在在身份管理(IdM)部署中作为技术预览提供。您现在可以加密 DNS 客户端和 IdM DNS 服务器之间的所有 DNS 查询和响应。

DNSSEC 在 IdM 中作为技术预览提供

带有集成 DNS 的身份管理(IdM)服务器现在实现了 DNS 安全扩展(DNSSEC)，这是一组增强 DNS 协议安全的 DNS 扩展。托管在 IdM 服务器上的 DNS 区可以使用 DNSSEC 自动签名。加密密钥是自动生成和轮转的。

现在，IdM 的 ansible-freeipa 安装中提供了带有 DoT 的加密的 DNS 作为技术预览

现在，您可以使用 Ansible 来确保 DNS 客户端和身份管理(IdM) DNS 服务器之间的所有 DNS 查询和响应都已加密。从 RHEL 10 开始，使用 DNS 的加密 DNS (DoT)在 IdM 部署中作为技术预览提供。在 RHEL 10.1 中，功能在 freeipa.ansible_freeipa 集合中作为技术预览提供。

TDX 作为技术预览在 RHEL 主机上提供

作为技术预览，您可以在 RHEL 主机上启用信任域扩展(TDX)。TDX 是基于硬件的安全功能，可为虚拟机提供强大的内存加密和完整性保护，将其与虚拟机监控程序和其他系统软件隔离开来。

RHEL 网络的 VDUSE 作为技术预览提供

现在，用户空间(VDUSE)功能中的 virtio 数据路径加速(vDPA)设备现在作为 RHEL 网络的一个技术预览提供。VDUSE 是 Linux 内核机制，特别是为 vDPA 设备分配用户空间。这个机制可让用户空间进程以受控的方式注册 virtio-class 设备，如 NIC 或块设备。因此，您可以通过标准 vDPA 或 virtio 接口将其用于虚拟机或主机。

用于 KVM 虚拟机的 AMD SEV、SEV-ES 和 SEV-SNP 作为技术预览提供

作为技术预览，RHEL 为使用 KVM hypervisor 的 AMD EPYC 主机提供了安全加密的虚拟化(SEV)功能。如果在虚拟机(VM)上启用，SEV 会加密虚拟机的内存来保护虚拟机被主机访问。这增加了虚拟机的安全性。

创建嵌套虚拟机

对于在 Intel、AMD64 和带有 RHEL 10 的 IBM Z 主机上运行的 KVM 虚拟机(VM)，嵌套的 KVM 虚拟化作为技术预览提供。有了此功能，在物理 RHEL 10 主机上运行的 RHEL 7、RHEL 8 或 RHEL 9 虚拟机可以充当 hypervisor，并托管自己的虚拟机。

新软件包：trustee-guest-components

作为技术预览，此更新添加了 trustee-guest-components 软件包。这使得机密虚拟机可以证明自己，并从 Trustee 服务器获取机密资源。

到 TCP 网桥的虚拟套接字作为技术预览提供

作为技术预览，您可以使用虚拟套接字(vsock)到 TCP 网桥。通过使用此网桥，您可以在不配置任何 IP 网络的情况下，安全地将虚拟机(VM)服务（如 SSH）公开给主机。

SEV-SNP 在 RHEL 主机上作为技术预览提供

作为技术预览，您可以在 RHEL 主机上启用安全加密虚拟化-Secure Nested Paging (SEV-SNP)。SEV-SNP 是基于硬件的安全功能，可为虚拟机提供强大的内存加密和完整性保护，将其与虚拟机监控程序和其他系统软件隔离开来。

ARM 虚拟机中的 CCA 作为技术预览提供

作为技术预览，您可以在 RHEL 10.1 虚拟机(VM)中启用机密计算架构(CCA)。CCA 基于 Realm Management Extension (RME)构建，有助于在虚拟机内使用时保持数据隐私。

部分拉取 zstd:chunked 作为技术预览提供

您只能拉取使用 zstd:chunked 格式压缩的容器镜像的更改部分，从而减少了网络流量和必要的存储。您可以通过在 /etc/containers/storage.conf 文件中添加 enable_partial_images = "true" 设置来启用部分拉取。此功能作为技术预览提供。

podman artifact 命令作为技术预览提供

podman artifact 命令（可用来在命令行上与 OCI 工件一起工作）作为技术预览提供。如需进一步通知，请参阅 man page。

podman network create 的 vrf 选项作为技术预览提供

podman network create 命令现在为 --opt 选项提供 vrf 值，作为技术预览。vrf 值分配一个虚拟路由，并将实例(VRF)转发到网桥接口。它接受 VRF 的名称，默认为 none。

Podman 与 Docker API 兼容性作为技术预览提供

Podman 支持以下 Docker API 版本作为技术预览：

Red Hat Enterprise Linux 的 MCP 服务器作为开发者预览提供

此开发者预览引入了 RHEL 的新模型上下文协议(MCP)服务器，它旨在缩小 RHEL 系统和大型语言模型(LLM)之间的差距。通过使用 RHEL 的 MCP 服务器，您可以启用 AI 应用程序在 RHEL 系统上执行上下文感知故障排除，包括日志和性能分析。

cockpit-composer 软件包已被删除

cockpit-composer 软件包已被删除，不再被支持。从现在开始，请使用 cockpit-image-builder。

gdisk 从 RHEL 10 中的 boot.iso 中删除

gdisk partitioning 工具从 RHEL 10 中的 boot.iso 镜像类型中删除。您仍可在 Kickstart 中使用 gdisk。对于 boot.iso 镜像类型，其他工具可用来处理 GPT 磁盘，例如 parted 工具。

网络团队驱动程序已被删除

teamd 服务和 libteam 库在 Red Hat Enterprise Linux 10 中删除。作为替换，配置绑定而不是网络组。

32 位 ARM 和 MIPS 后端已从 wagon swig 中删除

RHEL 10.1 中的 swigllvm 软件包删除了 32 位 ARM 和 MIPS 后端。这个变化减少了工具链的构建时间和维护工作。如果您需要这些后端，您应该使用替代的构建目标或更早的软件包版本。

引用模式已从 389-ds-base中删除

在此次更新之前，目录服务器支持在引用模式下启动服务器。但是，由于稳定性问题，此功能不再被支持并被删除。

nsslapd-subtree-rename-switch 从 389-ds-base中删除

在此次更新之前，您可以配置目录服务器以防止在数据库中的子树之间移动条目。由于稳定性问题，此功能会被删除。因此，nsslapd-subtree-rename-switch 参数不再存在。

mssql_accept_microsoft_odbc_driver_17_for_sql_server_eula 变量已弃用

随着 RHEL 未来的重大更新，mssql_accept_microsoft_odbc_driver_17_for_sql_server_eula 变量将不再在 mssql 系统角色中支持，因为角色现在可以为 mssql_tools 版本 17 和 18 安装 odbc 驱动程序。因此，您必须改为使用没有版本号的 mssql_accept_microsoft_odbc_driver_for_sql_server_eula 变量。

不再支持实时虚拟机转储

在这个版本中，virsh dump 命令的-- live 选项不被支持。如果您试图使用带有- live 选项的 virsh dump 来创建虚拟机转储，命令将失败。

squashfs 软件包已弃用

squashfs 软件包已弃用，并将在以后的主 RHEL 发行版本中删除。作为替代方案，dracut 支持挂载 erofs。

module Kickstart 命令已弃用

Anaconda 弃用了对 DNF 模块的支持，因此 module Kickstart 命令已被弃用。如果您在 Kickstart 文件的 %packages 部分或 module Kickstart 命令中使用 模块，这可能会影响您。这个变化是为了简化安装过程，并确保以后更一致的体验。

inst.gpt 引导选项现已弃用

inst.gpt 引导选项现已弃用，并将在以后的发行版本中删除。要指定首选的磁盘标签类型，请使用 inst.disklabel 引导选项。指定 gpt 或 mbr 来创建 GPT 或 MBR 磁盘标签。

oqsprovider 和 liboqs 已被弃用

为 OpenSSL 3.0 提供 post-quantum 加密(PQC)的 oqsprovider 和 liboqs 软件包已被弃用，并可能在以后的主发行版本中删除。反之，使用 OpenSSL 3.5 提供的 PQC 功能。

