8.3 リリースノート

Red Hat Enterprise Linux 8

Red Hat Enterprise Linux 8.3 リリースノート

概要

本リリースノートでは、Red Hat Enterprise Linux 8.3 での改良点および実装された追加機能の概要、本リリースにおける既知の問題などを説明します。また、重要なバグ修正、テクニカルプレビュー、非推奨の機能などの詳細も説明します。

Red Hat ドキュメントへのフィードバック (英語のみ)

ご意見ご要望をお聞かせください。ドキュメントの改善点はございませんか。改善点を報告する場合は、以下のように行います。

  • 特定の文章に簡単なコメントを記入する場合は、ドキュメントが Multi-page HTML 形式になっているのを確認してください。コメントを追加する部分を強調表示し、そのテキストの下に表示される Add Feedback ポップアップをクリックし、表示される手順に従ってください。
  • より詳細なフィードバックを行う場合は、Bugzilla のチケットを作成します。

    1. Bugzilla の Web サイトに移動します。
    2. Component で Documentation を選択します。
    3. Description フィールドに、ドキュメントの改善に関するご意見を記入してください。ドキュメントの該当部分へのリンクも記入してください。
    4. Submit Bug をクリックします。

第1章 概要

インストーラーおよびイメージの作成

RHEL 8.3 では、インストールを開始する前に、root パスワードを設定してユーザーアカウントを作成できます。以前は、インストールプロセスを開始した後で、root パスワードの設定とユーザーアカウントの作成を行っていました。また、より信頼性の高いバックエンドに基づいてカスタムイメージを作成し、RHEL Web コンソール経由でイメージをクラウドにプッシュすることもできます。

RHEL for Edge

RHEL 8.3 では、エッジサーバーに RHEL for Edge をリモートにインストールするための「RHEL for Edge」が導入されました。RHEL for Edge は、Image Builder を使用して構成できる rpm-ostree イメージです。キックスタートファイルを使用してイメージをインストールし、インストールしたイメージを管理して、イメージ更新を含めたり、以前動作していた状態にメー時をロールバックさせることができます。

RHEL for Edge キーの主な特徴は次のとおりです。

  • アトミックアップグレード。各更新の状態が認識され、デバイスを再起動するまで変更は表示されません。
  • 回復性を確保するためのカスタムヘルスチェックとインテリジェントロールバック。
  • コンテナー中心のワークフロー: アプリケーションの更新からコア OS の更新を分離し、異なるバージョンのアプリケーションをテストおよびデプロイできます。
  • 低帯域幅環境向けに最適化された OTA ペイロード。

詳細は、「RHEL for Edge」 を参照してください。

インフラストラクチャーサービス

The Tuned システムチューニングツールがバージョン 2.13 にリベースされ、アーキテクチャー依存チューニングと複数の include ディレクティブのサポートが追加されました。

セキュリティー

RHEL 8.3 は、Clevis および Tang を使用してポリシーベースの復号(PBD)ソリューションを自動的にデプロイする Ansible ロールを提供します。また、このバージョンの rhel-system-roles パッケージには、Rsyslog による RHEL ロギング用の Ansible ロールも含まれています。

scap-security-guide パッケージがバージョン 0.1.50 にリベースされ、OpenSCAP がバージョン 1.3.3 にリベースされました。これらの更新では、CIS RHEL 7 Benchmark v2.2.0 に一致するプロファイルや、北米の医療ケア組織に求められる HIPAA (Health Insurance Portability and Accountability Act) に一致するプロファイルなど、大規模な改善が行われています。

今回の更新で、SCAP Workbench ツールを使用して、カスタマイズしたプロファイルから結果ベースの修正ロールを生成できるようになりました。

USBGuard フレームワークによって独自の SELinux ポリシーが提供され、GUI でデスクトップユーザーに通知されるようになりました。バージョン 0.7.8 には、その他の多くの改善およびバグ修正が含まれています。

動的プログラミング言語、Web サーバー、およびデータベースサーバー

以下のコンポーネントの後続のバージョンが、新しいモジュールストリームとして利用できるようになりました。

  • nginx 1.18
  • Node.js 14
  • Perl 5.30
  • PHP 7.4
  • Ruby 2.7

RHEL 8.3 では、以下のコンポーネントが更新されました。

  • Git がバージョン 2.27 へ
  • Squid がバージョン 4. 11 へ

詳細は、「動的プログラミング言語、Web サーバー、およびデータベースサーバー」 を参照してください。

コンパイラーツールセット

RHEL 8.3 では、以下のコンパイラーツールセットが更新されました。

  • GCC Toolset 10
  • LLVM Toolset 10.0.1
  • Rust Toolset 1.45.2
  • Go Toolset 1.14.7

詳細は、「コンパイラーおよび開発ツール」 を参照してください。

ID 管理

RHEL 8 では、Rivest Cipher 4 (RC4) 暗号化スイートが非推奨になりました。これは、AD フォレストの Active Directory (AD) ドメイン間のユーザー、サービス、および信頼に対するデフォルトの暗号化タイプです。今回の更新では互換性の理由により、非推奨の RC4 暗号化タイプに対応できるよう、新しい暗号化サブポリシー AD-SUPPORT が導入されました。この新しいサブポリシーでは、RHEL Identity Management (IdM) および SSSD Active Directory の統合ソリューションで RC4 を使用できるようになりました。

詳細は、「Identity Management」 を参照してください。

Web コンソール

Web コンソールには、ユーザーセッション内から管理アクセスと制限付きアクセスを切り替えられるオプションがあります。

仮想化

IBM Z ハードウェアでホストされる仮想マシンが IBM Secure Execution 機能を使用できるようになりました。これにより、ホストが危険にさらされた場合に仮想マシンが攻撃に対して耐性を持つようになります。また、信頼できないホストが仮想マシンから情報を取得できなくなります。さらに、DASD デバイスが IBM Z の仮想マシンに割り当てられるようになりました。

デスクトップおよびグラフィックス

IBM Z システムで GNOME デスクトップを使用できるようになりました。

Direct Rendering Manager (DRM) カーネルグラフィックサブシステムが、アップストリームの Linux カーネルバージョン 5.6 にリベースされました。このバージョンでは、新しい GPU および APU のサポートや、さまざまなドライバー更新など、以前のバージョンから多くの機能強化が行われています。

詳細は、「デスクトップ」 および 「グラフィックインフラストラクチャー」 を参照してください。

インプレースアップグレードおよび OS 移行

RHEL 7 から RHEL 8 へのインプレースアップグレード

現在サポートされているインプレースアップグレードパスは次のとおりです。

  • 64 ビット Intel、IBM POWER 8 (little endian)、および IBM Z アーキテクチャーでの RHEL 7.8 から RHEL 8.2 のアップグレード。
  • カーネルバージョン 4.14 を必要とするアーキテクチャー(IBM POWER 9(リトルエンディアン)および IBM Z(Structure A))での RHEL 7.6 から RHEL 8.2 へのアップグレード
  • SAP HANA のシステムにおける RHEL 7.7 から RHEL 8.2 へのアップグレード。

RHEL 8.2 へのアップグレード後もシステムがサポートされ続けるには、最新の RHEL 8.3 バージョンに更新するか、RHEL 8.2 Extended Update Support(EUS)リポジトリーを有効にします。SAP HANA のシステムで、RHEL 8.2 Update Services for SAP Solutions(E4S)リポジトリーを有効にします。

詳細は「Supported in-place upgrade paths for Red Hat Enterprise Linux 」を参照してください。インプレースアップグレードの実行方法は、「Upgrading from RHEL 7 to RHEL 8」を参照してください

主な機能強化は、次のとおりです。

  • Leapp は、アップグレードの処理方法を決定するために true/false 質問を生成してユーザー入力をサポートするようになりました。
  • Satellite Web UI を使用して複数のホストを同時にアップグレードできるようになりました。
  • インプレースアップグレードは、Red Hat Update Infrastructure (RHUI) を使用した AWS および Microsoft Azure のオンデマンドインスタンスでサポートされるようになりました。
  • RHBA-2021:0569 アドバイザリーのリリースでは、Leapp のアップグレード前のレポート用のカスタムスクリプトを作成できます。詳細は、「 Automating your Red Hat Enterprise Linux pre-upgrade report workflow 」を参照してください。

RHEL 6 から RHEL 8 へのインプレースアップグレード

RHEL 6.10 から RHEL 8.2 にアップグレードするには、『 Upgrading from RHEL 6 to RHEL 8 』の手順に従います。

別の Linux ディストリビューションから RHEL への移行

CentOS Linux 8 または Oracle Linux 8 を使用している場合は、Red Hat がサポートする Convert2RHEL ユーティリティーを使用してオペレーティングシステムを RHEL 8 に変換できます。詳細は「RPM ベースの Linux ディストリビューションから RHEL への移行 」を参照してください。

CentOS Linux または Oracle Linux の旧バージョン (バージョン 6 または 7) を使用している場合は、お使いのオペレーティングシステムを RHEL に移行してから、RHEL 8 へのインプレースアップグレードを実行できます。CentOS Linux 6 および Oracle Linux 6 変換は、サポート対象外の Convert2RHEL ユーティリティーを使用することに注意してください。サポート対象外の変換の詳細は、「How to convert from CentOS Linux 6 or Oracle Linux 6 to RHEL 6 」を参照してください。

Red Hat が他の Linux ディストリビューションから RHEL への移行方法は、「Convert2RHEL サポートポリシー」を参照してください。

OpenJDK 11 が利用可能に

新しいバージョンの Open Java Development Kit (OpenJDK) が利用できるようになりました。本リリースで導入された機能および既存機能の変更に関する詳細は、「 OpenJDK features 」を参照してください。

関連情報

Red Hat Customer Portal Labs

Red Hat Customer Portal Labs は、カスタマーポータルのセクションにあるツールセットで、 から入手できます。Red Hat Customer Portal Labs のアプリケーションは、パフォーマンスの向上、問題の迅速なトラブルシューティング、セキュリティー問題の特定、複雑なアプリケーションの迅速なデプロイメントおよび設定に役立ちます。最も一般的なアプリケーションには、以下のものがあります。

第2章 アーキテクチャー

Red Hat Enterprise Linux 8.3 ではカーネルバージョン 4.18.0-240 が使用されており、以下のアーキテクチャーのサポートが提供されています。

  • AMD アーキテクチャーおよび Intel 64 ビットアーキテクチャー
  • 64 ビット ARM アーキテクチャー
  • IBM Power Systems (リトルエンディアン)
  • 64 ビット IBM Z

各アーキテクチャーに適切なサブスクリプションを購入してください。詳細は、「 Get Started with Red Hat Enterprise Linux - additional architectures 」を参照してください。利用可能なサブスクリプションの一覧は、カスタマーポータルの「 サブスクリプションの使用状況 」を参照してください。

第3章 RHEL 8 のコンテンツの配布

3.1. インストール

Red Hat Enterprise Linux 8 は、ISO イメージを使用してインストールします。AMD64、Intel 64 ビット、64 ビット ARM、IBM Power Systems、IBM Z アーキテクチャーで、以下の 2 種類のインストールメディアが利用できます。

  • Binary DVD ISO - BaseOS リポジトリーおよび AppStream リポジトリーが含まれ、リポジトリーを追加しなくてもインストールを完了できる完全インストールイメージです。

    注記

    Binary DVD ISO イメージが 4.7 GB を超え、1 層 DVD に収まらない場合があります。Binary DVD ISO イメージを使用して起動可能なインストールメディアを作成する場合は、2 層 DVD または USB キーが推奨されます。Image Builder ツールを使用すれば、RHEL イメージをカスタマイズできます。Image Builder の詳細は 『RHEL システムイメージのカスタマイズ 』を参照してください。

  • Boot ISO - インストールプログラムを起動するのに使用する最小限の ISO ブートイメージです。このオプションでは、ソフトウェアパッケージをインストールするのに、BaseOS リポジトリーおよび AppStream リポジトリーにアクセスする必要があります。リポジトリーは、Binary DVD ISO イメージに含まれます。

ISO イメージのダウンロード、インストールメディアの作成、RHEL インストールの完了の方法は、『標準的な RHEL インストールの実行 』を参照してください。自動化したキックスタートインストールなどの高度なトピックは、『高度な RHEL インストールの実行』を参照してください

3.2. リポジトリー

Red Hat Enterprise Linux 8 は、2 つのメインリポジトリーで配布されています。

  • BaseOS
  • AppStream

基本的な RHEL インストールにはどちらのリポジトリーも必要で、すべての RHEL サブスクリプションで利用できます。

BaseOS リポジトリーのコンテンツは、すべてのインストールの基盤となる、基本的な OS 機能のコアセットを提供します。このコンテンツは RPM 形式で提供されており、RHEL の以前のリリースと同様のサポート条件が適用されます。BaseOS から配布されるパッケージの一覧は『パッケージ マニフェスト』を参照し てください。

アプリケーションストリーム (AppStream) リポジトリーのコンテンツには、さまざまなワークロードとユースケースに対応するために、ユーザー空間アプリケーション、ランタイム言語、およびデータベースが含まれています。Application Streams は、モジュール と呼ばれる RPM 形式への拡張、または Software Collections として通常の RPM 形式で利用できます。AppStream で利用可能なパッケージの一覧は『パッケージ マニフェスト』を参照し てください。

また、CodeReady Linux Builder リポジトリーは、すべての RHEL サブスクリプションで利用できます。このリポジトリーは、開発者向けの追加パッケージを提供します。CodeReady Linux Builder リポジトリーに含まれるパッケージには対応しません。

RHEL 8 リポジトリーの詳細は『 パッケージマニフェスト 』を参照してください。

3.3. アプリケーションストリーム

Red Hat Enterprise Linux 8 では、アプリケーションストリームの概念が導入されました。ユーザー空間コンポーネントのバージョンは複数配信され、コアオペレーティングシステムのパッケージよりも頻繁に更新されるようになりました。これによりプラットフォームや特定のデプロイメントの基本的な安定性に影響を及ぼすことなく、Red Hat Enterprise Linux をカスタマイズする柔軟性が向上します。

アプリケーションストリームとして使用できるコンポーネントは、モジュールまたは RPM パッケージとしてパッケージ化され、RHEL 8 の AppStream リポジトリーを介して配信されます。各 Application Stream コンポーネントには、RHEL 8 と同じか、より短いライフサイクルが指定されています。詳細は「 Red Hat Enterprise Linux のライフサイクル 」を参照してください。

モジュールは、論理ユニット (アプリケーション、言語スタック、データベース、またはツールセット) を表すパッケージの集まりです。これらのパッケージはまとめてビルドされ、テストされ、そしてリリースされます。

モジュールストリームは、アプリケーションストリームコンポーネントのバージョンを表します。たとえば、postgresql モジュールでは 2 つのストリーム (バージョン) の PostgreSQL データベースサーバー、つまり PostgreSQL 10 (デフォルトストリーム) および PostgreSQL 9.6 が利用できます。システムにインストールできるモジュールストリームは 1 つだけです。複数のコンテナーで異なるバージョンを使用できます。

詳細なモジュールコマンドは『 ユーザー空間コンポーネントのインストール、管理、および削除 』を参照してください。AppStream で利用可能なモジュールの一覧は『 パッケージマニフェスト 』を参照してください。

第4章 RHEL 8.3.1 リリース

Red Hat は、マイナーリリース (8.Y) において Red Hat Enterprise Linux 8 のコンテンツを四半期ごとに利用できるようにしています。この四半期リリースは、3桁の数字 (8.Y.1) を使用して番号が付けられます。RHEL 8.3.1 リリースの新機能は以下のとおりです。

4.1. 新機能

複数のデスクトップアプリケーション向けの Flatpak パッケージ

Flatpak は、グラフィカルアプリケーションをコンテナーとして実行するシステムです。Flatpak を使用すると、ホストのオペレーティングシステムから独立したアプリケーションのインストールおよび更新が可能です。

今回の更新では、以下のアプリケーションの Flatpak コンテナーイメージが Red Hat Container Catalog で提供されます。

アプリケーション名Flatpak コンテナー ID

Firefox

org.mozilla.firefox

GIMP

org.gimp.GIMP

inkscape

org.inkscape.Inkscape

Thunderbird

org.mozilla.Thunderbird

Red Hat Container Catalog で提供されている Flatpak コンテナーをインストールするには、以下の手順を使用します。

  1. お使いのシステムに、最新版の Flatpak クライアントがインストールされているようにします。

    # yum update flatpak
  2. RHEL Flatpak リポジトリーを有効にします。

    # flatpak remote-add rhel https://flatpaks.redhat.io/rhel.flatpakrepo
  3. RHEL アカウントの認証情報を指定します。

    # podman login registry.redhat.io

    デフォルトでは、ユーザーがログアウトするまでしか、Podman では認証情報は保存されません。

  4. 必要に応じて、認証情報を永続的に保存します。

    $ cp $XDG_RUNTIME_DIR/containers/auth.json \
         $HOME/.config/flatpak/oci-auth.json
  5. Flatpak コンテナーイメージをインストールします。

    $ flatpak install rhel container-id

(JIRA:RHELPLAN-30958, BZ#1920689, BZ#1921179, BZ#1921802, BZ#1916412, BZ#1921812, BZ#1920604)

Rust Toolset がバージョン 1.47.0 にリベース。

Rust Toolset がバージョン 1.47.0 に更新されました。以下は、主な変更点です。

  • compile-time 評価関数 const fn が改善され、ifwhilematch などの制御フロー機能を使用できるようになりました。
  • 新しい #[track_caller] アノテーションを関数に配置できるようになりました。アノテーションが付けられた関数からパニックが発生すると、呼び出し元がソースとして報告されます。
  • Rust Standard Library は、どのような長さのアレイにもトレイトを実装するようになりました。以前のリリースでは、アレイに実装されているトレイトの多くは、長さが 0 から 32 までしか使用されていませんでした。

使用方法の詳細は「 Using Rust Toolset 」を参照してください。

(BZ#1883839)

Logging System Role は出力に対してプロパティーベースのフィルターをサポートするように。

今回の更新で、プロパティーベースのフィルターがファイル出力、転送出力、および Logging System Role の remote_files 出力に追加されました。この機能は、rsyslog サブロールの下層により提供され、RHEL システムロールのロギングを使用して設定できます。その結果、ユーザーは、ホスト名、タグ、メッセージ自体 (ログの管理に便利) などのプロパティー別に、ログメッセージをフィルタリングする機能を利用できます。

(BZ#1889492)

Logging RHEL システムロールが rsyslog の動作に対応しました。

今回の機能強化で、rsyslog は Red Hat Virtualization からのメッセージを受信し、そのメッセージを elasticsearch に転送するようになりました。

(BZ#1889893)

ubi8/pause コンテナーイメージが利用できるようになりました。

Podman は、k 8s.gcr.io/pause コンテナーイメージの代わりに ubi 8/pause を使用し、Pod のネットワーク namespace 情報を保持するようになりました。

(BZ#1690785)

Podman がバージョン 2.1 にリベースされました。

Podman ユーティリティーがバージョン 2.1 に更新されました。主な機能強化は、次のとおりです。

  • 変更:

    • Podman を 2.0.5)、Buildah を 1.19(1.15.1 から)、Skopeo を 1.2.1(1.1.1 から 1.2.1)、Udica から 0.2.3 に更新し、CRIU を 3.15(0.3.4)へ更新
    • Docker 互換ボリューム API エンドポイント(Create、Inspect、List、Delete、rune)が利用可能になりました。
    • コンテナーの systemd ユニットファイルを生成するための API エンドポイントを追加
    • podman play kube コマンドは、コンテナーの CPU およびメモリー制限の設定をサポートするようになりました。
    • podman play kube コマンドが、Podman という名前のボリュームを使用した Persistent Volume Claim(永続ボリューム要求、PVC)をサポートするようになりました。
    • podman play kube コマンドが --configmap オプションを使用して Kubernetes configmaps をサポートするようになりました。
    • 短縮名エイリアスの実験的サポートが追加されました。これはデフォルトでは有効になっていませんが、環境変数 CONTAINERS _SHORT_NAME_ALIASING を on に設定すると有効にすること ができます。詳細は、Podman のコンテナーイメージの短縮名について 参照してください。
    • 新しい podman image コマンド が追加されました。これにより、イメージをマウントし、読み取り専用でマウントし、そこからコンテナーを作成せずにコンテンツを検査できます。
    • podman save コマンドおよび podman load コマンドは、複数のイメージを含むアーカイブを作成して読み込むことができるようになりました。
    • ネットワークエラーによりプルに失敗した場合に、podman は、最大 3 回、イメージのプルを再試行するようになりました。
  • バグ修正:

    • cgroups v1 システムのコンテナーで systemd を実行すると失敗するというバグが修正されました。

Buildah ツールがバージョン 1.19 に更新されました。主な機能強化は、次のとおりです。

  • 変更:

    • 「 buildah inspect」コマンドはマニフェストの検証をサポートします。
    • 'buildah push' コマンドは、マニフェスト一覧およびダイジェストのプッシュをサポートします。
    • --manifest フラグのサポートを追加
    • アーキテクチャーおよび OS を選択するために、-- arch オプションおよび --os オプションおよび --variant オプションが追加され、
    • ユーザーが stdin をコンテナーに指定することを許可
    • --from オプションで FROM が上書き可能
    • 代替 .dockerignore フラグを使用するように --ignorefile フラグ を追加しました。
    • 短縮形なエイリアス
    • buildah pull コマンドに --policy オプションを追加しました。
    • buildah mount コマンドを修正して、ID ではないコンテナー名を表示する
    • buildah 補完の改善
    • -- omit-timestamp フラグの代わりに --timestamp を使用します
    • コピーにパイプを使用する
    • buildah bud コマンドに --omit-timestamp フラグを追加
    • VFS 追加イメージストアのコンテナーへの追加
    • マウントオプションで「ro」のエイリアスとして「読み取り専用」を許可します。
    • buildah, bud: 並列実行の --jobs=N オプションに対応

Skopeo ツールがバージョン 1.2.1 に更新されました。主な機能強化は、次のとおりです。

  • 変更:

    • Travis を介したアップストリームおよび安定した skopeo イメージのマルチアーキテクチャービルドの追加
    • 同期でのダイジェストサポートを追加
    • コピー --all をエミュレートする - -allsync フラグを追加しました。
    • skopeo inspect コマンドに --format オプションを追加しました。

Udica ツールがバージョン 0.2.3 に更新されました。主な機能強化は、次のとおりです。

  • 変更:

    • ホストポートではなく、コンテナーポートを有効にします
    • --version オプションを追加します。

CRIU ツールがバージョン 3.15 に更新されました。主な機能強化は、次のとおりです。

  • 変更:

    • 初期の cgroup2 サポート
    • Legalized swrk API およびそれを介して fd を継承する機能を追加します。
    • 外部バインドマウントおよびタスク間の通信
    • ibcriu.so (RPC ラッパー)およびプラグイン

(JIRA:RHELPLAN-55998)

第5章 RHEL 8.3.0 リリース

5.1. 新機能

ここでは、Red Hat Enterprise Linux 8.3 に追加された新機能および主要な機能強化を説明します。

5.1.1. インストーラーおよびイメージの作成

Anaconda をバージョン 33.16 にリベース

今回のリリースで、Anaconda がバージョン 33.16 にリベースされました。このバージョンでは、以前のバージョンに対する主な機能強化が提供されています。

  • インストールプログラムで、静的 IPv6 アドレスが複数の行に表示されるようになり、ウィンドウのサイズが変更されなくなりました。
  • インストールプログラムに、対応している NVDIMM デバイスセクターサイズが表示されるようになりました。
  • IPv6 静的設定のあるインストール済みシステムで、ホスト名が正しく設定されるようになりました。
  • ディスク暗号化パスフレーズで、ASCII 以外の文字を使用できるようになりました。
  • インストールプログラムでは、/boot、/tmp、およびすべての /var および /usr マウントポイント (/var/local および /var/www を除く) で新しいファイルシステムを作成するのに適切な推奨事項が表示されます。
  • インストールプログラムでキーボードレイアウトが正しくチェックされるようになり、キーボードキー (ALT+SHIFT) を使用して異なるレイアウトや言語を切り替える際に、キーボードレイアウト画面のステータスが変更されなくなりました。
  • 既存の RAID1 パーティションが設定されたシステムでレスキューモードが失敗しなくなりました。
  • 手動パーティション設定 画面で、コンテナーの LUKS バージョンを変更できるようになりました。
  • インストールプログラムは、btrfs-progs パッケージなしでインストールを正常に終了します。
  • インストールプログラムで、暗号化したコンテナーにデフォルトの LUKS2 バージョンが使用されるようになりました。
  • キックスタートファイルで論理ボリュームグループ(VG)の物理ボリューム(PV)が ignoredisk 一覧に配置されると、インストールプログラムがクラッシュしなくなりました。
  • システムルート用の新しいマウントパス /mnt/sysroot が導入されました。このパスは、ターゲットシステムのマウント / に使用されます。通常、物理ルートとシステムの root は同じであるため、/mnt/sysroot/mnt/sysimage と同じファイルシステムに接続されます。唯一の例外は、デプロイメントに基づいてシステムの root が変更する rpm-ostree システムのみです。これにより、/mnt/sysroot/mnt/sysimage のサブディレクトリーに割り当てられます。chroot には /mnt/sysroot を使用することが推奨されます。

(BZ#1691319, BZ#1679893, BZ#1684045, BZ#1688478, BZ#1700450, BZ#1720145, BZ#1723888, BZ#1754977, BZ#1755996, BZ#1784360, BZ#1796310, BZ#1871680)

RHEL インストールプログラムにおける GUI の変更

RHEL インストールプログラムのインストール概要画面に、以下のユーザー設定が含まれるようになりました。

  • Root パスワード
  • ユーザーの作成

この変更により、インストールを開始する前に、root パスワードを設定してユーザーアカウントを作成できるようになりました。以前は、インストールプロセスを開始した後で、root パスワードの設定とユーザーアカウントの作成を行っていました。

root パスワードは、システム管理タスクに使用する管理者 (スーパーユーザーまたは root としても知られる) アカウントへのログインに使用されます。コマンドラインからログインするには、ユーザー名を使用します。グラフィカル環境をインストールする場合、グラフィカルログインマネージャーは、フルネームを使用します。詳細は『 標準的な RHEL インストールの実行 』を参照してください。

(JIRA:RHELPLAN-40469)

Image Builder バックエンド osbuild-composerlorax-composerに置き換え

osbuild-composer バックエンドは、lorax-composer に代わるものです。新しいサービスは、イメージビルドに REST API を提供します。その結果、ユーザーはより信頼性の高いバックエンドと予測可能な出力イメージの利点を活用できます。

(BZ#1836211)

Image Builder osbuild-composer は、イメージタイプセットをサポートします。

osbuild-composer バックエンドの置き換えにより、この時間でサポートされる osbuild-composer には以下のイメージタイプのセットが使用されます。

  • TAR アーカイブ (.tar)
  • QEMU QCOW2 (.qcow2)
  • VMware 仮想マシンディスク (.vmdk)
  • Amazon マシンイメージ (.ami)
  • Azure ディスクイメージ (.vhd)
  • OpenStack イメージ (.qcow2)

以下の出力は今回はサポートされません。

  • ext4-filesystem
  • partitioned-disk
  • Alibaba Cloud
  • Google GCE

(JIRA:RHELPLAN-42617)

Image Builder が、GUI 経由でのクラウドへのプッシュに対応

今回の機能拡張により、ユーザーはイメージの作成時に、GUI Image Builder を使用して Azure および AWS サービスクラウドにプッシュするオプションを選択できるようになりました。これにより、アップロードやインスタンス化が容易になります。

(JIRA:RHELPLAN-30878)

5.1.2. RHEL for Edge

RHEL for Edge イメージの概要

今回のリリースで、Edge サーバー用にカスタマイズされた RHEL イメージを作成できるようになりました。

Image Builder を使用して RHEL for Edge イメージを作成し、RHEL インストーラーを使用して AMD および Intel 64 ビットシステムにデプロイできます。Image Builder は、.tar ファイルに rhel-edge-commit として RHEL for Edge イメージを生成します。

RHEL for Edge イメージは、Edge サーバーに RHEL をリモートにインストールするシステムパッケージを含む rpm-ostree イメージです。

システムパッケージには以下が含まれます。

  • ベース OS パッケージ
  • コンテナーエンジンとしての podman

イメージをカスタマイズして、要件に従って OS コンテンツを設定し、物理マシンおよび仮想マシンにデプロイできます。

RHEL for Edge イメージを使用すると、以下を実行できます。

  • アトミックアップグレード。各更新の状態が認識され、デバイスを再起動するまで変更は表示されません。
  • 、アップグレードに失敗した場合に回復性を確保する、Greenboot およびインテリジェントロールバックを使用したカスタムヘルスチェック。
  • コンテナー中心のワークフロー: アプリケーションの更新からコア OS の更新を分離し、異なるバージョンのアプリケーションをテストおよびデプロイできます。
  • 低帯域幅環境向けに最適化された OTA ペイロード。
  • 回復性を確保するために Graboot を使用したカスタムヘルスチェック。

RHEL for Edge イメージの作成、インストール、および管理の詳細は、『 RHEL for Edge イメージの作成、インストール、および管理』を参照してください。

(JIRA:RHELPLAN-56676)

5.1.3. ソフトウェア管理

best dnf 設定オプションのデフォルト値が True から Falseに変更

今回の更新で、元の dnf 動作を維持するために、デフォルトの設定ファイルで best dnf 設定オプションの値が True に設定されるようになりました。結果として、デフォルトの設定ファイルを使用するユーザーの場合は、動作に変更はありません。

独自の設定ファイルを提供する場合は、元の動作を保持する best=True オプションがあることを確認してください。

(BZ#1832869)

dnf reposync コマンドの新しい --norepopath オプションが利用可能になりました。

以前は、reposync コマンドは、デフォルトでダウンロードした各リポジトリーの --download-path ディレクトリーにサブディレクトリーを作成していました。今回の更新で、--norepopath オプションが導入され、reposync はサブディレクトリーを作成しなくなりました。これにより、リポジトリーは --download-path で指定されたディレクトリーに直接ダウンロード されます。このオプションは YUM v3 にも存在します。

(BZ#1842285)

libdnf プラグインを有効または無効にする機能

以前は、サブスクリプションの確認は、libdnf プラグインの RHEL バージョンにハードコードされていました。今回の更新で、microdnf ユーティリティーは libdnf プラグインを有効または無効にするようになり、DNF と同じようにサブスクリプションの確認を無効にできるようになりました。サブスクリプションの確認を無効にするには、--disableplugin=subscription-manager コマンドを使用します。すべてのプラグインを無効にするには、--noplugins コマンドを使用します。

(BZ#1781126)

5.1.4. シェルおよびコマンドラインツール

ReaR が更新されました。

RHEL 8.3 では、ReaR(Relax-and-Recover)ユーティリティーに多くの更新が導入されました。以下は、主な変更点です。

  • 外部バックアップソフトウェアが追加されているため、サードパーティーの Overcloudbrik Cloud Data Management (CDM) のサポートが追加されました。これを使用するには、設定ファイルの BACKUP オプションを CDM に設定します。
  • IBM POWER のリトルエンディアンアーキテクチャーで、4 GB を超えるファイルを含むレスキューイメージの作成が有効化されました。
  • ReaR が作成したディスクレイアウトには、Rancher 2 Longhorn iSCSI デバイスおよびファイルシステムのエントリーが含まれなくなりました。

(BZ#1743303)

smartmontools がバージョン 7.1 にリベースされました。

smartmontools パッケージがバージョン 7.1 にアップグレードされ、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

  • HDD、SSD、USB がドライブデータベースに追加されました。
  • 新しいオプション -j および - -json は、JSON 出力モードを有効にします。
  • 一部の SAS SSD から 不完全なログサブページの応答に対する回避策。
  • READ CAPACITY コマンドの処理を向上
  • ログページのデコードに関するさまざまな改善。

(BZ#1671154)

opencryptoki がバージョン 3.14.0 にリベースされました。

opencryptoki パッケージがバージョン 3.14.0 にアップグレードされ、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

  • EP11 暗号化サービスの機能強化:

    • Dilithium のサポート
    • Elastics-curve デジタル署名アルゴリズム (EdDSA) のサポート
    • 非 SHA1 ハッシュおよびとマスク生成機能 (MGF) を使用した Rivest-Shamir-Adleman の最適非対称暗号化パディング (RSA-OAEP) のサポート
  • プロセスとスレッドロックの強化
  • Btree および オブジェクト のロックの強化
  • 新しい IBM Z ハードウェア z15 のサポート
  • Trusted Platform Module (TPM)、IBM 暗号化アーキテクチャー (ICA)、および integrated cryptographic service facility (ICSF) の複数のトークンインスタンスのサポート
  • openCryptoki トークンリポジトリーのトークンキーを一覧表示 する新しいツール p11 sak を追加
  • トークンリポジトリーを FIPS 準拠の暗号化に移行するユーティリティーを追加
  • pkcsep 11_migrate ツールを修正
  • ICSF ソフトウェアの軽微な修正

(BZ#1780293)

gpgme がバージョン 1.13.1 にリベースされました。

gpgme パッケージがアップストリームバージョン 1.13.1 にアップグレードされました。以下は、主な変更点です。

  • 新しいコンテキストフラグ no-symkey-cache (GnuPG 2.2.7 以降で使用すると有効)、request-origin (GnuPG 2.2.6 以降で使用すると有効)、auto-key-locate および trust- model が導入されました。
  • Web ブラウザー用のネイティブメッセージングサーバーとしての新しいツール gpgme-json が追加されました。現時点では、公開鍵の暗号化と復号がサポートされています。
  • 非表示の受信者オプションやファイルからのキー取得などのダイレクトキー仕様をサポートする新しい暗号化 API が導入されました。これにより、サブキーも使用できます。

(BZ#1829822)

5.1.5. インフラストラクチャーサービス

PowerTOP がバージョン 2.12 にリベースされました。

powertop パッケージが、バージョン 2.12 にアップグレードされました。以前利用できたバージョン 2.11 への主な変更点は、以下のとおりです。

  • SATA リンク PM に Device Interface Power Management (DIPM) を使用します。
  • Intel Comet Lake モバイルおよびデスクトップシステム、Sk Skylake サーバー、および Atom ベースの Tremont アーキテクチャー (Jasper Lake) のサポート。

(BZ#1783110)

tuned がバージョン 2.14.0 にリベースされました。

tuned パッケージがアップストリームバージョン 2.14.0 にアップグレードされました。主な機能強化は、次のとおりです。

  • optimize-serial-console プロファイルが導入されました。
  • ロード後プロファイルに対するサポートが追加されました。
  • irqbalance 設定を処理する irqbalance プラグインが追加されました。
  • Marvell ThunderX および AMD ベースのプラットフォーム向けにアーキテクチャー固有のチューニングが追加されました。
  • スケジューラープラグインが拡張され、CPU アフィニティー設定の cgroups-v1 をサポートするようになりました。

(BZ#1792264)

tcpdump をバージョン 4.9.3 にリベース

tcpdump ユーティリティーがバージョン 4.9.3 に更新され、CVE(Common Vulnerabilities and Exposures)が修正されました。

(BZ#1804063)

libpcap がバージョン 1.9.1 にリベースされました。

libpcap パッケージがバージョン 1.9.1 に更新され、CVE(Common Vulnerabilities and Exposures)が修正されました。

(BZ#1806422)

iperf3 がクライアント側で sctp オプションに対応

今回の機能強化により、ユーザーはネットワークのスループットをテストするクライアント側で、TCP (Transmission Control Protocol) の代わりに SCTP (Stream Control Transmission Protocol) を使用できるようになりました。

iperf3 の以下のオプションが、テストのクライアント側で利用できるようになりました。

  • --sctp
  • --xbind
  • --nstreams

詳細は、iperf3 man ページ の Client Specific Options を参照してください。

(BZ#1665142)

iperf3SSLに対応

今回の機能強化により、ユーザーはクライアントとサーバーの間で RSA 認証を使用して、サーバーへの接続を正当なクライアントのみに制限できるようになりました。

iperf3 の以下のオプションがサーバー側で利用できるようになりました。

  • --rsa-private-key-path
  • --authorized-users-path

iperf3 の以下のオプションが、通信のクライアント側で利用できるようになりました。

  • --username
  • --rsa-public-key-path

(BZ#1700497)

bind を 9.11.20 にリベース

bind パッケージがバージョン 9.9.11.20 にアップグレードされ、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

  • 複数の競合状態を修正することで、多数の CPU コアを搭載したシステムの信頼性を向上しました。
  • 詳細なエラーレポート: dig およびその他のツールが存在する場合は、拡張 DNS Error(EDE)オプションを出力できるようになりました。
  • 一貫性がない場合、インバウンド DNS ゾーン転送プロトコル (AXFR) 転送のメッセージ ID を確認してログに記録します。

(BZ#1818785)

printk 値を低くすることで、I/O を シリアルコンソールに減らすための新しい optimize-serial-console TuneD プロファイル

今回の更新で、新しい optimize-serial-console TuneD プロファイルが利用できるようになりました。シナリオによっては、カーネルドライバーが大量の I/O 操作をシリアルコンソールに送信できます。このような動作により、I/O がシリアルコンソールに書き込まれるときに一時的に応答しなくなることがあります。optimize-serial-console プロファイルでは、デフォルトの 7 4 1 7 から 4 4 7 までの printk 値を減らすことで、この I/O を 減らし ます。システムでこの変更を行うシリアルコンソールを持つユーザーは、以下のようにシステムをインストルメント化できます。

# tuned-adm profile throughput-performance optimize-serial-console

その結果、再起動後も持続する printk 値が低いため、システムがハングする可能性が低くなります。

この TuneD プロファイルは、デバッグ情報を削除して、シリアルコンソールに書き込まれた I/O の量を減らします。このデバッグ情報を収集する必要がある場合は、このプロファイルが有効になっていないことと、printk 値が 7 4 1 7 に設定されていることを確認してください。printk run の値を確認するには、次のコマンドを実行します。

# cat /proc/sys/kernel/printk

(BZ#1840689)