X25519-MLKEM768 在 crypto-policies中弃用并别名为 MLKEM768-X25519

系统范围的加密策略中的 X25519-MLKEM768 值已弃用，并别名到 MLKEM768-X25519 值。这会统一串联顺序，允许两个变体正常工作。

OpenSSL 中的 ENGINE API 已弃用

在 RHEL 10 中，ENGINE API 已弃用，并计划在以后的主发行版本中删除。没有新的应使用 ENGINE API 构建的应用程序。为了保持应用程序二进制接口(ABI)和现有应用程序正常工作，OpenSSL 仍然导出 ENGINE 符号。要防止新应用程序使用 ENGINE API，OpenSSL 会设置系统范围的 OPENSSL_NO_ENGINE 标志，且公开 ENGINE API 的头文件 engine.h 已被删除。

crypto-policies 现在为 GnuTLS 设置 allow-rsa-pkcs1-encrypt = false

在 RHEL 10 中，GnuTLS 库默认使用 RSA PKCS #1 v1.5 填充阻止加密和解密。除 LEGACY 策略外，allow-rsa-pkcs1-encrypt = false 选项已在所有系统范围加密策略(DEFAULT、FUTURE 和 FIPS)中指定。

FIPS 模式中的 HMAC-SHA-1 已弃用

HMAC-SHA-1 加密算法在 FIPS 模式中已弃用，它可能会在以后的版本中删除。在 FIPS 模式之外，保留了对 HMAC-SHA-1 的支持。

模块性已弃用

在 RHEL 10 中，模块化功能已被弃用，并将在以后的主发行版本中删除。因此，DNF module 命令显示弃用警告。

FTP 客户端和服务器软件现已弃用

以下 FTP 客户端和服务器软件已弃用，并将在以后的 RHEL 主版本中删除：

ipset 已不再维护

在 RHEL 10 中，ipset 工具未被维护，并计划在以后的主发行版本中删除。红帽仅在当前发行生命周期中提供关键 bug 修复。作为 ipset 的替代选择，您可以使用 nftables 设置功能。

BIND auto-dnssec 参数已弃用

从 RHEL 9.7 开始，BIND auto-dnssec 参数已弃用，并将在以后的发行版本中删除。作为替换，使用 dnssec-policy 参数指定一个完整的密钥和签名策略(KASP)，它将所有相关配置分组到一个直观的块中。

squashfs 软件包已弃用

squashfs 已弃用，并将在下一个主发行版本中删除。它将不再获得增强功能，并且在 RHEL 10 中用于红帽内部的特定用例。考虑使用 EROFS 作为替代解决方案。

弃用的 High Availability Add-On 功能

以下功能已在 Red Hat Enterprise Linux 10 中弃用，并将在下一个主发行版本中删除：

GCC Toolset 15 环境脚本替换了 Software Collections (scl-enable)

在以前的版本中，attributeenable gcc-toolset-15 <command > 命令用于管理 Red Hat Enterprise Linux 上 GCC Toolset 15 的开发环境。在 RHEL 10 中，软件集合不再用于此目的。因此，swigscl enable 选项不适用于 swiggcc-toolset-15。

glibc 中的 utmp 和 utmpx 接口已弃用

glibc 库提供的 utmp 和 utmpx 接口包含一个计数器，从 UNIX epoch 开始计算时间。此计数器将在 2106 年 2 月 07 日时溢出。因此，utmp 和 utmpx 在 RHEL 10 中已弃用，并将在 RHEL 11 中删除。

RHEL web 控制台中的主机切换器已弃用

通过从单个 RHEL web 控制台会话 SSH 来提供连接到多个机器的主机切换器已弃用，并默认禁用。由于 web 技术限制，此功能并不安全。

sshd 变量已弃用，并被 sshd_config 替换

要在 RHEL 系统角色中统一编码标准，sshd 变量已被 sshd_config 变量替代。sshd 变量现已弃用，可能在以后的 RHEL 主发行版本中的 sshd Ansible 角色中删除。

特定的 IBM z16 CPU 功能已弃用。

在这个版本中，IBM z16 KVM 虚拟机弃用了 te 和 cte CPU 功能。但请注意，将带有 CPU 模型 host-model 的虚拟机从 IBM z16 主机迁移到 IBM z17 主机不需要对 CPU 功能设置进行任何调整。

rtl8139 NIC 已为虚拟机已弃用

在这个版本中，rtl8139 网络接口控制器类型已弃用，并将在以后的 RHEL 主发行版本中的虚拟机中使用。如果您需要在主机上使用非 virtio NIC 类型，请使用 e1000 或 e1000e NIC。

libslirp 已弃用

在 RHEL 10 中，libslirp 网络后端已弃用，并将在以后的主发行版本中删除。

i440fx 虚拟机类型已弃用

在 RHEL 10 中，虚拟机(VM)的 i440fx 机器类型已弃用，并将在以后的 RHEL 主版本中删除。

旧的 vCPU 型号现已弃用

几个虚拟 CPU 型号现已弃用，并不支持在以后的 RHEL 主发行版本中的虚拟机(VM)中使用。值得注意的是，弃用的型号包括：

virt-manager 已被弃用

虚拟机管理器（也称 virt-manager） 已弃用。RHEL web 控制台（也称为 Cockpit ）旨在在以后的版本中成为其替代品。因此，建议您使用 web 控制台使用 GUI 管理虚拟化。但请注意，virt-manager 中一些可用的功能可能在 RHEL web 控制台中不可用。

libvirtd 已被弃用

单体 libvirt 守护进程 libvirtd 已在 RHEL 9 中弃用，并将在以后的 RHEL 主发行版本中删除。请注意，您仍然可以使用 libvirtd 在虚拟机监控程序上管理虚拟化，但红帽建议您切换到新引入的模块化 libvirt 守护进程。具体说明和详情，请参阅 RHEL 9 配置和管理虚拟化 文档。

使用基于 SHA1 的签名进行 SecureBoot 镜像验证已弃用

在 UEFI (PE/COFF)可执行文件中使用基于 SHA1 的签名执行 SecureBoot 镜像验证已被弃用。红帽建议改为使用基于 SHA-2 算法或更新算法的签名。

虚拟软盘驱动程序已弃用

用于控制虚拟软盘设备的 isa-fdc 驱动程序现已弃用，并将在以后的 RHEL 发行版本中不被支持。因此，为了确保与迁移的虚拟机(VM)兼容，红帽不建议在 RHEL 10.1 上托管的虚拟机中使用软盘磁盘设备。

qcow2-v2 镜像格式已弃用

在 RHEL 10.1 中，虚拟磁盘镜像的 qcow2-v2 格式已弃用，并将在以后的 RHEL 主发行版本中不被支持。另外，RHEL 10.1 Image Builder 无法以 qcow2-v2 格式创建磁盘镜像。

在最小容器镜像中，默认不再安装 tzdata 软件包

tzdata 软件包不再安装在 registry.access.redhat.com/ubi10-minimal 容器镜像中。因此，如果您将最小容器构建从以前的 RHEL 版本迁移到 RHEL 10.0，并且输入 microdnf reinstall tzdata 命令来重新安装 tzdata 软件包，您会收到一条错误消息，因为 tzdata 软件包不再被默认安装。在这种情况下，输入 microdnf install tzdata 命令来安装 tzdata。

Podman v5.0 弃用

在 RHEL 10.0 中，在 Podman v5.0 中弃用了以下内容：

podman-tests 软件包已弃用

podman-tests 软件包已在 AppStream 存储库中弃用。软件包现在在 CodeReady Linux Builder (CRB)中提供。有关 CRB 存储库的更多信息，请访问 https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/9/html/package_manifest/repositories#CodeReadyLinuxBuilder-repository。

nodejs-18 和 nodejs-18-minimal 已弃用

nodejs-18 和 nodejs-18-minimal 容器镜像现已弃用，将不再接收功能更新。改为使用 nodejs-22 和 nodejs-22-minimal。

gcc-toolset-13-toolchain 镜像已弃用

带有构建 C 和 C++ 应用程序的基本库和工具的 gcc-toolset-13-toolchain 基础镜像已弃用，并可能会从将来的 RHEL 版本中删除。

默认不执行崩溃转储

默认情况下，使用 RHEL 镜像模式的默认安装方法不会发生崩溃转储，因为 crashkernel= 内核参数没有被设置。要临时解决这个问题，请在构建或安装过程中设置 crashkernel= 内核参数。

Podman 和 bootc 没有共享同样的注册中心登录过程

在拉取镜像时，Podman 和 bootc 使用不同的注册中心登录过程。因此，如果您使用 Podman 登录到镜像，登录到 bootc 的注册中心将不适用于该镜像。当您为 RHEL 系统安装镜像模式时，使用以下命令登录到 registry.redhat.io：

启用 composefs 后，cloud-init growpart 跳过

启用 composefs 时，如果您从通用基础镜像生成镜像，则 rootfs 不会增大文件系统，提示类似如下的错误：

无法从签名的容器构建 ISO

尝试从 GPG 或简单签名的容器构建 ISO 磁盘镜像会导致错误，如下所示：

主机名解析由于引导选项中加密的 DNS 和自定义 CA 而失败

当在内核命令行中使用 inst.repo= 或 inst.stage2= 引导选项以及远程安装 URL、加密的 DNS 和 Kickstart 文件中的自定义 CA 证书时，安装程序会在处理 Kickstart 文件前尝试下载 install.img stage2 镜像。因此，主机名解析失败，从而导致在成功获取 stage2 镜像前显示一些错误。临时解决方案：在 Kickstart 文件中定义安装源，而不是内核命令行。

安装程序在最终 RPM 安装过程中变得无响应

在 RPM 安装过程中，安装程序可能会变得无响应。在问题发生前，您可能会看到重复的 配置 rootfiles.noarch 消息。临时解决方案：重启安装进程。

在安装过程中使用快捷方式禁用键盘布局切换

要防止因更改键盘布局的键盘快捷键损坏而导致的混乱，此功能已在 Anaconda 中禁用。您不能在安装过程中使用快捷方式更改键盘布局。临时解决方案 ：使用顶栏中的键盘布局图标切换布局。

将设备与 LACP 绑定需要更长的时间才能正常工作，从而导致订阅失败

当使用内核命令行引导选项和 Kickstart 文件配置与 LACP 绑定的设备时，会在 initramfs 阶段创建连接，但在 Anaconda 中重新激活。因此，它会导致临时中断，从而通过 rhsm Kickstart 命令造成系统订阅失败。

services Kickstart 命令无法禁用 firewalld 服务

Anaconda 中的一个 bug 阻止 services --disabled=firewalld 命令在 Kickstart 中禁用 firewalld 服务。临时解决方案 ：改为使用 firewall --disabled 命令。因此，firewalld 服务被正确禁用。

如果在使用 ostreecontainer 时没有创建 /boot 分区，则安装程序会失败

当使用 ostreecontainer Kickstart 命令安装可引导容器时，如果没有创建 /boot 分区，安装会失败。出现这个问题的原因是，安装程序需要一个专用的 /boot 分区来继续容器部署。

当 ignoredisk 命令在 iscsi 命令时，Kickstart 安装会失败并显示未知磁盘错误

如果 ignoredisk 命令被放在 iscsi 命令之前，则使用 Kickstart 方法安装 RHEL 会失败。出现这个问题的原因是 iscsi 命令在命令解析过程中附加了指定的 iSCSI 设备，而 ignoredisk 命令同时解析设备规范。如果 ignoredisk 命令在 iscsi 命令附加之前引用了一个 iSCSI 设备名称，则安装会失败，并显示"unknown disk"错误。

USB CD-ROM 驱动器作为 Anaconda 中的安装源不可用

当源为 USB CD-ROM 驱动器，并且指定了 Kickstart ignoredisk --only-use= 命令时，安装会失败。在这种情况下，Anaconda 无法找到并使用这个源磁盘。

驱动程序磁盘菜单无法在控制台上显示用户输入

当您在带有驱动程序磁盘的内核命令行中使用 inst.dd 选项启动 RHEL 安装时，控制台无法显示用户输入。因此，似乎应用程序没有响应用户输入并停止响应，但会显示给用户造成混淆的输出。但是，此行为不会影响功能，用户输入会在按 Enter 后被注册。

磁盘空间不足可能导致部署失败

在没有足够可用磁盘空间的软件包模式系统上部署 bootc 容器镜像可能会导致安装错误，并阻止系统引导。确保有足够的磁盘空间供镜像安装，并在部署前调整配置的逻辑卷。

Anaconda 可能无法在 s390x 和 ppc64le 构架中正常工作

除了已经支持的 x86_64 和 ARM 架构外，RHEL 的镜像模式支持 pp64le 和 s390x 架构。但是，Anaconda 可能无法在 s390x 和 ppc64le 构架中正常工作。

Azure 上标记为 LVM 的 RHEL 镜像需要调整默认布局

当在 Azure 上使用 system-reinstall-bootc 或 bootc install 时，标记为 LVM 的 RHEL 镜像需要调整默认布局。

由于分区忙碌，安装会失败

storage 子系统中的竞争条件会导致在将分区表写入磁盘时安装失败。系统显示以下出错信息：

sq 无法在 FIPS 模式中生成密钥

Sequoia PGP toolset 中的 sq 实用程序使用已弃用的 OpenSSL API 进行密钥生成。因此，您不能在以 FIPS 模式运行的系统上的 sq 生成密钥。

gnutls 无法将 ML-DSA 私钥转换为公钥

gnutls 缺少一种算法，用于将扩展形式中的私有 ML-DSA 密钥转换为公共 ML-DSA 密钥。因此，当只提供扩展私钥时，需要这两个密钥的操作会失败。

rpm-sequoia 的 PQC 始终在 crypto-policies中启用

在 RHEL 10.1 中，如果系统范围的加密策略中禁用了用于签名的算法之一，rpm-sequoia 无法验证双签名的 RPM 软件包。这个问题在禁用 post-quantum (PQ)算法的系统中很常见，且无法安装使用经典和 PQ 加密签名的软件包。

四个 libvirt 服务的 SELinux 策略规则暂时改为 permissive 模式

在以前的版本中，SELinux 策略被修改，来反映使用一组新的模块守护进程来替换旧的单片 libvirtd 守护进程。因为这个更改需要测试许多情况，所以以下服务已被临时改为 SELinux permissive 模式：

加密令牌无法在 FIPS 模式下与 pkcs11-provider 一起工作

当系统在 FIPS 模式下运行时，pkcs11-provider OpenSSL 提供者无法正常工作，OpenSSL TLS 工具包返回到默认提供者。因此，OpenSSL 无法加载 PKCS #11 密钥，加密令牌无法在此场景中正常工作。

uname 命令生成未知输出

uname 命令显示带有 flags --hardware-platform 和- processor 的未知输出。在以前的 RHEL 版本中，uname -i 和 uname -p 是 uname -m 的别名，即使 GNU 或 Linux 发行版也不可移植。