AMD ベースのプラットフォームに追加された新しい TuneD プロファイル

RHEL 8.3 では、AMD ベースのプラットフォームのチューニングを含むように throughput-performance TuneD プロファイルが更新されました。手動でパラメーターを変更する必要はありません。チューニングは AMD システムに自動的に適用されます。AMD Epyc Naples および Rome システムは、デフォルトの throughput-performance プロファイルで以下のパラメーターを変更します。

sched_migration_cost_ns=5000000 and kernel.numa_balancing=0

今回の機能拡張により、システムパフォーマンスが ~5% まで向上しました。

(BZ#1746957)

memcached がバージョン 1.5.22 にリベースされました。

memcached パッケージがバージョン 1.5.22 にアップグレードされました。以前のバージョンに対する主な変更点は、以下のとおりです。

  • TLS が有効になりました。
  • -o inline_ascii_response オプションが削除されました。
  • ASCII プロトコルの認証モードとともに -Y [authfile] オプションが追加されました。
  • Memcached は、再起動間でキャッシュを復元できるようになりました。
  • 新しい実験的なメタコマンドが追加されました。
  • さまざまなパフォーマンスが向上しました。

(BZ#1809536)

5.1.6. セキュリティー

Cyrus SASL が SASL /GSSAPI プラグインおよび SASL/ GSS-SPNEGO プラグインを使用したチャネルバインディングに対応

今回の更新で、SASL/GSSAPI プラグインおよび SASL/ GSS-SPNEGO プラグインを使用したチャネルバインディングのサポートが追加されました。これにより、openldap ライブラリーで使用すると、Cyrus SASL を有効にして、LDAP 接続の必須チャネルバインディングを導入して Microsoft Active Directory および Microsoft Windows システムとの互換性を維持することが可能になります。

(BZ#1817054)

Libreswan を 3.32 にリベース

今回の更新で、Libreswan がアップストリームバージョン 3.32 にリベースされました。これには、新機能およびバグ修正が複数含まれます。主な変更には以下のものがあります。

  • Libreswan では、個別の FIPS 140-2 認定が必要なくなりました。
  • Libreswan は、RFC 8247 の暗号推奨事項を実装し、設定を SHA-1 および RSA-PKCS v1.5 から SHA-2 および RSA-PSS に変更するようになりました。
  • Libreswan は、ファイアウォールルールの作成を簡素化する XFRMi 仮想 ipsecXX インターフェースに対応します。
  • フルメッシュの暗号化ネットワークでの、クラッシュしたノードおよびリブートしたノードの復旧が改善されました。

(BZ#1820206)

libssh ライブラリーがバージョン 0.9.4 にリベースされました。

SSH プロトコルを実装する libssh ライブラリーがバージョン 0.9.4 にアップグレードされました。

この更新には、以下のようなバグ修正および機能拡張が数多く含まれています。

  • PEM ファイルの Ed25519 鍵のサポートを追加
  • diffie-hellman- group14-sha256 鍵交換アルゴリズムのサポートが追加されました。
  • libssh クライアント設定ファイルの Match キーワードで localuser のサポートが追加されました。
  • 条件キーワード の引数で大文字と小文字が区別されるようになりました(キーワードでは大文字と小文字は区別されませんが、キーワードの引数では大文字と小文字が区別されることに注意してください)。
  • CVE-2019-14889 および CVE-2020-1730 を修正しました。
  • 既知のホストファイル用に提供されたパス文字列で見つかった、不足しているディレクトリーを再帰的に作成するためのサポートが追加されました。
  • コメントと先頭の空白文字を使用した PEM ファイルの OpenSSH キーのサポートを追加
  • libssh サーバー設定に含まれる OpenSSH サーバー設定を削除。

(BZ#1804797)

gnutls が 3.6.14 にリベースされました。

gnutls パッケージがアップストリームバージョン 3.6.14 にリベースされました。このバージョンでは、主なバグ修正および機能強化が数多く追加されました。

  • GnuTLS、無効な文字またはフォーマットが含まれる Time フィールドのある証明書を拒否します。
  • GnuTLS は、信頼できる CA 証明書の最小の鍵サイズをチェックするようになりました。
  • 暗号化した秘密鍵を表示すると、certtool ユーティリティーにプレーンテキストの説明が含まれなくなりました。
  • gnutls を使用するサーバーで OCSP-stapling サポートを通知するようになりました。
  • gnutls を使用するクライアントが、要求時にのみ OCSP staples を送信するようになりました。

(BZ#1789392)

GnuTLS FIPS DH チェックが NIST SP 800-56A rev に準拠するようになりました。3

gnutls パッケージの更新により、NIST Special Publication 800-56A Revision 3 セクション 5.7.1.1 および 5.7.1.2、ステップ 2 で必要なチェックが提供されます。この変更は、今後の FIPS 140-2 証明書に必要です。その結果、gnutls は、FIPS モードで動作している Diffie-Hellman 鍵交換時に RFC 7919 および RFC 3526 からの 2048 ビットまたはそれ以上のパラメーターのみを受け入れるようになりました。

(BZ#1849079)

GnuTLS が NIST SP 800-56A rev 3 に従って検証を実行

gnutls パッケージの更新により、NIST Special Publication 800-56A Revision 3 セクション 5.6.2.2.2 および 5.6.2.1.3、ステップ 2 で必要なチェックが追加されました。この追加により、今後の FIPS 140-2 証明書に対して gnutls を準備できます。これにより、gnutls は、FIPS モードで動作している Diffie-Hellman 鍵交換時に、生成および受信した公開鍵に対して追加の検証手順を実行します。

(BZ#1855803)

update-crypto-policies and fips-mode-setup moved into crypto-policies-scripts

crypto-policies パッケージに以前含まれていた update - crypto-policies および fips-mode- setup スクリプトは、別の RPM サブパッケージ crypto-policies-scripts に移動しました。パッケージは、通常のインストールの Recommends 依存関係を介して自動的にインストールされます。これにより、ubi8/ubi-minimal イメージが有効になり、Python 言語インタープリターが含まないようにし、イメージサイズを縮小できます。

(BZ#1832743)

OpenSC をバージョン 0.20.0 にリベース

opensc パッケージが、複数のバグやセキュリティーの問題に対応するバージョン 0.20.0 にリベースされました。以下は、主な変更点です。

  • 今回の更新では、CVE-2019-6502CVE-2019-15946CVE-2019-15945CVE-2019-19480CVE-2019-19481 および CVE-2019-19479 のセキュリティーに関する問題が修正されました。
  • OpenSC モジュールは、C_WrapKey および C_UnwrapKey 機能 対応するようになりました。
  • ファシリティーを使用して、期待どおりカードリーダーの挿入および削除を検出できるようになりました。
  • pkcs11-tool ユーティリティーが CKA_ALLOWED_MECHANISMS 属性に 対応するようになりました。
  • 今回の更新で、OsEID カードのデフォルトの検出が可能になりました。
  • OpenPGP Card v3 は、ECC (Elliptic Curve Cryptography: 楕円曲線暗号) に対応するようになりました。
  • PKCS#11 URI はリーダー名を省略記号で切り捨てられるようになりました。

(BZ#1810660)

stunnel がバージョン 5.56 にリベースされました。

今回の更新で、stunnel 暗号化ラッパーがアップストリームバージョン 5.56 にリベースされました。これには、複数の新機能およびバグ修正が含まれます。主な変更には以下のものがあります。

  • 発行 たセッションチケットの機密性および整合性保護を制御する新しい ticketKeySecret および ticketMacSecret オプション。これらのオプションを使用すると、クラスター内の他のノードでセッションを再開できます。
  • OpenSSL 1.1.0 以降の電子曲線の一覧を制御する新しい曲線 オプション
  • 許可される TLS 1.3 暗号スイート の一覧を制御する新しい暗号スイートオプション。
  • OpenSSL 1.1.0 以降 sslVersion sslVersionMin および sslVersionMax を追加。

(BZ#1808365)

libkcapi がバージョン 1.2.0 にリベースされました。

libkcapi パッケージがアップストリームバージョン 1.2.0 にリベースされました。これにはマイナーな変更が含まれます。

(BZ#1683123)

setools を 4.3.0 にリベース

setools パッケージが、バージョン 4.3.0 にアップグレードされました。これは、SELinux ポリシー分析を促進するために設計されたツールのコレクションです。

この更新には、以下のようなバグ修正および機能拡張が数多く含まれています。

  • タイプの 適用 (TE)ルールの sediff メソッドを変更。これにより、メモリーとランタイムの問題が大幅に削減されます。
  • seinfo、sediff、および apolinfiniband コンテキストサポート 追加されました。
  • オンラインドキュメントの表示に使用する Qt アシスタントツールの場所に apol 設定を追加します。
  • 以下の sediff の問題を修正

    • 要求されていないときにプロパティーヘッダーが表示される。
    • type_transition ファイルの名前の比較。
  • マップソケットの送信 情報 フロー方向のパーミッションを修正しました。
  • TypeAttribute クラス にメソッドが追加され、完全な Python コレクションになりました。
  • Genfscon は、libsepol からドロップされた固定値ではなく、クラスを検索するようになりました。

setools パッケージには、以下のパッケージが必要です。

  • setools-console
  • setools-console-analyses
  • setools-gui

(BZ#1820079)

個別の CephFS ファイルおよびディレクトリーで SELinux ラベルを使用可能に

Ceph File System (CephFS) では最近、SELinux ラベルをファイルの拡張属性で保存できるようになりました。以前のリリースでは、CephFS ボリュームの全ファイルに、共通のラベル system_u:object_r:cephfs_t:s0 というラベルが付けられました。今回の機能拡張により、個々のファイルのラベルを変更でき、SELinux が移行ルールに基づいて新規作成されたファイルのラベルを定義するようになりました。以前にラベル付けされていないファイルには、明示的に変更されるまで、system_u:object_r:cephfs_t:s0 ラベルが付きます。

(BZ#1823764)

OpenSCAP をバージョン 1.3.3 にリベース

openscap パッケージがアップストリームバージョン 1.3.3 にアップグレードされ、以前のバージョンに対するバグ修正や機能強化が数多く追加されました。主な変更点:

  • コマンドラインインターフェース(CLI)を使用してテーラリングファイルを生成できるようにする autotailor スクリプト が追加されました。
  • XCCDF (Extensible Configuration Checklist Description Format: セキュリティ設定チェックリスト記述形式) TestResult の開始および終了タイムスタンプにタイムゾーン部分を追加
  • yamlfilecontent の独立 たプローブをドラフト実装として追加しました。
  • XCCDF に urn:xccdf:fix:script:kubernetes の修正タイプが導入されました。
  • machineconfig 修正を生成する機能を追加
  • oscap-podman ツールが、あいまいスキャンターゲットを検出できるようになりました。
  • rpmverifyfile プローブが、/bin ディレクトリーのファイルを検証できるようになりました。
  • textfilecontent 58 プローブで複雑な regexes を実行するとクラッシュが修正されました。
  • XCCDF レポートの評価の特性が、system_info プローブの OVAL エンティティーと一致するようになりました。
  • textfilecontent 58 プローブのオフラインモードでのファイルパスパターンの照合を 修正しました。
  • systemdunitdependency プローブの無限再帰を修正 ました。

(BZ#1829761)

SCAP セキュリティーガイドで、CIS RHEL 8 Benchmark v1.0.0 に一致するプロファイルを提供

今回の更新で、scap-security-guide パッケージが CIS Red Hat Enterprise Linux 8 Benchmark v1.0.0 に一致するプロファイルを提供するようになりました。このプロファイルを使用すると、Center for Internet Security (CIS) のガイドラインを使用して、システムの設定を強化できます。これにより、CIS Ansible Playbook および CIS SCAP プロファイルを使用して、CIS で RHEL 8 システムのコンプライアンスを設定および自動化できます。

CIS プロファイルの rpm_verify_permissions ルールは正常に機能しません。

(BZ#1760734)

scap-security-guide が HIPAA を実装するプロファイルを提供

scap-security-guide パッケージの今回の更新で、Health Insurance Portability and Accountability Act(HIPAA)プロファイルが RHEL 8 セキュリティーコンプライアンスコンテンツに追加されました。このプロファイル は、HIPAA プライバシールール の Web サイトで説明されている推奨事項を実装します。

HIPAA セキュリティールールは、対象エンティティーによって作成、受信、使用、または維持される個人の健康に関する電子情報を保護するため、米国国内の標準を確立します。セキュリティールールには、電子的に保護された健康情報の機密性、整合性、およびセキュリティーを確保するために、適切な管理的、物理的、および技術的な保護策が必要です。

(BZ#1832760)

scap-security-guide が 0.1.50 にリベースされました。

Linux システム用の最新の セキュリティーポリシーセットを含む scap-security-guide パッケージが、バージョン 0.1.50 にアップグレードされました。

この更新には、バグ修正および機能拡張が含まれています。主要なものは次のとおりです。

  • Ansible コンテンツが改善されました。多くのルールに Ansible の修正が初めて含まれ、バグ修正に対応するその他のルールが更新されました。
  • RHEL7 システムをスキャンするための scap-security-guide コンテンツの修正および改善。以下に例を示します。

    • scap-security-guide パッケージで、CIS RHEL 7 Benchmark v2.2.0 に一致するプロファイルが提供されるようになりました。CIS プロファイルの rpm_verify_permissions ルールは正常に機能しません。CIS プロファイル rpm_verify_permissions が失敗することに注意して ください。
    • SCAP セキュリティーガイドプロファイルで、開始すべきでないサービスが正しく無効化およびマスクされるようになりました。
    • scap-security-guide パッケージの audit_rules_privileged_commands ルールが、特権コマンドに対して正常に機能するようになりました。
    • scap-security-guide パッケージの dconf_gnome_login_banner_text ルールの修正が、誤って失敗しなくなりました。

(BZ#1815007)

SCAP Workbench が、カスタムプロファイルから結果ベースの修正を生成できるようになりました。

今回の更新で、SCAP Workbench ツールを使用して、カスタマイズしたプロファイルから結果ベースの修正ロールを生成できるようになりました。

(BZ#1640715)

新しい Ansible ロールにより、Clevis クライアントの自動デプロイメントが可能に

rhel-system-roles パッケージの今回の更新で、nbde_client RHEL システムロールが導入されました。この Ansible ロールにより、複数の Clevis クライアントを自動的にデプロイできます。

(BZ#1716040)

新しい Ansible ロールが Tang サーバーを設定可能に

今回の機能拡張により、新しい nbde_server システムロールを使用して、自動ディスク暗号化ソリューションの一部として Tang サーバー をデプロイして管理できるようになりました。rhel-system-roles パッケージに含まれる nbde_server Ansible ロール は、以下の機能をサポートします。

  • Tang 鍵のローテーション
  • Tang 鍵のデプロイおよびバックアップ

詳細は「 Tang サーバーの鍵のローテーション 」を参照してください。

(BZ#1716039)

Clevis がバージョン 13 にリベースされました。

clevis パッケージがバージョン 13 にリベースされ、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

  • clevis luks unlock は、非対話モードで鍵ファイルを持つデバイスで使用できます。
  • Clevis encrypt tpm2 は、入力が JSON 配列として指定されている場合に pcr _ids フィールドを解析します。
  • man ページの clevis-luks-unbind(1) は LUKS v1 のみを参照しなくなりました。
  • パスワードが正しくない場合、clevis luks bind は非アクティブスロットに書き込まれません。
  • clevis luks bind がシステムが英語でないロケールを使用している際に機能するようになりました。
  • tpm2-tools 4.x のサポートが追加されました。

(BZ#1818780)

clevis luks edit を使用すると、特定のピン設定を編集

clevis パッケージの今回の更新で、特定のピン設定を編集できる新しい clevis luks edit サブコマンドが導入されました。たとえば、Tang サーバーの URL アドレスと TPM2 設定の pcr _ids パラメーターを変更できるようになりました。新しい sss ピンを追加および削除し、sss ピンのしきい値を変更することもでき ます。

(BZ#1436735)

clevis luks bind -y が自動バインディングが可能に

今回の機能拡張により、Clevis は -y パラメーターを使用した自動バインディングをサポートするようになりました。clevis luks bind コマンドで -y オプションを使用できるようになりました。これは、後続のプロンプトに対して自動的に yes と応答します。たとえば、Tang ピンを使用する場合は、Tang 鍵を手動で信頼する必要はありません。

(BZ#1819767)

fapolicyd がバージョン 1.0 にリベースされました。

fapolicyd パッケージがバージョン 1.0 にリベースされ、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

  • 複数のスレッド同期の問題を解決しました。
  • データベースサイズとロード時間が短縮され、パフォーマンスが向上しました。
  • 信頼バックエンドをカスタマイズするため、fapolicyd .conf ファイルの fapolicyd パッケージの新しい信頼オプションが追加されました。すべての信頼できるファイル、バイナリー、およびスクリプトは、新しい /etc/fapolicyd/fapolicyd.trust ファイルに追加できます。
  • CLI を使用して fapolicyd.trust ファイルを管理できます。
  • CLI を使用してデータベースのクリーニングまたはダンプを実行できます。
  • fapolicyd パッケージは、スクリプトのデコードを改善するためにマジックデータベースを上書きします。CLI は、上書きに従って、file コマンドと似たファイルの MIME タイプを出力します。
  • /etc/fapolicyd/fapolicyd.rules ファイルは、値のグループを属性値としてサポートします。
  • fapolicyd デーモンには、audit/sylog イベントの 形式を設定する syslog_ format オプションがあり ます。

(BZ#1817413)

fapolicydfapolicyd-selinuxで独自の SELinux ポリシーを提供するようになりました。

今回の機能強化により、fapolicyd フレームワークが独自の SELinux セキュリティーポリシーを提供するようになりました。デーモンは fapolicyd_t ドメインに制限され、ポリシーは fapolicyd-selinux サブパッケージを介してインストールされます。

(BZ#1714529)

usbguard がバージョン 0.7.8 にリベースされました。

usbguard パッケージがバージョン 0.7.8 にリベースされ、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

  • /etc/usbguard/usbguard-daemon.conf ファイルの HidePII =true|false パラメーターにより、監査エントリーから個人を特定できる情報が非表示になりました。
  • /etc/usbguard/usbguard-daemon.conf ファイルの AuthorizedDefault =keep|none|all|internal パラメーターは、コントローラーデバイスの認可状態を事前定義できます。
  • 新しい with-connect-type ルール属性を使用すると、ユーザーはデバイスの接続タイプを区別できるようになりました。
  • ユーザーは、-t オプションを使用して一時的なルールを追加できるようになりました。一時的なルールは、デーモンが再起動されるまでの間のみメモリー内に残ります。
  • usbguard list-rules は、特定のプロパティーに従ってルールをフィルターできるようになりました。
  • usbguard generate-policy で、特定のデバイスのポリシーを生成できるようになりました。
  • usbguard allow|block|reject コマンドはルール文字列を処理できるようになり、指定したルール文字列に一致する各デバイスにターゲットが適用されます。
  • 新しいサブパッケージ usbguard-notifier および usbguard-selinux が含まれます。

(BZ#1738590)

USBGuard は、企業デスクトップユーザー向けに多くの改善を提供します。

USBGuard プロジェクトに対する今回の追加には、企業デスクトップユーザーのユーザビリティーを向上させる機能強化およびバグ修正が含まれています。以下は、重要な変更点です。

  • /etc/usbguard/rules.conf ルールファイルのクリーニングを維持するには、ユーザーは RuleFolder=/etc/usbguard/rules.d/ ディレクトリー内に複数の設定ファイルを定義できます。デフォルトでは、RuleFolder/etc/usbguard-daemon.conf ファイルで指定されます。
  • usbguard-notifier ツールに GUI 通知が提供されるようになりました。このツールは、デバイスが接続または接続解除されたとき、および任意のユーザーがデバイスを許可、ブロック、または拒否されしているかをユーザーに通知します。
  • usbguard-daemon# で始まる行を解析しなくなるため、設定ファイルにコメントを含められるようになりました。

(BZ#1667395)

usbguard が usbguard-selinuxで独自の SELinux ポリシーを提供するようになりました。

今回の機能強化により、USBGuard フレームワークで独自の SELinux セキュリティーポリシーが提供されるようになりました。デーモンは usbguard_t ドメインで制限され、ポリシーは usbguard-selinux サブパッケージを介してインストールされます。

(BZ#1683567)

libcap が ambient 機能に対応

今回の更新で、ユーザーはログイン時に ambient 機能を付与でき、適切に設定されたプロセスに対する root アクセスが不要になりました。

(BZ#1487388)

libseccomp ライブラリーをバージョン 2.4.3 にリベース

seccomp システムコールフィルターメカニズムにインターフェースを提供する libseccomp ライブラリーがバージョン 2.4.3 にアップグレードされました。

今回の更新で、バグ修正および機能強化が数多く追加されました。以下は、主な変更点です。

  • Linux v5.4-rc4 の syscall テーブルを更新しました。
  • 存在しないシステムコールの __NR_x 値を定義しなくなりました。
  • __SNR_x が内部で使用されるようになりました。
  • for __SNR_ppoll の 定義 を追加しまし た。
  • s390/s390x shm* システムコールの多重化の問題を修正しました。
  • libseccomp ツールコンパイルから 静的 フラグを削除しました。
  • io-uring 関連のシステムコールのサポートが 追加されました。
  • v2.4.0 リリースで導入された Python モジュールの命名の問題を修正しました。このモジュールは、以前と同様に seccomp という名前が付けられています。
  • scmp _bpf_sim ツールの clang で識別される潜在的なメモリーリークを修正し ました。

(BZ#1770693)

omamqp1 モジュールのサポート

今回の更新で、AMQP 1.0 プロトコルはバス上の宛先へのメッセージの送信に対応します。以前は、Openstack は AMQP1 プロトコルを通信標準として使用していました。また、このプロトコルは AMQP メッセージにメッセージをログに記録できるようになりました。今回の更新で、rsyslog-omamqp1 サブパッケージが導入され、omamqp1 出力モードが提供され、メッセージをログに記録し、バスの宛先に送信するようになりました。

(BZ#1713427)

OpenSCAP がリモートコンテンツを圧縮するように。

今回の更新で、OpenSCAP はリモートコンテンツの転送に gzip 圧縮を使用するようになりました。リモートコンテンツで最も一般的な種類はテキストベースの CVE フィードで、これは時間が経つにつれてサイズが大きくなり、通常はスキャンするたびにダウンロードする必要があります。gzip 圧縮では、圧縮されていないコンテンツに必要な帯域幅の 10% に帯域幅が減少します。その結果、スキャンしたシステムと、リモートコンテンツをホストするサーバーとの間のチェーン全体における帯域幅要件が軽減されます。

(BZ#1855708)

SCAP セキュリティーガイドは NIST-800-171 に準拠したプロファイルを提供されるように。

今回の更新で、scap-security-guide パッケージが NIST- 800-171 規格に準拠するプロファイルを提供するようになりました。このプロファイルを使用することで、連邦情報システム以外での Controlled Unclassificated Information (CUI) の保護に関するセキュリティー要件に合わせて、システム設定を強化できます。その結果、NIST-800-171 規格に準拠するように、これまでよりも簡単にシステムを設定できるようになりました。

(BZ#1762962)

5.1.7. ネットワーク

IPv4 および IPv6 接続追跡モジュールが nf_conntrack モジュールにマージされました。

今回の機能拡張により、nf_conntrack_ipv4nf_conntrack_ipv6 Netfilter 接続追跡モジュールが nf_conntrack カーネルモジュールにマージされました。この変更により、アドレスファミリー固有のモジュールのブラックリスト登録が RHEL 8.3 では動作しなくなり、nf_conntrack モジュールのみをブラックリストに登録して、IPv4 プロトコルおよび IPv6 プロトコルの両方の接続追跡のサポートを無効にすることができます。

(BZ#1822085)

firewalld をバージョン 0.8.2 にリベース

firewalld パッケージがアップストリームバージョン 0.8.2 にアップグレードされ、以前のバージョンに対するバグ修正が数多く追加されました。詳細は、firewalld 0.8.2 リリースノート を参照してください。

(BZ#1809636)

NetworkManager をバージョン 1.26.0 にリベース

NetworkManager パッケージがアップストリームバージョン 1.26.0 にアップグレードされ、以前のバージョンに対するバグ修正や機能強化が数多く追加されました。

  • NetworkManager は、デバイスを非アクティブ化する際、オートネゴシエーション、速度、およびデュプレックスの設定を元の値にリセットします。
  • 以前のアクティベーション試行がすべて失敗した場合、Wi-Fi プロファイルが自動的に接続されるようになりました。つまり、最初にネットワークへの自動接続が失敗しても、自動性は妨げられません。副次的な影響として、以前にブロックされた既存の Wi-Fi プロファイルに自動的に接続されるようになりました。
  • nm-settings-nmcli(5) および nm-settings-dbus(5) の man ページが追加されました。
  • 多数のブリッジパラメーターに対応するようになりました。
  • VRF (Virtual Routing and Forwarding: 仮想ルーティング/転送) インターフェースのサポートが追加されました。詳細は「 別のインターフェースで同じ IP アドレスを永続的に再利用 」を参照してください。
  • Wi-Fi ネットワーク用の Opportunistic Wireless Encryption モード (OWE) のサポートが追加されました。
  • NetworkManager は、RFC 3021 に従って IPv4 のポイントツーポイントリンクで 31 ビットプレフィックスをサポートするようになりました。
  • nmcli ユーティリティーは、nmcli connection modify <connection_name> remove <setting> コマンドを使用した設定の削除をサポートするようになりました。
  • NetworkManager は、マスターデバイスが見つからない場合、スレーブデバイスを作成およびアクティブにしなくなりました。

主な変更の詳細は、アップストリームのリリースノートを参照してください。

(BZ#1814746)

XDP に条件付きサポートを追加

Red Hat は、以下の条件がすべて適用されている場合に限り、eXpress Data Path (XDP) 機能をサポートします。

  • AMD または Intel 64 ビットアーキテクチャーに XDP プログラムを読み込みます。
  • libxdp ライブラリーを使用して、カーネルにプログラムを読み込みます。
  • XDP プログラムは、XDP _ABORTED、XDP_ DROP、または XDP_PASS のいずれかの戻りコードを使用します。
  • XDP プログラムが XDP ハードウェアオフロードを使用しません

サポート対象外の XDP 機能の詳細は、「 テクノロジープレビューとして利用可能な XDP 機能の概要」を参照してください。

(BZ#1889736)

xdp-tools が部分的にサポートされます

xdp-tools パッケージが、AMD および Intel 64 ビットアーキテクチャーでサポートされるようになりました。このパッケージには、カーネルの eXpress Data Path(XDP)機能のユーザー領域サポートユーティリティーが含まれます。これには、libxdp ライブラリー、XDP プログラムを読み込む xdp-loader ユーティリティー、およびパケットフィルタリング用の xdp-filter のサンプルプログラムが含まれます。XDP が有効になっているネットワークインターフェースからパケットをキャプチャーするための xdpdump ユーティリティーは、引き続きテクノロジープレビューであることに注意してください。(BZ#1820670)

デフォルトでは dracut ユーティリティーが初期 RAM ディスクで NetworkManager を使用するようになりました。

以前は、dracut ユーティリティーはシェルスクリプトを使用して初期 RAM ディスク initrd のネットワークを管理していました。この場合、特定のケースで問題が発生する可能性があります。たとえば、RAM ディスクのスクリプトが IP アドレスをすでに要求していた場合でも、NetworkManager が別の DHCP 要求を送信します。これによって、タイムアウトが発生する可能性がありました。

今回の更新で、dracut はデフォルトで初期 RAM ディスクの NetworkManager を使用し、システムの実行に問題が発生しなくなりました。以前の実装に戻して RAM ディスクイメージを再作成する場合は、以下のコマンドを使用します。

# echo 'add_dracutmodules+=" network-legacy "' > /etc/dracut.conf.d/enable-network-legacy.conf

# dracut -vf --regenerate-all

(BZ#1626348)

カーネルコマンドラインのネットワーク設定を ip パラメーターに統合

カーネルコマンドラインのネットワーク設定を行う ipv6netmaskgateway、および hostname パラメーターは、ip パラメーターに統合されました。ip パラメーターでは、以下のような異なる形式を使用できます。

ip=__IP_address__:__peer__:__gateway_IP_address__:__net_mask__:__host_name__:__interface_name__:__configuration_method__

個々のフィールドや、このパラメーターで使用できるその他の形式の詳細は、dracut.cmdline(7) の man ページの ip パラメーターの説明を参照してください。

RHEL 8 では、ipv6netmaskgateway、および hostname パラメーターは利用できなくなりました。

(BZ#1905138)

5.1.8. カーネル

RHEL 8.3 のカーネルバージョン

Red Hat Enterprise Linux 8.3 には、カーネルバージョン 4.18.0-240 が同梱されています。

(BZ#1839151)

RHEL 8.3 向け Extended Berkeley Packet Filter

eBPF (Extended Berkeley Packet Filter: 拡張バークレーパケットフィルター) は、限られた一連の関数にアクセスできる制限付きサンドボックス環境において、カーネル領域でのコード実行を可能にするカーネル内の仮想マシンです。この仮想マシンは、特別なアセンブリーのようなコードを実行します。

eBPF バイトコードが最初にカーネルにロードされ、その後に検証が行われます。次に実行時のコンパイルでコードがネイティブマシンコードに変換され、その後、仮想マシンがコードを実行します。

Red Hat は、eBPF 仮想マシンを使用するコンポーネントを数多く提供しています。各コンポーネントの開発フェーズはさまざまです。そのため、現在すべてのコンポーネントが完全にサポートされている訳ではありません。RHEL 8.3 では、以下の eBPF コンポーネントがサポートされています。

  • eBPF を使用して Linux オペレーティングシステムの I/O 分析、ネットワーク、およびモニタリングを行う BPF コンパイラーコレクション (BCC) ツールパッケージ
  • BCC ライブラリー。これを使用すると、BCC ツールパッケージで提供されるツールと同様のツールを開発できます。
  • eBPF for Traffic Control (tc) 機能。これにより、カーネルネットワークデータパスでのプログラミング可能なパケット処理が可能になります。
  • カーネルネットワーキングスタックを処理する前に受信パケットへのアクセスを提供する eXpress Data Path (XDP) 機能は、特定の条件でサポートされます。詳しくは、リリースノートの ネットワーク セクションを参照してください。
  • libbpf パッケージ。bpftrace および bpf/xdp 開発のようなアプリケーションに関連する bpf に極めて重要詳細は、専用のリリースノート libbpf 完全対応 を参照してください。
  • XDP 機能用のユーザー空間サポートユーティリティーが含まれる xdp-tools パッケージは、AMD および Intel 64 ビットアーキテクチャーでサポートされるようになりました。これには、libxdp ライブラリー、XDP プログラムを読み込む xdp-loader ユーティリティー、およびパケットフィルタリング用の xdp-filter サンプルプログラムの例プログラムが含まれます。XDP が有効なネットワークインターフェースからパケットをキャプチャーするための xdpdump ユーティリティーは、引き続きサポートされていないテクノロジープレビューであることに注意してください。詳しくは、リリースノートの ネットワーク セクションを参照してください。

特定のコンポーネントがサポート対象と示されていない限り、その他のすべての eBPF コンポーネントはテクノロジープレビューとして提供されます。

現在、以下の主要 eBPF コンポーネントは、テクノロジープレビューとして利用できます。

  • bpftrace トレース言語
  • eXpress Data Path (XDP) パスをユーザー空間に接続する AF_XDP ソケット

テクノロジープレビューのコンポーネントに関する詳細情報は、テクノロジープレビューを参照してください

(BZ#1780124)

Cornelis Networks Omni-Path Architecture (OPA) ホストソフトウェア

Red Hat Enterprise Linux 8.3 は、Omni-Path Architecture (OPA) ホストソフトウェアに完全に対応しています。OPA は、クラスター環境のコンピュートと I/O ノード間の高性能データ転送 (高帯域幅、高メッセージレート、低レイテンシー) のために、初期化とセットアップを行う Host Fabric Interface (HFI) ハードウェアを提供します。

Omni-Path Architecture のインストール手順は、Intel® Omni-Path Fabric Software Release Notes を参照してください。

(BZ#1893174)

TSX がデフォルトで無効に

RHEL 8.3 以降は、OS のセキュリティーを改善するために、カーネルの Intel® TSX (Transactional Synchronization Extensions) テクノロジーがデフォルトで無効になっています。この変更は、TSX の無効化をサポートする CPU に適用されます。これには、第 2 世代 Intel® Xeon® スケーラブルプロセッサー (Intel® C620 シリーズチップセット搭載 Cascade Lake と呼ばれていました) が含まれます。

アプリケーションで TSX を使用しないユーザーの場合、変更を加えると、第 2 世代 Intel® Xeon® Scalable プロセッサーで TSX 非同期アボート (TAA) を軽減するデフォルトのパフォーマンスペナルティが削除されます。

この変更により、RHEL カーネルの動作がアップストリームに揃えられます。この場合、Linux 5.4 以降では TSX はデフォルトで無効になっています。

TSX を有効にするには、tsx=on パラメーターをカーネルコマンドラインに追加します。

(BZ#1828642)

RHEL 8.3 がページ所有者の追跡機能に対応

今回の更新で、ページ所有者の追跡機能を使用して、ページ割り当てレベルでカーネルメモリーの使用率を確認できるようになりました。

ページトラッカーを有効にするには、以下の手順を実行します。

# grubby --args="page_owner=on" --update-kernel=0
# reboot

その結果、ページ所有者トラッカーはカーネルメモリー消費を追跡し、カーネルメモリーリークのデバッグや、大量のメモリーを使用するドライバーの検出に役立てます。

(BZ#1825414)

AMD EPYC™ 7003 シリーズプロセッサー用の EDAC に対応

今回の機能拡張では、AMD EPYC™ 7003 シリーズプロセッサーの Error Detection And Correction (EDAC) デバイスサポートが提供されます。以前は、AMD EPYC™ 7003 シリーズプロセッサーをベースとしたシステムでは、修正されたメモリーエラー (CE) や未修正のメモリーエラー (UE) が報告されませんでした。今回の更新により、このようなエラーは EDAC を使用して報告されるようになりました。

(BZ#1735611)

perf ツールで flamegraph に対応

今回の更新で、perf コマンドラインツールが、システムのパフォーマンスをグラフィックに表示するフレームグラフに対応するようになりました。perf データは、類似したスタックバックトレースを持つサンプルにグループ化されます。その結果、このデータが視覚的表現に変換され、計算集約的なコード領域を容易に識別できるようになります。perf ツールを使用してフレームグラフを生成するには、以下のコマンドを実行します。

$ perf script record flamegraph -F 99 -g -- stress --cpu 1 --vm-bytes 128M --timeout 10s
stress: info: [4461] dispatching hogs: 1 cpu, 0 io, 0 vm, 0 hdd
stress: info: [4461] successful run completed in 10s
[ perf record: Woken up 1 times to write data ]
[ perf record: Captured and wrote 0.060 MB perf.data (970 samples) ]
$ perf script report flamegraph
dumping data to flamegraph.html

注記: flamegraphs を生成するには、js-d3-flame-graph rpm をインストールします。

(BZ#1281843)

/dev/random および /dev/urandom が条件付きで Kernel Crypto API DRBG によって動作

FIPS モードでは、/dev/random および /dev/urandom pseudorandom 番号ジェネレーターは、Kernel Crypto API determineistic Random Bit Generator(DRBG)によって動作します。FIPS モードのアプリケーションは、上記のデバイスを FIPS 準拠のノイズソースとして使用するため、デバイスは FIPS 認証アルゴリズムを使用する必要があります。この目標を達成するには、必要なフックが /dev/random ドライバーに追加されました。その結果、フックは FIPS モードで有効になり、/dev/random および /dev/urandom が Kernel Crypto API DRBG に接続します。

(BZ#1785660)

libbpf の完全なサポート

libbpf パッケージが、bpftrace および bpf /xdp 開発のようなアプリケーションに関連する bpf に不可欠です。

これは、bpf-next Linux ツリー bpf-next/tools/lib/bpf ディレクトリーのミラーと、それがサポートするヘッダーファイルです。パッケージのバージョンは、Application Binary Interface (ABI) のバージョンを反映しています。

(BZ#1759154)

lshw ユーティリティーが追加の CPU 情報を提供するようになりました。

今回の機能拡張により、List Hardware ユーティリティー (lshw) に CPU の詳細情報が表示されるようになりました。CPU バージョン フィールドでは、システムプロセッサーのファミリー、モデル、およびステップの詳細を バージョンとして数値形式で提供できるようになりました(<family>.<model>.<stepping>)

(BZ#1794049)

kernel-rt ソースツリーを RHEL 8.3 ツリーに更新

kernel-rt ソースが更新され、最新の Red Hat Enterprise Linux カーネルソースツリーが使用されるようになりました。リアルタイムパッチセットも、最新のアップストリームバージョン v5.6.14-rt7 に更新されました。これらの更新はいずれも、バグ修正および機能強化を多数提供します。

(BZ#1818138, BZ#1818142)

tpm2-tools がバージョン 4.1.1 にリベースされました。

tpm2-tools パッケージがバージョン 4.1.1 にアップグレードされ、コマンドの追加、更新、および削除が数多く追加されました。詳細は、RHEL8.3 ソリューションでの tpm2-tools パッケージへのアップデート を参照してください。

(BZ#1789682)

Mellanox ConnectX-6 Dx ネットワークアダプターの完全なサポート

今回の機能拡張により、Mellanox ConnectX-6 Dx ネットワークアダプターの PCI ID が mlx5_core ドライバーに追加されました。このアダプターを使用するホストでは、RHEL は mlx5_core ドライバーを自動的に読み込みます。この機能は以前はテクノロジープレビューとして利用できましたが、RHEL 8.3 で完全にサポートされるようになりました。

(BZ#1782831)

mlxsw ドライバーがバージョン 5.7 にリベース

mlxsw ドライバーは アップストリームバージョン 5.7 にアップグレードされ、以下の新機能が含まれます。

  • バッファー占有データを提供する共有バッファー占有機能。
  • レイヤー 2、レイヤー 3トンネル、および アクセス制御リスト ドロップの監視を有効にするパケットドロップ機能。
  • パケットトラップパーサーはサポートします。
  • Link Layer Discovery Protocol (LLDP) エージェントを使用したデフォルトのポート優先度の設定サポート。
  • 強化された転送選択 (ETS) およびトークンバケットフィルター (TBF) のキューイングサポート。
  • 初期のパケットドロップを防ぐために、RED キューイング規則 nodrop モード が有効化されています。
  • トラフィッククラス SKB の編集アクション skbedit priority 機能 により、パケットメタデータの変更が可能になり、pedit Traffic Class Offloading (TOS)が補完されます。

(BZ#1821646)

クラッシュカーネルが kdump 用のメモリー予約を拡張するようになりました。

今回の機能拡張により、crashkernel=auto 引数は、メモリー容量が 4GB のマシンにより多くのメモリーを予約できるようになりました。以前は、メモリーの予約が限られているため、クラッシュカーネルは、カーネルスペースとユーザー空間メモリーが拡張されるので、クラッシュダンプをキャプチャーできませんでした。これにより、クラッシュカーネルによってメモリー不足(OOM)エラーが発生することがありました。今回の更新で、上記のシナリオで OOM エラーの発生を減らし、kdump のメモリー容量が適切に拡張されるようになりました。