默认情况下，在 IBM Z 上运行的虚拟机无法使用热插内存

RHEL 提供了默认的 udev 规则，当您使用 virtio-mem 的虚拟机(VM)热插内存时，会自动在线设置内存。但是，当前的 udev 规则不包括在 IBM Z 上运行的虚拟机。因此，在热插内存到使用 virtio-mem 的 IBM Z 上运行的虚拟机后，虚拟机中不会立即提供内存。

Nginx 不支持 PKCS #11 和 TPM

OpenSSL 引擎 API 在 RHEL 9 中已弃用，并在 RHEL 10 中从 Nginx 中删除。使用当前 OpenSSL 提供者 API 的相应功能还不可用。因此，Nginx HTTP 服务器无法通过 PKCS #11 和受信任的平台模块(TPM)设备与硬件安全模块(HSM)一起工作。

为 MariaDB 和 MySQL 使用不正确的 Perl 数据库驱动程序可能会导致意外的结果

MariaDB 数据库是 MySQL 的一个分叉。随着时间的推移，这些服务独立开发，且不再完全兼容。这些差异也会影响 Perl 数据库驱动程序。因此，如果您在 Perl 应用程序使用 DBD::mysql 驱动程序连接到 MariaDB 数据库，或者使用 DBD::MariaDB 驱动程序连接到 MySQL 数据库，则操作可能会导致意外的结果。例如，驱动程序可以从读操作中返回不正确的数据。要避免这样的问题，请在应用程序中使用与数据库服务匹配的 Perl 驱动程序。

重启后不一致的 NVMe 设备名称

在 RHEL 10 中引入了一个启用异步 NVMe 命名空间扫描的新内核功能，来加快 NVMe 磁盘检测。由于异步扫描，/dev/nvmeXnY 设备文件在每次重启后可能会指向不同的命名空间。这可能导致不一致的设备名称。目前，对这个问题还没有已知的临时解决方案。

重启后，支持 iSCSI 的逻辑卷无法激活

在安装过程中，跨越本地磁盘和 iSCSI 设备的逻辑卷可能无法在安装的系统中激活 iSCSI 设备。当非 root 文件系统 LVM 逻辑卷位于本地磁盘和 iSCSI 设备上时，这会导致安装程序无法使用 node.startup=onboot 配置 iSCSI 设备。因此，系统重启后无法访问卷，因为它不会在引导时自动激活。

ACL 角色不应引用具有两个规则的位置约束

在 Red Hat Enterprise Linux 10 中，不支持位置约束中有多个顶级规则。当从 RHEL 9 升级到 RHEL 10 时，请验证您配置的任何 ACL 角色没有引用具有两个规则的位置约束，并且仍然有效。

TBB 的新版本不兼容

RHEL 10 包括线程构建块(TBB)库版本 2021.11.0，它与之前分发的 RHEL 版本不兼容。您必须重建使用 TBB 的应用程序，以使它们在 RHEL 10 上运行。

从 BDB 迁移到 LMDB 的过程中显示一条错误消息

当您运行 dsctl dblib bdb2mdb 命令从 Berkeley Database (BDB)迁移到 Lightning Memory-Mapped Database Manager (LMDB)，且没有启用复制时，输出中会显示以下错误消息：

FIPS 模式下的 IdM 不支持使用 NTLMSSP 协议来建立双向跨林信任

在活动目录(AD)和启用了 FIPS 模式的身份管理(IdM)之间建立双向跨林信任会失败，因为新技术局域网管理器安全支持提供程序 (NTLMSSP)身份验证不符合 FIPS。FIPS 模式下的 IdM 不接受在尝试验证时 AD 域控制器所使用的 RC4 NTLM 哈希。

由于 EMS 强制，在 FIPS 模式下安装带有 RHEL 10 IdM 服务器的 RHEL 7 IdM 客户端会失败

TLS Extended Master Secret (EMS)扩展(RFC 7627)现在对启用了 FIPS 的 RHEL 10 系统上的 TLS 1.2 连接是强制的。这符合 FIPS-140-3 要求。但是，RHEL 7.9 及较低版本中提供的 openssl 版本不支持 EMS。因此，安装在 RHEL 10 上运行的启用了 FIPS 的 IdM 服务器的 RHEL 7 身份管理(IdM)客户端会失败。

通过 SSSD 运行的 adcli 自动续订主机 keytab 失败

在直接 SSSD-AD 集成中，SSSD 每天检查机器帐户密码是否超过配置的天数，如果需要，尝试更新它。配置的期限由 ad_maximum_machine_account_password_age 值设置，默认为 30 天。0 值禁用续订尝试。

ldapmodify 不会从 cn=config 中的任何属性中删除单个特定值

目前，当您尝试从 cn=config 中的任何属性中删除值时，该值将保留在属性中，服务器可能需要重启来完全删除它。

如果组大小超过 1500 个成员，则 SSSD 会检索不完整的成员列表

在 SSSD 与活动目录集成的过程中，当组大小超过 1500 个成员时，SSSD 会检索不完整的组成员列表。出现这个问题是因为活动目录的 MaxValRange 策略（其限制单个查询中可检索的成员的数量）默认被设置为 1500。

plymouth 重复内核日志环缓冲的日志条目

plymouth 是为 Red Hat Enterprise Linux 提供图形引导体验的应用程序，具有"控制台整合"功能，可在引导过程中将日志消息输出到所有配置的控制台。内核只能向最后一个配置的控制台原生输出日志消息。在默认配置中，内核是静默的，但从内核命令行中删除 quiet 参数会取消内核，并导致 Plymouth 和内核将引导日志消息发送到最后一个配置的控制台。因此，日志消息可能会在预先配置的控制台（如 ttyS0）上重复。plymouth 通过在引导和关闭过程中重播内核日志环缓冲的整个内容来进一步复制这些日志条目。要临时解决这个问题，请禁用 Plymouth。

在使用 Mutter 时，标准鼠标光标是虚拟机中的偏移量

当您在 Mutter 合成窗口管理器中的虚拟机（VM）配置中使用标准鼠标时，您可能会注意到物理鼠标光标和虚拟环境中实际指针之间的偏移。实际的指针甚至可能在虚拟环境中不可见。

在使用 Mutter 时，标准鼠标光标是虚拟机中的偏移量

当您在 Mutter 合成窗口管理器中的虚拟机（VM）配置中使用标准鼠标时，您可能会注意到物理鼠标光标和虚拟环境中实际指针之间的偏移。实际的指针甚至可能在虚拟环境中不可见。

RHEL web 控制台中的 VNC 控制台无法在 ARM64 上正常工作

目前，当您在 ARM64 架构上的 RHEL web 控制台中导入虚拟机(VM)，然后您尝试在 VNC 控制台中与其进行交互时，控制台不会对您的输入做出反应。

Ansible rpm_key 模块无法使用 OpenPGP v6 RPM-GPG-KEY-redhat-release 键

RHEL 10.1 使用带有 post-quantum 公钥的 Red Hat RPM 签名密钥，并存储在 OpenPGP v6 格式的 /etc/pki/rpm-gpg/RPM-GPG-KEY-redhat-release 文件中。由于 Ansible rpm_key 模块使用 GnuPG 工具，该工具无法处理 post-quantum 密钥和 OpenPGP v6，因此模块无法使用这个密钥。

PostgreSQL、MariaDB 和 MySQL 在镜像模式中无法使用 RHEL

PostgreSQL、MariaDB 和 MySQL 数据库管理系统不使用 sysusers.d 目录来填充用户和工作目录。MariaDB 和 MySQL 也不使用 mtc .d 目录。因此，数据库用户可能会缺失，并且数据库系统无法初始化，因为缺少其工作目录。当前没有解决此问题的方法。

ansible-core 不会将 sshpass 作为依赖项安装

ansible-core 软件包不会将 sshpass 软件包作为依赖项安装。因此，您无法使用 Ansible 通过 SSH 密码管理系统。

Windows 虚拟机可能会因为存储错误而变得无响应

在使用 Windows 客户机操作系统的虚拟机上，在高 I/O 负载下，系统在某些情况下会变得无响应。当发生这种情况时，系统会记录一个 viostor Reset to device, \Device\RaidPort3, was issued 错误。当前没有解决此问题的方法。

在引导时，带有某些 PCI 设备的 Windows 10 虚拟机可能会变得无响应

目前，如果将具有本地磁盘后端的 virtio-win-scsi PCI 设备被附加到虚拟机，则使用 Windows 10 客户机操作系统的虚拟机(VM)会在启动过程中变得无响应。

将 virtiofs 与 rsync 和 du 命令一起使用可能会导致 太多打开的文件 错误

virtiofsd 守护进程将文件描述符保持打开，直到客户机使其缓存无效。当跟踪大量文件时，这可能会导致主机上的 virtiofsd 超过最大打开的文件限制。

启用 SEV-SNP 的虚拟机无法使用 arch-capabilities=on引导

在使用 arch-capabilities=on CPU 标志时，启用了 SEV-SNP 的虚拟机(VM)无法引导。

安装 VirtIO-Win 捆绑包不能被取消

目前，如果您在 Windows 客户机操作系统中从 VirtIO-Win 安装程序捆绑包开始安装 virtio-win 驱动程序，点安装过程中的 Cancel 按钮无法正确停止它。安装向导界面显示一个 "Setup Failed" 屏幕，但安装了驱动程序，并重置了客户机的 IP 地址。

具有大量可引导数据磁盘的虚拟机可能无法启动

如果您试图启动具有大量可引导数据磁盘的虚拟机(VM)，则虚拟机可能无法引导，并显示以下错误：Something has gone seriously wrong: import_mok_state() failed: Volume Full

具有大内存的虚拟机无法在具有 AMD Genoa CPU 的 SEV-SNP 主机上引导

目前，虚拟机(VM)无法在使用第 4 代 AMD EPYC 处理器（也称为 Genoa），并启用了 Secure Nested Paging (SEV-SNP)功能的 AMD 安全加密虚拟化的主机上引导。虚拟机没有启动，而是发生了内核 panic。

virtio balloon 驱动程序有时在 Windows 10 和 Windows 11 虚拟机上无法工作

在某些情况下，virtio-balloon 驱动程序在使用 Windows 10 或 Windows 11 客户机操作系统的虚拟机(VM)上无法正常工作。因此，此类虚拟机可能无法有效地使用其分配的内存。

具有内存气球设备集的 Windows 11 虚拟机在重启过程中可能会意外关闭

目前，重新引导使用 Windows 11 客户机操作系统和内存 balloon 设备的虚拟机(VM)在某些情况下会失败，并显示 DRIVER POWER STAT FAILURE 蓝屏错误。

带有 VBS 和 IOMMU 设备的 Windows 虚拟机无法引导

当您通过 qemu-kvm 工具引导一个启用了基于虚拟化安全性(VBS)的 Windows 虚拟机和一个输入输出内存管理单元(IOMMU)设备时，引导序列只显示引导屏幕，从而导致引导过程不完整。

在 hypervisor 启动类型设为 auto 的 Sapphire Rapids CPU 上运行的 Windows 虚拟机在重启后无法引导

如果您在运行在 Sapphire Rapids CPU 上的 Windows 虚拟机(VM)中将 hypervisor 启动类型设置为 auto，则虚拟机在重启后可能无法引导。例如，您可以使用 bcdedit /set hypervisorlaunchtype Auto 命令将 hypervisor 启动类型设置为 auto。

对具有 VBS 的 Windows 客户机热插拔 vCPU 和内存无法正常工作

目前，Windows Virtualization-based Security(VBS)与热插 CPU 和内存资源不兼容。因此，尝试将内存或 vCPU 附加到启用了 VBS 的运行的 Windows 虚拟机(VM)中，仅在客户机系统重启后将资源添加到虚拟机。 

具有 5 级页面合并和大量内存的虚拟机有时无法启动

如果将 host-phys-bits-limit 参数设置为 49 或更多，则具有以下配置的虚拟机无法引导：

在 Nutanix AHV 中使用 LVM 克隆或恢复 RHEL 9 虚拟机会导致非 root 分区消失

当在 Nutanix AHV 虚拟机监控程序上托管的虚拟机中运行 RHEL 9 客户机操作系统时，从快照中恢复虚拟机或克隆虚拟机目前会导致虚拟机中的非 root 分区在虚拟机中使用逻辑卷管理(LVM)时消失。因此，会出现以下问题：

实时虚拟机内存转储和虚拟机快照可能无法在 IBM Z 上正常工作

目前，在 IBM Z 主机上使用 virsh dump --live' 命令为正在运行的虚拟机创建内存转储可能会导致虚拟机变得无响应。在个别情况下，为正在运行的虚拟机创建快照还会导致虚拟机在 IBM Z 上变得无响应。

RDMA 设备目前无法在 vSphere 上工作

在 VMware vSphere 平台上使用 RHEL 10 实例时，vmw_pvrdma 模块目前无法正确安装。因此，VMware 半虚拟远程直接访问(PVRDMA)设备无法在受影响的实例上工作。

将 VMware ESXi 上的 RHEL 9.6 客户机升级到 RHEL 10.0 导致 cloud-init 重写网络配置

在 VMware ESXi hypervisor 上将 RHEL 客户机从 RHEL 9.6 升级到 RHEL 10.0 后，cloud-init 工具目前无法检测 VMware 数据源，且无法从缓存中恢复其配置。因此，cloud-init 恢复回 None 数据源，并重写客户机的网络配置。

如果主机使用 AMD EPYC CPU 处理器，则 BIOS 或 UEFI 支持的 Hyper-V Windows Server 2016 虚拟机无法引导

使用启用了 Hyper-V 的设置，Hyper-V Windows Server 2016 虚拟机无法在 AMD EPYC CPU 主机上引导。

当从 RHEL 9.6 升级到 RHEL 10.0 时，对于 cloud-init 网络配置，leapp 升级失败

如果您使用 cloud-init 默认配置部署 RHEL 9.6，并使用 sysconfig 作为默认网络配置目录，则 sysconfig 配置文件不支持 RHEL 10.0 的 ifcfg 传统格式。因此，当从 RHEL 9.6 升级到 RHEL 10.0 时，对于旧的网络配置文件（如 ifcfg- <enp1s0>）, leapp 升级失败。

在 Azure 机密虚拟机上 kdump 无法完成

当您在 Azure 机密虚拟机实例上的 Red Hat Enterprise Linux 虚拟机上出现内核崩溃时，在本例中为 DCv5 和 ECv5 系列，kdump 进程可能无法完成，虚拟机变得无响应。因此，在强制重启后，有一个 vmcore-incomplete 文件。

FIPS bootc 镜像创建在启用了 FIPS 的主机上失败

由于 update-crypto-policies 软件包，使用启用了 FIPS 模式的 Podman 构建磁盘镜像失败，退出码为 3 ：

命令行助手无法验证 Satellite 服务器证书

命令行助手不会识别 Red Hat Satellite Server 的 Satellite 证书颁发机构(CA)证书。Satellite CA 证书用于为使用和注册的主机发布和签署证书，由 Satellite 管理。因此，命令行助手无法建立与 Satellite 服务器的安全连接，这会阻止它正常工作。

命令行助手配置文件的更改不会立即应用

在 etc/xdg/command-line-assistant/config.toml 配置文件中进行更改时，命令行助手守护进程大约需要 30 秒时间来识别更改，而不是立即应用更改。命令行助手也缺少 重新加载 功能。

使用不支持的 AI 模型时的安全风险

不要使用不受支持的模型。将 RHEL 离线容器模型改为不支持的模型可能会允许执行任意代码或破坏 Red Hat Enterprise Linux (RHEL)的完整性。