(BZ#1746644)

5.1.9. ファイルシステムおよびストレージ

LVM が VDO ボリュームを管理できるようになりました。

LVM が、Virtual Data Optimizer (VDO) セグメントタイプに対応するようになりました。これにより、LVM ユーティリティーを使用して、VDO ボリュームをネイティブ LVM 論理ボリュームとして作成および管理できるようになりました。

VDO は、インラインのブロックレベルの重複排除、圧縮、およびシンプロビジョニング機能を提供します。

詳細は「 RHEL で論理ボリュームの重複排除および圧縮 」を参照してください。

(BZ#1598199)

SCSI スタックが高パフォーマンスのアダプターでも適切に機能するように

SCSI スタックのパフォーマンスが向上しました。その結果、次世代の高パフォーマンスホストバスアダプター (HBA) は、RHEL で IOPS (I/O) を高くできるようになりました。

(BZ#1761928)

megaraid_sas ドライバーが最新バージョンに更新

megaraid_sas ドライバーがバージョン 07.713.01.00-rc1 に更新されました。今回の更新では、パフォーマンスの向上、サポートされる MegaRAID アダプターの安定性の改善、および機能が充実した機能セットに関連するバグ修正および機能拡張が複数追加されました。

(BZ#1791041)

Stratis が、エラーのプール名を一覧表示

既存の Stratis プールによってすでに使用されているブロックデバイスに Stratis プールを作成しようとすると、stratis ユーティリティーが既存のプールの名前を報告するようになりました。以前は、ユーティリティーがプールの UUID ラベルのみを表示していました。

(BZ#1734496)

FPIN ELS フレーム通知のサポート

lpfc Fibre Channel(FC)ドライバーは、リンクの整合性に関する Fabric Performance Impact Notifications(FPIN)をサポートするようになりました。これにより、リンクレベルの問題を特定し、スイッチがより信頼できるパスを選択できるようになりました。

(BZ#1796565)

ディスク上のメタデータをデバッグする新しいコマンド

lvm2 パッケージで利用可能な pvck ユーティリティー では、物理ボリュームのディスク上のメタデータをデバッグまたはレスキューする低レベルのコマンドを利用できるようになりました。

  • メタデータを抽出するには、pvck --dump コマンドを使用します。
  • メタデータを修復するには、pvck --repair コマンドを使用します。

詳細は、man ページの pvck (8) を参照してください。

(BZ#1541165)

LVM RAID は、デバイスのデータが破損したことでデータ損失を防ぐ DM 整合性に対応

デバイスマッパー (DM) の整合性を LVM RAID 設定に追加して、データの損失を防ぐことができるようになりました。整合性レイヤーは、デバイスでデータの破損を検出し、RAID レイヤーに問い合わせて、LVM RAID 全体で破損したデータを修正します。

RAID は、デバイス障害によるデータ損失を防ぎますが、LVM RAID アレイに整合性を追加すると、デバイス上の破損データによるデータが損失を防ぎます。新しい LVM RAID を作成するときに整合性層を追加するか、すでに存在する LVM RAID に追加できます。

(JIRA:RHELPLAN-39320)

AWS、Azure、および Aliyun のパブリッククラウドで Resilient Storage (GFS2) をサポート。

今回のリリースで、Resilient Storage (GFS2) は Amazon (AWS)、Microsoft (Azure)、および Alibaba (Aliyyun) の 3 つの主要なパブリッククラウドでサポートされるようになり、これらのプラットフォームでの共有ブロックデバイスのサポートが導入されました。その結果、GFS2 は、オンプレミスおよびパブリッククラウドの両方で使用できるオプションを備えた、真のハイブリッドクラウドクラスターファイルシステムになりました。Microsoft Azure および AWS で共有ブロックストレージを設定する方法は、「 パブリッククラウドプラットフォームへの Red Hat Enterprise Linux 8 のデプロイ」を参照してください。Alibaba Cloud で共有ブロックストレージを設定する方法は、「 Alibaba Cloud で Red Hat High Availability クラスターの共有ブロックストレージの設定」を参照してください。

(BZ#1900019)

ユーザー空間が最新の nfsdcld デーモン に対応するようになりました。

ユーザー空間が最新の nfsdcld デーモン に対応するようになりました。これは、名前空間対応のクライアント追跡方法です。今回の機能拡張により、クライアントがデータ破損なしでコンテナー化された knfsd デーモン からオープンまたはロックリカバリーを実行できるようになりました。

(BZ#1817756)

Nconnect が複数の同時接続に対応

今回の機能拡張により、nconnect 機能 を使用して NFS サーバーへの複数の同時接続を作成でき、異なる負荷分散機能が可能になりました。nconnect =X NFS マウントオプションで nconnect 機能 を有効にします。X は使用する同時接続の数です。現在の制限は 16 です。

(BZ#1683394, BZ#1761352)

クライアント情報追跡の nfsdcldデーモン に対応

今回の機能拡張により、nfsdcld デーモン が、安定したストレージでクライアントごとの情報を追跡するデフォルトの方法になりました。その結果、コンテナーで実行している NFS v4 により、クライアントはサーバーの再起動後にオープンまたはロックを要求できます。

(BZ#1817752)

5.1.10. 高可用性およびクラスター

pacemaker がバージョン 2.0.4 にリベースされました。

Pacemaker クラスターリソースマネージャーがアップストリームのバージョン 2.0.4 にアップグレードされ、バグ修正および機能強化が数多く追加されました。

(BZ#1828488)

新しい priority-fencing-delay クラスタープロパティー

Pacemaker が新しい priority-fencing-delay クラスタープロパティーをサポートするようになりました。これにより、スプリットブレインが発生した場合に、最も少ないリソースが実行されているノードがフェンスされるノードになるように、2 ノードクラスターを設定できます。

priority-fencing-delay プロパティーは期間に設定できます。このプロパティーのデフォルト値は 0 (無効) です。このプロパティーがゼロ以外の値に設定されている場合や、priority メタ属性が 1 つ以上のリソースに対して設定されている場合は、スプリットブレインが発生すると、実行されているすべてのリソースの中で、最も優先順位が高い組み合わせのノードが存続する可能性が高くなります。

たとえば、pcs resource defaults priority=1 および pcs property set priority-fencing-delay=15s を設定し、他の優先度が設定されていない場合は、他のノードがフェンシングを開始する前に 15 秒待機するため、ほとんどのリソースを実行するノードが存続する可能性が高くなります。特定のリソースが他のリソースよりも重要である場合は、優先度を高く設定できます。

昇格可能なクローンに優先順位が設定されている場合、そのクローンのマスターロールを実行しているノードの優先度が 1 ポイント追加されます。

priority-fencing-delay が設定された遅延は、pcmk_delay_ base および pcmk_delay_ max フェンスデバイスプロパティーから遅延 に追加されます。この動作により、両方のノードの優先度が同等の場合、またはノードの損失以外の理由で両方をフェンシングする必要がある場合(例: on-fail=fencing はリソースモニター操作用に設定されている)、ある程度の遅延を許容します。組み合わせて使用する場合には、優先ノードが優先されるよう、priority-fencing-delay プロパティーを、pcmk_delay_base および pcmk_delay_max の最大遅延よりもはるかに大きい値に設定することをお勧めします (値を 2 倍すると完全に安全となります)。

(BZ#1784601)

複数のリソースおよび操作のデフォルトを管理する新しいコマンド

リソースや操作のデフォルトのセットを複数作成、一覧表示、変更、および削除できるようになりました。デフォルト値のセットを作成する場合は、リソース および op 式が含まれるルールを指定できます。たとえば、特定タイプのすべてのリソースに、デフォルトのリソース値を設定できます。既存のデフォルト値を一覧表示するコマンドの出力に、デフォルトのセットが複数含まれるようになりました。

  • pcs resource [op] defaults set create コマンドは、新しいデフォルト値のセットを作成します。このコマンドでルールを指定する場合は、and 括弧を含む リソース および op 式のみが許可されます。
  • pcs resource [op] defaults set delete | remove コマンドはデフォルト値のセットを削除します。
  • pcs resource [op] defaults set update コマンドは、セットのデフォルト値を変更します。

(BZ#1817547)

クラスターリソースのタグ付けのサポート

pcs tag コマンドを使用して、Pacemaker クラスターのクラスターリソースにタグ 付けできるようになりました。この機能により、指定されたリソースのセットを 1 つのコマンドで管理できます。pcs tag コマンドを使用して、リソースタグ を削除または変更したり、タグ設定を表示することもできます。

pcs resource enablepcs resource disable、pcs resource manage および pcs resource unmanage コマンドでは、タグ ID を引数として使用できます。

(BZ#1684676)

Pacemaker が、昇格されたリソースを完全に停止するのではなく、降格することによって復旧に対応

Pacemaker クラスターで昇格可能なリソースを設定し、そのリソースの昇格または監視アクションが失敗した場合、またはリソースのクォーラムが失われると、リソースは降格されますが、完全に停止されることはありません。

この機能は、昇格されていないモードでリソースを引き続き利用できるようにしたい場合に便利です。たとえば、データベースマスターのパーティションでクォーラム(定足数)が失われると、データベースリソースが マスターロール を失うが、読み取りのみを必要とするアプリケーションが、失われたクォーラムに関わらず引き続き機能するように、読み取り専用モードを継続できます。この機能は、成功した降格が復旧に十分であり、かつ完全な再起動よりもはるかに高速である場合にも便利です。

この機能をサポートするには、以下を実行します。

  • on-fail 操作のメタ属性で、以下の例のように promote アクションとともに使用すると、demote の値を使用できるようになりました。

    pcs resource op add my-rsc promote on-fail="demote"
  • on-fail 操作のメタ属性では、両方間隔 をゼロ以外の値に設定し、ロールMaster に設定されている場合に demote の値を使用できるようになりました。

    pcs resource op add my-rsc monitor interval="10s" on-fail="demote" role="Master"
  • no-quorum-policy クラスタープロパティーで demote 値を使用できるようになりました。この値を設定した場合、クラスターパーティションのクォーラムが失われると、昇格されたリソースは降格されますが、実行中のままとなり、他のリソースはすべて停止します。

操作に denmote メタ属性を指定しても、リソースの昇格は影響を受けません。影響を受けるノードのプロモーションスコアが引き続き最高となっている場合は、再度昇格するように選択されます。

(BZ#1837747, BZ#1843079)

Pacemaker との同期を改善するための新しい SBD_SYNC_RESOURCE_STARTUP SBD 設定パラメーター

SBD と Pacemaker 間の同期をより適切に制御するために、/etc/sysconfig/sbd ファイルは SBD_SYNC_RESOURCE_STARTUP パラメーターに対応するようになりました。RHEL 8.3 以降の Pacemaker パッケージおよび SBD パッケージがインストールされ、SBD が SBD_SYNC_RESOURCE_STARTUP=true で設定されていると、SBD はデーモンの状態に関する情報を Pacemaker デーモンに問い合わせます。

この設定では、Pacemaker デーモンは、サブデーモンの起動と最終の終了の前に SBD が通信するまで待機します。その結果、Pacemaker は SBD がアクティブに通信できない場合にリソースを実行せず、SBD に正常なシャットダウンが報告されるまで終了しません。これにより、Pacemaker による最終的な切断前にリソースが何も実行されていない瞬間を SBD が検出できないとき、正常なシャットダウン時に発生する可能性のある予期しない状況 (不要な再起動) を防ぐことができます。定義したハンドシェイクを使用して正常なシャットダウンを検出すると、メンテナンスモードでも機能します。実行中のリソースはシャットダウン時に変更されないため、実行中のリソースがないものとして正常なシャットダウンを検出する以前の方法は、メンテナンスモードで無効にされる必要がありました。

さらに、この機能を有効にすると、SBD と Pacemaker の両方が正常に起動しても、SBD が Pacemaker と通信できない場合におけるクラスターのスプリットブレイン状態が発生するリスクを回避します。たとえば、SELinux ポリシーが原因で発生する可能性があります。この場合、Pacemaker は、SBD が機能していなくても機能していることを前提としています。この新機能を有効にすると、SBD と通信するまで、Pacemaker は起動を完了しません。この新機能のもう 1 つの利点は、SBD を有効にすると、ハートビートを使用して Pacemaker を繰り返し接続し、Pacemaker が応答しなくなった場合にノードをパニックできる点です。

注記

/etc/sysconfig/sbd ファイルを編集しているか、または PCS で SBD を設定している場合、RPM のアップグレードは新規の SBD_SYNC_RESOURCE_STARTUP パラメーターでプルされません。このような場合は、この機能を実装するには、/etc/sysconfig/sbd.rpmnew ファイルから手動で追加するか、sbd (8)の man ページの environment セクションで「Configuration 」で説明されている手順に従います。

(BZ#1718324, BZ#1743726)

5.1.11. 動的プログラミング言語、Web サーバー、およびデータベースサーバー

新しいモジュールストリーム: ruby:2.7

RHEL 8.3 では、新しい ruby:2.7 モジュールストリームに Ruby 2.7.1 が導入されました。このバージョンでは、RHEL 8.1 で配布される Ruby 2.6 のパフォーマンスの向上、バグ修正、およびセキュリティーの修正、新機能を多数提供しています。

主な機能強化は、次のとおりです。

  • 新しい Compaction Galbage Collector (GC) が導入されました。この GC は断片化されたメモリー領域を最適化できます。
  • Ruby yet Another Compiler-Compiler (Racc) で、1 トークンの Look-Ahead Left-to-Right – LALR(1) – パーサージェネレーター用コマンドラインインターフェースが提供されるようになりました。
  • インタラクティブな Ruby Shell(irb)、バンドルされた Read-Eval-Print Loop(REPL)環境が、マルチラインの編集をサポートするようになりました。
  • 関数プログラミング言語でよく使用されるパターンマッチングが、実験的な機能として導入されました。
  • デフォルトのブロックパラメーターとして番号付きのパラメーターが導入されました。ただし、これは実験的機能です。

以下のパフォーマンスの向上が実装されています。

  • ファイバーキャッシュストラテジーが変更され、ファイバー作成が迅速化されました。
  • CGI.escapeHTML メソッドのパフォーマンスが 向上しました。
  • Monitor クラスおよび MonitorMixin モジュールのパフォーマンス 向上しました。

また、キーワード引数と位置指定引数の自動変換が非推奨になりました。Ruby 3.0 では、位置指定引数とキーワード引数が分離されます。詳細は、アップストリームのドキュメント を参照してください。

実験的な機能に対する警告を非表示にするには、-W:no-experimental コマンドラインオプションを使用します。非推奨の警告を無効にするには、-W:no-deprecated コマンドラインオプションを使用するか、Warning[:deprecated] = false をコードに追加します。

ruby:2.7 モジュールストリームをインストールするには、以下を使用します。

# yum module install ruby:2.7

ruby:2.6 ストリームからアップグレードする場合は、「 後続のストリームへの切り替え」を参照してください。

(BZ#1817135)

新しいモジュールストリーム: nodejs:14

新しいモジュールストリーム nodejs:14 が公開されました。RHEL 8.3 に含まれるNode.js 14 は、RHEL 8.1 で配布される Node.js 12 に新しい機能とバグ修正を多数提供します。

以下は、主な変更点です。

  • V8 エンジンがバージョン 8.3 にアップグレードされました。
  • 実験的な新しい WebAssembly System Interface (WASI) が実装されました。
  • 実験的な新しい Async Local Storage API が導入されました。
  • 診断レポート機能が安定しました。
  • ストリーム API が強化されました。
  • 実験的なモジュールの警告が削除されました。

RHEA-2020:5101 アドバイザリーが発表 され、RHEL 8 では Node.js 14.15.0 が提供されます。これは、安定性が改善された最新の長期サポート(LTS)バージョンです。

nodejs:14 モジュールストリームをインストールするには、以下を使用します。

# yum module install nodejs:14

nodejs:12 ストリームからアップグレードする場合は、「 後続のストリームへの切り替え」を参照してください。

(BZ#1815402, BZ#1891809)

Git がバージョン 2.27 にリベースされました。

git パッケージがアップストリームバージョン 2.27 にアップグレードされました。以前利用できたバージョン 2.18 への主な変更点は、以下のとおりです。

  • git checkout コマンドは、2 つのコマンドに分割されました。

    • ブランチ管理のための Gitスイッチ
    • ディレクトリーツリー内の変更を管理するための Git復元
  • git rebase コマンドの動作は、以前の patch+apply ワークフローで なく、マージワークフローに基づいて実行されるようになりました。以前の動作を保持するには、rebase.backend 設定変数が 適用 されるように設定します。
  • git difftool コマンド をリポジトリー以外でも使用できるようになりました。
  • より具体的なケースで、user .{name,email} を上書きするよう、新しい設定変数{author,committer }.{name,email} が導入されました。
  • ユーザーがプロキシーとの通信に SSL を設定できる新しいオプションが追加されました。
  • git fast- export および git fast -import ユーティリティーで、UTF-8 文字エンコーディングでのログメッセージによるコミットの処理が改善されました。
  • lfs 拡張が新しい git-lfs パッケージとして追加されました。Git Large File Storage(LFS)は、大きなファイルを Git 内のテキストポインターに置き換え、そのファイルの内容をリモートサーバーに格納します。

(BZ#1825114, BZ#1783391)

Pythonの変更点

RHEL 8.3 では、python38:3.8 モジュールストリームに以下の変更が追加されました。

  • Python インタープリターがバージョン 3.8.3 に更新され、バグ修正が複数追加されました。
  • python38-pip パッケージがバージョン 19.3.1 に更新され、pip が manylinux 2014 wheel のインストールに 対応しました。

python3 パッケージで提供される Python 3.6 インタープリターのパフォーマンスが大幅に改善されました。

ubi8/python-27ubi8/python-36、および ubi8/python-38 コンテナーイメージは、カスタムパッケージインデックスからの pipenv ユーティリティー のインストール、またはお客様が提供する PyPI ミラーのインストールに対応するようになりました。以前のバージョンでは、pipenv はアップストリームの PyPI リポジトリーから のみ ダウンロードでき、アップストリームリポジトリーが利用できない場合にはインストールに失敗していました。

(BZ#1847416, BZ#1724996, BZ#1827623, BZ#1841001)

新しいモジュールストリーム: php:7.4

RHEL 8.3 では PHP 7.4 が導入され、バージョン 7.3 に対するバグ修正および機能拡張が数多く追加されました。

本リリースでは、新たな実験的な拡張である Foreign Function Interface (FFI) が導入されました。これにより、ネイティブ関数の呼び出し、ネイティブ変数へのアクセス、および C ライブラリーで定義されたデータ構造の作成およびアクセスが可能になりました。FFI 拡張は php-ffi パッケージで利用できます。

以下の拡張機能が削除されました。

  • wddx 拡張php-xml パッケージから削除)
  • recode 拡張( php-recode パッケージから削除)

php:7.4 モジュールストリームをインストールするには、以下を使用します。

# yum module install php:7.4

php:7.3 ストリームからアップグレードする場合は、「 後続のストリームへの切り替え」を参照してください。

RHEL 8 での PHP の使用方法に関する詳細は、「 Using the PHP scripting language 」を参照してください。

(BZ#1797661)

新しいモジュールストリーム: nginx:1.18

nginx 1.18 Web およびプロキシーサーバーが利用できるようになりました。このサーバーでは、バージョン 1.16 に対するバグ修正、セキュリティー修正、新機能および機能強化が数多く追加されました。以下は、主な変更点です。

  • HTTP リクエストレートおよび接続制限に対する機能強化が実装されました。たとえば、limit_rate ディレクティブおよび limit_rate _after ディレクティブは、新しい $limit_req_status および $limit_conn_status 変数を含む変数をサポートするようになりました。さらに、limit _conn_dry_run ディレクティブおよび limit_req_dry_run ディレクティブにドライランモードが追加されました。
  • 新しい auth_delay ディレクティブが追加されました。これにより、承認されていないリクエストの遅延処理が可能になります。
  • 以下のディレクティブは、grpc_pass、proxy_ upload_rate、および proxy_download_rate の変数に対応するようになりました。
  • 追加の PROXY プロトコル変数($proxy_protocol_server _addr および $proxy_protocol_server _port )が追加されました。

nginx:1.18 ストリームをインストールするには、以下を使用します。

# yum module install nginx:1.18

nginx:1.16 ストリームからアップグレードする場合は、「 後続のストリームへの切り替え」を参照してください。

(BZ#1826632)

新しいモジュールストリーム: perl:5.30

RHEL 8.3 では Perl 5.30 が導入され、以前にリリースされた Perl 5.26 に対するバグ修正および機能拡張が数多く追加されました。新しいバージョンでは、特定の言語機能の使用も廃止または削除されます。以下は、大きな影響を及ぼす主な変更点です。

  • Math::BigInt::CalcEmu、arybase モジュールおよび B::Debug モジュールが削除されました。
  • ファイル記述子が close-on-exec フラグで開くようになりました。
  • ファイルやディレクトリーハンドルと同じシンボルを開くことができなくなりました
  • サブルーチン署名の前にサブルーチン属性を付ける必要があります
  • : locked 属性および :uniq 属性が削除される
  • カンマなしの形式の変数リストを使用できなくなりました
  • ベア < < here-document 演算子を使用できなくなりました
  • 以前に非推奨となった一部の正規表現パターンで、エスケープされていない左括弧({)文字を使用できなくなりました。
  • AUTOLOAD () サブルーチンをメソッド以外の関数に継承できなくなりました
  • sort pragma で ソート アルゴリズムを指定できなくなりました
  • B::OP::terse() サブルーチンが B::Concise::b_terse() サブルーチンに置き換えられました。
  • File::Glob::glob() 関数は File::Glob::bsd_glob() 関数に置き換えられました。
  • dump() 関数は、CORE::dump()として完全修飾ものとして呼び出す必要があります。
  • yada-yada 演算子(…​)はステートメントになり、式として使用できません。
  • $ [ 変数にゼロ以外の値を割り当てると、致命的なエラーが返されるようになりました。
  • $ * および$ # 変数を使用できなくなりました
  • 誤った条件ブランチで my() 関数を使用した変数を宣言できなくなりました
  • : utf8 ハンドルで sysread () 関数および syswrite() 関数を使用すると 致命的なエラーが返されるようになりました。
  • pack() 関数が不正な UTF-8 形式を返さなくなる
  • IV_MAX を超える値の Unicode コードポイントを使用できなくなりました
  • Unicode 12.1 に対応するようになりました

以前の perl モジュールストリームからアップグレードする場合は、「 後続のストリームへの切り替え」を参照してください。

Perl 5.30 は、s2i-enabled ubi8/perl-530 コンテナーイメージとしても利用できます。

(BZ#1713592, BZ#1732828)

新しいモジュールストリーム: perl-libwww-perl:6.34

RHEL 8.3 では、新しい perl-libwww-perl:6.34 モジュールストリームが導入されています。これは、RHEL 8 で利用可能な Perl のすべてのバージョンに perl-libwww-perl パッケージを提供します。RHEL 8.0 より、RHEL 8.0 で利用できるモジュール以外の perl-libwww-perl パッケージは、5.26 以外の Perl ストリームで使用できず、新しいデフォルトの perl-libwww-perl:6.34 ストリームで廃止されました。

(BZ#1781177)

新しいモジュールストリーム: perl-IO-Socket-SSL:2.066

新しい perl-IO-Socket-SSL:2.066 モジュールストリームが利用できるようになりました。このモジュールは、perl-IO-Socket-SSL パッケージおよび perl- Net-SSLeay パッケージを提供し、RHEL 8 で利用可能な Perl ストリームすべてと互換性があります。

(BZ#1824222)

squid:4 モジュールストリームをバージョン 4.11 にリベース

squid:4 モジュールストリームによって提供される Squid プロキシーサーバーが、バージョン 4.4 からバージョン 4.11 にアップグレードされました。本リリースでは、バグ修正やセキュリティー修正、および様々な機能強化 (新しい設定オプションなど) が複数提供されています。

(BZ#1829467)

httpd:2.4 モジュールストリームの変更

RHEL 8.3 では、httpd:2.4 モジュールストリームで利用可能な Apache HTTP Server への主な変更点が加えられています。

  • mod_http2 モジュールがバージョン 1.15.7 にリベースされました。
  • H2Upgrade ディレクティブおよび H2 Push ディレクティブでの設定変更
  • HTTP/ 2 ペイロードフレームのパディングを制御する新しい H2Padding 設定ディレクティブ
  • 多数のバグ修正。

(BZ#1814236)

httpdCustomLog ディレクティブから journald へのロギングのサポート

CustomLog ディレクティブの新しいオプションを使用して、Apache HTTP Server から journald にアクセス(transfer)ログを出力できるようになりました。

サポートされる構文は以下のとおりです。

CustomLog journald:priority format|nickname

ここでの priority は、LogLevel ディレクティブ で使用される デバッグ の優先度文字列です。

たとえば、組み合わせ たログ形式を使用して journald にログインするには、以下を使用します。

CustomLog journald:info combined

このオプションを使用する場合、フラットファイルに直接ログを記録する場合よりもサーバーのパフォーマンスが低下する可能性があります。

(BZ#1209162)

5.1.12. コンパイラーおよび開発ツール

RHEL で .NET 5 が利用可能になりました。

.NET 5 は、Red Hat Enterprise Linux 7、Red Hat Enterprise Linux 8、および OpenShift Container Platform で利用できます。.NET 5 には、C# 9 および F# 5.0 の新規言語バージョンが含まれています。ベースライブラリー、GC および JIT でパフォーマンスが大幅に改善されました。.NET 5 には、.NET アプリケーションを 1 つの実行可能ファイルとして配布でき、すべての依存関係が含まれます。.NET 5 用の UBI8 イメージは Red Hat コンテナーレジストリーから利用でき、OpenShift で使用できます。

.NET 5 を使用するには、dotnet-sdk-5.0 パッケージをインストールします。

$ sudo dnf install -y dotnet-sdk-5.0

詳細は、.NET 5 のドキュメント を参照してください。

(BZ#1944677)

新しい GCC Toolset 10

GCC Toolset 10 は最新バージョンの開発ツールを提供するコンパイラーツールセットです。このツールセットは、AppStream リポジトリーにおいて、Software Collection の形式で、Application Stream として利用できます。

GCC コンパイラーがバージョン 10.2.1 に更新され、アップストリームの GCC で利用可能なバグ修正および機能拡張が数多く追加されました。

以下のツールおよびバージョンは、GCC Toolset 10 で利用できます。

ツールバージョン

GCC

10.2.1

GDB

9.2

Valgrind

3.16.0

SystemTap

4.3

Dyninst

10.1.0

binutils

2.35

elfutils

0.180

dwz

0.12

make

4.2.1

strace

5.7

ltrace

0.7.91

annobin

9.29

GCC Toolset 10 をインストールするには、root で以下のコマンドを実行します。

# yum install gcc-toolset-10

GCC Toolset 10 のツールを実行するには、以下のコマンドを実行します。

$ scl enable gcc-toolset-10 tool

GCC Toolset バージョン 10 のツールバージョンが、このようなツールのシステムバージョンをオーバーライドするシェルセッションを実行するには、次のコマンドを実行します。

$ scl enable gcc-toolset-10 bash

詳細は、「GCC Toolset の使用 」 を参照してください。

GCC Toolset 10 コンポーネントが、以下のコンテナーイメージ 2 つで利用可能になりました。

  • GCC コンパイラー、GDB デバッガー、make 自動化ツールを含む rhel8/gcc-toolset-10-toolchain
  • SystemTap や Valgrind などのパフォーマンス監視ツールを含む rhel8/gcc-toolset-10-perftools

    コンテナーイメージをプルするには、root で以下のコマンドを実行します。

    # podman pull registry.redhat.io/<image_name>

    GCC Toolset 10 コンテナーイメージのみがサポートされるようになりました。以前のバージョンの GCC Toolset コンテナーイメージが非推奨になりました。

コンテナーイメージの詳細は、「GCC Toolset コンテナーイメージの使用」を参照してください。

(BZ#1842656)

Rust Toolset がバージョン 1.45.2 にリベース

Rust Toolset は、バージョン 1.45.2 に更新されました。以下は、主な変更点です。

  • 依存関係を表示するサブコマンド cargo ツリーcargo に追加されました。
  • 浮動小数点値から整数にキャストすると、固定キャストが生成されるようになりました。以前のバージョンでは、ターゲット整数の省略された浮動小数点値が範囲外の場合、結果はコンパイラーでは未定義の動作でした。非有限の浮動小数点値により、未定義の動作も発生しました。今回の機能拡張により、有限値は整数の最小値または最大範囲のいずれかに制限されるようになりました。正および負の値のデフォルトは、それぞれ最大および最小値の整数に固定されています。また、Not-a-Number (NaN) 値はゼロになります。
  • 式、パターン、ステートメントにおける関数のような手順マクロが拡張、固定化されるようになりました。

使用方法の詳細は「 Using Rust Toolset 」を参照してください。

(BZ#1820593)

LLVM Toolset がバージョン 10.0.1 にリベース

LLVM Toolset がバージョン 10.0.1 にアップグレードされました。今回の更新で、clang-libs パッケージに個別のコンポーネントライブラリーが含まれなくなりました。その結果、アプリケーションにアプリケーションをリンクできなくなりました。clang ライブラリーにアプリケーションをリンクするには、libclang-cpp.so パッケージを使用します。

詳細は、「LLVM Toolset の使用 」を参照してください。

(BZ#1820587)

Go Toolset がバージョン 1.14.7 にリベース

Go Toolset がバージョン 1.14.7 にアップグレードされました。以下に例を示します。

  • Go モジュールシステムが完全にサポートされるようになりました。
  • SSL バージョン 3.0 (SSLv3) はサポート対象外になりました。Delve デバッガーの主な機能強化には、以下のものがあります。
  • raw メモリーを 調べる新しいコマンド examinemem (または x
  • プログラムの停止ごとに式の値を 出力 する新しいコマンド。
  • デバッグしたプログラムの Teletypewriter(TTY)を指定するための新しい --tty フラグ
  • Arm64 の新しいコアダンプサポート
  • goroutine ラベルを出力する新しい機能
  • Debug Adapter Protocol (DAP) サーバーのリリース
  • dlv trace および trace REPL(read-eval-print-loop)コマンドからの出力が改善されました。

Go Toolset の詳細は、「 Using Go Toolset」を参照してください。

Delve の詳細は、アップストリームの Delve documentation を参照してください。

(BZ#1820596)

SystemTap をバージョン 4.3 にリベース

SystemTap 計測ツールがバージョン 4.3 に更新され、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

  • ユーザー空間プローブは、readelf -n の 16 進数の buildid でターゲットにすることができます。この代替パス名を使用すると、一致するバイナリーを任意の名前でプローブできるため、1 つのスクリプトで異なるバージョンの範囲をターゲットに設定することが可能です。この機能は、elfutils debuginfod サーバーと併用します。
  • スクリプト関数はプローブ $context 変数を使用してプローブされた場所にある変数にアクセスすることができます。これにより、SystemTap スクリプトは共通のロジックを使用してさまざまなプローブと連携できるようになります。
  • try-catch ステートメントやエラープローブを含む stapbpf プログラム が改善され、BPF バックエンドで実行しているスクリプトで適切なエラートレランスが有効になりました。

主な変更の詳細は、更新前にアップストリームのリリースノートを参照してください

(BZ#1804319)

Valgrind をバージョン 3.16.0 にリベース

Valgrind 実行コード分析ツールがバージョン 3.16.0 に更新され、以前のバージョンに対するバグ修正および機能強化が数多く追加されました。

  • Valgrind: を介してプログラムを vgdb で実行しながら、多くのコマンドラインオプションの値を動的に変更できるようになりました。vgdb 経由 Valgrind gdbserver に接続された gdb 経由、またはプログラムクライアントのリクエスト経由。動的に変更可能なオプションの一覧を表示するには、valgrind --help-dyn-options コマンドを実行します。
  • Cachegrind(cg_annotate)および Callgrind(callgrind_annotate)の場合は、-- auto および -- show-percs オプションがデフォルトで yes に設定されるようになりました。
  • Memcheck ツールでは、最適化されたコードの誤検出エラーが減少します。特に、Memcheck はコンパイラーが A && B チェックを B && A に変換した場合にケースを適切に処理できるようになりました。ここで B が定義されておらず、A が false になります。Memcheck は、部分的に定義された値についての整数等号チェックと不等号チェックも処理します。
  • 実験的なスタックおよびグローバルアレイチェックツール(exp-sgcheck)が削除されました。スタックおよびグローバルアレイのオーバーランを検出する代わりに、GCC の AddressSanitizer(ASAN)機能を使用する方法です。これには、-fsanitize=address オプションでコードを再ビルドする必要があります。

(BZ#1804324)

elfutils がバージョン 0.180 にリベースされました。

elfutils パッケージがバージョン 0.180 に更新され、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

  • GCC LTO (リンク時間最適化) で構築されたコードのデバッグ情報への対応が改善されました。eu-readelf および libdw ユーティリティーが、.gnu.debuglto_ セクションを読み取りおよび処理できるようになり、CUs(コンパイルユニット)全体に定義される関数のファイル名を正しく解決できるようになりました。
  • eu-nm ユーティリティーは、弱いオブジェクトを V および common シンボルとして明示的に C として識別するようになりました。
  • debuginfod サーバーは、.deb アーカイブのインデックスで、-Z EXT[=CMD] オプションを使用して、その他のパッケージアーカイブ形式を追加する汎用拡張を持つようになりました。たとえば、-Z '.tar.zst=zstdcat' は、. tar.zst 拡張子 で終わるアーカイブを zstdcat ユーティリティー を使用して展開する必要があることを示します。
  • debuginfo-client ツールには、debuginfod_ set_user_data、debuginfod_get_user_datadebuginfod_get_ url、debuginfod_ add_http_ header などの新しいヘルパー関数がいくつか含まれています。これで file:// URL もサポートされるようになりました。

(BZ#1804321)

GDB が IBM z15 でのプロセスレコードおよび再生に対応

今回の機能強化により、GDB (GDB) は、IBM z15 プロセッサー (旧称 arch13) の新しい命令のほとんどでプロセスのレコードおよび再生をサポートするようになりました。現在、SORTL (sort lists: リストのソート) 、DFLTCC (deflate convert call: deflare 変換コール)、KDSA (デジタル署名認証の計算) の手順はサポートされていません。

(BZ#1659535)

Marvell ThunderX2 パフォーマンス監視イベントが papiで更新されました。

今回の機能拡張により、Uncore イベントを含む ThunderX2 固有のパフォーマンスイベントが数多く更新されました。これにより、開発者は Marvell ThunderX2 システムでシステムパフォーマンスをより詳しく調査できます。

(BZ#1726070)

glibc math ライブラリーを IBM Z 用に最適化

今回の機能強化により、IBM Z マシンでのパフォーマンスを改善するために libm math 機能が最適化されました。以下は、主な変更点です。

  • 不要な浮動小数点制御レジスターセットおよび抽出を回避するために、丸めモードの処理が改善されました。
  • z196 整数と float 間の変換を開発

(BZ#1780204)

libffi 固有の一時ディレクトリーを追加で利用できるようになる

以前は、強化されたシステムでは、システム全体の一時ディレクトリーに、libffi ライブラリーでの使用に適したパーミッションがないことがありました。

今回の機能強化により、システム管理者は、write および exec mount または selinux パーミッションの両方で、libffi 固有の一時ディレクトリーを参照する LIBFFI _TMPDIR 環境変数を設定できるようになりました。

(BZ#1723951)

strstr()および strcasestr() のパフォーマンスの改善

今回の更新で、対応している複数のアーキテクチャー間で strstr () 関数および strcasestr() 関数のパフォーマンスが向上しました。その結果、文字列およびメモリー操作ルーチンを使用するすべてのアプリケーションのパフォーマンスが大幅に向上しました。

(BZ#1821531)

glibc が、省略されたロケールアーカイブの読み込みを正しく処理するようになりました。

アップグレード時の電源停止やディスク障害が原因でシステムロケールのアーカイブが省略される場合、アーカイブの読み込み時にプロセスが突然終了することがありました。今回の機能拡張により、ロケールアーカイブの読み込みに追加の整合性チェックが追加されました。その結果、プロセスはアーカイブの省略を検出し、アーカイブ以外のロケール、またはデフォルトの POSIX ロケールのいずれかにフォールバックできるようになりました。

(BZ#1784525)

GDB が debuginfodに対応

今回の機能強化により、GNU Debugger(GDB)は、elfutils debuginfod クライアントライブラリーを使用して、集中サーバーからデバッグ情報パッケージをダウンロードできるようになりました。

(BZ#1838777)

pcp がバージョン 5.1.1-3 にリベースされました。

pcp パッケージがバージョン 5.1.1-3 にアップグレードされました。以下は、主な変更点です。

  • サービスユニットを更新し、すべての PCP サービスの systemd 統合および信頼性が改善されました。アーカイブログローテーションおよびタイムリー圧縮が改善されました。pmproxy プロトコルのアーカイブされた検出バグ修正。
  • pmrep ツールおよびエクスポートツールで、 pcp-atop、pcp-dstatpmrep、および related monitor ツールが改善され まし た。
  • bpftrace、OpenMetrics、MMV、Linux カーネルエージェント、およびその他のコレクションエージェントが改善されました。Open vSwitch および RabbitMQ サーバーの新規メトリクスコレクター。
  • スタンドアロンの pmmgr デーモンに代わる、新しいホスト検出 pmfind systemd サービス。

(BZ#1792971)

Grafana がバージョン 6.7.3 にリベースされました。

grafana パッケージがバージョン 6.7.3 にアップグレードされました。以下は、主な変更点です。

  • 汎用 OAuth ロールマッピングのサポート
  • 新しいログパネル
  • テーブルパネルのマルチラインテキスト表示
  • 新しい通貨と電力単位

(BZ#1807323)

grafana-pcp がバージョン 2.0.2 にリベースされました。

grafana-pcp パッケージがバージョン 2.0.2 にアップグレードされました。以下は、主な変更点です。

  • フレームグラフでグラフ化される多次 eBPF マップをサポートします。
  • PCP メトリックが動的に表示されるように、クエリーエディターで自動補完キャッシュを削除します。

(BZ#1807099)

新しい rhel8/pcp コンテナーイメージ

rhel8/pcp コンテナーイメージが Red Hat コンテナーレジストリーで利用できるようになりました。イメージには、事前にインストールされた pcp-zeroconf パッケージと OpenMetrics PMDA を含む Performance Co- Pilot(PCP)ツールキットが 含ま れます。