如果存在 VDO 逻辑卷，安装不再会失败

在此次更新之前，当用户在没有 dm_vdo 内核模块的系统上尝试删除预先存在的逻辑卷管理器 Virtual Data Optimizer (LVM VDO)卷时，安装 RHEL 会失败。在这个版本中，当在没有 VDO 支持的系统中删除 LVM VDO 卷时，安装会成功。

增强的安装程序以在 s390x中启用基于容器的部署

RHEL 安装程序现在支持使用 ostreecontainer Kickstart 命令在 s390x 架构上的 Image Mode 中部署可引导容器。此功能增强删除了以前的限制，并确保在支持的构架中保持一致的部署选项。用户现在可以使用基于容器的工作流在 s390x 系统上自动安装。

安装程序现在遵循 BOOTIF 引导参数

在以前的版本中，RHEL 安装程序忽略 BOOTIF=<MAC& gt; 引导参数，并激活所有可用的网络接口。在这个版本中，安装程序会正确处理 BOOTIF 参数，并确保在安装过程中只激活指定的网络设备。

fapolicyd 不再会导致 RPM 数据库因为重复更新而崩溃

在此次更新之前，当 fapolicyd 处于 enforcing 模式时，重复更新 RPM 数据库会导致总线错误(SIGBUS)，这会导致 RPM 数据库意外终止。在这个版本中，RPM 数据库更新的 fapolicyd SIGBUS保护已被改进。因此，当重复更新启用了 fapolicyd 时，RPM 数据库不再崩溃。

SSH 连接失败不再显示详细帮助信息

在此次更新之前，当 SSH 连接失败时，会显示一条有常见 SSH 错误的消息和红帽帮助的链接。因此，错误输出中的帮助信息会破坏用户脚本和自动化。在这个版本中，只有在使用日志级别 debug1 或更高版本运行 SSH 时，帮助信息才会显示。因此，错误输出默认不包含任何意外信息。

在处理非常规文件时，fapolicyd-cli --file add 不再失败

在此次更新之前，fapolicyd-cli --file add 命令无法将包含非常规文件的目录（如套接字）添加到信任数据库中。在这个版本中，这个问题已被解决，fapolicyd-cli --file add 在上述场景中不再失败。

gnutls 支持标准 ML-DSA 格式

在 RHEL 10.0 中，GnuTLS 工具对 ML-DSA 私钥使用非标准序列化格式。因此，cert tool -p 命令会导出与 IETF 兼容的实现不兼容的 ML-DSA 私钥。同样，其他软件导出的密钥也不能使用 GnuTLS。在这个版本中，GnuTLS 支持标准 ML-DSA 格式，并生成可互操作性的私钥。

OpenSSL 以标准格式存储 ML-KEM 和 ML-DSA 私钥

在 RHEL 10.0 中，OpenSSL 的 open quantum-safe 提供者(oqsprovider)生成私钥，其格式不符合 IETF LAMPS 工作组所提议的任何文件格式。因此，密钥文件对于遵循 IETF 标准的其他应用程序不可读取，且不能由需要为导入的 seed 格式提供密钥的应用程序处理。在这个版本中，OpenSSL 不再使用 oqsprovider，其 post-quantum 加密(PQC)实现以标准格式生成密钥。因此，您可以使用 OpenSSL ML-KEM 和 ML-DSA 密钥来存储长期 secret。

NSS 数据库密码更新不再破坏 ML-DSA seeds

在此次更新之前，当更改数据库密码时，NSS 处理数据库重新加密中的错误阻止 ML-DSA seed 属性更新。因此，seed 值会被永久丢失，即使您知道之前的密码。随着 RHBA-2026:3809 公告的发布，密码会正确更新 ML-DSA seed 属性，不再导致 seed 值的永久丢失。请注意，在更新前，您仍无法恢复 seeds 丢失。

当启用 EPEL 存储库时，DNF Automatic 使用正确的 RHEL 次版本

在此次更新之前，当您使用启用了 Extra Packages for Enterprise Linux (EPEL)存储库的 DNF Automatic 工具时，工具会将 EPEL metalink URL 扩展为错误的地址。这会导致工具下载仍在开发中的 RHEL 10 次要版本的软件包，而不是最后一个发布的次版本。在这个版本中，在 dnf.cli.cli.Cli._read_conf_file （） 方法中修复了 releasever_major 和 releasever_minor 变量的更新。因此，DNF Automatic 可以正确地检测到次版本号，并下载与 RHEL 主和次版本匹配的 EPEL 存储库。

默认情况下，/var/lib/tftpboot 目录在 Image Mode 部署中创建

在以前的版本中，在 Image Mode 部署中，安装 tftp-server 软件包不会创建 /var/lib/tftpboot 目录。这是因为当将附加软件包添加到现有镜像模式部署时，不会应用 /var 目录的更改。

IBM Z 上的 ReaR 的 IPL 输出方法遵循 RHEL 9 文件命名约定

在此次更新之前，当在 IBM Z 上使用已弃用的 IPL 输出方法 Relax-and-Recover (ReaR)时，生成的恢复内核名为 kernel-$RAMDISK_SUFFIX，RAM 磁盘镜像被命名为 initramfs-$RAMDISK_SUFFIX.img。这个命名规则与 RHEL 9 不同，它使用 vmlinuz-$kernel_version 用于 kernel 和 initrd.cgz 作为 RAM 磁盘镜像。因此，由于文件名的变化，在从 RHEL 9 升级到 RHEL 10 后，用来处理这些恢复镜像的自定义脚本需要手动调整。

chronyc reload sources 命令现在可以正确地处理主机名指定的源

在以前的版本中，chronyd 中的 chronyc reload sources 命令会错误地从 chrony.conf 文件中指定的 sourcedir 目录中重新载入源。当主机名解析为多个 IP 地址时，会导致 chronyd 重复源，从而导致源数量意外增加。

/etc/iproute2/ 中的自定义 iproute2 设置可以正常工作

在以前的版本中，如果您已更新至 RHEL 10.0，iproute2 软件包会将默认配置存储在 /usr/share/iproute2/ 目录中。另外，如果您在 /etc/iproute2/ 中有自定义配置，则更新会重命名这些文件并附加 .rpmsave 后缀。因此，自定义设置不再会被应用。如果您更新到 iproute2 软件包的 RHEL 10.1 版本，则软件包中的安装脚本将不再重命名自定义配置文件，如果它在 /etc/iproute2/ 中找到带有 .rpmsave 后缀的文件，则脚本会删除此后缀。因此，自定义设置可以按预期工作。

如果您在运行时减少 SR-IOV VF 的数量，内核不再 panic

在以前的版本中，如果应用了以下所有条件，Linux 内核可能会 panic：

NAT 引擎现在在回复方向中检查地址冲突

在此次更新之前，网络地址转换(NAT)引擎不会检查回复方向中的地址冲突。当新传入的连接使用与现有连接相同的源地址和源端口时，这会导致连接失败。在这个版本中，NAT 引擎会检查回复方向，并检测到冲突，新连接的源端口会在内部重新映射到新的可用端口号。因此，连接会如预期进行。

nft_fib 表达式现在为 VRF 域中的 IPv4 和 IPv6 返回一致的结果

在此次更新之前，如果设备是虚拟路由和转发(VRF)域的一部分，Netfilter "nft_fib" 表达式会返回 单播，而不是 local。另外，fib daddr . iif 表达式的行为与支持 VRF 接口的 IPv4 和 IPv6 数据包不同。对于传入的 IPv6 数据包，它错误地返回底层物理接口的名称，而对于 IPv4 数据包，它可以正确地返回 VRF 设备本身的名称。在这个版本中，当设备是 VRF 域的一部分时，nft_fib 表达式现在为 IPv4 和 IPv6 提供一致的结果。

修复了使用带有 wpa_supplicant 的 PKCS installation 的网络验证方法

在 RHEL 10 中，与联邦信息处理标准(FIPS)不兼容的引擎已被删除。因此，依赖 wpa_supplicant 服务无法加载存储在 PKCS modprobe URI 格式的 X.509 证书和密钥。这导致任何使用 PKCS1.10.1 的 EAP-TLS 验证方法和变体没有连接到相关网络。要解决这个问题，wpa_supplicant 现在依赖于 pkcs11-provider 软件包，并使用同名的库从 PKCS modprobe 存储加载 X.509 证书和密钥。因此，使用 PKCSjee 的网络验证方法可以正常工作。

VMware vCenter 现在可以正确地从正在运行的 RHEL 虚拟机中删除 SATA 磁盘

当使用 VMware vCenter 接口从 VMware ESXi hypervisor 上运行的 RHEL 10 客户机中删除 SATA 磁盘时，之前的磁盘不会被完全删除。它停止工作并从 vCenter 界面中的客户机中消失，但 SCSI 接口仍然检测到客户端中附加的磁盘。 在这个版本中解决了这个问题，SATA 磁盘在上述场景中完全删除。

更新了 stalld 调度策略回归以防止性能下降

在此次更新之前，Node Tuning Operator CI 可能会因为停止的调度策略而出现问题。这个更改会导致服务在启动后恢复到 SCHED_OTHER 而不是 SCHED_FIFO。因此，实时工作负载可能会遇到性能下降，您无法合并 PR。在这个版本中，systemd 单元文件将 stalld 优先级设置为 10，确保 stalld 使用 SCHED_FIFO 运行。这会恢复预期的行为，并提高了实时工作负载的性能。

osnoise/cpus 允许设置较长的 CPU 列表

在此次更新之前，因为无效的参数错误，您无法在 osnoise/cpus 中设置较长的 CPU 列表。这限制了受影响的延迟调试和故障排除。在这个版本中，您可以在 osnoise/cpus 中输入较长的 CPU 列表，以增强 RTLA 延迟调试和故障排除。

rtla timerlat 现在在有 100 个 CPU 的系统上处理高频率抽样

在此次更新之前，rtl a timerlat 无法处理带有 100 个句点的计时器样本，或在超过 100 个 CPU 的系统上处理计时器样本，因为 tracefs 缓冲区处理不足。因此，样本被丢弃，timerlat 测量会变得不准确，影响实时性能分析。在这个版本中，timerlat 样本直接在测量 CPU 上收集，从而消除了缓冲区溢出问题。因此，rtla timerlat 在高核计数系统上提供准确的测量，从而启用可靠的实时性能分析。

rtla timerlat 在启动时不会重置 osnoise 停止追踪阈值

在此次更新之前，在不清除 stop_tracing 标志的情况下多次使用 rtla timerlat 会使 RTLA 处于不一致的状态。因此，当无法通过 ,-T, 或 - i 选项请求停止追踪时，追踪无法正确停止。这会导致报告不准确的数据，因为当 RTLA 不应有时退出。在这个版本中，rtla -timerlat 会重置跟踪变量，防止早期退出，从而改进了程序稳定性。

GRUB2 net_del_dns 命令正确删除了 DNS 服务器

在此次更新之前，如果您尝试使用 net_del_dns 命令删除 DNS 服务器，它会错误地添加了 DNS 服务器因为实施不正确，并返回错误。有了此修复，add 命令在 net_del_dns 实现中被 remove 命令替代。因此，您可以使用 net_del_dns 命令删除 DNS 服务器。

multipathd 可以使用离线路径监控设备

在此次更新之前，当用户在设备的某些路径处于离线状态时创建多路径设备时，multipathd 守护进程不会监控设备或其路径。因此，如果路径失败，它们永远不会恢复，即使它们再次可用。在这个版本中，multipathd 守护进程会监控多路径设备及其离线路径。multipathd 还会在多路径设备中添加路径（如果它们在线）。

RHEL 安装程序删除损坏的 LVM 精简卷

在以前的版本中，存在损坏的 LVM 精简卷会导致存储配置错误，阻断安装过程。在这个版本中，RHEL 安装程序会检测到并删除有问题的精简卷。因此，用户不必手动进行安装过程。

pcs 命令不再因为不正确的大写的 target-role 值而失败

在此次更新之前，如果资源的 target-role meta-attribute 设置为一个没有大写的值，如 stopped，而不是 Stopped，pcs 无法解析集群状态。此解析错误导致 pcs status query resource 命令和删除资源的命令（包括 pcs resource delete ）失败。

fence_ibm_powervs 支持纯文本令牌文件

在此次更新之前，fence_ibm_powervs 代理只能从格式为 JSON 的文件读取身份验证令牌。无法从纯文本文件读取令牌。

当 quorum 丢失时，Pacemaker 远程节点不再不必要的隔离

在此次更新之前，在某些集群配置中，当其分区丢失仲裁时，Pacemaker 远程节点可以被隔离，即使管理该节点的资源可以在不同的 quorate 节点上安全重启。这个行为会导致 Pacemaker 远程节点上运行的服务不必要的停机时间。

pacemaker 不再需要为大型集群手动 IPC 缓冲调整

在此次更新之前，在有大量节点或资源的集群中，Pacemaker 的内部通信可能会超过默认缓冲区大小。这会导致记录错误，并可能导致命令行工具缓慢或无响应。用户有时必须手动增加 PCMK_ipc_buffer 设置来解决这个问题。

带有长启动或停止时间的 systemd 资源会被正确处理

在此次更新之前，Pacemaker 轮询用于带有固定超时的 systemd 资源启动和停止操作的结果。如果资源启动或停止的时间超过这个超时时间，Pacemaker 会错误地将资源标记为失败。

对 glibc 软件包进行了更新，使其包含来自上游 2.39 版本的程序错误修正和增强

上游开发为 glibc 2.39 提供了多个程序错误修复和增强。因此，RHEL 10 glibc 比上游版本已过时，从而导致功能和未解决的错误。要解决这个问题，glibc 2.39 上游发行版本分支中的修复和增强被向后移植到 RHEL 10。因此，RHEL 10 glibc 现在在 2025 年 8 月 20 日起提供与上游 glibc 2.39 发行分支的功能和错误奇偶校验。

当在审计模式下运行 glibc 动态链接程序时，某些程序不再崩溃

在以前的版本中，LD_AUDIT 模式中的 glibc 动态链接器可以使用主 calloc 功能来分配内部数据结构，然后再初始化主 malloc 子系统。因此，某些程序在启动过程中在 calloc 功能中意外终止。在这个版本中，进程启动序列已被重新安排，因此在切换到主 malloc 功能前 调用oc 内存分配功能会在启动时使用内部 malloc 实现。因此，当动态链接器处于审计模式时，程序不会在 calloc 函数中启动期间崩溃。

改进了对 glibc中审计模块中的递归 dlopen 调用的支持

在以前的版本中，来自审核员的递归 dlopen 调用可以在 glibc 的 dl-open.c 中触发 r_state == RT_CONSISTENT 断言失败。因此，当审核员处于活跃状态时，应用程序会意外退出。在这个版本中，动态链路器会在进行 in-progress dlopen 调用过程中报告其内部数据结构的一致性。因此，在更多情况下，支持审核员的递归 dlopen 操作。

glibc: ctype.h 宏会在带有多个 libc.so的多线程程序中导致分段错误

在以前的版本中，由审计创建的二级 C 库 副本中的 <ctype.h &gt ; 的内部状态无法初始化使用 pthread_create 创建的线程。因此，在二级线程和命名空间中使用 & lt;ctype.h > 功能直接或间接会导致程序崩溃。