(BZ#1497296)

新しい rhel8/grafana コンテナーイメージ

rhel8/grafana コンテナーイメージが Red Hat Container Registry で利用可能になりました。Grafana は、GraphiteElasticsearch、OpenTSDB、Prometheus InfluxDB、および PCP 監視ツールのメトリクスダッシュボードおよびグラフエディターが含まれるオープンソースユーティリティーです。

(BZ#1823834)

5.1.13. Identity Management

IdM バックアップユーティリティーで、必要なレプリカロールを確認

ipa-backup ユーティリティーは、認証局(CA)、ドメインネームシステム(DNS)、KRA(Key Recovery Agent)などの IdM クラスターで使用されるすべてのサービスが、バックアップを実行しているレプリカにインストールされているかどうかを確認するようになりました。レプリカにこれらのサービスがすべてインストールされていない場合、そのホスト上で取得したバックアップではクラスターを完全に復元するには不十分なため、ipa-backup ユーティリティー は警告を表示して終了します。

たとえば、IdM デプロイメントで統合認証局 (CA) を使用している場合、CA 以外のレプリカのバックアップは CA データを取得しません。Red Hat は、ipa-backup を実行するレプリカに、クラスターで使用される IdM サービス がすべてインストールされていることを確認することをお勧めします。

詳細は「 IdM バックアップによるデータ損失の準備 」を参照してください。

(BZ#1810154)

新しいパスワード有効期限通知ツール

ipa-client-epn パッケージが提供する EPN(Expiring Password Notification)は、パスワードが失効する Identity Management(IdM)ユーザーの一覧を構築するのに使用可能なスタンドアロンツールです。

IdM 管理者は、EPN を使用して以下を行うことができます。

  • 影響を受けるユーザー (ランタイム時に計算されます) の一覧を JSON 形式で表示する
  • 特定の日または日付の範囲に送信される電子メール数を計算する
  • パスワード期限切れのメール通知をユーザーに送信

Red Hat は、付属の ipa-epn.timer systemd タイマー がある IdM クライアントまたはレプリカから、1 日 1 回 EPN を起動することを推奨します。

(BZ#913799)

JSS が FIPS 準拠の SSLContext を提供するように

以前は、Tomcat は Java Cryptography Architecture (JCA) SSLContext クラスの SSLEngine ディレクティブを使用していました。デフォルトの SunJSSE 実装は連邦情報処理標準 (FIPS) に準拠していないため、PKI は JSS 経由で FIPS 準拠の実装を提供するようになりました。

(BZ#1821851)

公開鍵インフラストラクチャーの全体的な正常性を確認できるようになりました。

今回の更新で、公開鍵インフラストラクチャー (PKI) Healthcheck ツールが、RHEL 8.1 で導入された Identity Management (IdM) Healthcheck ツールに PKI サブシステムの正常性を報告するようになりました。IdM Healthcheck を実行すると、PKI Healthcheck が呼び出され、これにより、PKI サブシステムの正常性レポートを収集して返します。

pki-healthcheck ツールは、デプロイ済みのあらゆる RHEL IdM サーバーまたはレプリカで利用可能です。pki-healthcheck が提供するすべてのチェックは、ipa-healthcheck ツールに統合されます。ipa-healthcheck は、idm:DL1 モジュールストリームとは別にインストールできます。

pki-healthcheck は、スタンドアローンの Red Hat Certificate System (RHCS) インフラストラクチャーでも動作可能であることに留意してください。

(BZ#1770322)

RSA PSS のサポート

今回の機能強化により、PKI は RSA PSS (Probabilistic Signature Scheme) 署名アルゴリズムに対応するようになりました。

この機能を有効にするには、指定のサブシステムの pkispawn スクリプトファイルに以下の行を設定します( pki_use_pss_rsa_signing_algorithm=True)。

これにより、このサブシステム( CS.cfg 設定ファイルで指定)に対する既存のデフォルトの署名アルゴリズムはすべて、対応する PSS バージョンを使用します。たとえば、SHA256withRSASHA256withRSA/PSS になります。

(BZ#1824948)

サービスの起動時、Directory Server によって秘密鍵と証明書をプライベート名前空間がエクスポートされる

Directory Server は、レプリカ合意などの発信接続に OpenLDAP ライブラリーを使用します。これらのライブラリーはネットワークセキュリティーサービス (NSS) データベースに直接アクセスできないため、Directory Server は TLS 暗号化対応インスタンスで NSS データベースから秘密鍵と証明書を抽出し、OpenLDAP ライブラリーが暗号化された接続を確立できるようにします。以前は、Directory Server は、cn=config エントリーの nsslapd-certdir パラメーター に設定されたディレクトリーに秘密鍵と証明書を抽出していました(デフォルト: /etc/dirsrv/slapd-<instance_name>/)。これにより、Directory Server では、このディレクトリーに Server-Cert-Key.pem および Server-Cert.pem が保存されていました。今回の機能強化により、Directory Server は、systemd/tmp/ ディレクトリーにマウントされるプライベート名前空間に秘密鍵と証明書を抽出します。その結果、セキュリティーが強化されました。

(BZ#1638875)

ディスク監視のしきい値に到達した場合、Directory Server がインスタンスを読み取り専用モードに変換できるようになりました。

今回の更新で、nsslapd-disk-monitoring-readonly-on-threshold パラメーターが cn=config エントリーに追加されました。この設定を有効にすると、ディスク監視が有効で、ディスクの空き容量が nsslapd-disk-monitoring-threshold に設定した値よりも小さい場合に、Directory Server はすべてのデータベースを読み取り専用に切り替えます。nsslapd-disk-monitoring-readonly-on-threshold を on に設定すると Directory Server が正常にインスタンスをシャットダウンするまでデータベースを変更することはできません。これにより、データの破損を防ぐことができます。

(BZ#1728943)

samba をバージョン 4.12.3 にリベース

samba パッケージがアップストリームバージョン 4.12.3 にアップグレードされ、以前のバージョンに対するバグ修正や機能強化が数多く追加されました。

  • 組み込み暗号関数は GnuTLS 関数に置き換えられました。これにより、サーバーメッセージブロックバージョン 3 (SMB3) のパフォーマンスとコピー速度が大幅に向上します。
  • ランタイムの最小サポートが Python 3.5 になりました。
  • 以前の 書き込みキャッシュの概念は、メモリーに制約のあるシステムのパフォーマンスが低下する可能性があるため、write cache size パラメーターは削除されました。
  • DES 暗号化タイプを使用する Kerberos チケットを使用した接続の認証のサポートが削除されました。
  • vfs_netatalk 仮想ファイル システム(VFS)モジュールが削除されました。
  • ldap ssl ads パラメーターは非推奨としてマークされ、将来の Samba バージョンで削除されます。LDAP トラフィック の代替暗号化方法および詳細情報は、samba: delete of "ldap ssl ads" smb.conf option ソリューションを参照してください。
  • デフォルトでは、RHEL 8.3 の Samba は、非推奨の RC4 暗号化スイートに対応しなくなりました。Kerberos 認証に RC4 を必要とする AD のドメインメンバーとして Samba を実行する場合は、update-crypto-policies --set DEFAULT:AD-SUPPORT コマンドを使用して RC4 暗号化タイプのサポートを有効にします。

smbdnmbd、または winbind サービスが起動すると、Samba は tdb データベースファイルを自動的に更新します。Samba を起動する前にデータベースファイルがバックアップされます。Red Hat は、tdb データベースファイルのダウングレードをサポートしていないことに留意してください。

主な変更の詳細は、更新前にアップストリームのリリースノートを参照してください

(BZ#1817557)

cockpit-session-recording がバージョン 4 にリベース

cockpit-session-recording モジュールがバージョン 4 にリベースされました。このバージョンでは、以前のバージョンに対する主な変更点が加えられています。

  • metainfo ファイルの親 ID を更新 ました。
  • パッケージマニフェストを更新しました。
  • CentOS7 で正しいパス を解決するように rpmmacro が修正されました。
  • バイトアレイでエンコードされたジャーナルデータを処理します。
  • 非推奨の React ライフサイクル機能からコードを移動しました。

(BZ#1826516)

krb5 がバージョン 1.18.2 にリベースされました。

krb5 パッケージがアップストリームバージョン 1.18.2 にアップグレードされました。主なバグ修正と機能強化は、以下のとおりです。

  • DES および 3DES 暗号化タイプが削除されました
  • サポートされるどのバージョンの Active Directory でも不要であるため、ドラフト 9 PKINIT は削除されました。
  • NegoEx メカニズムプラグインに対応するようになりました。
  • ホスト名の正規化フォールバックがサポートされるようになりました(dns_canonicalize_hostname = fallback)。

(BZ#1802334)

IdM が新しい Ansible 管理モジュールに対応するようになりました。

今回の更新で、Ansible Playbook を使用して一般的な Identity Management (IdM) タスクを自動化する複数の ansible-freeipa モジュールが導入されました。

  • config モジュールでは、IdM 内でグローバル設定パラメーターを設定できます。
  • dnsconfig モジュールを使用すると、グローバル DNS 設定を変更できます。
  • dnsforwardzone モジュールを使用すると、IdM から DNS フォワーダーを追加および削除できます。
  • dnsrecord は、DNS レコードの管理を許可します。アップストリームの ipa_dnsrecord とは対照的に、1 回の実行で複数のレコード管理が可能になり、より多くのレコードタイプに対応します。
  • dnszone モジュールにより、DNS サーバーでゾーンを設定できます。
  • サービス モジュールにより、サービスの有無を確認できます。
  • vault モジュールを使用すると、vault および vault のメンバーの有無を確認できます。

ipagroup モジュールおよび ipahostgroup モジュールが拡張され、ユーザーおよびグループメンバーシップマネージャーをそれぞれ組み込むようになりました。グループメンバーシップマネージャーは、グループにメンバーを追加したり、グループからメンバーを削除できるユーザーまたはグループです。詳細は、各 /usr/share/doc/ansible-freeipa/README-* ファイルの 変数 セクションを参照してください。

(JIRA:RHELPLAN-49954)

IdM が、証明書管理用の新しい Ansible システムロールに対応

Identity Management (IdM) は、証明書管理タスクを自動化するための新しい Ansible システムロールに対応します。新規ロールには、以下の利点があります。

  • ロールは、証明書の発行および更新の自動化に役立ちます。
  • ロールは、ipa 認証局に証明書を発行するように設定できます。これにより、既存の IdM インフラストラクチャーを使用して証明書トラストチェーンを管理できます。
  • ロールを使用すると、証明書の発行前および発行後に実行するコマンド (例: サービスの停止および開始) を指定できます。

(JIRA:RHELPLAN-50002)

Identity Management が FIPS に対応

今回の機能強化により、Identity Management (IdM) の認証メカニズムを使用して、連邦情報処理標準 (FIPS) で承認される暗号化タイプを使用できるようになりました。IdM と Active Directory の間のフォレスト間の信頼は、FIPS に準拠していません。

FIPS を必要とし、AD 信頼は不要というお客様は、FIPS モードで IdM をインストールできます。

(JIRA:RHELPLAN-43531)

idm:DL1 の Opendnssec がバージョン 2.1 にリベースされました。

idm:DL1 モジュールストリームの OpenDNSSEC コンポーネントは、現在の長期アップストリームサポートバージョンである 2.1 バージョンシリーズにアップグレードされました。OpenDNSSEC は、DNSSEC (Domain Name System Security Extensions) の採用を促してインターネットのセキュリティーを強化する、オープンソースプロジェクトです。OpenDNSSEC 2.1 では、以前のバージョンのバグ修正および機能拡張が数多く追加されました。詳細は、アップストリームのリリースノート https://www.opendnssec.org/archive/releases/ を参照して ください

(JIRA:RHELPLAN-48838)

IdM が、新しいシステム全体の暗号化サブポリシーを使用して非推奨の RC4 暗号化スイートに対応するように

今回の更新で、Identity Management(IdM)で Rivest Cipher 4(RC4)暗号化スイートを有効にする新しい AD-SUPPORT 暗号化サブポリシーが導入されました。

IdM-Active Directory(AD)のフォレスト間の信頼のコンテキストでは、AD が Advanced Encryption Standard(AES)を使用するように設定されていない場合、管理者は新しい AD-SUPPORT サブポリシーをアクティベートできます。具体的には、以下のいずれかの条件が適用される場合は、Red Hat は新しいサブポリシーを有効にすることを推奨します。

  • AD のユーザーまたはサービスアカウントに RC4 暗号化鍵があり、AES 暗号化鍵がない。
  • 個別の Active Directory ドメイン間の信頼リンクに RC4 暗号化鍵があり、AES 暗号化鍵がない。

DEFAULT 暗号化ポリシーに加えて AD-SUPPORT サブポリシーを有効にするには、次のコマンドを実行します。

 # update-crypto-policies --set DEFAULT:AD-SUPPORT

または、AD フォレストの AD ドメイン間で信頼をアップグレードして強力な AES 暗号化タイプをサポートできるようにするには、Microsoft の記事「 AD DS: Security: Kerberos "Unsupported etype" error when accessing a resource in a trusted domain 」を参照してください。

(BZ#1851139)

新しい Microsoft LDAP チャネルバインディングおよび LDAP 署名要件に対応

最新の Microsoft アップデートでは、Active Directory (AD) は LDAP チャネルバインディングおよび LDAP 署名のデフォルトの Windows 設定を使用しないクライアントにフラグを付けます。これにより、System Security Services Daemon (SSSD) を AD との直接統合または間接統合に使用している RHEL システムで、GSSAPI (Generic Security Services Application Program Interface) を使用する SASL (Simple Authentication and Security Layer) 操作が正常に実行されると、AD でエラーイベント ID が発生する可能性があります。

これらの通知を防ぐには、GSSAPI ではなく GSS-SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism) SASL 機構を使用するようにクライアントアプリケーションを設定します。SSSD を設定するには、ldap_sasl_mech オプションを GSS-SPNEGO に設定します。

また、チャネルバインディングが AD 側に適用される場合は、以下のように SSL/TLS で SASL を使用するシステムを設定します。

  1. RHEL 8.3 以降に同梱された openldap パッケージ、openldap パッケージ、および krb5-libs パッケージの最新バージョンをインストールします。
  2. /etc/openldap/ldap.conf ファイルで、SASL_CBINDING オプションtls-endpoint に設定して、正しいチャネルバインディングタイプを指定します。

詳細は、「 Impact of Microsoft Security Advisory ADV190023 | LDAP Channel Binding and LDAP Signing on RHEL and AD integration 」を参照してください。

(BZ#1873567)

SSSD、adcli、および realmd が新しいシステム全体の暗号化サブポリシーを使用して非推奨の RC4 暗号化スイートに対応するように

今回の更新で、以下のユーティリティーで Rivest Cipher 4(RC4)暗号化スイートを有効にする新しい AD-SUPPORT 暗号化サブポリシーが導入されました。

  • SSSD (System Security Services Daemon)
  • adcli
  • realmd

以下のシナリオでは、Active Directory( AD)が Advanced Encryption Standard(AES)を使用するように設定されていない場合、管理者が新しい AD-SUPPORT サブポリシーをアクティベートできます。

  • SSSD が、AD に直接接続された RHEL システムで使用されている。
  • adcli は、AD ドメインに参加したり、ホスト属性(ホストキーなど)を更新するために使用されます。
  • realmd は、AD ドメインに参加するために使用されます。

以下のいずれかの条件が適用される場合は、Red Hat は新しいサブポリシーを有効にすることを推奨します。

  • AD のユーザーまたはサービスアカウントに RC4 暗号化鍵があり、AES 暗号化鍵がない。
  • 個別の Active Directory ドメイン間の信頼リンクに RC4 暗号化鍵があり、AES 暗号化鍵がない。

DEFAULT 暗号化ポリシーに加えて AD-SUPPORT サブポリシーを有効にするには、次のコマンドを実行します。

 # update-crypto-policies --set DEFAULT:AD-SUPPORT

(BZ#1866695)

authselect には新しい 最小 プロファイルがあります。

authselect ユーティリティーには、新しい 最小 プロファイルがあります。このプロファイルを使用すると、他の認証プロバイダーを使用する代わりに、システムファイルから直接ローカルユーザーおよびグループのみに対応できます。したがって、SSSD パッケージ、winbind パッケージ、および fprintd パッケージを安全に削除し、最小限のインストールを必要とするシステムでこのプロファイルを使用してディスクおよびメモリー領域を節約できます。

(BZ#1654018)

SSSD が、パスワードのローテーション時に Samba の secrets.tdb ファイルを更新するようになりました。

sssd.conf ファイルの新しい ad_update_samba_machine_account_password オプションが、RHEL で利用できるようになりました。これを使用すると、Samba の使用時にマシンのドメインパスワードをローテーションする際に、SSSD を使用して自動的に Samba secrets.tdb ファイルを更新できます。

ただし、SELinux が Enforcing モードの場合、SSSD は secrets.tdb ファイルの更新に失敗します。このため、Samba は新しいパスワードにアクセスできません。この問題を回避するには、SELinux を Permissive モードに設定します。

(BZ#1793727)

SSSD がデフォルトで AD GPO を強制するようになりました。

SSSD オプションad_gpo_access_control のデフォルト設定がEnforcing になりました。RHEL 8 では、SSSD は、デフォルトで Active Directory Group Policy Objects (GPO) に基づいてアクセス制御ルールを強制します。

Red Hat は、RHEL 7 から RHEL 8 にアップグレードする前に、Active Directory で GPO が正しく設定されていることを確認することを推奨します。GPO を強制しない場合は、/etc/sssd/sssd.conf ファイルの ad_gpo_access_control オプションの値を permissive に変更します。

(JIRA:RHELPLAN-51289)

Directory Server が pwdReset 操作 属性 に対応

今回の機能拡張により、Directory Server に pwdReset 操作 属性のサポートが追加されました。管理者がユーザーのパスワードを変更すると、Directory Server はユーザー エントリーの pwdReset を true に設定します。その結果、アプリケーションはこの属性を使用して、管理者がユーザーのパスワードをリセットしたかどうかを識別できます。

pwdReset 操作属性であるため、ユーザーは編集できないことに注意してください。

(BZ#1775285)

Directory Server が RESULT エントリーで作業および操作時間のログを記録するようになりました。

今回の更新で、Directory Server は、/var/log/dirsrv/slapd-<instance_name>/access ファイルの RESULT'entries に追加の 2 つの時間値をログ記録するようになりました。

  • wtime の値は、操作が作業キューからワーカースレッドに移動するのにかかった時間を示します。
  • optime の値は、ワーカースレッドが操作を開始した後に実際に操作が完了するのにかかった時間を示します。

新たに追加されたこの値で、Directory Server が読み込みやプロセス操作を処理する方法などの情報が追加で提供されます。

詳細は、『Red Hat Directory Server の設定、コマンド、およびファイルリファレンス』の 「アクセスログリファレンス」を参照してください。

(BZ#1850275)

5.1.14. デスクトップ

シングルアプリケーションセッションが利用できるようになりました。

これで、kiosk モードとも呼ばれる単一アプリケーションセッションで GNOME を起動できるようになりました。このセッションでは、GNOME は設定したアプリケーションのフルスクリーンウィンドウのみを表示します。

単一アプリケーションセッションを有効にするには、以下を実行します。

  1. gnome-session-kiosk-session パッケージをインストールします。

    # yum install gnome-session-kiosk-session
  2. 単一アプリケーションセッションを開くユーザーの $HOME/.local/bin/redhat-kiosk ファイル を作成し、編集します。

    ファイルで、起動するアプリケーションの実行可能な名前を入力します。

    たとえば、Text Editor アプリケーションを起動するには、以下を実行します。

    #!/bin/sh
    
    gedit &
  3. ファイルを実行可能にします。

    $ chmod +x $HOME/.local/bin/redhat-kiosk
  4. GNOME ログイン画面で、歯車ボタンメニューから Kiosk セッションを選択し、シングルアプリケーションユーザーとしてログインします。

(BZ#1739556)

tigervnc をバージョン 1.10.1 にリベース

tigervnc スイートがバージョン 1.10.1. にリベースされました。更新には、修正および改善点が数多く含まれています。以下に例を示します。

  • TigerVNC は、systemd サービスマネージャーを使用した仮想ネットワークコンピューティング(VNC)サーバーの起動のみに対応するようになりました。
  • クリップボードが、ネイティブビューアー WinVNC および Xvnc/libvnc.so で完全な Unicode に対応するようになりました。
  • ネイティブクライアントは、サーバー証明書の検証時にシステムのトラストストアを反映するようになりました。
  • Java Web サーバーが削除されました。
  • X0vncserver は、ローカル接続のみを許可するように設定できるようになりました。
  • X0vncserver は、ディスプレイの一部のみが共有されている場合にのみ修正が受信されました。
  • WinVNC では、ポーリングはデフォルトでデフォルトになりました
  • VMware の VNC サーバーとの互換性が向上しました。
  • macOS における一部の入力方法との互換性を向上しました。
  • JPEG アーティファクトの自動「修復」が向上しました。

(BZ#1806992)

5.1.15. グラフィックインフラストラクチャー

新しいグラフィックカードのサポートが追加されました。

以下のグラフィックカードが完全にサポートされるようになりました。

  • 以下のモデルを含む AMD Navi 14 ファミリー

    • Radeon RX 5300
    • Radeon RX 5300 XT
    • Radeon RX 5500
    • Radeon RX 5500 XT
  • 以下のモデルを含む AMD Renoir APU ファミリー:

    • Ryzen 3 4300U
    • Ryzen 5 4500U、4600U、4600H
    • Ryzen 7 4700U、4800U、4800H
  • 以下のモデルを含む AMD Dail APU ファミリー

    • Athlon Silver 3050U
    • Athlon Gold 3150U
    • Ryzen 3 3250U

さらに、以下のグラフィックドライバーが更新されました。

  • Matrox mgag200 ドライバー

(JIRA:RHELPLAN-55009)

Nvidia Volta および Turing によるハードウェアアクセラレーション

nouveau グラフィックドライバーは、Nvidia Volta および Turing GPU ファミリーを使用したハードウェアアクセラレーションに対応するようになりました。その結果、3D グラフィックを使用するデスクトップおよびアプリケーションが GPU 上で効率的にレンダリングされるようになりました。また、これにより他のタスクの CPU が解放され、システム全体の応答が改善されます。

(JIRA:RHELPLAN-57564)

XWayland の表示停止が減少する

XWayland ディスプレイバックエンドでは、XPresent 拡張が有効化されるようになりました。XPresent を使用すると、アプリケーションはウィンドウコンテンツを効率的に更新できるため、画面の破棄が削減されます。

この機能は、3D エディターなどのフルスクリーンの OpenGL アプリケーションのユーザーインターフェースレンダリングを大幅に改善します。

(JIRA:RHELPLAN-57567)

Intel Tiger Lake GPU に対応

今回の更新で、GPU の Intel Tiger Lake ファミリーのサポートが追加されました。これには、https://ark.intel.com/content/www/us/en/ark/products/codename/88759/tiger-lake.html の CPU モデルで見つかった Intel UHD グラフィックおよび Intel Xe GPU が含まれ ます

Tiger Lake GPU サポートを有効にするために、i915.alpha_support=1 または i915.force_probe=* カーネルオプションを設定する必要がなくなりました。

今回の機能拡張は、RHSA-2021:0558 非同期 アドバイザリーの一部としてリリースされました。

(BZ#1882620)

5.1.16. Web コンソール

Web コンソールセッションから特権を設定する。

今回の更新では、Web コンソールに、ユーザーセッション内から管理アクセスと制限されたアクセスを切り替えるオプションが追加されました。Web コンソールセッションで管理アクセスまたは制限付きアクセスのインジケーターをクリックすると、モードを 切り替えることができます。

(JIRA:RHELPLAN-42395)

ログ検索の改善

今回の更新で、Web コンソールに、ユーザーがログ間を検索できる新しい方法をサポートする検索ボックスが追加されました。この検索ボックスは、ログメッセージでの検索、サービスの指定、特定のログフィールドを持つエントリーの検索に対応しています。

(BZ#1710731)

Overview ページで詳細な Insights レポートを表示。

今回の更新により、マシンが Red Hat Insights に接続されると、Web コンソールの Overview ページの Health カードに、ヒット数とその優先度の詳細が表示されるようになりました。

(JIRA:RHELPLAN-42396)

5.1.17. Red Hat Enterprise Linux システムロール

RHEL システムロールに端末ログロールを追加

今回の機能拡張で、rhel-system-roles パッケージに含まれる RHEL システムロールに、新しい Terminal ログ (TLOG)ロール が追加されました。ユーザーは、tlog ロールを使用して、Ansible を使用してセッションの録画を設定および設定できるようになりました。

現在、tlog ロールは次のタスクをサポートします。

  • systemd ジャーナルに録画データを記録するように tlog を設定する
  • SSSD を介した明示的なユーザーおよびグループのセッション録画を有効にする

(BZ#1822158)

Ansible で RHEL ロギングシステムロールが利用可能に

ロギングシステムロールを使用すると、ローカルホストとリモートホストで一貫して、さまざまなロギング設定をデプロイできます。RHEL ホストをサーバーとして設定し、多くのクライアントシステムからログを収集できます。

(BZ#1677739)

rhel-system-roles-sap に完全対応

以前はテクノロジープレビューとして利用できた rhel-system-roles-sap パッケージが完全にサポートされるようになりました。これは、SAP 向けの Red Hat Enterprise Linux (RHEL) システムロールを提供します。これは、RHEL システムの設定を自動化して SAP ワークロードロードを実行するために使用できます。これらのロールは、関連する SAP ノート記載のベストプラクティスに基づいて最適な設定を自動的に適用することで、SAP ワークロードを実行するようにシステムを設定する時間を大幅に短縮できます。アクセスは、RHEL for SAP Solutions 製品に限定されます。サブスクリプションに関するサポートが必要な場合は、Red Hat カスタマーサポートまでご連絡ください。

rhel-system-roles-sap パッケージの以下の新しいロール が完全にサポートされます。

  • sap-preconfigure
  • sap-netweaver-preconfigure
  • sap-hana-preconfigure

詳細は、「 Red Hat Enterprise Linux System Roles for SAP 」を参照してください。

(BZ#1660832)

Ansible で メトリック RHEL システムロールが利用できるようになりました。

メトリック の RHEL システムロールを使用すると、ローカルホストおよびリモートホスト用に以下を設定できます。

  • pcp アプリケーションによるパフォーマンス分析サービス
  • grafana サーバーを使用したこのデータの可視化
  • これらのサービスを個別に設定せずに、redis データソースを使用してこのデータのクエリーを行います。

(BZ#1890499)

rhel-system-roles-sap upgraded

rhel-system-roles-sap パッケージがアップストリームバージョン 2.0.0 にアップグレードされ、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

  • ホスト名の設定とチェックの向上
  • uuidd ステータスの検出および処理の向上
  • -- check(-c) オプションのサポートを追加
  • 32800 から 65536 に nofile 制限を引き上げる
  • nfs-utils ファイルを sap_preconfigure_packages* に追加します。
  • firewalld を無効にします。この変更により、インストールされている場合に限り firewalld が無効になります。
  • RHEL 8.0 および RHEL 8.1 用の setup パッケージの最小必要なバージョンを追加します。
  • tmpfiles.d/sap.conf ファイル処理の向上
  • シングルステップの実行または SAP ノートの確認をサポート
  • 必要な compat-sap-c++ パッケージの追加
  • 最小限のパッケージインストール処理を向上
  • RHEL システムロールの適用後に再起動が必要であるかどうかを検出する
  • あらゆる SElinux の状態の設定に対応。デフォルトの状態は" disabled" です。
  • 同じ IP アドレスを持つ行が複数あっても失敗しなくなりました
  • sap_ipを含む行が複数ある場合に /etc/hosts が変更されなくなりました。
  • RHEL 7.7 における HANA のサポート
  • ppc64le プラットフォームの SAP HANA に必要な Power 用の IBM サービスおよび生産性向上ツールへのリポジトリー追加に対応します。

(BZ#1844190)

storage RHEL システムロールがファイルシステム管理に対応

今回の機能強化により、管理者は ストレージ RHEL システムロールを使用して以下を実行できるようになりました。

  • ext4 ファイルのサイズ変更
  • LVM ファイルのサイズ変更
  • swap パーティションがない場合は、swap パーティションを作成します。swap パーティションが存在する場合は、そのパーティションが存在する場合は、デフォルトのパラメーターを使用してブロックデバイスにそのパーティションを変更します。

(BZ#1959289)

5.1.18. 仮想化

TSC 設定と互換性のないホストへ仮想マシンを移行した場合、より早い段階で失敗するようになりました。

以前は、Time Stamp Counter (TSC) 設定との互換性がないホストに仮想マシンを移行すると、プロセスの後半で失敗していました。今回の更新で、このような移行を試みると、移行プロセスが開始する前にエラーが生成されるようになりました。

(JIRA:RHELPLAN-45950)

第 2 世代 AMD EPYC プロセッサーの仮想化サポート

今回の更新で、RHEL 8 の仮想化で、第 2 世代 AMD EPYC プロセッサー (EPYC としても知られる) のサポートが追加されました。これにより、RHEL 8 でホストされる仮想マシンで EPYC-Rome CPU モデルを使用し、プロセッサーが提供する新機能を使用できるようになりました。

(JIRA:RHELPLAN-45959)

新しいコマンド: virsh iothreadset

今回の更新で、virsh iothreadset コマンドが導入されました。これを使用して、動的 IOThread ポーリングを設定することができます。これにより、IO スレッドの CPU 消費量が多い場合に、I/O 集中型ワークロードの、遅延が少ない仮想マシンをセットアップできます。特定のオプションについては、virsh の man ページを参照してください。

(JIRA:RHELPLAN-45958)

UMIP が第 10 世代 Intel Core プロセッサーの KVM でサポートされるように。

今回の更新で、第 10 世代 Intel Core プロセッサー (Ice Lake サーバー) で実行しているホストの KVM が、ユーザーモードの Instruction Prevention (UMIP) 機能に対応するようになりました。UMIP 機能は、現在の権限レベル(CPL)が 0 を超えると sgdt、sidt sldt smsw、および str などの特定の命令が実行されると、一般的な保護例外を発行します。これにより、UMIP は、権限昇格攻撃を開始するために使用できる特定のシステム全体の設定にアクセスできないようにして、システムのセキュリティーを確保します。

(JIRA:RHELPLAN-45957)

libvirt ライブラリーが Memory Bandwidth Allocation に対応

libvirt が Memory Bandwidth Allocation(MBA)に対応するようになりました。MBA を使用すると、<cputune> セクションの <memorytune> 要素を使用して、vCPU スレッドのホストメモリー帯域幅 一部を割り当てること できます。

MBA は、Intel Xeon v4 プロセッサー (Broadwell サーバーとしても知られる) にある既存の Cache QoS Enforcement (CQE) 機能の拡張です。CPU アフィニティーに関連付けられたタスクの場合、MCB で使用されるメカニズムは CQE と同じです。

(JIRA:RHELPLAN-45956)

RHEL 6 仮想マシンが Q35 マシンタイプに対応

ゲスト OS として RHEL 6 を使用する RHEL 8 でホストされる仮想マシンで、より新しい PCI Express ベースのマシンタイプである Q35 を使用できるようになりました。これにより、仮想デバイスの機能とパフォーマンスに様々な改善が行われ、最新の広範囲なデバイスで RHEL 6 VM との互換性が保証されます。

(JIRA:RHELPLAN-45952)

記録されたすべての QEMU イベントにタイムスタンプが追加され、これにより、ユーザーは /var/log/libvirt/qemu/ ディレクトリーに保存されたログを使用して、より簡単に仮想マシンをトラブルシューティングできます。

QEMU ログに、spice-server イベントのタイムスタンプが含まれるようになりました。

今回の更新で、「spice-server」イベントログにタイムスタンプが追加されました。そのため、ログに記録された QEMU イベントにはすべてタイムスタンプが追加されるようになりました。これにより、ユーザーは /var/log/libvirt/qemu/ ディレクトリーに保存されたログを使用して、より簡単に仮想マシンをトラブルシューティングできます。

(JIRA:RHELPLAN-45945)

bochs -display デバイスに対応しました。

RHEL 8.3 以降に、現在使用されている stdvga デバイスよりも安全な Bochs ディスプレイデバイスが導入されました。bochs -display と互換性のあるすべての仮想マシン(VM)は、 デフォルトでこれを使用することに注意してください。これには、主に UEFI インターフェースを使用する仮想マシンが含まれます。

(JIRA:RHELPLAN-45939)

仮想マシン向けの MDS 保護の最適化

今回の更新で、RHEL 8 ホストは、Microarchitectural Data Sampling (MDS)に対して脆弱であるかどうかを仮想マシンに通知できるようになりました。脆弱ではない仮想マシンは、MDS に対して測定を使用しないため、パフォーマンスが向上します。

(JIRA:RHELPLAN-45937)

RBD での QCOW2 ディスクイメージの作成に対応

今回の更新で、RADOS Block Device (RBD) ストレージ上に QCOW2 ディスクイメージを作成できるようになりました。これにより、仮想マシンでは、QCOW2 イメージを使用して、ストレージバックエンドに RBD サーバーを使用できます。

ただし、RBD ストレージ上の QCOW2 ディスクイメージの書き込みパフォーマンスは現在、意図されたパフォーマンスよりも低くなっています。

(JIRA:RHELPLAN-45936)

サポートされている VFIO デバイスの最大数が 64 に増加

今回の更新により、VFIO を使用する最大 64 台の PCI デバイスを RHEL 8 ホストの単一の仮想マシンに割り当てることができます。RHEL 8.2 以前では最大 32 台でした。

(JIRA:RHELPLAN-45930)

QEMU/KVM でdiscard および write-zeroes コマンド に対応

今回の更新で、virtio-blkdiscard コマンドおよび write- zeroes コマンドが QEMU/KVM でサポートされるようになりました。これにより、仮想マシンは virtio-blk デバイスを使用して SSD の未使用セクターを破棄し、空のままにするか、両方のセクターにセクターをゼロで埋めることができます。この操作は、SSD のパフォーマンスを向上したり、ドライブを安全に消去するために使用できます。

(JIRA:RHELPLAN-45926)

RHEL 8 が IBM POWER 9 XIVE に対応

今回の更新で、IBM POWER9 から RHEL 8 への External Interrupt Virtualization Engine (XIVE) 機能へのサポートが追加されました。これにより、IBM POWER 9 システムの RHEL 8 ハイパーバイザーで実行している仮想マシンは XIVE を使用でき、I/O 集中型仮想マシンのパフォーマンスが向上します。

(JIRA:RHELPLAN-45922)

仮想マシンに対する Control Group v2 のサポート

今回の更新で、libvirt スイートが Control Group v2 に対応するようになりました。これにより、RHEL 8 でホストされる仮想マシンで、Control Group v2 のリソース制御機能を利用できます。

(JIRA:RHELPLAN-45920)

Windows 仮想マシンで準仮想化 IPI をサポート

今回の更新で、Windows 仮想マシンのサポートされるハイパーバイザー Enlightenment に hv_ipi フラグが追加されました。これにより、プロセッサー間割り込み (IPI) をハイパーコール経由で送信できるようになります。その結果、Windows OS を実行している仮想マシンで IPI を迅速に実行できます。

(JIRA:RHELPLAN-45918)

ディスクキャッシュが有効となっている仮想マシンの移行が可能に

今回の更新で、RHEL 8 KVM ハイパーバイザーが、ディスクキャッシュのライブマイグレーションに対応するようになりました。その結果、ディスクキャッシュが有効となっている仮想マシンのライブマイグレーションが可能になりました。

(JIRA:RHELPLAN-45916)

権限を持たないセッションにおいて macvtap インターフェースを仮想マシンで使用可能に

特権プロセスで以前に作成された macvtap インターフェースを、仮想マシン (VM) で使用できるようになりました。特に、これにより、libvirtd の非特権 ユーザー セッションで起動された仮想マシンが macvtap インターフェースを使用できるようになります。

そのためには、最初に特権環境で macvtap インターフェースを作成し、非特権セッションで libvirtd を実行するユーザーが所有するように設定します。これを実行するには、Web コンソールなどの管理アプリケーションを使用するか、root としてコマンドラインユーティリティーを使用します。以下に例を示します。

# ip link add link en2 name mymacvtap0 address 52:54:00:11:11:11 type macvtap mode bridge
# chown myuser /dev/tap$(cat /sys/class/net/mymacvtap0/ifindex)
# ip link set mymacvtap0 up

その後、新たに作成された macvtap インターフェースを参照するように、仮想マシンの <interface> 設定のサブ要素 <target> を変更します。

  <interface type='ethernet'>
     <model type='virtio'/>
     <mac address='52:54:00:11:11:11'/>
     <target dev='mymacvtap0' managed='no'/>
   </interface>

この設定では、libvirtd をユーザー myuser として実行した場合、仮想マシンは起動時に既存の macvtap インターフェースを使用します。

(JIRA:RHELPLAN-45915)

仮想マシンが、第 10 世代 Intel Core プロセッサーの機能を使用できるようになりました。

Icelake-Server および Icelake-Client CPU モデル名が仮想マシンで利用できるようになりました。第 10 世代 Intel Core プロセッサーのホストでは、仮想マシンの XML 設定の CPU タイプとして Icelake-Server または Icelake-Client を使用すると、これらの CPU の新機能が仮想マシンに公開されます。

(JIRA:RHELPLAN-45911)

QEMU が LUKS 暗号化に対応

今回の更新で、LUKS (Linux Unified Key Setup) 暗号化を使用して仮想ディスクを作成できるようになりました。仮想マシンの XML 設定に <encryption> フィールドを追加して ストレージボリュームの作成時にディスクを暗号化できます。また、XML 設定ファイルのディスクのドメイン定義に <encryption> フィールド を追加して、LUKS で暗号化された仮想ディスクを完全に仮想マシンに透過的にすることもできます。

(JIRA:RHELPLAN-45910)

nbdkitのログを改善

nbdkit サービスのロギングは、これより詳細になるように変更になりました。これにより、nbdkit は重要なメッセージのみを記録し、virt-v2v 変換中に作成されたログが短くなり、解析が容易になりました。

(JIRA:RHELPLAN-45909)

仮想マシンの SELinux セキュリティーラベルおよびパーミッションの一貫性が向上

今回の更新で、libvirt サービスはファイルに関連付けられた SELinux セキュリティーラベルとパーミッションを記録し、ファイルの変更後にラベルを復元できるようになりました。たとえば、libguestfs ユーティリティーを使用して、特定のユーザーが所有する仮想マシン(VM)ディスクイメージを変更しても、イメージの所有者が root に変更されなくなりました。

Note that this feature does not work on file systems that do not support extended file attributes, such as NFS.