当 NSS 合并在 glibc 中遇到 ERANGE 时，getent group 现在会返回完整的成员列表

在此次更新之前，两个组条目之间的合并可能会失败，因为名称服务交换机(NSS)从两个源中合并的组的系统上存在太小的内部缓冲区。在这种情况下，glibc 会错误地跳过合并，而不是使用更大的缓冲区重试。因此，在某些情况下，查询组成员资格会生成不完整或为空的结果，会导致具有多个组数据库的环境。

glibc 审计日志记录提供完整的对象生命周期跟踪

在此次更新之前，名为 la_objclose 的 glibc 动态链接器为代理 ld.so 链接映射在一个二级命名空间中，没有 la_objopen。这会导致对象生命周期报告依赖 la_objopen 跟踪共享对象的工具不完整。

ipa-cacert-manage install 现在允许重复的 CA 主题

在以前的版本中，尝试使用 ipa-cacert-manage 安装 添加具有相同主题的 CA 证书，但使用不同的私钥会失败，并显示消息 主题公钥信息不匹配，因为 IdM 禁止重复主题。

dsconf replication get-ruv 不再返回错误

在此次更新之前，其中一个复制功能没有调用所需的功能。因此，当您运行 dsconf <instance_name> replication get-ruv --suffix dc=example,dc=com 时会显示错误。在这个版本中，命令会如预期返回 Replica Update Vector (RUV)值。

新创建的用户密码策略会被正确显示

在此次更新之前，Service (CoS)模板中的 cosAttribute 属性具有操作修饰符，而不是 operational -default。因此，当子树和用户密码策略都存在时，pwdpolicysubentry 属性指向子树密码策略，而不是用户密码策略。在这个版本中，CoS 模板使用 operational-default 修饰符。因此，用户策略会被正确显示。

ipa-healthcheck 现在忽略 副本忙 的情况

在此次更新之前，在带有两个供应商的拓扑中，ipa-healthcheck 工具会在供应商从另一个节点接收更新时报告复制协议状态的错误。这是一个标准复制情况，在这个版本中，ipa-healthcheck 在副本忙碌时不再报告错误。

在使用 LMDB 的实例关闭时，目录服务器在清理过程中不再失败

在此次更新之前，在带有 Lightning Memory-Mapped Database Manager (LMDB)的实例上在清理过程中发生竞争条件。在这个版本中，Directory 服务器不会在数据库环境关闭时调用 lmdb。

现在，LMDB 监控统计信息会被正确显示

在此次更新之前，当您尝试使用 Lightning Memory-Mapped Database Manager (LMDB)数据库类型检索实例上监控统计信息时，会出现一个密钥错误。在这个版本中，Directory 服务器确保 backend 和 monitor 密钥与配置的数据库实现匹配。因此，全局监控统计会被正确显示。

389-ds-base 在 LMDB 离线导入过程中不再失败

在此次更新之前，当 worker 线程在另一个进程完成写入条目前读取条目时，会出现竞争条件。因此，在带有 Lightning Memory-Mapped Database Manager (LMDB)后端的实例上离线导入会导致分段错误。

目录服务器 Web 控制台现在显示服务器版本

在此次更新之前，Web 控制台没有在 Server Settings>General Settings 中显示服务器版本。在这个版本中，服务器版本会被正确显示。

目录服务器可以正确地显示特定节点下的子条目数

在此次更新之前，在导入过程中错误地计算 numSubordinates 和 numTombstoneSubordinates 属性。因此，当您比较特定节点下的子条目数量时，会显示错误的值。

目录服务器在 NDN 缓存操作过程中不再失败

在此次更新之前，arc-swap 库（在 389-ds-base 的 Rust 依赖项中使用的 arc-swap 库）可能会导致在 NDN 缓存操作过程中在 Directory Server 中失败。在这个版本中，Directory 服务器使用 Rust 依赖项(concread) 0.5.7 的更新版本，它不包含 arc-swap 库。因此，Directory 服务器不再会失败。

目录服务器在嵌套组中正确显示成员资格

在此次更新之前，Directory 服务器在以下情况下在该条目中显示 memberOf 属性的值不正确：

添加 nsslapd-referral时目录服务器不再失败

在此次更新之前，当您试图将目录服务器配置为使用引用时，服务器会失败，因为处理页搜索结果不正确。

带有 IP 地址通配符的 RootDN Access Control 插件不再失败

在此次更新之前，如果您尝试为 RootDN Access Control 插件配置设置了通配符的 IP 地址，则尝试会失败并显示 Invalid IP 地址 错误。在这个版本中，验证功能已被更新。因此，尝试设置带有通配符的值不再会失败。

当禁用 NDN 缓存时，目录服务器监控信息会如预期提供

在此次更新之前，当禁用规范化 DN (NDN)缓存时，dsconf & lt;instance_name > 监控 dbmon 命令会失败，因为处理后端 get-tree 命令失败。此发行版本添加了一个回滚功能，以防止在后端创建过程中创建树时阻止孤立后端。因此，目录服务器监控信息会如预期返回。

Databases 菜单在 Directory Server Web 控制台中按预期打开

在此次更新之前，如果您创建的数据库名称有不正确的后缀语法，则无法在 Directory Server Web 控制台中打开 Databases 菜单，例如，包含 dc= 的名称。在这个版本中，Directory 服务器在后端创建过程中映射树创建失败时使用回滚功能，以防止孤立的后端。因此，Databases 菜单会如预期打开。

NDN 缓存不再导致目录服务器中的内存消耗增加

在此次更新之前，389-ds-base 的 concread Rust 依赖项允许规范化 DN (NDN)缓存保存被驱除条目的内存。因此，NDN 缓存可能会增加内存消耗。

密码修改扩展操作会正确检查根 DN 和密码管理员的密码策略检查

在此次更新之前，当根 DN 或密码管理员使用密码修改扩展操作来更改密码时，它们无法绕过目录服务器的密码策略限制。因此，它们无法更新不符合密码策略要求的密码。

dsconf 可以正确地返回复制监控信息

在此次更新之前，如果供应商配置了以 0 开始的副本，如 010 或 020，则 dsconf <instance_name> 复制 monitor 命令无法检索延迟或复制状态的信息。

389-ds-base 中的错误日志现在包含有关复制的完整消息

在此次更新之前，当您配置复制时，错误日志文件包含与复制相关的不完整消息。在这个版本中，错误日志包含带有实际值的完整信息。

dsctl healthcheck 不再报告带有 LMDB 的实例上不正确的数据库类型

在这个版本中，会检查正确的配置参数，dsctl healthcheck 不再报告错误的数据库类型。

非特权进程现在可以更新主机 keytab

在此次更新之前，非特权进程缺少续订主机 keytab 的功能，因为 keytab 文件只能被 root 用户访问。此问题会阻止非特权进程更新其主机 keytab。随着 RHBA-2025:21019 公告的发布，realmd 支持为非特权进程使用适当的 policy-kit 设置续订主机 keytab。因此，没有特权的进程和用户现在可以轻松地续订主机 keytab。

指定多个用户不再会导致资源与错误的用户关联

在以前的版本中，当为两个不同的用户管理资源时，var 和 set_fact 都用来设置 __podman_user 和 __podman_user_home_dir 变量。这会导致无法预计和未定义的行为，因为系统使用第二个用户的旧值，从而导致第二个用户的配置错误地引用第一个用户数据。

如果禁用了 IPv6 接口，postfix RHEL 系统角色会自动探测

默认 postfix 配置使用 inet_interfaces = localhost 设置，它会告知 postfix 侦听解析到 localhost 的所有接口，包括 IPv4 和 IPv6 接口。在此次更新之前，如果主机上禁用了 IPv6，则会出现问题。在这种情况下，postfix 角色及其命令行工具（如reply ）会返回错误。整个角色都失败。在这个版本中，该角色确定是否禁用了 IPv6。如果是这样，它会设置 inet_protocols = ipv4，以便 postfix 仅使用 IPv4 接口。因此，postfix 角色也可以工作，即使禁用 IPv6。