(JIRA:RHELPLAN-45908)

QEMU で XTS 暗号に gcrypt ライブラリーを使用するようになりました。

今回の更新で、QEMU エミュレーターが gcrypt ライブラリーが提供する XTS 暗号モードの実装を使用するように変更されました。これにより、ホストストレージで QEMU のネイティブ luks 暗号化ドライバーを使用する仮想マシンの I/O パフォーマンスが向上します。

(JIRA:RHELPLAN-45904)

Windows Updates で Windows Virtio ドライバーを更新可能

今回の更新で、QEMU の起動時にデフォルトで、新しい標準 SMBIOS 文字列が開始されるようになりました。SMBIOS フィールドで指定されるパラメーターにより、仮想マシン(VM)で実行される仮想ハードウェアの ID を生成できます。これにより、Windows Update で、仮想ハードウェアおよび RHEL ハイパーバイザーマシンタイプを識別し、Windows 10+、Windows Server 2016、および Windows Server 2019+ を実行している仮想マシンの Virtio ドライバーを更新できます。

(JIRA:RHELPLAN-45901)

新しいコマンド: virsh guestinfo

virsh guestinfo コマンドが RHEL 8.3 に導入されました。これにより、仮想マシン (VM) に関する以下の種類の情報を報告できます。

  • ゲスト OS およびファイルシステムの情報
  • アクティブユーザー
  • 使用されるタイムゾーン

virsh guestinfo を実行する前に、qemu-guest-agent パッケージがインストールされていることを確認してください。さらに、以下のように、仮想マシンの XML 設定で guest_agent チャンネルを有効にする必要があります。

<channel type='unix'>
   <target type='virtio' name='org.qemu.guest_agent.0'/>
</channel>

(JIRA:RHELPLAN-45900)

KVM が BFLOAT16 入力の VNNI に対応

今回の更新で、AVX512_BF 16 命令とも呼ばれる BFLOAT 16 入力に対応する Vector Neural Network Instructions(VNNI)が、Cooper Lake で実行しているホストの KVM でサポートされるようになりました。その結果、ゲストソフトウェアは、仮想 CPU 設定で有効化することで、仮想マシン内で AVX512_BF16 命令を使用できるようになりました。

(JIRA:RHELPLAN-45899)

新しいコマンド: virsh pool-capabilities

RHEL 8.3 で、virsh pool-capabilities コマンドオプションが追加されました。このコマンドにより、ホスト上のストレージプールの作成に使用できる情報と、各プール内のストレージボリュームが表示されます。これには以下が含まれます。

  • ストレージプールの種類
  • ストレージプールのソースの形式
  • ターゲットストレージボリュームの形式タイプ

(JIRA:RHELPLAN-45884)

Intel Xeon Platinum 9200 シリーズプロセッサーを使用する仮想マシンでの CPUID.1F のサポート

今回の更新で、RHEL 8 でホストされる仮想マシンは、拡張トポロジー Enumeration リーフ機能 (CPUID.1F) を使用して、複数のダイの仮想 CPU トポロジーで設定できるようになりました。この機能は、Intel Xeon Platinum 9200 シリーズプロセッサー (以前は Cascade Lake) でサポートされています。その結果、Intel Xeon Platinum 9200 シリーズプロセッサーを使用するホストで、ホストの物理 CPU トポロジーをミラーリングする vCPU トポロジーを作成できるようになりました。

(JIRA:RHELPLAN-37573, JIRA:RHELPLAN-45934)

仮想マシンが、3 番目の Intel Xeon Scalable プロセッサーの機能を使用できるようになりました。

Cooperlake CPU モデル名が仮想マシンで利用できるようになりました。仮想マシンの XML 設定の CPU タイプに Cooperlake を使用すると、ホストがこの CPU を使用する場合は、第 3 世代 Intel Xeon Scalable プロセッサーの新機能が作成されます。

(JIRA:RHELPLAN-37570)

KVM が Intel Optane Persistent Memory をサポートするように。

今回の更新で、RHEL 8 でホストされる仮想マシンは、Intel Optane Persistent Memory テクノロジー (以前は Intel Crystal Ridge として知られていた) を活用できるようになりました。Intel Optane DC Persistent Memory ストレージデバイスは、データセンタークラスの永続メモリー技術を提供し、トランザクションのスループットを大幅に向上させます。

(JIRA:RHELPLAN-14068)

仮想マシンが Intel プロセッサートレースを使用できるようになりました。

今回の更新で、RHEL 8 でホストされる仮想マシン (VM) が、Intel Processor Trace (PT) 機能を使用できるようになりました。ホストが Intel PT に対応する CPU を使用する場合は、特殊な Intel ソフトウェアを使用して、仮想マシンの CPU のパフォーマンスに関するさまざまなメトリックを収集できます。また、仮想マシンの XML 設定で intel-pt 機能を有効にする必要があることに注意してください。

(JIRA:RHELPLAN-7788)

DASD デバイスが IBM Z の仮想マシンに割り当てられ可能に。

DASD (ダイレクトアクセスストレージデバイス) は、特定のストレージ機能を提供します。この vfio-ccw 機能を使用すると、DASD を仲介デバイスとして IBM Z ホストの仮想マシンに割り当てることができます。たとえば、仮想マシンは z/OS データセットにアクセスするか、割り当てられた DASD を z/OS マシンと共有できます。

(JIRA:RHELPLAN-40234)

IBM Z でサポートされる IBM セキュア実行

IBM Z ハードウェアを使用して RHEL 8 ホストを実行する場合は、仮想マシンの IBM Secure Execution を設定して、仮想マシンのセキュリティーを改善できます。IBM Secure Execution (Protected Virtualization とも呼ばれる) は、ホストシステムが仮想マシンの状態とメモリーのコンテンツにアクセスできないようにします。

その結果、ホストが危険にさらされても、ゲストオペレーティングシステムを攻撃するベクトルとして使用できません。さらに、セキュア実行を使用して、信頼できないホストが仮想マシンから機密情報を取得しないようにすることもできます。

(JIRA:RHELPLAN-14754)

5.1.19. クラウド環境の RHEL

cloud-utils-growpart を 0.31 にリベース

cloud-utils-growpart パッケージがバージョン 0.31 にアップグレードされ、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

  • GPT ディスクのサイズを 2TB 以上に増やせないバグが修正されました。
  • growpart 操作は、開始セクターとサイズが同じ場合に失敗しなくなりました。
  • 以前は sgdisk ユーティリティーを使用してパーティションのサイズ変更に失敗する場合がありました。この問題は修正されています。

(BZ#1846246)

5.1.20. コンテナー

skopeo コンテナーイメージが利用可能に

registry.redhat.io/rhel8/skopeo コンテナーイメージは、skopeo パッケージをコンテナー化した実装です。skopeo ツールは、コンテナーイメージおよびイメージリポジトリーでさまざまな操作を実行するコマンドラインユーティリティーです。このコンテナーイメージを使用すると、レジストリーのコンテナーイメージを調べ、レジストリーからコンテナーイメージを削除し、認証されていないコンテナーレジストリーのコンテナーイメージを別のレジストリーへとコピーすることができます。registry.redhat.io/rhel8/skopeo コンテナーイメージをプルするには、アクティブな Red Hat Enterprise Linux サブスクリプションが必要です。

(BZ#1627900)

Buildah コンテナーイメージが利用可能に

registry.redhat.io/rhel8/buildah コンテナーイメージは、buildah パッケージをコンテナー化した実装です。buildah ツールを使用すると、OCI コンテナーイメージのビルドが容易になります。このコンテナーイメージを使用すると、システムに buildah パッケージをインストールしなくても、コンテナーイメージをビルドできます。このユースケースでは、root 以外のユーザーとして rootless モードでこのイメージを実行することを説明しません。registry.redhat.io/rhel8/buildah コンテナーイメージをプルするには、アクティブな Red Hat Enterprise Linux サブスクリプションが必要です。

(BZ#1627898)

Podman v2.0 RESTful API が利用できるようになりました。

新しい REST ベースの Podman 2.0 API は、varlink ライブラリーに基づいて古いリモート API に取って代わります。新しい API はルートフルおよびルートレス環境で機能し、docker 互換レイヤーを提供します。

(JIRA:RHELPLAN-37517)

Podman のインストールには container-selinuxは必要ありません。

今回の機能拡張により、コンテナービルド時の container-selinux パッケージのインストールが任意になりました。その結果、Podman は他のパッケージの依存関係が少なくなります。

(BZ#1806044)

5.2. 外部カーネルパラメーターの重要な変更

本章では、システム管理者向けに、Red Hat Enterprise Linux 8.3 に同梱されるカーネルの重要な変更点の概要を説明します。変更には、たとえば、proc エントリー、sysctl および sysfs のデフォルト値、ブートパラメーター、カーネル設定オプション、または重要な動作の変更などが含まれます。

新しいカーネルパラメーター
acpi_no_watchdog = [HW,ACPI,WDT]
このパラメーターを使用すると、ACPI (Advanced Configuration and Power Interface) ベースの Watchdog インターフェース (WDAT) を無視し、ネイティブドライバーがウォッチドッグデバイスを制御できるようにします。
dfltcc = [HW,S390]

このパラメーターは、IBM Z アーキテクチャーの zlib ハードウェアサポートを設定します。

形式: { on | off | def_only | inf_only | always }

オプションは次のとおりです。

  • on (デフォルト): レベル 1 および展開における圧縮に対する IBM Z zlib ハードウェアサポート
  • off - IBM Z zlib ハードウェアのサポートはありません。
  • def_only - deflate アルゴリズムのみに対する IBM Z zlib ハードウェアサポート(レベル 1 で圧縮)
  • INF_only - フラットなアルゴリズムのみの IBM Z zlib ハードウェアサポート
  • Always: on に類似しますが、選択した圧縮レベルを無視し、常に(デバッグに使用)ハードウェアサポートを使用します。
irqchip.gicv3_pseudo_nmi = [ARM64]

このパラメーターにより、カーネルにおける擬似マスク不可割り込み (NMI) のサポートが有効になります。

このパラメーターを使用するには、CONFIG_ARM64_PSEUDO_NMI 設定項目でカーネルを構築する必要があります。

panic_on_taint =

Bitmask for conditionally calling panic() in add_taint()

形式: <hex> [,nousertaint]

このセットの フラグadd_taint() システムコールが呼び出されると、カーネルがパニックを引き起こす TAINT フラグのセットを表す 16 進数のビットマスク。オプションの nousertaint スイッチは、panic_on_taint のビットマスクに一致するフラグセットに書き込むことで ユーザー空間で強制されるクラッシュを防ぎます。

詳細は、アップストリームのドキュメント を参照してください。

prot_virt = [S390]

形式: <bool>

このパラメーターにより、ハードウェアサポートがある場合は、ハイパーバイザーから分離された保護された仮想マシンをホストできるようにします。

rcutree.use_softirq = [KNL]

このパラメーターにより、Tree-RCU softirq 処理の除外が有効になります。

このパラメーターをゼロに設定すると、すべての RCU_SOFTIRQ 処理 を CPU ごとの rcuc kthreads に移動します。rcutree.use_softirq をゼロ以外の値(デフォルト)に設定すると、RCU_SOFTIRQ がデフォルトで使用され ます。rcutree.use_softirq=0 を指定して rcuc kthreads を使用します。

split_lock_detect = [X86]

このパラメーターにより、分割ロックの検出が有効になります。有効にすると、ハードウェアサポートがある場合は、キャッシュライン境界でデータにアクセスするアトミック命令により、調整チェック例外が発生します。

オプションは次のとおりです。

  • off - 無効
  • warn: カーネルは、アライメントチェック例外(#AC)をトリガーするアプリケーションについてのレート制限の警告を生成します。このモードは、スプリットロック検出に対応する CPU のデフォルトです。
  • fatal - カーネルは、#AC 例外をトリガーするアプリケーションに Buss エラー(SIGBUS)シグナルを送信します。

    ユーザーモードで実行していない間に #AC 例外が発生すると、カーネルは warn または fatal モードで oops エラーが発生します。

srbds = [X86,INTEL]

このパラメーターは、特殊レジスターバッファーデータサンプリング (SRBDS) の軽減策を制御します。

特定の CPU は、MDS (Microarchitectural Data Sampling) と同様の不正使用に対して脆弱です。これは、乱数ジェネレーターからビットが漏えいする可能性があります。

デフォルトでは、マイクロコードによりこの問題は軽減されます。ただし、マイクロコードの修正により、RDRAND および RDSEED 命令が大幅に遅くなる可能性があります。たとえば、これにより urandom カーネル乱数ソースデバイスからのスループットが低下します。

マイクロコードの軽減策を無効にするには、以下のオプションを設定します。

  • off - 軽減策を無効にし、RDRAND および RDSEEDのパフォーマンスへの影響を排除します。
svm = [PPC]

形式: { on | off | y | n | 1 | 0 }

このパラメーターは、pSeries システムで、保護された実行障害 (Protected Execution Facility) の使用を制御します。

nopv = [X86,XEN,KVM,HYPER_V,VMWARE]

このパラメーターは、PV ドライバーのないジェネリックゲストとしてゲストを強制的に実行する PV の最適化を無効にします。

現在サポートされているのは、XEN HVM、KVM、HYPER_V、および VMWARE です。

更新されたカーネルパラメーター
hugepagesz = [HW]

このパラメーターは、Huge Page のサイズを指定します。このパラメーターを使用して hugepages パラメーターと併用し、指定したサイズの Huge Page 数を事前に割り当てます。

hugepagesz および hugepages パラメーターをペアで指定します。以下に例を示します。

hugepagesz=2M hugepages=512

hugepagesz パラメーターは、特定の Huge Page サイズのコマンドラインで 1 回のみ指定できます。有効な Huge Page サイズはアーキテクチャーによって異なります。

hugepages = [HW]

このパラメーターで、事前に割り当てるヒュージページの数を指定します。このパラメーターは通常、有効な hugepagesz または default_hugepagesz パラメーターに従います。

ただし、hugepages が最初または唯一の HugeTLB コマンドラインパラメーターである場合は、割り当てるデフォルトサイズの Huge Page の数を暗黙的に指定します。デフォルトサイズの Huge Page の数が暗黙的に指定される場合、デフォルトサイズの hugepagesz + hugepages パラメーターペアで上書きすることはできません。

たとえば、2M のデフォルトの Huge Page サイズを持つアーキテクチャーでは、以下のようになります。

hugepages=256 hugepagesz=2M hugepages=512

上記の例の設定により、256 2M の Huge Page が割り当てられ、hugepages=512 パラメーターが無視されていた警告メッセージが表示されます。hugepages が無効な hugepagesz の前に付けられる場合、ヒュージページ は無視されます。

default_hugepagesz = [HW]

このパラメーターは、デフォルトの Huge Page サイズを指定します。default_hugepagesz は、コマンドラインで 1 回のみ指定できます。オプションで、hugepages パラメーターで default_hugepagesz に従い、デフォルトサイズの特定の Huge Page 数を事前に割り当てることができます。また、事前に割り当てるデフォルトサイズの Huge Page の数を暗黙的に指定することができます。

たとえば、2M のデフォルトの Huge Page サイズを持つアーキテクチャーでは、以下のようになります。

hugepages=256
default_hugepagesz=2M hugepages=256
hugepages=256 default_hugepagesz=2M

上記の例の設定はすべて、256 2M の Huge Page が割り当てられます。有効なデフォルトの Huge Page サイズはアーキテクチャーによって異なります。

efi = [EFI]

形式: { "old_map", "nochunk", "noruntime", "debug", "nosoftreserve" }

オプションは次のとおりです。

  • old_map [X86-64] - 古い ioremap ベースの EFI ランタイムサービスへのマッピングに切り替えます。32 ビットがデフォルトでこのバージョンを使用します。
  • nochunk - チャンクにより一部のファームウェア実装で問題が発生する可能性があるため、EFI ブートスタブでファイルの読み取りを無効にします。
  • noruntime: EFI ランタイムサービスのサポートを無効にします。
  • debug: その他のデバッグ出力を有効にする
  • nosoftreserve: EFI_MEMORY_SP (Specific Purpose)属性により、カーネルが要求するメモリーマッピングドライバーのメモリー範囲を確保することがあります。efi=nosoftreserve を指定して、この予約を無効にし、ベースタイプでメモリーを処理します(例: EFI_CONVENTIONAL_MEMORY / "System RAM")。
intel_iommu = [DMAR]

Intel IOMMU ドライバー Direct Memory Access Remapping (DMAR)。

追加したオプションは以下のとおりです。

  • nobounce (デフォルトオフ): Thunderbolt デバイスなどの信頼できないデバイスのバウンスバッファーを無効にします。これにより、信頼できないデバイスが信頼できるデバイスとして処理されます。したがって、この設定では、ダイレクトメモリーアクセス (DMA) 攻撃のセキュリティーリスクが公開される可能性があります。
mem = nn[KMG] [KNL,BOOT]

このパラメーターは、特定のメモリー使用量を強制します。

以下のように使用するメモリーの量。

  1. テスト用。
  2. カーネルがシステムメモリー全体を確認できない場合
  3. メモリー 境界 がハイパーバイザーから除外された後に生じるメモリーは、KVM ゲストに割り当てられます。

    [X86] 最大アドレスの制限として機能します。物理アドレス空間の競合を避けるために memmap パラメーター と併用します。memmap を 使用 しないと、PCI(Peripheral Component Interconnect)デバイスは未使用の RAM に属するアドレスに配置される可能性があります。

    上記の 3 の場合、ハイパーバイザーのシステムメモリーが不十分であれば、起動後にメモリーをホットアドする必要がある場合があります。

pci = [PCI]

PCI (Peripheral Component Interconnect) サブシステムのオプション

一部のオプションは、特定のデバイスまたはデバイスセット(<pci_dev>)で動作します。これらは、以下のいずれかの形式で指定されます。

[<domain>:]<bus>:<dev>.<func>[/<dev>.<func>]*
pci:<vendor>:<device>[:<subvendor>:<subdevice>]

最初の形式では PCI バス/デバイス/機能アドレスが指定されており、新しいハードウェアが挿入された場合は、マザーボードファームウェアが変更されたり、他のカーネルパラメーターによって生じる変更により変更される可能性があることに注意してください。ドメインを指定しないと、ゼロになります。必要に応じて、複数のデバイス/機能アドレス経由のデバイスへのパスは、ベースアドレスの後に指定できます (これは、再番号の問題に対してより堅牢になります)。2 番目の形式は、システム内の複数のデバイスに一致する設定領域の ID を使用してデバイスを選択します。

オプションは次のとおりです。

  • hpmmiosize - ホットプラグブリッジのメモリーマッピング I/O(MMIO)ウィンドウ用に確保されるバス領域の固定量。デフォルトのサイズは 2 メガバイトです。
  • hpmmioprefsize - ホットプラグブリッジの MMIO_PREF ウインドウ用に予約されるバス領域の固定量。デフォルトのサイズは 2 メガバイトです。
pcie_ports = [PCIE]

Peripheral Component Interconnect Express (PCIe) ポートサービスの処理。

オプションは次のとおりです。

  • native: プラットフォームが OS パーミッションを提供しない場合でも、ネイティブの PCIe サービス(PME、AER、DPC、PCIe ホットプラグ)を使用します。この設定は、プラットフォームがこれらのサービスの使用を試行する場合に競合する可能性があります。
  • DPC ネイティブの - DPC にのみネイティブ PCIe サービスを使用してください。この設定は、ファームウェアが AER または DPC を使用する場合に競合する可能性があります。
  • compat: ネイティブの PCIe サービス(PME、AER、DPC、PCIe ホットプラグ)を無効にします。
rcu_nocbs = [KNL]
引数は CPU リストです。文字列「all」を使用して、システム上の全 CPU を指定できます。
usbcore.authorized_default = [USB]

デフォルトの USB デバイス認証。

オプションは次のとおりです。

  • -1 (デフォルト): ワイヤレス USB を除いて承認済み
  • 0 - 承認されていません
  • 1 - 承認済み
  • 2: デバイスが内部ポートに接続されている場合に承認済み
usbcore.old_scheme_first = [USB]
このパラメーターにより、古いデバイスの初期化スキームで開始できます。この設定は、低速および最速デバイス (デフォルトは 0 = off) にのみ適用されます。
usbcore.quirks = [USB]

ビルトイン USB コア quirk リストを拡張する Kirk エントリーの一覧。リストエントリーはコンマで区切ります。各エントリーの形式は VendorID:ProductID:Flags です(例: quirks =0781:5580:bk,0a5c:5834:gij)ID は 4 桁の 16 進数で、Flags は文字セットです。各文字は、ビルトインされた quirk を変更します。設定されていない場合は設定し、設定されている場合は消去します。

追加したフラグ:

  • O- USB_QUIRK_HUB_SLOW_RESET。ハブには、ポートをリセットした後に追加の遅延が必要になります。
新しい /proc/sys/fs パラメーター
protected_fifos

このパラメーターは、Openwall ソフトウェアの制限に基づいています。また、プログラムが通常のファイルを作成する、攻撃者が制御する FIFO への意図しない書き込みを避けることで、保護を提供します。

オプションは次のとおりです。

  • 0: FIFO への書き込みは無制限です。
  • 1: ディレクトリーの所有者が所有しない限り、すべてのユーザーが書き込み可能なスティッキーディレクトリーで所有していない FIFO で O_CREAT フラグ を開くことはできません。
  • 2: グループの書き込み可能なスティッキーディレクトリーに適用されます。
protected_regular

このパラメーターは protected_fifos パラメーター と似ていますが、プログラムが作成する予定の攻撃者が制御する通常のファイルに書き込みを防ぎます。

オプションは次のとおりです。

  • 0: 通常ファイルへの書き込みは制限されません。
  • 1: ディレクトリーの所有者が所有しない限り、すべてのユーザーが書き込み可能なスティッキーディレクトリーで所有していない通常のファイルで O_CREAT フラグ を開くことはできません。
  • 2: グループの書き込み可能なスティッキーディレクトリーに適用されます。

5.3. デバイスドライバー

5.3.1. 新しいドライバー

ネットワークドライバー
  • CAN driver for Kvaser CAN/USB devices (kvaser_usb.ko.xz)
  • Driver for Theobroma Systems UCAN devices (ucan.ko.xz)
  • Pensando Ethernet NIC Driver (ionic.ko.xz)
グラフィックドライバーとその他のドライバー
  • Generic Remote Processor Framework (remoteproc.ko.xz)
  • Package Level C-state Idle Injection for Intel® CPUs (intel_powerclamp.ko.xz)
  • X86 PKG TEMP Thermal Driver (x86_pkg_temp_thermal.ko.xz)
  • INT3402 Thermal driver (int3402_thermal.ko.xz)
  • ACPI INT3403 thermal driver (int3403_thermal.ko.xz)
  • Intel® acpi thermal rel misc dev driver (acpi_thermal_rel.ko.xz)
  • INT3400 Thermal driver (int3400_thermal.ko.xz)
  • Intel® INT340x common thermal zone handler (int340x_thermal_zone.ko.xz)
  • Processor Thermal Reporting Device Driver (processor_thermal_device.ko.xz)
  • Intel® PCH Thermal driver (intel_pch_thermal.ko.xz)
  • DRM gem ttm helpers (drm_ttm_helper.ko.xz)
  • Device node registration for cec drivers (cec.ko.xz)
  • Fairchild FUSB302 Type-C Chip Driver (fusb302.ko.xz)
  • VHOST IOTLB (vhost_iotlb.ko.xz)
  • vDPA-based vhost backend for virtio (vhost_vdpa.ko.xz)
  • VMware virtual PTP clock driver (ptp_vmw.ko.xz)
  • Intel® LPSS PCI driver (intel-lpss-pci.ko.xz)
  • Intel® LPSS core driver (intel-lpss.ko.xz)
  • Intel® LPSS ACPI driver (intel-lpss-acpi.ko.xz)
  • Mellanox watchdog driver (mlx_wdt.ko.xz)
  • Mellanox FAN driver (mlxreg-fan.ko.xz)
  • Mellanox regmap I/O access driver (mlxreg-io.ko.xz)
  • Intel® speed select interface pci mailbox driver (isst_if_mbox_pci.ko.xz)
  • Intel® speed select interface mailbox driver (isst_if_mbox_msr.ko.xz)
  • Intel® speed select interface mmio driver (isst_if_mmio.ko.xz)
  • Mellanox LED regmap driver (leds-mlxreg.ko.xz)
  • vDPA Device Simulator (vdpa_sim.ko.xz)
  • Intel® Tiger Lake PCH pinctrl/GPIO driver (pinctrl-tigerlake.ko.xz)
  • PXA2xx SSP SPI Controller (spi-pxa2xx-platform.ko.xz)
  • CE4100/LPSS PCI-SPI glue code for PXA’s driver (spi-pxa2xx-pci.ko.xz)
  • Hyper-V PCI Interface (pci-hyperv-intf.ko.xz)
  • vDPA bus driver for virtio devices (virtio_vdpa.ko.xz)

5.3.2. 更新されたドライバー

ネットワークドライバーの更新
  • VMware vmxnet3 virtual NIC ドライバー (vmxnet3.ko.xz) がバージョン 1.5.0.0-k に更新されました。
  • Realtek RTL8152/RTL8153 ベースの USB Ethernet Adapters (r8152.ko.xz) がバージョン 1.09.10 に更新されました。
  • Broadcom BCM573xx ネットワークドライバー (bnxt_en.ko.xz) がバージョン 1.10.1. に更新されました。
  • Netronome Flow Processor (NFP) ドライバー (nfp.ko.xz) がバージョン 4.18.0-240.el8.x86_64 に更新されました。
  • Intel® Ethernet Switch Host Interface Driver (fm10k.ko.xz) がバージョン 0.27.1-k に更新されました。
  • Intel® Ethernet Connection E800 Series Linux Driver (ice.ko.xz) がバージョン 0.8.2-k に更新されました。
ストレージドライバーの更新
  • Emulex LightPulse Fibre Channel SCSI ドライバー (lpfc.ko.xz) がバージョン 0:12.8.0.1 に更新されました。
  • QLogic FCoE Driver (bnx2fc.ko.xz) がバージョン 2.12.13 に更新されました。
  • LSI MPT Fusion SAS 3.0 Device Driver (mpt3sas.ko.xz) がバージョン 34.100.00.00 に更新されました。
  • Driver for HP Smart Array Controller version (hpsa.ko.xz) が 3.4.20-170-RH5 に更新されました。
  • QLogic Fibre Channel HBA Driver (qla2xxx.ko.xz) がバージョン 10.01.00.25.08.3-k に更新されました。
  • Broadcom MegaRAID SAS Driver (megaraid_sas.ko.xz) がバージョン 07.714.04.00-rh1 に更新されました。
グラフィックおよびその他ドライバーの更新
  • VMware SVGA デバイスのスタンドアロンの drm ドライバー (vmwgfx.ko.xz) がバージョン 2.17.0.0 に更新されました。
  • Crypto Co-processor for Chelsio Terminator cards. (chcr.ko.xz) がバージョン 1.0.0.0-ko に更新されました。

5.4. バグ修正

本パートでは、ユーザーに大きな影響を及ぼしていた Red Hat Enterprise Linux 8.3 のバグで修正されたものを説明します。

5.4.1. インストーラーおよびイメージの作成

SSH を介した RHEL 8 の初期設定が正しく動作するようになりました。

以前は、SSH を使用してシステムにログインする際、RHEL 8 の初期セットアップインターフェースは表示されませんでした。これにより、SSH を介して管理される RHEL 8 マシンの初期設定を実行できませんでした。この問題は修正され、SSH を介して実行すると RHEL 8 の初期設定が正しく機能するようになりました。

(BZ#1676439)

reboot --kexec コマンドを使用するとインストールに失敗しました

以前は、reboot --kexec コマンドを含むキックスタートファイルを使用すると、RHEL 8 のインストールに失敗していました。

今回の更新で、reboot --kexec を使用したインストールが期待どおりに機能するようになりました。

(BZ#1672405)

アメリカ/ニューヨークのタイムゾーンを正しく設定可能に

以前は、キックスタートファイルを使用している場合、インタラクティブな Anaconda インストールプロセスでユーザーがアメリカ/ニューヨークのタイムゾーンーザーを設定することはできませんでした。今回の更新により、キックスタートファイルでタイムゾーンが指定されていない場合、インタラクティブなインストーラーで推奨タイムゾーンとしてアメリカ/ニューヨークを設定できるようになりました。

(BZ#1665428)

SELinux コンテキストが正しく設定されるようになりました。

以前は、SELinux が Enforcing モードになっており、一部のフォルダーおよびファイルの SELinux コンテキストに間違いがあった場合、インストール後にこのファイルにアクセスしようとすると、予期せぬ AVC 拒否が発生していました。

今回の更新で、Anaconda は正しい SELinux コンテキストを設定するようになりました。その結果、ファイルシステムに手動で再ラベル付けしなくても、フォルダーおよびファイルにアクセスできるようになりました。

(BZ#1775975)

自動パーティション設定により、有効な /boot パーティションが作成されるようになりました。

以前は、自動パーティション設定を使用してシステムに RHEL をインストールする場合や、事前設定されたパーティションを持つキックスタートファイルを使用して、インストーラーによって無効な /boot パーティションを含むパーティション設定スキームが作成されていました。これによってパーティション設定スキームの検証が失敗したため、自動インストールプロセスは途中で終了していました。今回の更新で、Anaconda は有効な /boot パーティションを含むパーティション設定スキームを作成するようになりました。これにより、自動インストールが期待どおりに完了します。

(BZ#1630299)

Binary DVD ISO イメージを使用した GUI インストールが、CDN 登録なしで正常に完了するようになりました。

以前は、Binary DVD ISO イメージファイルを使用して GUI インストールを実行すると、Red Hat への接続機能への接続機能を使用してシステムを登録するまで、インストーラーの競合状態によりインストールが続行できなくなっていました。

これにより、Red Hat への接続機能を使用してシステムを登録しなくてもインストールに進むことができるようになりました。

(BZ#1823578)

キックスタートで作成され、ignoredisk --only-use コマンドで使用される iSCSI デバイスまたは FCoE デバイスでインストールプロセスが停止しなくなりました。

以前は、キックスタートで作成した iSCSI デバイスまたは FCoE デバイスが ignoredisk --only-use コマンドで使用されていたと、ignoredisk コマンドに記載されている "disk/by-id/scsi-360a9800042566643352b476d674a774a774a" と同様のエラーでインストールプログラムが失敗していました。これにより、インストールプロセスが停止しました。

今回の更新で、この問題が修正されています。インストールプログラムが動作を継続します。

(BZ#1644662)

CDN を使用したシステムの登録が失敗し、Name or service not known というエラーメッセージが表示されます。

コンテンツ配信ネットワーク (CDN) を使用してシステムを登録しようとすると、登録プロセスが失敗し、Name or service not known というエラーメッセージが表示されます。

この問題は、空のカスタムサーバー URLカスタムベース URL の値がシステム登録のデフォルト値を上書きするために発生します。

今回の更新で、空の値がデフォルト値を上書きせず、システム登録が正常に完了するようになりました。

(BZ#1862116)

5.4.2. ソフトウェア管理

dnf-automatic が、正しい GPG 署名を持つパッケージのみを更新するようになりました。

以前は、dnf-automatic 設定ファイルは、更新を実行する前に、ダウンロードしたパッケージの GPG 署名を確認していませんでした。そのため、リポジトリー設定で GPG 署名の確認(gpgcheck=1)が必要であっても、未署名の更新またはインポートされていない鍵で署名された更新が、dnf-automatic によりインストールされる可能性がありました(gpgcheck=1)。今回の更新で問題が修正され、dnf-automatic は更新を実行する前にダウンロードしたパッケージの GPG 署名をチェックするようになりました。その結果、正しい GPG 署名を持つ更新のみが、GPG 署名チェックを必要とするリポジトリーからインストールされます。

(BZ#1793298)

末尾のコンマにより、追加 タイプオプションでエントリーが削除されない

以前は、append タイプオプション(例: exclude, excludepkgs )に末尾のコンマ(リストの最後にある空のエントリー を追加すると、オプションのすべてのエントリーが削除されていました。また、2 つのコンマ (空のエントリー) を追加すると、コンマ後のエントリーのみが使用されていました。

今回の更新では、先頭のコンマ (リストの最初にある空のエントリー) 以外の空のエントリーは無視されます。その結果、先頭にコンマのみが append type オプションから既存のエントリーを削除するようになり、ユーザーはこれらのエントリーを上書きできるようになりました。

(BZ#1788154)

5.4.3. シェルおよびコマンドラインツール

ReaR ディスクレイアウトに Rancher 2 Longhorn iSCSI デバイスおよびファイルシステムのエントリーが含まれなくなりました。

今回の更新で、ReaR が作成したディスクレイアウトから Rancher 2 Longhorn iSCSI デバイスおよびファイルシステムのエントリーが削除されました。

(BZ#1843809)

4 GB を超えるファイルでのレスキューイメージの作成が IBM POWER (little endian) で有効化されるようになりました。

以前のリリースでは、ReaR ユーティリティーは、IBM POWER(リトルエンディアン)アーキテクチャーに、4GB を超えるファイルを含むレスキューイメージを作成することができませんでした。今回の更新でこの問題が修正され、IBM POWER (リトルエンディアン) で 4 GB を超えるファイルでレスキューイメージを作成できるようになりました。

(BZ#1729502)

5.4.4. セキュリティー

SELinux により、systemd-journal-gatewaydcorosyncが使用する /dev/shm/ ファイルで newfstatat() を呼び出さなくなりました。

以前では、SELinux ポリシーには、systemd-journal-gatewayd デーモンが corosync サービスで作成されたファイルにアクセスできるようにするルールが含まれていませんでした。これにより、SELinux は、corosync によって作成された共有メモリーファイルで newfstatat() 関数を呼び出すように systemd-journal-gatewayd を拒否していました。今回の更新で、SELinux は、corosync によって作成された共有メモリーファイル上で、systemd-journal-gatewaydnewfstatat() を呼び出さなくなりました。

(BZ#1746398)

Libreswan が、すべての設定において seccomp=enabled で動作するようになりました。

この更新以前は、Libreswan SECCOMP サポート実装で許可された syscall のセットが、RHEL ライブラリーの新しい使用と一致しませんでした。そのため、ipsec.conf ファイルで SECCOMP が有効になっている場合、syscall のフィルタリングは、pluto デーモンの正常な機能に必要なシステムコールも拒否し、デーモンが強制終了され、ipsec サービスが再起動されました。今回の更新で、新しく必要になったすべての syscall が許可され、Libreswanseccomp=enabled オプションで正常に機能するようになりました。

(BZ#1544463)

auditd によるシステムの停止や電源オフが SELinux によって阻止されなくなりました

以前では、SELinux ポリシーには、Audit デーモンが power_unit_file_t systemd ユニット を起動できるようにするルールが含まれていませんでした。したがって、Logging ディスクパーティションに領域が残っていない場合など、auditd がシステムの停止や電源オフを行うよう設定できませんでした。

この selinux-policy パッケージの今回の更新で、足りないルールが追加され、auditd が Enforcing モードで SELinux でのみシステムを停止および電源オフできるようになりました。

(BZ#1826788)

IPTABLES_SAVE_ON_STOP が正常に動作するようになりました。

以前は、IP テーブルコンテンツが間違った SELinux コンテキストを受信していたため、iptables サービスの IPTABLES_SAVE_ON_STOP 機能は機能しませんでした。これにより、iptables スクリプトはパーミッションを変更できず、その後スクリプトは変更を保存できませんでした。今回の更新で、iptables.save ファイルおよび ip6tables.save ファイルに適切なコンテキストを定義し、ファイル名の移行ルールを作成します。これにより、iptables サービスの IPTABLES_SAVE_ON_STOP 機能が正しく機能するようになりました。

(BZ#1776873)

NSCD データベースで別のモードを使用可能に

nsswitch_domain 属性 のドメインは、NSCD(Name Service Cache Daemon)サービスへのアクセスが許可されます。各 NSCD データベースは nscd.conf ファイルに設定され、共有プロパティーはデータベースが共有 メモリーまたはソケットモードを使用するかどうかを判別します。以前のリリースでは、NSCD データベースはすべて nscd_use_shm ブール値に応じて同じアクセスモードを使用 する必要がありました。今回、Unix ストリームソケットの使用が常に許可されるようになりました。これにより、NSCD データベースは異なるモードを使用できます。

(BZ#1772852)

リモートシステムを --sudo でスキャンすると、oscap-ssh ユーティリティーが正しく機能しるようになりました。

oscap-ssh ツールで --sudo オプションを使用してリモートシステムの Security Content Automation Protocol (SCAP) スキャンを実行すると、リモートシステムの oscap ツールが、root ユーザーとして、スキャン結果ファイルとレポートファイルを一時ディレクトリーに保存します。以前は、リモートマシンの umask 設定を変更すると、oscap-ssh がこれらのファイルにアクセスできなくなることがありました。今回の更新で問題が修正され、oscap はファイルをターゲットユーザーとして保存し、oscap-ssh が通常ファイルにアクセスします。

(BZ#1803116)

OpenSCAP がリモートファイルシステムを正しく処理できるように。

以前は、OpenSCAP では、マウント仕様の文頭がスラッシュ 2 つではない場合に、リモートファイルシステムを確実に検出できませんでした。その結果、OpenSCAP は、ネットワークベースのファイルシステムの一部をローカルとして処理しました。今回の更新で、OpenSCAP が、マウント仕様の代わりにファイルシステムタイプを使用してファイルシステムを識別するようになりました。これにより、OpenSCAP がリモートファイルシステムを正しく処理できるようになりました。

(BZ#1870087)

OpenSCAP で、YAML マルチライン文字列の空の行が削除されなくなりました。

以前のバージョンでは、OpenSCAP がデータストリームから Ansible 修正を生成すると、YAML マルチライン文字列から空の行が削除されていました。これにより、openscap ユーティリティーが対応する Open Vulnerability and Assessment Language(OVAL)チェックに失敗し、誤検出の結果が生成されました。この問題は修正され、openscap は YAML マルチライン文字列から空の行が削除されなくなりました。

(BZ#1795563)

OpenSCAP はメモリーが不足することなく、ファイルが大量に含まれるシステムをスキャンできるように。

以前のリリースでは、メモリーが少なく、ファイルが多数あるシステムをスキャンすると、OpenSCAP スキャナーが原因でシステムのメモリーがなくなることがありました。今回の更新で、OpenSCAP スキャナーのメモリー管理が改善されました。その結果、スキャナーは、たとえば、Server with GUI および Workstation を使用するパッケージグループなど、多数のファイルをスキャンする際に、RAM が少ないシステムでメモリーが不足することがなくなりました。

(BZ#1824152)

config.enabled がステートメントを正しく制御できるように なりました。

以前のバージョンでは、rsyslog はステートメントの設定処理中に config.enabled ディレクティブを誤って評価していました。そのため、include() を除く各ステートメントに対して、不明 なエラーが表示されました。今回の更新により、すべてのステートメントで設定が同様に処理されるようになりました。その結果、config.enabled はエラーを表示せずにステートメントを正しく無効または有効にできるようになりました。

(BZ#1659383)

fapolicyd が RHEL の更新を阻止しなくなりました。

更新で実行中のアプリケーションのバイナリーが置き換えられると、カーネルにより、接尾辞 (deleted) が追加されて、メモリー内のアプリケーションのバイナリーパスが変更されます。以前では、fapolicyd ファイルのアクセスポリシーデーモンは、このようなアプリケーションを信頼できないものとして処理し、他のファイルを開いたり、実行できませんでした。そのため、更新の適用後にシステムを起動できなくなることがありました。

RHBA-2020:5242 アドバイザリー が発表され、fapolicyd はバイナリーが信頼データベースに一致することができるように、バイナリーパスの接尾辞を無視します。これにより、fapolicyd がルールを正しく適用し、更新プロセスを完了できるようになりました。

(BZ#1897090)

e8 プロファイルを使用して、サーバーを使用して RHEL 8 システムを GUIで修正できるようになりました。

OpenSCAP Anaconda Add-on を使用して、Verify Integrity with RPM グループからルールを選択するプロファイルが含まれる Server With GUI パッケージグループでシステムを強化しても、システム上のメモリーを過剰に必要なくなりました。OpenSCAP スキャナーがこの問題の原因でした。詳細は「 OpenSCAP で大量のファイルをスキャンすると、システムのメモリーが不足する 」を参照してください。これにより、RHEL 8 Essential Eight(e8)プロファイルを使用したシステムの強化が Server With GUI でも機能するようになりました。

(BZ#1816199)

5.4.5. ネットワーク

nft_compat モジュールによる iptables 拡張モジュールの自動読み込みがハングしなくなりました。

以前は、ネットワーク名スペース(netns)上で並行して操作が行われている間に nft_compat モジュールが拡張機能モジュールを読み込むと、初期化中にその拡張 サブシステム を登録しているとロックの競合が発生する可能性がありました。これにより、カーネルがハングアップ ます。また、iptables コマンドも実行する libvirtd などの他のサービスが原因で発生する可能性もあります。この問題が修正されました。これにより、nft_compat モジュールによる iptables 拡張モジュールの読み込みがハングしなくなりました。

(BZ#1757933)

サービスが停止すると、firewalld サービスが ipsets 削除するようになりました。

以前では、firewalld サービスを停止しても ipsets が削除されませんでした 今回の更新でこの問題が修正されています。これにより、firewalld の停止後に ipset がシステムに残さ なくなりました。

(BZ#1790948)

firewalld が、シャットダウン後に ipset エントリーを保持しなくなりました。

以前では、firewalld をシャットダウンしても ipset エントリーは削除されませんでした。したがって、firewalld サービスを停止した後でも ipset エントリーは、カーネルでアクティブな状態のままになりました。今回の修正により、firewalld をシャットダウンすると、ipset エントリーが期待どおりに削除されるようになりました。

(BZ#1682913)

firewalld が、リロード後に ipset エントリーを復元するようになりました。

以前では、リロード後に firewalld は、ランタイム ipset エントリーを保持しませんでした。そのため、ユーザーは、足りないエントリーを手動で追加し直す必要がありました。今回の更新で、リロード後に ipset エントリーを復元するように firewalld が変更されました。

(BZ#1809225)

nftables サービスおよび firewalld サービスが相互に排他的になりました。

以前は、nftables サービスおよび firewalld サービスを同時に有効にできました。これにより、nftablesfirewalld ルールセットを上書きしていました。今回の更新で、nftables サービスおよび firewalld サービスが相互に排他的になり、これらのサービスを同時に有効にできなくなりました。

(BZ#1817205)

5.4.6. カーネル

huge_page_setup_helper.py スクリプトが正しく動作するようになりました。

Python 3 の huge_page_setup_helper.py スクリプトを更新するパッチが誤って削除されました。これにより、huge_page_setup_helper.py を実行すると、以下のエラーメッセージが表示されます。

SyntaxError: Missing parentheses in call to 'print'

今回の更新で、libhugetlbfs.spec ファイルを更新してこの問題が修正されました。これにより、huge_page_setup_helper.py に上記のシナリオでエラーが表示されなくなりました。

(BZ#1823398)

bcc スクリプトが BPF モジュールを正常にコンパイルするようになりました。

スクリプトコードがコンパイルして Berkeley Packet Filter(BPF)モジュールを作成すると、bcc ツールキットはデータ型の定義にカーネルヘッダーを使用しました。一部のカーネルヘッダーでは、KBUILD_MODNAME マクロを定義する必要があります。そのため、KBUILD_MODNAME を追加しない bcc スクリプトは、さまざまな CPU アーキテクチャー間で BPF モジュールのコンパイルに失敗していました。以下の bcc スクリプトが影響を受けます。

  • bindsnoop
  • sofdsnoop
  • solisten
  • tcpaccept
  • tcpconnect
  • tcpconnlat
  • tcpdrop
  • tcpretrans
  • tcpsubnet
  • tcptop
  • tcptracer

今回の更新で、KBUILD_MODNAMEbcc のデフォルト cflags パラメーター に追加することで問題が修正されました。その結果、この問題は上記のシナリオに表示されなくなりました。また、顧客スクリプトは、KBUILD_MODNAME 自体を定義する必要はありません。

(BZ#1837906)

IBM Z でbcc-tools および bpftrace が適切に動作する

以前は、機能バックポートで ARCH_HAS_NON_OVERLAPPING_ADDRESS_SPACE カーネルオプションが導入されていました。ただし、IBM Z アーキテクチャー用の bcc-tools パッケージおよび bpftrace トレース言語パッケージには、このオプションに対する適切なサポートがありませんでした。そのため、bpf() システムコールが Invalid 引数 例外および bpftrace で失敗し、BPF プログラムのロード時に Error loading program を示すエラーで失敗していました。今回の更新で、ARCH_HAS_NON_OVERLAPPING_ADDRESS_SPACE オプションが削除されました。その結果、上記のシナリオで問題が発生しなくなりました。

(BZ#1847837、BZ#1853964)

エントロピーの不足による起動プロセスの失敗が発生しなくなる

以前のリリースでは、エントロピーの不足によって起動プロセスが失敗していました。システムの起動プロセスの初期段階で、カーネルがエントロピーを収集できるよう、ハードウェア固有の割り込みに依存しない、より優れたメカニズムが使用されるようになりました。今回の更新では、起動初期にランダムな生成のセキュリティーを保護するため、十分なエントロピーの可用性を確保することで、この問題が修正されました。その結果、修正によってキックスタートのタイムアウトや起動に時間がかるのを防ぎ、ブートプロセスが期待どおりに機能します。

(BZ#1778762)

kexec を使用した再起動の繰り返しが想定どおりに機能するように。

以前のバージョンでは、Amazon EC2 Nitro プラットフォームでカーネルを再起動すると、カーネル実行パスの shutdown()の呼び出し時に削除モジュール(rmmod) が呼び出されませんでした。したがって、kexec システムコールを使用してカーネルを繰り返し再起動すると失敗します。今回の更新で、安全なカーネル実行を可能にする PCI shutdown() ハンドラーが追加され、この問題が修正されました。その結果、Amazon EC2 Nitro プラットフォームで kexec を使用して再起動を繰り返しても失敗しなくなりました。

(BZ#1758323)

ダンプターゲットとして vPMEM メモリーを使用した再起動の繰り返しが想定どおりに機能するように。

以前は、仮想永続メモリー(vPMEM)名前空間を kdump または fadump のダンプターゲットとして使用すると、papr_scm モジュールが vPMEM がサポートするメモリーのマッピングを解除して再マッピングし、メモリーをリニアマップに再追加していました。

この挙動が原因で POWER Hypervisor への Hcalls (HCalls) がトリガーされました。その結果、キャプチャーカーネルの起動が大幅に遅くなり、ダンプファイルの保存に長時間かかっていました。今回の更新では、この問題が修正され、上記のシナリオで起動プロセスが想定どおりに機能するようになりました。

(BZ#1792125)

ICE ドライバー NIC ポートをモード 5 ボンディングマスターインターフェースに追加しようとしても失敗しなくなりました。

以前のバージョンでは、ICE ドライバー NIC ポートをモード 5(balance-tlb)ボンディングマスターインターフェースに追加しようとすると、エラー Master 'bond0', Slave 'ens1f0': Error: Enslave failed を出して失敗します。そのため、NIC ポートをボンディングマスターインターフェースに NICE ポートを追加するときに断続的に問題が発生します。今回の更新で問題が修正され、インターフェースの追加に失敗しなくなりました。

(BZ#1791664)

5.4.7. 高可用性およびクラスター

GFS2 ファイルシステムを Filesystem エージェントとともに使用すると、fast_stop オプションがデフォルトで noに設定されるようになりました。

以前は、GFS2 ファイルシステムが Filesystem エージェントとともに使用されると、fast_stop オプションはデフォルトで yes でした。このため、GFS2 ファイルシステムのマウント解除にかかる時間が原因で、不要なフェンスイベントが発生する可能性があります。今回の更新で、このオプションはデフォルトで no に設定され ます。他のすべてのファイルシステムでは引き続き、デフォルトの yes になります。

(BZ#1814896)

fence_compute および fence_evacuate エージェントは、より標準的な方法で セキュアでない オプションを解釈するようになりました。

以前は、--insecure がデフォルトで指定されたように、 fence_compute および fence_evacuate エージェントは機能していました。今回の更新により、計算または退避サービスに有効な証明書を使用しないユーザーは insecure=true を設定し、CLI から手動で実行する際に --insecure オプションを使用するようになりました。これは、他のすべてのエージェントの動作と一致します。

(BZ#1830776)

5.4.8. 動的プログラミング言語、Web サーバー、およびデータベースサーバー

libdb による CPU 消費の最適化

以前の libdb データベースの更新により、trickle スレッドにおける CPU 消費が過剰になっていました。今回の更新で、CPU 使用率が最適化されました。

(BZ#1670768)

did_you_mean Ruby gem には、非商用ライセンスを持つファイルが含まれなくなりました。

以前は、ruby:2.5 モジュールストリームで利用可能な did_you_mean gem には、非商用ライセンスを持つファイルが含まれていました。今回の更新では、影響を受けるファイルが削除されます。

(BZ#1846113)

nginx が、PKCS#11 URI を使用してハードウェアのセキュリティートークンからサーバー証明書を読み込めるようになりました。

nginx Web サーバーの ssl_certificate ディレクティブは、PKCS#11 モジュールを利用してハードウェアのセキュリティートークンから直接 TLS サーバー証明書を読み込むようになりました。以前は、PKCS#11 URI を使用してハードウェアのセキュリティートークンからサーバー証明書を読み込むことはできませんでした。

(BZ#1668717)

5.4.9. コンパイラーおよび開発ツール

DT_FILTER を使用する共有ライブラリーの読み込み中に glibc 動的ローダーが失敗しなくなりました。

この更新以前は、共有オブジェクトの動的ローダーをフィルターとして実装した際の不具合が原因で、フィルターを使用およびコンストラクターを持つ共有ライブラリーをロードすると、動的ローダーが失敗していました。今回のリリースにより、フィルター(DT_FILTER)の動的ローダー実装が修正され、このような共有ライブラリーを正しく処理できるようになりました。その結果、上記のシナリオで動的ローダーが期待どおりに機能するようになりました。

(BZ#1812756)

glibc が、getmntent ()リストから擬似マウントを削除できるように なりました。

カーネルには、ユーザー空間に公開されるテーブルに、自動マウント の擬似エントリーが含まれます。したがって、getmntent () API を使用するプログラムでは、通常のマウントと、リスト内のこれらの擬似マウントの両方を確認します。擬似マウントは実際のマウントに対応せず、有効な情報も含まれません。

今回の更新で、マウントエントリーの automount(8)設定に ignore マウントオプションがある場合は、glibc ライブラリーは getmntent () リストからこれらの擬似マウントを削除するようになりました。以前の動作を想定するプログラムは、異なる API を使用する必要があります。

(BZ#1743445)

movv 1qi パターンにより、IBM Z の自動検証コードに誤ってコンパイルが行われなくなりました。

今回の更新以前は、movv 1qi パターンに対して誤ったロード命令が 出力されていました。これにより、自動検証が有効となっている場合に、IBM Z システムで誤ってコンパイルが行われる可能性がありました。今回の更新で movv 1qi パターンが修正され、コードがコンパイルされ、正常に実行されるようになりました。

(BZ#1784758)

PAPI_event_name_to_code() now works correctly in multiple threads

今回の更新以前は、PAPI 内部コードによってスレッドの調整は適切に処理されませんでした。そのため、複数のスレッドが PAPI_event_name_to_code() 操作を使用したと、競合状態が発生し、操作が失敗していました。今回の更新で、PAPI 内部コード内の複数のスレッドの処理が強化されました。その結果、PAPI_event_name_to_code() 操作を使用するマルチスレッドコードが正常に動作するようになりました。

(BZ#1807346)

IBM Power Systems の glibc 数機能のパフォーマンスを向上

以前は、glibc math 関数は IBM Power Systems で不要な浮動小数点ステータスの更新およびシステムコールを実行し、パフォーマンスに悪影響を与えていました。今回の更新では、不要な浮動小数点のステータス更新が削除され、ceil()、ceilf ()、fegetmode ()、fesetmode () の実装が改善されました。 fesetenv()fegetexcept()feenableexcept()fedisablexcept()fegetround()および fesetround()これにより、IBM Power Systems で math ライブラリーのパフォーマンスが向上します。

(BZ#1783303)

IBM Power がメモリー保護キーに対応

IBM Power Systems では、メモリー保護キーインターフェース pkey_set および pkey_ get は以前スタブ機能でした。そのため、常に失敗していました。今回の更新でインターフェースが実装され、GNU C ライブラリー(glibc)が IBM Power Systems のメモリー保護キーに対応するようになりました。

メモリー保護キーは現在ハッシュベースのメモリー管理ユニット(MMU)を必要とするため、disable_radix カーネルパラメーターで特定のシステムを起動する必要がある可能性があることに注意してください。

(BZ#1642150)

papi-testsuite および papi-devel により、必要な papi- libs パッケージがインストールされるようになりました。

以前のバージョンでは、papi-testsuite および papi-devel RPM パッケージは、一致する papi-libs パッケージで依存関係を宣言しませんでした。そのため、テストの実行に失敗し、開発者はアプリケーションで利用できる papi 共有ライブラリーの必要なバージョンがありませんでした。

今回の更新で、ユーザーが papi-testsuite パッケージまたは papi- devel パッケージのいずれかをインストールすると、papi-libs パッケージもインストールされます。その結果、papi-testsuite に、テストを実行できるようにする正しいライブラリーが、papi-devel を使用する開発者には、適切なバージョンの papi 共有ライブラリーの実行ファイルがリンクされるようになりました。

(BZ#1664056)

複数のアーキテクチャーに lldb パッケージをインストールしても、ファイルの競合が発生しない

以前は、lldb パッケージは、アーキテクチャーに依存しない場所にアーキテクチャー依存ファイルをインストールしていました。これにより、32 ビットバージョンと 64 ビットバージョンの両方をインストールすると、ファイルの競合が発生していました。今回の更新で、正しいアーキテクチャーに依存した場所でファイルがパッケージ化されるようになりました。これにより、上記のシナリオでの lldb のインストールが正常に完了します。

(BZ#1841073)

getaddrinfo がメモリー割り当ての失敗を正しく処理するようになりました。

以前は、メモリー割り当てに失敗すると、GNU C ライブラリー glibcgetaddrinfo 関数が内部リゾルバーコンテキストをリリースしませんでした。そのため、getaddrinfo は呼び出しているスレッドの残り期間の /etc/resolv.conf ファイルをリロードできず、メモリーリークが発生していました。

今回の更新では、リゾルバーコンテキストの追加リリース操作を使用してエラー処理パスが変更されました。その結果、getaddrinfo は、断続的なメモリー割り当ての失敗後も、新しい設定値で /etc/resolv.conf を再読み込みします。

(BZ#1810146)

glibc により、IFUNC リゾルバーの順序付けによって生じる特定の障害が回避されます。

以前のリリースでは、GNU C ライブラリー glibclibrt ライブラリーおよび libpthread ライブラリーの実装には、clock_gettime という関数の間接関数(IFUNC)リゾルバーが含まれていましたclock_getcpuclockidclock_ nanosleep、clock_ settime vfork場合によっては、librt ライブラリーおよび libpthread ライブラリーの移動前に、IFUNC リゾルバーが実行される可能性がありました。そのため、プログラムの初期起動時に、アプリケーションが glibc 動的ローダーで失敗していました。

今回のリリースにより、これらの関数の実装が glibclibc コンポーネントに移動し、上記の問題が発生しなくなりました。

(BZ#1748197)

pthread_create時にアサーションの失敗が発生しなくなりました。

以前のリリースでは、glibc 動的ローダーは内部スレッドローカルストレージ(TLS)モジュール ID カウンターへの変更をロールバックしませんでした。これにより、dlopen 関数が特定の方法で失敗した後に、pthread_create 関数にアサーションエラーが発生する可能性がありました。今回の修正により、glibc 動的ローダーは、特定の障害が発生しなくなってから、TLS モジュール ID カウンターを更新するようになりました。その結果、アサーションの失敗は発生しなくなりました。

(BZ#1774115)

glibcnss_dbを使用して 32 ビットアプリケーションの正しい依存関係をインストールするようになりました。

以前は、nss_db.x86_64 パッケージは nss_db.i686 パッケージで依存関係を宣言しませんでした。そのため、32 ビット環境 glibc .i686 がインストールされていても、自動インストールで nss_db.i686 がインストールされませんでした。そのため、nss_db を使用する 32 ビットアプリケーションは正確なユーザーデータベースルックアップの実行に失敗し、同じ設定の 64 ビットアプリケーションが正常に機能していました。

今回の更新で、glibc パッケージに、glibc.i686 および nss_db の両方がインストール れている場合に nss_db.i686 パッケージのインストールをトリガーする弱い依存関係が含まれるようになりました。その結果、システム管理者が nss_db .i686 パッケージを明示的にインストールしていない場合でも、nss_db.i686 を使用する 32 ビットアプリケーションが正しく動作するようになりました。

(BZ#1807824)

glibc ロケール情報が Odia 言語で更新

これまで「Orissa」として知られていたインドの州名が「Odisha」に変更され、公用語の名前は「Oriya」から「Odia」に変更されました。今回の更新で、glibc ロケール情報に言語の新しい名前が反映されるようになりました。

(BZ#1757354)

LLVM サブパッケージが、アーキ依存の場所でアーキ依存ファイルをインストール

以前は、LLVM サブパッケージは、アーキテクチャーに依存したファイルをアーキテクチャーに依存しない場所にインストールしていました。これにより、32 ビットバージョンおよび 64 ビットバージョンの LLVM をインストールする際に競合が生じました。今回の更新で、パッケージファイルが、アーキテクチャーに依存した場所で正しくインストールされるようになりました。これにより、バージョンの競合が発生しなくなりました。

(BZ#1820319)

glibcでパスワードおよびグループの検索が失敗しなくなる

以前のリリースでは、glibc ライブラリーの nss_compat モジュールは、パスワードおよびグループエントリーの処理中に誤ったエラーコードで errno ステータスを上書きしていました。そのため、アプリケーションでバッファーのサイズが想定どおりに変更されず、パスワードやグループの検索に失敗していました。今回の更新では、この問題が修正され、ルックアップが想定どおりに完了するようになりました。

(BZ#1836867)

5.4.10. Identity Management

SSSD により、デフォルトでワイルドカード文字の付いたすべてのルールがダウンロードされなくなりました。

以前は、ldap_sudo_include_regexp オプションはデフォルトで true に誤って設定されました。そのため、SSSD が実行を開始した場合や、SSSD ルールを更新した後に、SSSD は sudoHost 属性にワイルドカード文字(*)を含むすべてのルールをダウンロードします。今回の更新でバグが修正され、ldap_sudo_include_regexp オプションがデフォルトで false に適切に設定されるようになりました。その結果、上記の問題が発生しなくなりました。

(BZ#1827615)

krb5 は許可された暗号化タイプのみリクエストするようになりました。

以前では、/etc/krb5.conf ファイルの permitted_enctypes 変数 で指定した許可された暗号化タイプが、default_tgs_enctypes 属性 または default_tkt_ enctypes 属性が設定されていない場合には、デフォルト の暗号化タイプには適用されませんでした。そのため、Kerberos クライアントは RC4 などの非推奨の暗号スイートを要求でき、他のプロセスが失敗する可能性がありました。今回の更新により、permitted_enctypes 変数 で指定された暗号化タイプがデフォルトの暗号化タイプに適用され、許可された暗号化タイプのみが要求されるようになりました。

RHEL 8 で非推奨となった RC4 暗号化スイートは、AD フォレストの Active Directory (AD) ドメイン間のユーザー、サービス、および信頼性に対するデフォルトの暗号化タイプです。

  • AD フォレストの AD ドメイン間で強力な AES 暗号化タイプをサポートするには、Microsoft の記事「AD DS: Security: Kerberos "Unsupported etype" error」を参照 してください。
  • AD との後方互換性を確保するために、IdM サーバーで非推奨の RC4 暗号化タイプのサポートを有効にするには、update-crypto-policies --set DEFAULT:AD-SUPPORT コマンドを使用します。

(BZ#1791062)

KDC で LDAP バックエンドからパスワード有効期間ポリシーが正しく適用されるようになりました。

以前のリリースでは、Kerberos LDAP バックエンドでパスワードポリシーが正しく適用されていなかったため、IPA 以外の Kerberos Distribution Center (KDC) では、パスワードの最大有効期間が確保されませんでした。今回の更新で、Kerberos LDAP バックエンドが修正され、パスワードの有効期間が期待どおりに機能するようになりました。

(BZ#1784655)

SSSD を使用する AD クライアントにパスワード有効期限の通知を送信します。

以前のバージョンでは、SSSD を使用する Active Directory クライアント (IdM 以外) には、パスワード有効期限の通知が送信されませんでした。これは、Kerberos 認証情報を取得する SSSD インターフェースに対する最近の変更が原因です。

Kerberos インターフェースが更新され、有効期限の通知が正しく送信されるようになりました。

(BZ#1820311)

間接的な CoS 定義の使用時の Directory Server のメモリーリークを修正しました。

以前のバージョンでは、間接的な CoS (Class of Service) 定義を処理した後、間接的な CoS 定義を使用する各検索操作に対し、Directory Server でメモリーリークが発生していました。今回の更新で、Directory Server は、データベースエントリーに関連するすべての COS 構造を、処理後に解放するようになりました。その結果、間接的な CoS 定義の使用時にサーバーでメモリーリークが発生しなくなりました。

(BZ#1816862)

IdM Web UI で、AD ユーザーの ID オーバーライドの追加が機能するようになりました。

以前は、管理ロールへのアクセスを付与するために、Active Directory (AD) ユーザーの ID オーバーライドを Default Trust View の Identity Management (IdM) グループに追加すると、IdM Web UI の使用に失敗していました。今回の更新でバグが修正されました。これにより、このシナリオで、Web UI と IdM コマンドラインインターフェース (CLI) の両方を使用できるようになりました。

(BZ#1651577)

FreeRADIUS が、パッケージのインストール時に証明書を生成しなくなりました。

以前のリリースでは、FreeRADIUS はパッケージのインストール時に証明書を生成していたことから、次のような問題が発生していました。

  • Kickstart を使用して FreeRADIUS をインストールすると、システムのエントロピーが不十分なときに証明書が一度に生成される可能性があり、インストールに失敗したり、証明書の安全性が低下したりしていました。
  • パッケージのインストールはターゲットマシンではなくビルダーマシンで実行されるため、コンテナーなどのイメージの一部としてビルドすることは困難でした。イメージから生成されるすべてのインスタンスには、同じ証明書情報が記載されていました。
  • 証明書を削除して手動で再生成する必要があるため、エンドユーザーが自分たちの環境で単純な仮想マシンを生成することは容易ではありませんでした。

今回の更新では、FreeRADIUS のインストールでデフォルトの自己署名 CA 証明書または下位 CA 証明書が生成されなくなりました。FreeRADIUS が systemd 経由で起動すると、以下を行います。

  • 必要な証明書がすべて揃っていない場合、デフォルトの証明書のセットが生成されます。
  • 想定される証明書が 1 つ以上存在する場合、新しい証明書は生成されません。

(BZ#1672285)

FreeRADIUS が FIPS 準拠の Diffie-Hellman パラメーターを生成するようになりました。

dhparam で openssl が Diffie-Hellman(dh)パラメーターを生成できないようにする新しい FIPS 要件により dh パラメーターの生成が FreeRADIUS ブートストラップスクリプトおよびファイル rfc3526-group-18-8192.dhparam から削除されました。 すべてのシステムの FreeRADIUS パッケージに含まれているため、FreeRADIUS が FIPS モードで開始できるようになります。

/etc/raddb/certs /bootstrap および /etc/raddb/certs/ Makefile をカスタマイズして、必要に応じて DH パラメーターの生成を復元できます。

(BZ#1859527)

Healthcheck の更新で ipa-healthcheck- core と ipa-healthcheck の両方が正しく更新されるようになりました。

以前は、yum update healthcheck を入力すると ipa-healthcheck パッケージが更新されず、ipa-healthcheck-core パッケージに置き換えられました。そのため、更新後に ipa-healthcheck コマンドが機能しませんでした。

今回の更新でバグが修正され、ipa-healthcheck パッケージと ipa- healthcheck- core パッケージの両方が正しく更新されるようになりました。これにより、更新後に Healthcheck ツールは正しく機能します。

(BZ#1852244)

5.4.11. グラフィックインフラストラクチャー

ハイブリッド Nvidia GPU が搭載されたラップトップが、サスペンドから正常に再開できるようになりました。

以前は、nouveau グラフィックドライバーが、特定のノートパソコンで省電力モードからハイブリッド Nvidia GPU の電源を入れることができませんでした。その結果、ノートパソコンがサスペンドから再開できませんでした。

今回の更新で、ランタイム電源管理(runpm)システムの複数問題が修正されました。その結果、ハイブリッドグラフィックスが搭載されたラップトップが、サスペンドから正常に再開できるようになりました。

(JIRA:RHELPLAN-57572)

5.4.12. 仮想化

デフォルトの CPU モデルを搭載した仮想マシンの移行が、より確実に機能するようになりました。

以前は、仮想マシンが特定の CPU モデルなしで作成されると、QEMU は libvirt サービスに認識できないデフォルトモデルを使用していました。これにより、仮想マシンのデフォルトの CPU モデルに対応しないホストに仮想マシンを移行できてしまい、移行後にゲスト OS でクラッシュや誤った動作が発生することがありました。

今回の更新で、libvirt は、仮想マシンの XML 設定の default として qemu64 モデルを明示的に使用するようになりました。その結果、ユーザーがデフォルトの CPU モデルを持つ仮想マシンを、そのモデルに対応していないホストに移行しようとすると、libvirt がエラーメッセージを正しく生成します。

ただし、Red Hat は、仮想マシンに特定の CPU モデルを使用することを強く推奨します。

(JIRA:RHELPLAN-45906)

5.4.13. コンテナー

Podman での FIPS サポートに関する注意事項

Federal Information Processing Standard (FIPS) を使用するには、認定済みモジュールを使用する必要があります。以前のバージョンでは、Podman は起動時に適切なフラグを有効にして、コンテナーに認定モジュールを正しくインストールしていました。ただし、本リリースでは、Podman は FIPS システム全体の crypto-policy の形式でシステムによって提供される追加アプリケーションヘルパーを適切に設定しません。認定モジュールでは、システム全体の crypto-policy を設定する必要はありませんが、適切な方法で暗号化モジュールを使用するアプリケーションが強化されます。この問題を回避するには、他のアプリケーションコードを実行する前に、コンテナーを変更して update-crypto-policies --set FIPS コマンドを実行します。今回の修正では、update-crypto-policies --set FIPS コマンドは不要になりました。

(BZ#1804193)

5.5. テクノロジープレビュー

本パートでは、Red Hat Enterprise Linux 8.3 で利用可能なテクノロジープレビュー機能の一覧を提示します。

テクノロジープレビュー機能に対する Red Hat のサポート範囲の詳細は、「テクノロジープレビュー機能のサポート範囲」を参照してください

5.5.1. ネットワーク

xt_u32 Netfilter モジュールを有効化

xt_u32 Netfilter モジュールが kernel-modules-extra rpm で利用できるようになりました。このモジュールは、アクセスできないデータに基づいて、他のプロトコルベースのパケットフィルターへのパケット転送を行うのに役立つため、nftables への手動移行を容易にします。ただし、xt_u32 Netfilter モジュールは Red Hat ではサポートされていません。

(BZ#1834769)

nmstate がテクノロジープレビューとして利用可能になりました。

Nmstate は、ホストのネットワーク API です。テクノロジープレビューとして利用できる nmstate パッケージでは、ライブラリーおよび nmstatectl コマンドラインユーティリティーを利用でき、ホストのネットワーク設定を宣言型で管理できます。ネットワークの状態は事前定義済みのスキーマで説明されています。現在の状態と、必要な状態への変更の報告は、両者ともこのスキーマに一致します。

詳細は、/usr/share/doc/nmstate/README.md ファイルおよび /usr/share/doc/nmstate/examples ディレクトリーにあるサンプルを参照してください。

(BZ#1674456)

AF_XDP がテクノロジープレビューとして利用可能になりました。

AF_XDP (Address Family eXpress Data Path) ソケットは、高性能パケット処理用に設計されています。さらに処理するために、XDP を取り入れ、プログラムにより選択されたパケットの効率的なリダイレクトをユーザー空間アプリケーションに付与します。

(BZ#1633143)

XDP がテクノロジープレビューとして利用可能になりました。

eXpress Data Path (XDP) 機能はテクノロジープレビューとして利用でき、カーネルの入力データパスの初期段階にある高性能パケット処理に、eBPF (extended Berkeley Packet Filter) プログラムを追加する手段を提供します。これにより、効率的なプログラム可能なパケット分析、フィルタリング、および操作が可能になります。

(BZ#1503672)

KTLS がテクノロジープレビューとして利用可能になりました。

Red Hat Enterprise Linux 8 では、Kernel Transport Layer Security (KTLS) がテクノロジープレビューとして提供されます。KTLS は、AES-GCM 暗号化のカーネルで対称暗号化アルゴリズムまたは複号アルゴリズムを使用して TLS レコードを処理します。KTLS は、この機能に対応するネットワークインターフェースコントローラー (NIC) に TLS レコード暗号化をオフロードするインターフェースも提供します。

(BZ#1570255)

テクノロジープレビューとして利用できる XDP 機能

Red Hat は、以下の eXpress Data Path (XDP) 機能をサポート対象外のテクノロジープレビューとして提供します。

  • AMD および Intel 64 ビット以外のアーキテクチャーで XDP プログラムを読み込む。libxdp ライブラリーは、AMD および Intel 64 ビット以外のアーキテクチャーでは使用できません。
  • XDP_TX および XDP_REDIRECT の戻りコード。
  • XDP ハードウェアオフロード。この機能を使用する前に、「 Unloading XDP programs on Netronome network cards that use the nfp driver fails 」を参照してください。

(BZ#1889737)

act_mpls モジュールがテクノロジープレビューとして利用可能になりました。

act_mpls モジュールが、テクノロジープレビューとして kernel-modules-extra rpm で利用可能になりました。モジュールを使用すると、トラフィック制御 (TC) フィルターを使用した Multiprotocol Label Switching (MPLS) アクション (TC フィルターを使用した MPLS ラベルスタックエントリーの push や pop など) の適用が可能になります。また、このモジュールでは、Label、Traffic Class、Botem of Stack、および Time to Live フィールドを独立して設定できます。

(BZ#1839311)

Multipath TCP がテクノロジープレビューとして利用可能に

TCP の拡張機能である Multipath TCP (MPTCP) がテクノロジープレビューとして利用可能にMPTCP はネットワーク内のリソース使用状況を改善し、ネットワーク障害に対する耐障害性を確保します。たとえば、RHEL サーバーで Multipath TCP を使用すると、MPTCP v1 対応のスマートカードは、サーバーで実行中のアプリケーションに接続し、サーバーへの接続を中断せずに Wi-Fi とセルラーネットワークを切り替えることができます。

サーバーで実行中のアプリケーションが MPTCP をネイティブにサポートするか、管理者が eBPF プログラムをカーネルにロードして、IPPROTO_TCPIPPROTO_MPTCP に動的に変更する必要があることに注意してください。

詳細は「Multipath TCP の使用」を参照してください

(JIRA:RHELPLAN-41549)

systemd-resolved サービスがテクノロジープレビューとして利用できるようになりました。

systemd-resolved サービスは、ローカルアプリケーションに名前解決を提供します。このサービスは、DNS スタブリゾルバー、LLMNR (Link-Local Multicast Name Resolution)、およびマルチキャスト DNS リゾルバーとレスポンダーのキャッシュと検証を実装します。

systemd パッケージが systemd-resolved を提供している場合でも、このサービスはサポートされていないテクノロジープレビューであることに注意してください。

(BZ#1906489)

5.5.2. カーネル

kexec fast reboot 機能がテクノロジープレビューとして利用可能になりました。

kexec fast reboot 機能は、引き続きテクノロジープレビューとして利用できます。kexec fast reboot は、カーネルが先に BIOS (Basic Input/Output System) を経由せずに、2 番目のカーネルを直接起動できるようにすることで、ブートプロセスの時間を大幅に短縮します。この機能を使用するには、以下を実行します。

  1. kexec カーネルを手動で読み込みます。
  2. オペレーティングシステムを再起動します。

(BZ#1769727)

eBPF がテクノロジープレビューとして利用可能になりました。

eBPF (extended Berkeley Packet Filter) は、限られた一連の関数にアクセスできる制限付きサンドボックス環境において、カーネル領域でのコード実行を可能にするカーネル内の仮想マシンです。

仮想マシンには、さまざまな種類のマップの作成に対応した、新しいシステムコール bpf() が含まれ、特別なアセンブリーのコードでプログラムをロードすることも可能です。そして、このコードはカーネルにロードされ、実行時コンパイラーでネイティブマシンコードに変換されます。bpf() は、root ユーザーなど、CAP_SYS_ADMIN が付与されているユーザーのみが利用できます。詳細は、man ページの bpf(2) を参照してください。

ロードしたプログラムは、データを受信して処理するために、さまざまなポイント (ソケット、トレースポイント、パケット受信) に割り当てることができます。

eBPF 仮想マシンを使用する Red Hat には、多くのコンポーネントが同梱されています。各コンポーネントの開発フェーズはさまざまです。そのため、現在すべてのコンポーネントが完全にサポートされている訳ではありません。特定のコンポーネントがサポート対象と示されていない限り、すべてのコンポーネントはテクノロジープレビューとして提供されます。

現在、以下の主要 eBPF コンポーネントが、テクノロジープレビューとして利用可能です。

  • bpftrace。これは、eBPF 仮想マシンを使用する高レベルの追跡言語です。
  • AF_XDP。これは、eXpress Data Path (XDP) パスを、パケット処理のパフォーマンスを優先するアプリケーションのユーザー空間に接続するためのソケットです。

(BZ#1559616)

igc ドライバーが、RHEL 8 でテクノロジープレビューとして利用できるようになりました。

igc Intel 2.5G Ethernet Linux有線LANドライバーは、テクノロジープレビューとして、RHEL 8 の全アーキテクチャーで利用できるようになりました。ethtool ユーティリティーは igc 有線 LAN もサポートします。

(BZ#1495358)

5.5.3. ファイルシステムおよびストレージ

NVMe/TCP がテクノロジープレビューとして利用可能になりました。

TCP/IP ネットワーク (NVMe/TCP) および対応する nvme-tcp.ko および nvmet -tcp.ko カーネルモジュールへのアクセスおよび共有がテクノロジープレビューとして追加されました。

ストレージクライアントまたはターゲットのいずれかとしての NVMe/TCP の使用は、nvme-cli パッケージおよび nvmetcli パッケージに含まれるツールで管理できます。

NVMe/TCP ターゲットテクノロジープレビュー機能はテスト目的としてのみ同梱されており、現時点ではフルサポートの予定はありません。

(BZ#1696451)

ファイルシステム DAX が、テクノロジープレビューとして ext4 および XFS で利用可能に

Red Hat Enterprise Linux 8 では、ファイルシステムの DAX がテクノロジープレビューとして利用できます。DAX は、永続メモリーをそのアドレス空間に直接マッピングする手段をアプリケーションに提供します。DAX を使用するには、システムで利用可能な永続メモリーの形式が必要になります。通常は、NVDIMM (Non-Volatile Dual In-line Memory Module) の形式で、DAX に対応するファイルシステムを NVDIMM に作成する必要があります。また、ファイルシステムは dax マウントオプションでマウントする必要があります。これにより、dax をマウントしたファイルシステムのファイルの mmap が、アプリケーションのアドレス空間にストレージを直接マッピングされます。

(BZ#1627455)

OverlayFS

OverlayFS は、ユニオンファイルシステムのタイプです。これにより、あるファイルシステムを別のファイルシステムに重ねることができます。変更は上位のファイルシステムに記録され、下位のファイルシステムは変更しません。これにより、ベースイメージが読み取り専用メディアにあるコンテナーや DVD-ROM などのファイルシステムイメージを、複数のユーザーが共有できるようになります。

OverlayFS は、ほとんどの状況で引き続きテクノロジープレビューになります。したがって、カーネルは、この技術がアクティブになると警告を記録します。

以下の制限下で、対応しているコンテナーエンジン (podmancri-o、または buildah) とともに使用すると、OverlayFS に完全対応となります。

  • OverlayFS は、コンテナーエンジンのグラフドライバーとしての使用のみの対応となります。その使用は、コンテナーの COW コンテンツのみに対応し、永続ストレージには対応していません。非 OverlayFS ボリュームに永続ストレージを配置する必要があります。デフォルトのコンテナーエンジン設定のみを使用できます。つまり、あるレベルのオーバーレイ、1 つの下位ディレクトリー、および下位と上位の両方のレベルが同じファイルシステムにあります。
  • 下層ファイルシステムとして使用に対応しているのは現在 XFS のみです。

また、OverlayFS の使用には、以下のルールと制限が適用されます。

  • OverlayFS カーネル ABI とユーザー空間の動作については安定しているとみなされていないため、今後の更新で変更が加えられる可能性があります。
  • OverlayFS は、POSIX 標準の制限セットを提供します。OverlayFS を使用してアプリケーションをデプロイする前に、アプリケーションを十分にテストしてください。以下のケースは、POSIX に準拠していません。

    • O_RDONLY で開いているファイルが少ない場合は、ファイルの読み取り時に st_atime の更新を受け取りません。
    • O_RDONLY で開いてから、MAP_SHARED でマッピングした下位ファイルは、後続の変更と一貫性がありません。
    • 完全に準拠した st_ino 値または d_ino 値は、RHEL 8 ではデフォルトで有効になっていませんが、モジュールオプションまたはマウントオプションを使用して、この値の完全な POSIX コンプライアンスを有効にできます。

      一貫した inode 番号を付けるには、xino=on マウントオプションを使用します。

      redirect_dir=on オプションおよび index=on オプションを使用して、POSIX コンプライアンスを向上させることもできます。この 2 つのオプションにより、上位レイヤーの形式は、このオプションなしでオーバーレイと互換性がありません。つまり、redirect_dir=on または index=on でオーバーレイを作成し、オーバーレイをアンマウントしてから、このオプションなしでオーバーレイをマウントすると、予期しない結果またはエラーが発生することがあります。

  • 既存の XFS ファイルシステムがオーバーレイとして使用できるかどうかを確認するには、次のコマンドを実行して、ftype=1 オプションが有効になっているかどうかを確認します。

    # xfs_info /mount-point | grep ftype
  • SELinux セキュリティーラベルは、OverlayFS で対応するすべてのコンテナーエンジンでデフォルトで有効になっています。
  • このリリースの既知の問題は、OverlayFS に関連しています。詳細は、Linux カーネルドキュメントの「Non-standard behavior () 」を参照してください。

OverlayFS の詳細は、Linux カーネルのドキュメント https://www.kernel.org/doc/Documentation/filesystems/overlayfs.txt を参照してください。

(BZ#1690207)

Straits がテクノロジープレビューとして利用可能になりました。

Stratis は、新しいローカルストレージマネージャーです。ユーザーへの追加機能を備えたストレージプールに、管理されるファイルシステムを提供します。

Stratis を使用すると、次のようなストレージタスクをより簡単に実行できます。

  • スナップショットおよびシンプロビジョニングを管理する
  • 必要に応じてファイルシステムのサイズを自動的に大きくする
  • ファイルシステムを維持する

Stratis ストレージを管理するには、バックグランドサービス stratisd と通信する stratis ユーティリティーを使用します。

Stratis はテクノロジープレビューとして提供されます。

詳細は、Stratis のドキュメント「Stratis を使用した階層化ローカルストレージの管理」を参照してください

RHEL 8.3 は Stratis をバージョン 2.1.0 に更新します。詳細は、Stratis 2.1.0 リリースノート を参照してください。

(JIRA:RHELPLAN-1212)

IdM がテクノロジープレビューとして、IdM ドメインメンバーでの Samba サーバー設定に対応しました。

今回の更新で、Identity Management (IdM) ドメインメンバーに Samba サーバーを設定できるようになりました。同じ名前パッケージに含まれる新しい ipa-client-samba ユーティリティーは、Samba 固有の Kerberos サービスプリンシパルを IdM に追加し、IdM クライアントを準備します。たとえば、ユーティリティーは、sss ID マッピングバックエンドの ID マッピング設定で /etc/samba/smb.conf を作成します。その結果、管理者が IdM ドメインメンバーに Samba を設定できるようになりました。

IdM 信頼コントローラーが Global Catalog Service をサポートしないため、AD が登録した Windows ホストは Windows で IdM ユーザーおよびグループを見つけることができません。さらに、IdM 信頼コントローラーは、Distributed Computing Environment / Remote Procedure Calls (DCE/RPC) プロトコルを使用する IdM グループの解決をサポートしません。これにより、AD ユーザーは、IdM クライアントから Samba の共有およびプリンターにしかアクセスできません。

詳細は、「IdM ドメインメンバーでの Samba の設定 」を参照してください。

(JIRA:RHELPLAN-13195)

5.5.4. 高可用性およびクラスター

テクノロジープレビューとして利用可能な pcs cluster setup コマンドのローカルモードバージョン

デフォルトでは、pcs cluster setup コマンドは、すべての設定ファイルをクラスターノードに自動的に同期します。Red Hat Enterprise Linux 8.3 では、pcs cluster setup コマンドは、テクノロジープレビューとして --corosync-conf オプションを提供します。このオプションを指定すると、コマンドが local モードに切り替わります。このモードでは、pcs は他のノードと通信せずに corosync.conf ファイルを作成し、ローカルノード上の指定されたファイルに保存します。これにより、スクリプトで corosync.conf ファイルを作成し、スクリプトでそのファイルを処理できます。

(BZ#1839637)

Pacemaker の podman バンドルがテクノロジープレビューとして利用可能になりました。

Pacemaker コンテナーバンドルは、テクノロジープレビューとして利用できるコンテナーバンドル機能を使用して、podman コンテナープラットフォームで動作するようになりました。この機能はテクノロジープレビューとして利用できますが、例外が 1 つあります。Red Hat は、Red Hat Openstack 用の Pacemaker バンドルの使用に完全対応します。

(BZ#1619620)

テクノロジープレビューとして利用可能な corosync-qdevice のヒューリスティック

ヒューリスティックは、起動、クラスターメンバーシップの変更、corosync-qnetd への正常な接続でローカルに実行され、任意で定期的に実行される一連のコマンドです。すべてのコマンドが時間どおりに正常に終了すると (返されるエラーコードがゼロである場合)、ヒューリスティックは渡されますが、それ以外の場合は失敗します。ヒューリスティックの結果は corosync-qnetd に送信され、クオーラムとなるべきパーティションを判断するための計算に使用されます。

(BZ#1784200)

新しい fence-agents-heuristics-ping フェンスエージェント

Pacemaker は、テクノロジープレビューとして fence_heuristics_ping エージェントに対応するようになりました。このエージェントの目的は、実際にはフェンシングを行わず、フェンシングレベルの動作を新しい方法で活用する実験的なフェンスエージェントのクラスを開くことです。

ヒューリスティックエージェントが、実際のフェンシングを行うフェンスエージェントと同じフェンシングレベルで設定されいて、そのエージェントよりも順番が前に設定されているとします。その場合、フェンシグを行うエージェントで off 操作を行う前に、ヒューリスティックエージェントで、この操作を行います。このヒューリスティックエージェントが off アクションに対して失敗する場合、このフェンシングレベルが成功しないのは既に明らかです。そのため、Pacemaker フェンシングは、フェンシングを行うエージェントで off 操作を行うステップをスキップします。ヒューリスティックエージェントはこの動作を利用して、特定の条件下で、実際のフェンシングを行うエージェントがフェンシングできないようにできます。

サービスを適切に引き継ぐことができないことを事前に把握できる場合は、ノードがピアをフェンシングする意味がないのであれば、ユーザーは特に 2 ノードクラスターでこのエージェントを使用できます。たとえば、ネットワークアップリンクに到達してサービスがクライアントに到達できない場合は、ノードがサービスを引き継ぐ意味はありません。これは、ルーターへの ping が検出できる状況が考えられます。

(BZ#1775847)

5.5.5. ID 管理

Identity Management JSON-RPC API がテクノロジープレビューとして利用可能になりました。

Identity Management (IdM) では API が利用できます。API を表示するために、IdM は、テクノロジープレビューとして API ブラウザーも提供します。

Red Hat Enterprise Linux 7.3 では、複数のバージョンの API コマンドを有効にするために、IdM API が拡張されました。以前は、機能拡張により、互換性のない方法でコマンドの動作が変更することがありました。IdM API を変更しても、既存のツールおよびスクリプトを引き続き使用できるようになりました。これにより、以下が可能になります。

  • 管理者は、管理しているクライアント以外のサーバーで、IdM の以前のバージョンもしくは最近のバージョンを使用できます。
  • サーバーで IdM のバージョンを変更しても、開発者は特定バージョンの IdM コールを使用できます。

すべてのケースでサーバーとの通信が可能になります。たとえば、ある機能向けの新オプションが新しいバージョンに追加されていて、通信の一方の側でこれを使用していたとしても、特に問題はありません。

API の使用方法は、「Identity Management API を使用して IdM サーバーに接続する(テクノロジープレビュー)」を参照してください。

(BZ#1664719)

DNSSEC が IdM でテクノロジープレビューとして利用可能になりました。

統合 DNS のある Identity Management (IdM) サーバーは、DNS プロトコルのセキュリティーを強化する DNS に対する拡張セットである DNS Security Extensions (DNSSEC) に対応するようになりました。IdM サーバーでホストされる DNS ゾーンは、DNSSEC を使用して自動的に署名できます。暗号鍵は、自動的に生成およびローテートされます。

DNSSEC で DNS ゾーンの安全性を強化する場合は、以下のドキュメントを参照することが推奨されます。

統合 DNS のある IdM サーバーは、DNSSEC を使用して、他の DNS サーバーから取得した DNS 回答を検証することに注意してください。これが、推奨される命名方法に従って構成されていない DNS ゾーンの可用性に影響を与える可能性があります。

(BZ#1664718)

5.5.6. デスクトップ

64 ビット ARM アーキテクチャーの GNOME がテクノロジープレビューとして利用できるようになりました。

GNOME デスクトップ環境がテクノロジープレビューとして、64 ビット ARM アーキテクチャーで利用可能になりました。これにより、管理者は VNC セッションを使用して、グラフィカルユーザーインターフェース (GUI) からサーバーをリモートで設定し、管理できます。

そのため、64 ビット ARM アーキテクチャーで新しい管理アプリケーションが利用できるようになりました。たとえば、Disk Usage Analyzer (baobab)、Firewall Configuration (firewall-config)、Red Hat Subscription Manager (subscription-manager)、または Firefox Web ブラウザーなどです。Firefox を使用すると、管理者はローカルの Cockpit デーモンにリモートで接続できます。

(JIRA:RHELPLAN-27394, BZ#1667225, BZ#1667516, BZ#1724302)

IBM Z の GNOME デスクトップがテクノロジープレビューとして利用可能に

Firefox Web ブラウザーを含む GNOME デスクトップが、IBM Z アーキテクチャーでテクノロジープレビューとして利用できるようになりました。VNC を使用して GNOME を実行するリモートグラフィカルセッションに接続し、IBM Z サーバーを設定および管理できるようになりました。

(JIRA:RHELPLAN-27737)

5.5.7. グラフィックインフラストラクチャー

64 ビット ARM アーキテクチャーで VNC リモートコンソールがテクノロジープレビューとして利用可能に

64 ビットの ARM アーキテクチャーでは、Virtual Network Computing (VNC) リモートコンソールがテクノロジープレビューとして利用できます。グラフィックススタックの残りの部分は、現在、64 ビット ARM アーキテクチャーでは検証されていません。

(BZ#1698565)

Intel Tiger Lake グラフィックがテクノロジープレビューとして利用可能に

Intel Tiger Lake UP3 および UP4 Xe グラフィックがテクノロジープレビューとして利用できるようになりました。

Intel Tiger Lake グラフィックでハードウェアアクセラレーションを有効にするには、カーネルコマンドラインに以下のオプションを追加します。

i915.force_probe=pci-id

このオプションでは、pci-id を以下のいずれかに置き換えます。

  • Intel GPU の PCI ID
  • すべての高品質ハードウェアで i915 ドライバーを有効にする * 文字

(BZ#1783396)

5.5.8. Red Hat Enterprise Linux システムロール

RHEL システムロールの postfix ロールが、テクノロジープレビューとして利用可能になりました。

Red Hat Enterprise Linux システムロールは、Red Hat Enterprise Linux サブシステムの設定インターフェースを提供します。これにより、Ansible ロールを介したシステム設定が簡単になります。このインターフェースにより、Red Hat Enterprise Linux の複数のバージョンにわたるシステム設定の管理と、新しいメジャーリリースの導入が可能になります。

rhel-system-roles パッケージは、AppStream リポジトリーを介して配布されます。

postfix ロールは、テクノロジープレビューとして利用可能です。

以下のロールが完全にサポートされています。

  • kdump
  • network
  • selinux
  • storage
  • timesync

詳細は、ナレッジベースの RHEL システムロールに関する記事を参照してください

(BZ#1812552)

5.5.9. 仮想化

RHEL 8 Hyper-V 仮想マシンで KVM 仮想化が利用可能に

ネストされた KVM 仮想化は、テクノロジープレビューとして、Microsoft Hyper-V ハイパーバイザーで使用できるようになりました。これにより、Hyper-V ホストで実行している RHEL 8 ゲストシステムで仮想マシンを作成できます。

この機能は、現在 Intel システムでのみ有効です。また、ネストされた仮想化は、Hyper-V でデフォルトで有効になっていない場合があります。これを有効にするには、以下の Microsoft ドキュメントを参照してください。

https://docs.microsoft.com/en-us/virtualization/hyper-v-on-windows/user-guide/nested-virtualization

(BZ#1519039)

KVM 仮想マシンの AMD SEV。

テクノロジープレビューとして、RHEL 8 に、KVM ハイパーバイザーを使用する AMD EPYC ホストマシン用のセキュア暗号化仮想化 (SEV) 機能が同梱されます。仮想マシンで有効になっている場合は、ホストが仮想マシンのデータにアクセスできないように、SEV が仮想マシンメモリーを暗号化します。ホストがマルウェアに感染した場合は、これにより仮想マシンのセキュリティーが向上します。

1 台のホストでこの機能を同時に使用できる仮想マシンの数は、ホストのハードウェアによって決まります。現在の AMD EPYC プロセッサーは、SEV を使用して 509 台以下の稼働中の仮想マシンに対応します。

また、SEV が起動できるように設定された仮想マシンでは、ハードメモリー制限のある仮想マシンも設定する必要があります。これを行うには、仮想マシンの XML 設定に以下を追加します。

<memtune>
<hard_limit unit='KiB'>N</hard_limit>
</memtune>

N に推奨される値は、「ゲストの RAM + 256 MiB」以上になります。たとえば、ゲストに 2 GiB の RAM が割り当てられている場合、N は 2359296 以上になります。

(BZ#1501618, BZ#1501607, JIRA:RHELPLAN-7677)

Intel vGPU

テクノロジープレビューとして、物理 Intel GPU デバイスを、仲介デバイス と呼ばれる複数の仮想デバイスに分割できるようになりました。この仲介デバイスは、仮想 GPU として複数の仮想マシンに割り当てることができます。これにより、この仮想マシンが、1 つの物理 Intel GPU のパフォーマンスを共有します。

選択した Intel GPU のみが vGPU 機能と互換性があることに注意してください。また、物理 GPU を仮想マシンに割り当てると、ホストが GPU を使用できなくなるため、ホストのグラフィカルディスプレイ出力が機能しない可能性があります。

(BZ#1528684)

入れ子仮想マシンの作成

入れ子 KVM 仮想化は、RHEL 8 で AMD64 および IBM Z システムホストで実行している KVM 仮想マシン用のテクノロジープレビューとして提供されます。この機能を使用すると、物理 RHEL 8 ホストで実行中の RHEL 7 または RHEL 8 仮想マシンがハイパーバイザーとして機能し、独自の仮想マシンをホストできます。

RHEL 8.2 以降では、入れ子仮想化は Intel 64 ホストで実行している仮想マシンで完全に対応することに注意してください。

(JIRA:RHELPLAN-14047, JIRA:RHELPLAN-24437)

Hyper-V の RHEL ゲストで、Intel ネットワークアダプターが SR-IOV に対応するようになりました。

テクノロジープレビューとして、Hyper-V ハイパーバイザーで実行している Red Hat Enterprise Linux のゲストオペレーティングシステムは、ixgbevf および ixgbevf ドライバーがサポートする Intel ネットワークアダプターに、シングルルート I/O 仮想化 (SR-IOV) 機能を使用することができるようになりました。この機能は、以下の条件が満たされると有効になります。

  • ネットワークインターフェースコントローラー (NIC) に対して SR-IOV サポートが有効になっている
  • 仮想 NIC の SR-IOV サポートが有効になっている
  • 仮想スイッチの SR-IOV サポートが有効になっている
  • NIC からの VF (Virtual Function) が仮想マシンに割り当てられている

この機能は現在、Microsoft Windows Server 2019 および 2016 で対応しています。

(BZ#1348508)

5.5.10. コンテナー

podman コンテナーイメージが、テクノロジープレビューとして利用可能になりました。

registry.redhat.io/rhel8/podman コンテナーイメージは、podman パッケージをコンテナー化した実装です。podman ツールは、コンテナーおよびイメージの管理、それらのコンテナーにマウントされたボリューム、およびコンテナーのグループから作成された Pod を管理するために使用されます。podman は、コンテナーライフサイクル管理の libpod ライブラリーに基づいています。libpod ライブラリーは、コンテナー、Pod、コンテナーイメージ、およびボリュームを管理するための API を提供します。このコンテナーイメージを使用すると、システムに podman パッケージをインストールしなくても、コンテナーイメージの作成、変更、実行を行うことができます。このユースケースでは、root 以外のユーザーとして rootless モードでこのイメージを実行することを説明しません。registry.redhat.io/rhel8/podman コンテナーイメージをプルするには、アクティブな Red Hat Enterprise Linux サブスクリプションが必要です。

(BZ#1627899)

crun がテクノロジープレビューとして利用可能になりました。

crun OCI ランタイムが container-rools:rhl8 モジュールに追加されました。crun は、cgoupsV2 で実行するためのアクセスを提供します。crun は、コンテナーがルートレスユーザーの追加グループにアクセスできるようにするアノテーションをサポートします。これは、ユーザーがグループアクセスのみを持つディレクトリーか、setgid が設定されているディレクトリにボリュームをマウントする場合に役立ちます。

(BZ#1841438)

5.6. 非推奨の機能

ここでは、Red Hat Enterprise Linux 8 で 非推奨 となった機能の概要を説明します。

非推奨の機能は、Red Hat Enterprise Linux 8 のライフサイクルが終了するまではサポートされます。非推奨の機能は、本製品の今後のメジャーリリースではサポートされない可能性が高く、新たに実装することは推奨されません。特定のメジャーリリースにおける非推奨機能の最新情報は、そのメジャーリリースの最新版のリリースノートを参照してください。

現行および今後のメジャーリリースでは、非推奨のハードウェアコンポーネントの新規実装は推奨されません。ハードウェアドライバーの更新は、セキュリティーと重大な修正にのみ行われます。Red Hat は、このようなハードウェアの早期交換をお勧めします。

パッケージが非推奨となり、使用の継続が推奨されない場合があります。製品からパッケージが削除されることもあります。その場合には、製品のドキュメントで、非推奨となったパッケージと同様、同一、またはより高度な機能を提供する最近のパッケージが指定され、詳しい推奨事項が記載されます。

RHEL 7 で使用され、RHEL 8 で 削除された 機能の詳細は『RHEL 8 の導入における検討事項』を参照してください

5.6.1. インストーラーおよびイメージの作成

複数のキックスタートコマンドおよびオプションが非推奨になりました。

RHEL 8 キックスタートファイルで以下のコマンドとオプションを使用すると、ログに警告が表示されます。

  • auth または authconfig
  • device
  • deviceprobe
  • dmraid
  • install
  • lilo
  • lilocheck
  • mouse
  • multipath
  • bootloader --upgrade
  • ignoredisk --interactive
  • partition --active
  • reboot --kexec

特定のオプションだけが一覧表示されている場合は、基本コマンドおよびその他のオプションは引き続き利用でき、非推奨ではありません。

キックスタートの詳細および変更点は、『RHEL 8 の導入における検討事項』の「キックスタートの変更 」を参照してください

(BZ#1642765)

キックスタートコマンド ignoredisk--interactive オプションが非推奨になりました。

Red Hat Enterprise Linux の将来のリリースで --interactive オプション を使用すると、致命的なインストールエラーが発生します。このオプションを削除するには、キックスタートファイルを変更することが推奨されます。

(BZ#1637872)

RHEL 8 で非推奨となった Image Builder lorax-composer バックエンド

Image Builder の以前のバックエンド lorax-composer は非推奨とみなされます。Red Hat Enterprise Linux 8 の残りのライフサイクルでは一部の修正のみが提供され、今後のメジャーリリースから削除される予定です。  Red Hat では、lorax-composer をアンインストールして osbuild-composer バックエンドを代わりにインストールすることを推奨します。

詳細は、「RHEL システムイメージのカスタマイズ 」を参照してください。

(BZ#1893767)

5.6.2. ソフトウェア管理

rpmbuild --sign が非推奨になりました。

今回の更新で、rpmbuild --sign コマンドが非推奨となりました。Red Hat Enterprise Linux の今後のリリースでこのコマンドを実行すると、エラーが発生します。代わりに rpmsign コマンドを使用することが推奨されます。

(BZ#1688849)

5.6.3. インフラストラクチャーサービス

mailman が非推奨になりました。

今回の更新で、mailman パッケージが非推奨となり、Red Hat Enterprise Linux の今後のメジャーリリースでは利用できないようになりました。

(BZ#1890976)

5.6.4. セキュリティー

NSS SEED 暗号が非推奨になりました。

Mozilla Network Security Services (NSS) ライブラリーでは、今後のリリースで SEED 暗号化を使用する TLS 暗号スイートのサポートがなくなります。NSS がサポートを削除した際に SEED 暗号に依存するデプロイメントを円滑に移行させるため、Red Hat は、他の暗号スイートのサポートを有効にすることを推奨します。

RHEL では、SEED 暗号はデフォルトですでに無効にされています。

(BZ#1817533)

TLS 1.0 および TLS 1.1 が非推奨になりました。

TLS 1.0 プロトコルおよび TLS 1.1 プロトコルは、システム全体の暗号化ポリシーレベル DEFAULT で無効になります。たとえば、Firefox Web ブラウザーのビデオ会議アプリケーションで、非推奨のプロトコルを使用する必要がある場合は、システム全体の暗号化ポリシーを LEGACY レベルに変更してください。

# update-crypto-policies --set LEGACY

詳細は、Red Hat カスタマーポータルのナレッジベース Strong crypto defaults in RHEL 8 and deprecation of weak crypto algorithms および man ページの update-crypto-policies(8) を参照してください。

(BZ#1660839)

RHEL 8 で DSA が非推奨になりました。

デジタル署名アルゴリズム (DSA) は、Red Hat Enterprise Linux 8 では非推奨であると考えられています。DSA キーに依存する認証メカニズムはデフォルト設定では機能しません。OpenSSH クライアントは、LEGACY のシステム全体の暗号化ポリシーレベルでも DSA ホストキーを許可しません。

(BZ#1646541)

NSSSSL2 Client Hello が非推奨に

TLS (Transport Layer Security) プロトコルバージョン 1.2 以前は、SSL (Secure Sockets Layer) プロトコルバージョン 2 と後方互換性がある形式の Client Hello メッセージを使用してネゴシエーションを開始できます。NSS (Network Security Services) ライブラリーでのこの機能への対応は非推奨となっており、デフォルトで無効になっています。

この機能への対応が必要なアプリケーションを有効にするには、新しい API の SSL_ENABLE_V2_COMPATIBLE_HELLO を使用する必要があります。この機能への対応は、Red Hat Enterprise Linux 8 の将来のリリースから完全に削除される可能性があります。

(BZ#1645153)

TPM 1.2 が非推奨になりました。

Trusted Platform Module (TPM) のセキュアな暗号化プロセッサーの標準バージョンが 2016年に バージョン 2.0 に更新されました。TPM 2.0 は TPM 1.2 に対する多くの改良を提供しますが、以前のバージョンと後方互換性はありません。TPM 1.2 は RHEL 8 で非推奨となり、次のメジャーリリースで削除される可能性があります。

(BZ#1657927)

5.6.5. ネットワーク

RHEL 8 でネットワークスクリプトが非推奨に

Red Hat Enterprise Linux 8 では、ネットワークスクリプトが非推奨になっており、デフォルトでは提供されなくなりました。基本的なインストールでは、nmcli ツール経由で、NetworkManager サービスを呼び出す ifup スクリプトおよび ifdown スクリプトの新しいバージョンが提供されます。Red Hat Enterprise Linux 8 で ifup スクリプトおよび ifdown スクリプトを実行する場合は、NetworkManager を実行する必要があります。

/sbin/ifup-localifdown-pre-local、および ifdown-local の各スクリプトでは、カスタムコマンドが実行されません。

このスクリプトが必要な場合は、次のコマンドを使用すれば、システムに非推奨のネットワークスクリプトをインストールできます。

~]# yum install network-scripts

ifup スクリプトと ifdown スクリプトが、インストールされている従来のネットワークスクリプトにリンクされます。

従来のネットワークスクリプトを呼び出すと、そのスクリプトが非推奨であることを示す警告が表示されます。

(BZ#1647725)

5.6.6. カーネル

ディスクレスブートを使用した RHEL for Real Time 8 のインストールが非推奨になりました。

ディスクレスブートにより、複数のシステムがネットワーク経由で root ファイルシステムを共有できます。メリットはありますが、ディスクレスブートでは、リアルタイムのワークロードでネットワークレイテンシーが発生する可能性が高くなります。RHEL for Real Time 8 の将来のマイナー更新では、ディスクレスブート機能はサポートされなくなります。

(BZ#1748980)

qla3xxx ドライバーが非推奨になりました。

RHEL 8 では、qla3xxx ドライバーが非推奨になりました。このドライバーは、本製品の今後のメジャーリリースではサポートされない可能性が高く、新たに実装することは推奨されません。

(BZ#1658840)

dl2kdnetethoc、および dlci ドライバーは非推奨になりました。

RHEL 8 では、dl2kdnetethoc、および dlci ドライバーが非推奨になりました。このドライバーは、本製品の今後のメジャーリリースではサポートされない可能性が高く、新たに実装することは推奨されません。

(BZ#1660627)

5.6.7. ファイルシステムおよびストレージ

elevator カーネルコマンドラインパラメーターが非推奨になりました。

カーネルコマンドラインパラメーターの elevator は、すべてのデバイスのディスクスケジューラーを設定するために、以前の RHEL リリースで使用されていました。RHEL 8 では、このパラメーターが非推奨になりました。

アップストリームの Linux カーネルでは、elevator パラメーターに対応しなくなりましたが、互換性のために RHEL 8 でも引き続き利用できます。

カーネルは、デバイスのタイプに基づいてデフォルトのディスクスケジューラーを選択することに注意してください。これは通常、最適な設定です。別のスケジューラーが必要な場合は、udev ルールまたは Tuned サービスを使用して設定することが推奨されます。選択したデバイスを一致させ、それらのデバイスのスケジューラーのみを切り替えます。

詳細は、「ディスクスケジューラーの設定 」を参照してください。

(BZ#1665295)

LVM mirror が非推奨化されました。

LVM mirror セグメントタイプが非推奨になりました。mirror のサポートは、RHEL の今後のメジャーリリースで削除されます。

Red Hat は、セグメントタイプが mirror ではなく、raid1 の LVM RAID 1 デバイスを使用することを推奨します。raid1 のセグメントタイプは、デフォルトの RAID 設定タイプで、mirror の代わりに、推奨のソリューションとしてこのタイプが使用されます。

mirror デバイスを raid1 に変換するには、「ミラーリングされた LVM デバイスの RAID1 デバイスへの変換 」を参照してください。

LVM mirror には既知の問題が複数あります。詳細は、「ファイルシステムおよびストレージの既知の問題」 を参照してください。

(BZ#1827628)

peripety が非推奨になりました。

peripety パッケージは、RHEL 8.3 以降で非推奨になりました。

Peripety ストレージイベント通知デーモンは、システムストレージログを構造化されたストレージイベントに解析します。ストレージの問題を調査するのに役立ちます。

(BZ#1871953)

NFSv3 over UDP が無効になりました。

NFS サーバーは、デフォルトで UDP (User Datagram Protocol) ソケットを開いたり、リッスンしなくなりました。バージョン 4 では TCP (Transmission Control Protocol) が必要なため、この変更は NFS バージョン 3 にのみ影響を及ぼします。

RHEL 8 では、NFS over UDP に対応しなくなりました。

(BZ#1592011)

5.6.8. ID 管理

openssh-ldap が非推奨に

openssh-ldap サブパッケージは、Red Hat Enterprise Linux 8 で非推奨になり、RHEL 9 で削除されます。openssh-ldap サブパッケージはアップストリームでは維持されないため、Red Hat は SSSD と sss_ssh_authorizedkeys ヘルパーを使用することを推奨しています。これは、他の IdM ソリューションよりも適切に統合でき、安全です。

デフォルトでは、ldap および ipa プロバイダーはユーザーオブジェクトの sshPublicKey LDAP 属性を読み取ります (利用可能な場合)。AD (Active Directory) には公開鍵を保存するためのデフォルトの LDAP 属性がないため、ad プロバイダーまたは IdM の信頼されるドメインのデフォルト SSSD 設定を使用して AD から SSH 公開鍵を取得することはできません。

sss_ssh_authorizedkeys ヘルパーが SSSD から鍵を取得できるようにするには、sssd.conf ファイルの services オプションに ssh を追加して ssh レスポンダーを有効にします。詳細は man ページの sssd.conf(5) を参照してください。

sshdsss_ssh_authorizedkeys を使用できるようにするには、man ページの sss_ssh_authorizedkeys(1) に記載されているように、AuthorizedKeysCommand /usr/bin/sss_ssh_authorizedkeys および AuthorizedKeysCommandUser nobody オプションを /etc/ssh/sshd_config ファイルに追加します。

(BZ#1871025)

DES および 3DES 暗号化タイプが削除されました。

RHEL 7 以降、セキュリティー上の理由から、データ暗号化標準 (DES) アルゴリズムが非推奨になり、デフォルトで無効化になりました。Kerberos パッケージの最近のリベースで、RHEL 8 からシングル DES (DES) およびトリプル DES (3DES) の暗号化タイプが削除されました。

DES または 3DES の暗号化のみを使用するようにサービスまたはユーザーが設定されている場合、以下のようなサービスの中断が発生する可能性があります。

  • Kerberos 認証エラー
  • unknown enctype 暗号化エラー
  • DES で暗号化されたデータベースマスターキー (K/M) を使用した KDC (Kerberos Distribution Center) が起動しない

アップグレードを準備するには、以下の操作を実施します。

  1. KDC が krb5check オープンソース Python スクリプトで DES または 3DES 暗号化を使用しているかどうかを確認します。GitHub の krb5check を参照してください。
  2. Kerberos プリンシパルで DES または 3DES 暗号化を使用している場合は、Advanced Encryption Standard (AES) などのサポート対象の暗号化タイプでキーを変更します。キー変更の手順については、MIT Kerberos ドキュメントの「Retiring DES 」を参照してください。
  3. アップグレードの前に以下の Kerberos オプションを一時的に設定して、DES および 3DES からの独立性をテストします。

    1. KDC の /var/kerberos/krb5kdc/kdc.conf で、supported_enctypes を設定し、des または des3 は含まれません。
    2. すべてのホストについて、/etc/krb5.conf および /etc/krb5.conf.d のすべてのファイルで、allow_weak_cryptofalse に設定します。デフォルトは false です。
    3. すべてのホストについて、/etc/krb5.conf および /etc/krb5.conf.d のすべてのファイルで、permitted_enctypesdefault_tgs_enctypesdefault_tkt_enctypes を設定します。また、des または des3 は含めません。
  4. 前の手順で Kerberos 設定をテストしてサービスが中断されない場合は、サービスを削除してアップグレードします。最新の Kerberos パッケージにアップグレードした後は、この設定は必要ありません。

(BZ#1877991)

5.6.9. デスクトップ

libgnome-keyring ライブラリーが非推奨になりました。

libgnome-keyring ライブラリーがアップストリームで維持されず、RHEL に必要な暗号化ポリシーに従っていないため、libsecret ライブラリーが libgnome-keyring ライブラリーを引き継ぎ、libgnome-keyring は非推奨となりました。新しい libsecret ライブラリーは、必要なセキュリティー標準に準拠する代替ライブラリーです。

(BZ#1607766)

AlternateTab 拡張機能が削除されました。

AlternateTab GNOME Shell 拡張機能を提供する gnome-shell-extension-alternate-tab パッケージが削除されました。

ウィンドウ切り替えの動作を設定するには、キーボードのショートカットを設定します。詳細は、「 Using Alternate-Tab in Gnome 3.32 or later 」の記事を参照してください。(BZ#1922488)

5.6.10. グラフィックインフラストラクチャー

AGP グラフィックカードがサポートされなくなりました。

AGP (Accelerated Graphics Port) バスを使用するグラフィックカードは、Red Hat Enterprise Linux 8 ではサポートされていません。推奨される代替として、PCI-Express バスを備えたグラフィックスカードを使用してください。

(BZ#1569610)

5.6.11. Web コンソール

Web コンソールは、不完全な翻訳への対応を終了しました。

RHEL Web コンソールは、コンソールの翻訳可能な文字列の翻訳率が 50 % 未満の言語に対する翻訳提供を廃止しました。ブラウザーがこのような言語に翻訳を要求すると、ユーザーインターフェースは英語になります。

(BZ#1666722)

5.6.12. Red Hat Enterprise Linux システムロール

geoipupdate パッケージが非推奨に

geoipupdate パッケージにはサードパーティーのサブスクリプションが必要で、プロプライエタリーコンテンツもダウンロードします。したがって、geoipupdate パッケージは非推奨となり、次の RHEL メジャーバージョンで削除されます。

(BZ#1874892)

5.6.13. 仮想化

virt-manager が非推奨になりました。

Virtual Machine Manager アプリケーション (virt-manager) は非推奨になっています。RHEL 8 Web コンソール (Cockpit) は、後続のリリースで置き換えられる予定です。したがって、GUI で仮想化を管理する場合は、Web コンソールを使用することが推奨されます。ただし、virt-manager で利用可能な機能によっては、RHEL 8 Web コンソールが利用できない場合があります。

(JIRA:RHELPLAN-10304)

RHEL 8 では、仮想マシンのスナップショットへの対応が適切に行われていません。

仮想マシンスナップショットを作成する現在のメカニズムが適切に機能していないため、推奨されなくなりました。これにより、RHEL 8 では、仮想マシンのスナップショットを使用することが推奨されません。

新しい仮想マシンスナップのショットメカニズムは開発中で、RHEL 8 の将来のマイナーリリースで完全に実装される予定です。

(BZ#1686057)

Cirrus VGA 仮想 GPU タイプが非推奨に

Red Hat Enterprise Linux の将来のメジャーアップデートでは、KVM 仮想マシンで Cirrus VGA GPU デバイスに対応しなくなります。したがって、Red Hat は、Cirrus VGA の代わりに stdvga デバイス、virtio-vga デバイス、または qxl デバイスを使用することを推奨します。

(BZ#1651994)

SPICE が非推奨になりました

RHEL 8.3 で、SPICE リモートディスプレイプロトコルが非推奨になりました。RHEL 8 では SPICE が引き続きサポートされていますが、Red Hat はリモートディスプレイストリーミングに代替ソリューションを使用することを推奨しています。

  • リモートコンソールへのアクセスには、VNC プロトコルを使用します。
  • 高度なリモートディスプレイ機能には、RDP、HP RGS、または Mechdyne TGX などのサードパーティーツールを使用します。

(BZ#1849563)

5.6.14. コンテナー

Podman varlink ベースの REST API V1 が非推奨に。

Podman varlink ベースの REST API V1 はアップストリームで非推奨になっており、新しい Podman REST API V2 が推奨されています。この機能は、Red Hat Enterprise Linux 8 の今後のリリースでは削除される予定です。

(JIRA:RHELPLAN-60226)

5.6.15. 非推奨のパッケージ

以下のパッケージは非推奨となり、Red Hat Enterprise Linux の今後のメジャーリリースには含まれません。

  • 389-ds-base-legacy-tools
  • authd
  • custodia
  • hostname
  • libidn
  • lorax-composer
  • mercurial
  • net-tools
  • network-scripts
  • nss-pam-ldapd
  • sendmail
  • yp-tools
  • ypbind
  • ypserv

5.7. 既知の問題

このパートでは Red Hat Enterprise Linux 8.3 の既知の問題を説明します。

5.7.1. インストーラーおよびイメージの作成

キックスタートコマンドの auth および authconfig で AppStream リポジトリーが必要になる

インストール中に、キックスタートコマンドの auth および authconfigauthselect-compat パッケージが必要になります。auth または authconfig を使用したときに、このパッケージがないとインストールに失敗します。ただし、設計上、 authselect-compat パッケージは AppStream リポジトリーでしか利用できません。

この問題を回避するには、BaseOS リポジトリーおよび AppStream リポジトリーがインストーラーで利用できることを確認するか、インストール中にキックスタートコマンドの authselect コマンドを使用します。

(BZ#1640697)

reboot --kexec コマンドおよび inst.kexec コマンドが、予測可能なシステム状態を提供しない

キックスタートコマンド reboot --kexec またはカーネル起動パラメーター inst.kexec で RHEL インストールを実行しても、システムの状態が完全な再起動と同じになるわけではありません。これにより、システムを再起動せずにインストール済みのシステムに切り替えると、予期しない結果が発生することがあります。

kexec 機能は非推奨になり、Red Hat Enterprise Linux の今後のリリースで削除されることに注意してください。

(BZ#1697896)

インストールプログラムでは、ネットワークアクセスがデフォルトで有効になっていません。

一部のインストール機能、たとえば、コンテンツ配信ネットワーク (CDN) を使用したシステムの登録、NTP サーバーサポート、およびネットワークインストールソースなどには、ネットワークアクセスが必要です。ただし、ネットワークアクセスはデフォルトでは有効になっていません。そのためこの機能は、ネットワークアクセスが有効になるまで使用できません。

この問題を回避するには、インストールの開始時にネットワークアクセスを有効にする起動オプション ip=dhcp を追加します。オプションで、起動オプションを使用して、ネットワーク上にあるキックスタートファイルまたはリポジトリーを渡しても、問題が解決されます。結果として、ネットワークベースのインストール機能を使用できます。

(BZ#1757877)

新しい osbuild-composer バックエンドが、アップグレード時に lorax-composer から Blueprint 状態に複製されない。

lorax-composer バックエンドから新しい osbuild-composer バックエンドにアップグレードする Image Builder ユーザーは、Blueprint が消えてしまう可能性があります。その結果、アップグレードが完了すると、Blueprint が自動的に表示されなくなります。この問題を回避するには、以下の手順を実行します。

前提条件

  • composer-cli CLI ユーティリティーがインストールされている。

手順

  1. 以下のコマンドを実行して、以前の lorax-composer ベースの Blueprint を新しい osbuild-composer バックエンドに読み込みます。

    $ for blueprint in $(find /var/lib/lorax/composer/blueprints/git/workspace/master -name '*.toml'); do composer-cli blueprints push "${blueprint}"; done

これにより、osbuild-composer バックエンドで同じ Blueprint が利用できるようになりました。

(BZ#1897383)

Kickstart インストールでは、自己署名 HTTPS サーバーを使用できません。

現在では、インストールソースが Kickstart ファイルで指定され、--noverifyssl オプションが指定されると、インストーラーは自己署名の https サーバーからのインストールに失敗します。

url --url=https://SERVER/PATH --noverifyssl

この問題を回避するには、Kickstart インストールの開始時に、inst.noverifyssl パラメーターをカーネルコマンドラインに追加します。

以下に例を示します。

inst.ks=<URL> inst.noverifyssl

(BZ#1745064)

リポジトリーの更新が完了する前に CDN を使用した登録解除を試みると、GUI インストールが失敗することがあります。

RHEL 8.2 以降、システムを登録し、コンテンツ配信ネットワーク (CDN) を使用してサブスクリプションを割り当てると、GUI インストールプログラムにより、リポジトリーメタデータの更新が開始されます。更新プロセスは、登録およびサブスクリプションプロセスの一部ではないため、Red Hat への接続 ウィンドウで 登録解除 ボタンが有効になります。ネットワーク接続によっては、更新プロセスが完了するのに 1 分以上かかることがあります。更新プロセスが完了する前に 登録解除 ボタンをクリックすると、登録解除プロセスで、インストールプログラムが CDN との通信に必要とする証明書と CDN リポジトリーファイルが削除されるため、GUI インストールが失敗する可能性があります。

この問題を回避するには、Red Hat への接続 ウィンドウで 登録 ボタンをクリックした後に、GUI インストールで次の手順を実行します。

  1. Red Hat への接続 画面から 完了 をクリックして、インストールの概要 画面に戻ります。
  2. インストールの概要 ウィンドウで、インストールソース および ソフトウェアの選択 の斜体のステータスメッセージに処理情報が表示されていないことを確認します。
  3. インストールソースとソフトウェアの選択のカテゴリーが準備できたら、Red Hat への接続 をクリックします。
  4. 登録解除 ボタンをクリックします。

これらの手順を完了したら、GUI のインストール時にシステムの登録を安全に解除できます。

(BZ#1821192)

複数の組織に属するユーザーアカウントの登録に失敗していました

現在、複数の組織に属するユーザーアカウントでシステムを登録しようとすると、登録プロセスが失敗し、You must specifiy an organization for new units (新しいユニットの組織を指定する必要があります)。というメッセージが表示されます。

この問題を回避するには、以下のいずれかを行います。

  • 複数の組織に属さない別のユーザーアカウントを使用します。
  • GUI および Kickstart インストールの Connect to Red Hat 機能で利用できる アクティベーションキー 認証方法を使用します。
  • Connect to Red Hat の登録手順を省略し、Subscription Manager を使用してインストール後にシステムを登録します。

(BZ#1822880)

インストーラー起動オプションを使用して InfiniBand ネットワークインターフェースを設定すると、RHEL インストーラーが起動しませんでした。

インストーラー起動オプション (PXE サーバーを使用したインストーラーイメージのダウンロードなど) を使用して RHEL インストールの初期段階で InfiniBand ネットワークインターフェースを設定する場合、インストーラーはネットワークインターフェースのアクティブ化に失敗します。

この問題は、RHEL NetworkManager が InfiniBand モードでネットワークインターフェースを認識できず、代わりにインターフェースのイーサネット接続を設定するために発生します。

その結果、接続のアクティベーションに失敗し、InfiniBand インターフェースを介した接続が初期段階で必要な場合、RHEL インストーラーはインストールを開始できません。

この問題を回避するには、Lorax ツールを使用して、更新された Anaconda パッケージおよび NetworkManager パッケージを含む新しいインストールメディアを作成します。

Lorax ツールを使用して、更新された Anaconda パッケージおよび NetworkManager パッケージを含む新しいインストールメディアを作成する方法は、「 Unable to install Red Hat Enterprise Linux 8.3.0 with InfiniBand network interface」を参照してください。

(BZ#1890261)

NVDIMM デバイスの名前空間が devdax モードに設定されていると、Anaconda のインストールに失敗します。

GUI インストールの前に NVDIMM デバイスの名前空間を devdax モードに設定すると、Anaconda のインストールに失敗します。

この問題を回避するには、NVDIMM デバイスを再設定して、インストールを開始する前に、名前空間を devdax モード以外に設定します。これにより、インストールを続行できます。

(BZ#1891827)

サードパーティーツール 使用して作成した USB からインストールを起動しても、ローカルメディアインストールソースが検出されない

サードパーティーツールを使用して作成した USB から RHEL インストールを起動すると、インストーラーはローカルメディアインストールソースを検出できません 「 Red Hat CDN」のみを検出)。

この問題は、デフォルトの起動オプション int.stage2= が iso 9660 イメージ形式の検索を試行するために発生します。(サードパーティーツールでは、異なる形式の ISO イメージを作成する場合があります)。

回避策として、以下のいずれかを使用します。

  • インストールを起動時に Tab キーを押してカーネルコマンドラインを編集し、起動オプション inst.stage2= を inst.repo= に変更します。
  • Windows で起動可能な USB デバイスを作成する場合は、Fedora Media Writer を使用します。
  • Rufus のようなサードパーティーのツールを使用して起動可能な USB デバイスを作成する場合は、最初に Linux システムで RHEL ISO イメージを再生成してから、サードパーティーのツールを使用して起動可能な USB デバイスを作成します。

指定した回避策の実行に関連する手順についての詳細は、インストールメディアは RHEL 8.3 のインストール時に自動検出されません

(BZ#1877697)

Anaconda で、テキストモードで ldl または未フォーマットの DASD ディスクダイアログを表示

以前は、テキストモードでのインストール時に、Anaconda は Linux ディスクレイアウト (ldl) またはフォーマットされていない DASD (Direct-Access Storage Device) ディスクのダイアログを表示できませんでした。そのため、ユーザーはインストールにこれらのディスクを使用できませんでした。

今回の更新で、テキストモードの Anaconda が ldl ディスクと未フォーマットの DASD ディスクを認識し、インストールの今後の使用のためにユーザーが適切にフォーマットできるダイアログが表示されるようになりました。

(BZ#1874394)

グラフィカルインストーラーの使用時に、Red Hat Insights クライアントがオペレーティングシステムの登録に失敗する

現在、Insights クライアントを示すエラーでインストールに失敗します。

この問題を回避するには、インストーラーでシステムを登録する前に、Connect to Red Hat ステップで、Connect to Red Hat Insights プションの選択を解除します。

その結果、以下のコマンドを使用してインストールを完了し、その後 Insights に登録できます。

# insights-client --register

(BZ#1931069)

5.7.2. サブスクリプション管理

syspurpose addonssubscription-manager attach --auto 出力に影響しません。

Red Hat Enterprise Linux 8 では、syspurpose コマンドラインツールの 4 つの属性 (roleusageservice_level_agreement、および addons) が追加されました。現在、roleusage、および service_level_agreement のみが、subscription-manager attach --auto コマンドの実行の出力に影響します。addons 引数に値を設定しても、自動登録されたサブスクリプションには影響がありません。

(BZ#1687900)

5.7.3. インフラストラクチャーサービス

dnf updateの実行時にlibmaxminddb-devel-debuginfo.rpm が削除される

dnf update コマンドを実行すると、バイナリー mmdblookup ツールが libmaxminddb-devel サブパッケージからメインの libmaxmindb パッケージに移動 ます。したがって、libmaxminddb-devel-debuginfo.rpm が削除され、このパッケージの更新パスが破損する可能性があります。この問題を回避するには、dnf update コマンドの実行前に libmaxminddb-devel-debuginfo を削除します。

注記: libmaxminddb-debuginfo は新しい debuginfo パッケージです。

(BZ#1642001)

5.7.4. セキュリティー

ユーザーは、ロックされたユーザーとして sudo コマンドを実行できます。

ALL キーワードで sudoers パーミッションが定義されているシステムでは、パーミッションを持つ sudo ユーザーは、アカウントがロックされているユーザーとして sudo コマンドを実行できます。そのため、ロックされたアカウントと期限切れのアカウントを使用して、コマンドを実行し続けることができます。

この問題を回避するには、/etc/shells 内の有効なシェルの適切な設定と併せて、新たに実装した runas_check_shell オプションを有効にします。これにより、攻撃者が bin などのシステムアカウントでコマンドを実行するのを防ぎます。

(BZ#1786990)

GnuTLS が NSS サーバーとの現行セッションを再開できません。

TLS (Transport Layer Security) 1.3 セッションを再開するとき、GnuTLS クライアントは 60 ミリ秒に加えて、サーバーがセッション再開データを送信するために推定されるラウンドトリップタイムの分だけ待機します。サーバーがこの時間内に再開データを送信しないと、クライアントは現行セッションを再開せずに新しいセッションを作成します。これは、通常のセッションネゴシエーションのパフォーマンスに若干影響することを除いて、深刻な悪影響を与えることはありません。

(BZ#1677754)

libselinux-python は、そのモジュールからのみ利用可能

libselinux-python パッケージには、SELinux アプリケーション開発用の Python 2 バインディングのみが含まれ、後方互換性に使用されます。このため、libselinux-python コマンドを使用して、デフォルトの RHEL 8 リポジトリーで dnf install libselinux-python コマンドが利用できなくなりました。

この問題を回避するには、libselinux-python モジュールおよび python27 モジュールの両方を有効にし、以下のコマンドで libselinux-python パッケージとその依存関係をインストールします。

# dnf module enable libselinux-python
# dnf install libselinux-python

または、1 つのコマンドでインストールプロファイルを使用して libselinux-python をインストールします。

# dnf module install libselinux-python:2.8/common

これにより、各モジュールを使用して libselinux-python をインストールできます。

(BZ#1666328)

udica は、--env container=podman で開始したときにのみ UBI 8 コンテナーを処理します。

Red Hat Universal Base Image 8 (UBI 8) コンテナーは、podman の値ではなく、コンテナー 環境変数を oci 値に設定します。これにより、udica ツールがコンテナー JavaScript Object Notation (JSON) ファイルを分析しなくなります。

この問題を回避するには、--env container=podman パラメーターを指定して、podman コマンドで UBI 8 コンテナーを起動します。そのため、udica は、上記の回避策を使用している場合に限り、UBI 8 コンテナーの SELinux ポリシーを生成することができます。

(BZ#1763210)

デフォルトのロギング設定がパフォーマンスに与える悪影響

デフォルトのログ環境設定は、メモリーを 4 GB 以上使用する可能性があり、rsyslogsystemd-journald を実行している場合は、速度制限値の調整が複雑になります。

詳細は、ナレッジベースの記事「 Negative effects of the RHEL default logging setup on performance and their mitigations 」を参照してください。

(JIRA:RHELPLAN-10431)

/etc/passwd- のファイル権限が CIS RHEL 8 Benchmark 1.0.0 と合致しない

CIS Benchmark の問題により、/etc/passwd- バックアップファイルの権限を保証する SCAP ルールの修正によって、権限が 0644 に設定されます。ただし、CIS Red Hat Enterprise Linux 8 Benchmark 1.0.0 では、そのファイルに対するファイルパーミッション 0600 が必要です。そのため、修正後、/etc/passwd- のファイル権限はベンチマークに合うように設定されません。

(BZ#1858866)

/etc/selinux/configSELINUX=disabled が正常に動作しません。

/etc/selinux/configSELINUX=disabled オプションを使用して SELinux を無効にすると、カーネルが SELinux を有効にして起動し、その後のブートプロセスで無効化モードに切り替わります。これにより、メモリーリークが生じる可能性があります。

この問題を回避するには、SELinux を完全に無効にする必要がある場合にSELinux の使用のシステムの起動時に SELinux モードの変更で説明されているように 、selinux=0 パラメーターをカーネルコマンドラインに追加して SELinux を無効にします。

(JIRA:RHELPLAN-34199)

ssh-keyscan が、FIPS モードでサーバーの RSA 鍵を取得できません。

FIPS モードで RSA 署名の SHA-1 アルゴリズムが無効になっています。これにより、ssh-keyscan ユーティリティーがそのモードで稼働しているサーバーの RSA 鍵を取得できなくなります。

この問題を回避するには、代わりに ECDSA 鍵を使用するか、サーバーの /etc/ssh/ssh_host_rsa_key.pub ファイルから鍵をローカルに取得します。

(BZ#1744108)

OpenSSL が、生の RSA または RSA-PSS の署名に対応していない PKCS #11 トークンを誤って処理します。

OpenSSL ライブラリーは、PKCS #11 トークンの鍵関連の機能を検出しません。したがって、生の RSA または RSA-PSS の署名に対応しないトークンで署名が作成されると、TLS 接続の確立に失敗します。

この問題を回避するには、/etc/pki/tls/openssl.cnf ファイルの crypto_policy セクションの末尾にある .include 行の後に、以下の行を追加します。

SignatureAlgorithms = RSA+SHA256:RSA+SHA512:RSA+SHA384:ECDSA+SHA256:ECDSA+SHA512:ECDSA+SHA384
MaxProtocol = TLSv1.2

これにより、このシナリオで TLS 接続を確立できます。

(BZ#1685470)

FIPS モードの OpenSSL が、特定の D-H パラメーターのみを受け入れます。

FIPS モードでは、OpenSSL を使用するトランスポートレイヤーセキュリティー (TLS) クライアントが bad dh value エラーを返し、手動で生成されたパラメーターを使用したサーバーへの TLS 接続を中止します。これは、FIPS 140-2 に準拠するよう設定されている場合、OpenSSL が NIST SP 800-56A rev3 付録 D (RFC 3526 で定義されたグループ 14、15、16、17、18、および RFC 7919 で定義されたグループ) に準拠した D-H パラメーターでのみ機能するためです。また、OpenSSL を使用するサーバーは、その他のパラメーターをすべて無視し、代わりに同様のサイズの既知のパラメーターを選択します。この問題を回避するには、準拠するグループのみを使用します。

(BZ#1810911)

rpm-plugin-selinux パッケージを削除すると、システムからすべての selinux-policy パッケージが削除されます。

rpm-plugin-selinux パッケージを削除すると、マシン上で SELinux が無効になります。また、システムからすべての selinux-policy パッケージも削除されます。rpm-plugin-selinux パッケージを繰り返しインストールしてから、selinux-policy-targeted ポリシーが以前に存在していても、selinux-policy-minimum SELinux ポリシーをインストールします。ただし、繰り返しインストールしても、ポリシーの変更のために SELinux 設定ファイルが更新されることはありません。このため、rpm-plugin-selinux パッケージを再インストールしても、SELinux が無効になります。

この問題を回避するには、以下を実行します。

  1. umount /sys/fs/selinux/ コマンドを実行します。
  2. 足りない selinux-policy-targeted パッケージを手動でインストールします。
  3. ポリシーが SELINUX=enforcing と同等になるように /etc/selinux/config ファイルを編集します。
  4. コマンド load_policy -i を実行します。

これにより、SELinux が有効になり、以前と同じポリシーが実行されている状態になります。

(BZ#1641631)

systemd サービスが任意のパスからコマンドを実行できない

SELinux ポリシーパッケージにはこのようなルールが含まれていないため、systemd サービスは /home/user/bin の任意のパスからコマンドを実行できません。そのため、システム以外のパスで実行されるカスタムサービスは失敗し、SELinux がアクセスを拒否すると、AVC (アクセスベクターキャッシュ) 監査メッセージをログに記録します。この問題を回避するには、以下のいずれかを実行します。

  • -c オプションを指定し、シェル スクリプトを使用してコマンドを実行します。以下に例を示します。

    bash -c command
  • /bin/sbin/usr/sbin/usr/local/bin/usr/local/sbin の共通のディレクトリーを使用して共通のパスからコマンドを実行します。

(BZ#1860443)

CIS プロファイルで rpm_verify_permissions が失敗する

rpm_verify_permissions ルールでは、ファイルパーミッションがパッケージのデフォルトパーミッションと比較されます。ただし、scap-security-guide パッケージで提供される Center for Internet Security (CIS) プロファイルでは、一部のファイルパーミッションがデフォルトよりも厳格なものに変更されます。その結果、rpm_verify_permissions を使用した特定ファイルの検証が失敗します。

この問題を回避するには、これらのファイルに以下のパーミッションがあることを手作業で確認します。

  • /etc/cron.d (0700)
  • /etc/cron.hourly (0700)
  • /etc/cron.monthly (0700)
  • /etc/crontab (0600)
  • /etc/cron.weekly (0700)
  • /etc/cron.daily (0700)

(BZ#1843913)

RHEL 8 のキックスタートが、com_redhat_oscap の代わりに org_fedora_oscap を使用

キックスタートは、com_redhat_oscap ではなく、org_fedora_oscap として Open Security Content Automation Protocol (OSCAP) Anaconda アドオンを参照します。これが、混乱を招く可能性があります。これは、Red Hat Enterprise Linux 7 との後方互換性を維持するために行われます。

(BZ#1665082)

SSG における相互依存ルールの特定のセットが失敗する可能性があります。

ルールとその依存関係の順序付けを定義しないため、ベンチマークの SCAP Security Guide (SSG) ルールの修正が失敗する可能性があります。たとえば、特定の順番で複数のルールを実行する必要がある場合、あるルールがコンポーネントをインストールし、別のルールが同じコンポーネントを設定した場合すると、それらは正しくない順序で実行される可能性があり、修正によってエラーが報告されます。この問題を回避するには、修正を回実行して、番目の実行で依存ルールを修正します。

(BZ#1750755)

OSCAP Anaconda Addon がすべてのパッケージをテキストモードでインストールしません。

OSCAP Anaconda Addon プラグインは、インストールがテキストモードで実行している場合、システムインストーラーによってインストールに選択されているパッケージの一覧を変更することはできません。これにより、キックスタートを使用してセキュリティーポリシープロファイルが指定され、インストールがテキストモードで実行している場合に、インストール中にセキュリティーポリシーに必要な追加パッケージがインストールされません。

この問題を回避するには、グラフィカルモードでインストールを実行するか、キックスタートファイルの %packages セクションにあるセキュリティーポリシーで、セキュリティーポリシープロファイルに必要なパッケージをすべて指定します。

これにより、セキュリティーポリシープロファイルで必要となるパッケージは、上記の回避策のいずれかを行わなければ RHEL インストールインストール時にインストールされません。また、インストール後のシステムは、指定のセキュリティーポリシープロファイルと互換性がありません。

(BZ#1674001)

oscap Anaconda Addon がカスタムプロファイルを正しく処理しません。

OSCAP Anaconda Addon プラグインは、個別のファイルでカスタマイズを使用したセキュリティープロファイルを適切に処理しません。これにより、対応する Kickstart セクションで適切に指定しても、RHEL グラフィカルインストールでカスタマイズしたプロファイルは利用できません。

この問題を回避するには、ナレッジベースの記事「Creating a single SCAP data stream from an original DS and a tailoring file 」を参照してください。この回避策により、RHEL グラフィカルインストールでカスタマイズした SCAP プロファイルを使用できます。

(BZ#1691305)

OSPP ベースのプロファイルに、GUI パッケージグループとの互換性がありません。

Server with GUI パッケージグループでインストールされる GNOME パッケージには、Operating System Protection Profile (OSPP) に準拠しない nfs-utils パッケージが必要です。これにより、OSPP または OSPP ベースのプロファイル (Security Technical Implementation Guide (STIG) など) を使用したシステムのインストール時に「Server with GUI」パッケージグループを選択すると、OpenSCAP では、選択されたパッケージグループがセキュリティーポリシーに準拠していないという警告メッセージが表示されます。OSPP ベースのプロファイルがインストール後に適用される場合、システムは起動できません。この問題を回避するには、「Server with GUI」パッケージグループや、または OSPP プロファイルと OSPP ベースのプロファイルを使用する際に GUI をインストールするその他のグループをインストールしないでください。代わりに「Server」または「Minimal Install」パッケージグループを使用すると、システムは問題なくインストールされ、正常に機能します。

(BZ#1787156)

Server with GUI または Workstation ソフトウェアの選択と CIS セキュリティープロファイルを使用したインストールはできません。

CIS セキュリティープロファイルは、Server with GUI および Workstation ソフトウェアの選択と互換性がありません。そのため、Server with GUI ソフトウェアの選択と CIS プロファイルを使用した RHEL 8 のインストールはできません。CIS プロファイルと、これらのソフトウェアの選択のいずれかを使用したインストール試行では、エラーメッセージが生成されます。

package xorg-x11-server-common has been added to the list of excluded packages, but it can't be removed from the current software selection without breaking the installation.

この問題を回避するには、Server with GUI または Workstation ソフトウェアの選択で CIS セキュリティープロファイルを使用しないでください。

(BZ#1843932)

キックスタートインストール時のサービス関連のルールの修正が失敗する場合があります。

キックスタートのインストール時に、OpenSCAP ユーティリティーで、サービス enable または disable 状態の修正が必要でないことが誤って表示されることがあります。これにより、OpenSCAP が、インストール済みシステムのサービスを非準拠状態に設定する可能性があります。回避策として、キックスタートインストール後にシステムをスキャンして修復できます。これにより、サービス関連の問題が修正されます。

(BZ#1834716)

特定の rsyslog 優先度の文字列が正常に動作しません。

imtcpGnuTLS 優先度文字列を設定して、完成していない暗号化をきめ細かく制御できるようになりました。したがって、rsyslog では、以下の優先文字列が正常に動作しません。

NONE:+VERS-ALL:-VERS-TLS1.3:+MAC-ALL:+DHE-RSA:+AES-256-GCM:+SIGN-RSA-SHA384:+COMP-ALL:+GROUP-ALL

この問題を回避するには、正しく機能する優先度文字列のみを使用します。

NONE:+VERS-ALL:-VERS-TLS1.3:+MAC-ALL:+ECDHE-RSA:+AES-128-CBC:+SIGN-RSA-SHA1:+COMP-ALL:+GROUP-ALL

したがって、現在の設定は、正しく機能する文字列に限定する必要があります。

(BZ#1679512)

crypto-policies が Camellia 暗号を誤って許可する。

RHEL 8 システム全体の暗号化ポリシーでは、製品ドキュメントで説明されているように、すべてのポリシーレベルで Camellia 暗号を無効にする必要があります。ただし、Kerberos プロトコルでは、デフォルトでこの Camellia 暗号が有効になります。

この問題を回避するには、NO-CAMELLIA サブポリシーを適用します。

# update-crypto-policies --set DEFAULT:NO-CAMELLIA

これまでに上記のコマンドで、DEFAULT から切り替えたことがある場合は、DEFAULT を暗号化レベルの名前に置き換えます。

その結果、この回避策を使用して Cemellia 暗号を無効にしている場合に限り、システム全体の暗号化ポリシーを使用する全ポリシーで、この暗号化を適切に拒否できます。(BZ#1919155)

5.7.5. ネットワーク

iptables ユーティリティーは、NLM_F_CREATE フラグに関係なくチェーンを更新するコマンドに対するモジュールロードを要求するようになりました。

以前のバージョンでは、チェーンのポリシーを設定する際に、iptables-nft ユーティリティーが NEWCHAIN メッセージ を生成しましたが、NLM_F_CREATE フラグを設定していませんでした。これにより、RHEL 8 カーネルはモジュールをロードせず、関連付けられたカーネルモジュールを手動で読み込まれていない場合は、生成される更新チェーンコマンドが失敗していました。今回の更新で、iptables-nft ユーティリティーがチェーンを更新する全コマンドに対してモジュールロードを要求するようになりました。これにより、関連するモジュールを手動で読み込むことなく、iptables-nft ユーティリティーを使用してチェーンのポリシーを設定できるようになりました。

(BZ#1812666)

RHEL 7 から RHEL 8 の間で、カーネルの パケット/バイト カウンターの更新のサポートが誤って変更になりました。

iptables ルールからカウンターが有効な ipset コマンドを示すと、一致する ipset エントリーに対して追加の制約を指定する ipset カウンターを参照すると、ipset カウンターは、すべての追加制約が一致する場合にのみ更新されます。これは、--packets-gt または - -bytes-gt 制約でも問題となります。

これにより、RHEL 7 から RHEL 8 に iptables ルールセットを移行すると、ipset ルックアップに関連するルールが動作しなくなり、調整が必要になる場合があります。この問題を回避するには、--packets-gt オプションまたは --bytes-gt オプションを使用せず、--packets-lt または --bytes-lt オプションに置き換えます。

(BZ#1806882)

nfp ドライバーを使用する Netronome ネットワークカードで XDP プログラムのアンロードに失敗する

Netronome ネットワークカードの nfp ドライバーにバグが含まれています。したがって、このようなカードを使用して XDP_ FLAGS_REPLACE フラグで IFLA_XDP_ EXPECTED_FD 機能を使用して XDP プログラムを読み込むと、eXpress Data Path(XDP )プログラムのアンロードに失敗します。たとえば、このバグは libxdp ライブラリーを使用して読み込まれる XDP プログラムに影響します。現在、この問題に対する回避策はありません。

(BZ#1880268)

ip 起動オプションで DHCP を使用すると、Anaconda にネットワークアクセスできない

初期 RAM ディスク (initrd) は、NetworkManager を使用してネットワークを管理します。RHEL 8.3 ISO ファイルで提供される dracut NetworkManager モジュールは誤って、Anaconda 起動オプションにある ip オプションの最初のフィールドが常に設定されていると想定します。これにより、DHCP を使用して ip=::::<host_name>::dhcp を設定すると、NetworkManager は IP アドレスを取得しず、Anaconda でネットワークは利用できません。

この問題の回避オプションは、以下のとおりです。

  1. ip のオプションの最初のフィールドに '.(ピリオド)に 設定します。

    ip=.::::<host_name>::dhcp

    当問題が修正された場合に、この回避策は今後のバージョンの RHEL では機能しないことに注意してください。

  2. バグの修正を含む BaseOS リポジトリーの最新パッケージを使用して boot.iso ファイルを再作成します。
# lorax '--product=Red Hat Enterprise Linux' --version=8.3 --release=8.3 \
    --source=<URL_to_BaseOS_repository> \
    --source=<URL_to_AppStream_repository> \
    --nomacboot --buildarch=x86_64 '--volid=RHEL 8.3' <output_directory>

.Red Hat は、自身で作成した ISO ファイルはサポートしていません。

上記の回避策を行うと、RHEL は DHCP サーバーから IP アドレスを取得し、Anaconda でネットワークアクセスができるようになります。

(BZ#1902791)

5.7.6. カーネル

永続メモリーのサイズが大きくなると、システムの起動プロセス時に遅延が発生します。

メモリーの初期化がシリアル化されるため、永続メモリーのサイズが大きいシステムは起動に時間がかかります。したがって、/etc/fstab ファイルに永続メモリーのファイルシステムがあると、デバイスが利用できるようになるまで待つ際に、システムがタイムアウトする場合があります。この問題を回避するには、/etc/systemd/system.conf ファイルの DefaultTimeoutStartSec オプションを十分に大きな値に設定します。

(BZ#1666538)

IBM Z システムでカーネルが誤検出の警告を返します。

RHEL 8 では、IBM Z システムに、ZONE_DMA メモリーゾーンのホワイトリストエントリーがありません。したがって、カーネルは以下のような誤検出の警告を返します。

...
Bad or missing usercopy whitelist? Kernel memory exposure attempt detected from SLUB object 'dma-kmalloc-192' (offset 0, size 144)!
WARNING: CPU: 0 PID: 8519 at mm/usercopy.c:83 usercopy_warn+0xac/0xd8
...

sysfs インターフェースから特定のシステム情報にアクセスすると、警告が表示されます。たとえば、debuginfo.sh スクリプトを実行するなどです。

この問題を回避するには、hardened_usercopy=off パラメーターをカーネルコマンドラインに追加します。

これにより、上記のシナリオで警告メッセージが表示されなくなります。

(BZ#1660290)

rngd サービスのビジー待機により、FIPS モードで CPU の合計消費量が発生します。

バージョン 4.18.0-193.10 で始まるカーネル用に、FIPS モードの新しいカーネルエントロピーソースが追加されました。そのため、FIPS モードでは、/dev/random デバイスの poll() システムコールで rngd サービスがビジーウェイトするため、CPU 時間の 100% 消費が発生します。この問題を回避するには、以下を実行して rngd を停止して無効にします。

# systemctl stop rngd
# systemctl disable rngd

その結果、上記のシナリオで rngdpoll() でのビジーウェイトしなくなりました。

(BZ#1884857)

softirq の変更により、負荷が大きい場合に localhost インターフェースが UDP パケットをドロップする可能性があります。

Linux カーネルのソフトウェア割り込み(softirq)処理の変更により、サービス拒否(DOS)の影響が軽減されます。これにより、localhost インターフェースが大きい負荷が大きい UDP(User Datagram Protocol)パケットをドロップする状況が発生します。

この問題を回避するには、ネットワークデバイスのバックログバッファーのサイズを値 6000 に増やします。

echo 6000 > /proc/sys/net/core/netdev_max_backlog

Red Hat テストは、パケットロスを防ぐために十分な値でした。より負荷の高いシステムでは、バックログの値を拡張する必要がある場合があります。backlogs を増やすと、ローカルホストインターフェースのレイテンシーが増加する可能性があります。

その結果、バッファーを増やし、処理を待機させるため、ローカルホストパケットを破棄する可能性が低くなります。

(BZ#1779337)

vmcore キャプチャーはメモリーのホットプラグまたはアンプラグの操作を実行した後に失敗します。

メモリーのホットプラグまたはホットアンプラグ操作の実行後に、メモリーのレイアウト情報を含むデバイスツリーを更新するとイベントが発生します。これにより、makedumpfile ユーティリティーは存在しない物理アドレスにアクセスしようとします。以下の条件を満たすと問題が発生します。

  • IBM Power System (little endian) で RHEL 8 を実行する。
  • システムで kdump サービスまたは fadump サービスが有効になっている。

このような場合に、メモリーホットプラグまたはホットアンプラグの操作後にカーネルクラッシュが発生すると、カーネルのキャプチャーで vmcore の保存に失敗します。

この問題を回避するには、ホットプラグまたはホットアンプラグ後に kdump サービスを再起動します。

# systemctl restart kdump.service

これにより、上記のシナリオで vmcore が正常に保存されます。

(BZ#1793389)

irqpoll を使用すると vmcore の生成に失敗します。

Amazon Web Services (AWS) クラウドプラットフォームで実行している 64 ビット ARM アーキテクチャー上には nvme ドライバーの既存の問題があります。この問題により、最初のカーネルに irqpoll カーネルコマンドラインパラメーターを指定すると vmcore の生成に失敗します。したがって、カーネルクラッシュ後に vmcore/var/crash/ ディレクトリーにダンプされません。この問題を回避するには、以下を実行します。

  1. / /etc/sysconfig/kdump ファイルの KDUMP_COMMANDLINE_REMOVE キーに irqpoll を追加します。
  2. systemctl restart kdump コマンドを実行して、kdump サービスを再起動します。

その結果、最初のカーネルが正常に起動し、カーネルクラッシュ時に vmcore がキャプチャーされることが予想されます。

kdump サービスは、大量のクラッシュカーネルメモリーを使用して vmcore ファイルをダンプできることに注意してください。キャプチャーカーネルには、kdump サービス用のメモリーが十分あることを確認します。

(BZ#1654962)

RHEL 8 で、デバッグカーネルがクラッシュキャプチャー環境で起動に失敗します。

デバッグカーネルのメモリー要求の性質により、デバッグカーネルが使用中で、カーネルパニックが発生すると、問題が発生します。その結果、デバッグカーネルはキャプチャーカーネルとして起動できず、代わりにスタックトレースが生成されます。この問題を回避するには、クラッシュカーネルメモリーを適宜増やします。これにより、デバッグカーネルが、クラッシュキャプチャー環境で正常に起動します。

(BZ#1659609)

zlib は、一部の圧縮機能で vmcore キャプチャーの速度を低下させる可能性があります。

kdump 設定ファイルはデフォルトで、lzo 圧縮形式 (makedumpfile -l) を使用します。zlib 圧縮形式 (makedumpfile -c) を使用して設定ファイルを変更すると、vmcore のキャプチャープロセスの速度を低下させる代わりに、圧縮の因子が改善される可能性が高くなっています。これにより、lzoと比較して、kdumpzlibvmcore をキャプチャーするのに最大 4 倍の時間がかかります。

このように、Red Hat は、速度が主要な要因である場合に、デフォルトの lzo を使用することを推奨します。ただし、ターゲットマシンで利用可能な領域が少ない場合は、zlib の方が適しています。

(BZ#1790635)

HP NMI ウォッチドッグが常にクラッシュダンプを生成しない

特定に場合において、HP NMI ウォッチドッグの hpwdt ドライバーは、マスク不可割り込み (NMI) が perfmon ドライバーにより使用されたため、HPE ウォッチドッグタイマーが生成した NMI を要求できません。

欠落している NMI は、以下の 2 つの条件のいずれかによって開始されます。

  1. Integrated Lights-Out (iLO) サーバー管理ソフトウェアの NMI 生成 ボタン。このボタンはユーザーがトリガーします。
  2. hpwdt ウォッチドッグ。デフォルトでは、有効期限により NMI がサーバーに送信されます。

通常、両方のシーケンスは、システムが応答しない場合に発生します。通常、これらの状況の NMI ハンドラーは kernel panic() 関数を呼び出します。また、設定されていれば、kdump サービスが vmcore ファイルを生成します。

ただし、NMI が見つからないため、kernel panic() は呼び出されず、vmcore が収集されません。

最初のケース(1.)でシステムが応答しない場合は、その状態のままになります。このシナリオを回避するには、仮想 電源 ボタンを使用してサーバーをリセットするか、電源を切って入れ直します。

2 つ目のケース(2.)では、欠落している NMI が Automated System Recovery (ASR) からのリセットの後 9 秒後に続きます。

HPE Gen9 Server ラインでは、1 桁台の割合でこの問題が発生します。Gen10 の周波数がさらに小さくなる。

(BZ#1602962)

tuned-adm profile powersave コマンドを使用すると、システムが応答しなくなります。

tuned-adm profile powersave コマンドを実行すると、古い Thunderx (CN88xx) プロセッサーを持つ Penguin Valkyrie 2000 2 ソケットシステムが応答しなくなります。これにより、作業を再開するためシステムを再起動することになります。この問題を回避するには、システムが上記の仕様と一致する場合には powersave プロファイルの使用を避けてください。

(BZ#1609288)

デフォルトの 7 4 1 7 printk 値により、一時的なシステムが応答しなくなることがあります。

デフォルトの 7 4 1 7 printk 値を使用することで、カーネルアクティビティーのデバッグを改善できます。ただし、シリアルコンソールと組み合わせると、この printk 設定により、RHEL システムが一時的に応答しなくなるような激しい I/O がバーストする可能性があります。この問題を回避するには、新しい optimize-serial-console TuneD プロファイルを追加し、デフォルトの printk 値を 4 4 1 7 に減らします。ユーザーは、以下のようにシステムをインストルメント化できます。

# tuned-adm profile throughput-performance optimize-serial-console

再起動後も printk 値を短くすると、システムがハングする可能性が低くなります。

この設定変更は、余分なデバッグ情報が失われる代償を伴うことに注意してください。

新たに追加された機能の詳細は、printk 値を低くすることで、I/O を シリアルコンソールに減らすための新しい optimize-serial-console TuneD プロファイル を参照してください。

(JIRA:RHELPLAN-28940)

カーネル ACPI ドライバーは、PCIe ECAM メモリーリージョンにアクセスできないことを報告します。

ファームウェアが提供する Advanced Configuration and Power Interface (ACPI) テーブルは、PCI バスデバイスの現在のリソース設定 (_CRS) メソッドにおいて PCI バス上のメモリーリージョンを定義しません。したがって、システムの起動時に以下の警告メッセージが表示されます。

[    2.817152] acpi PNP0A08:00: [Firmware Bug]: ECAM area [mem 0x30000000-0x31ffffff] not reserved in ACPI namespace
[    2.827911] acpi PNP0A08:00: ECAM at [mem 0x30000000-0x31ffffff] for [bus 00-1f]

ただし、カーネルは依然として 0x30000000-0x31ffffff メモリーリージョンにアクセスできます。また、そのメモリーリージョンを PCI Enhanced Configuration Access Mechanism (ECAM) に適切に割り当てることができます。以下の出力で 256 バイトオフセットで PCIe 設定領域にアクセスして、PCI ECAM が正常に機能することを確認できます。

03:00.0 Non-Volatile memory controller: Sandisk Corp WD Black 2018/PC SN720 NVMe SSD (prog-if 02 [NVM Express])
 ...
        Capabilities: [900 v1] L1 PM Substates
                L1SubCap: PCI-PM_L1.2- PCI-PM_L1.1- ASPM_L1.2+ ASPM_L1.1- L1_PM_Substates+
                          PortCommonModeRestoreTime=255us PortTPowerOnTime=10us
                L1SubCtl1: PCI-PM_L1.2- PCI-PM_L1.1- ASPM_L1.2- ASPM_L1.1-
                           T_CommonMode=0us LTR1.2_Threshold=0ns
                L1SubCtl2: T_PwrOn=10us

これにより、警告メッセージを無視します。

問題の詳細は、システムの起動時に表示される「Firmware Bug: ECAM area mem 0x30000000-0x31ffffff not reserved in ACPI namespace」を参照してください

(BZ#1868526)

cxgb4 ドライバーにより kdump カーネルでクラッシュします。

vmcore ファイルに情報を保存しようとすると、kdump カーネルがクラッシュします。そのため、cxgb4 ドライバーにより、kdump カーネルが、後で分析するためにコアを保存できなくなります。この問題を回避するには、kdump カーネルコマンドラインに novmcoredd パラメーターを追加して、コアファイルを保存できるようにします。

(BZ#1708456)

OPEN MPI ライブラリーは、デフォルトの PML でランタイムが失敗する可能性があります。

OPEN Message Passing Interface (OPEN MPI) 実装 4.0.x シリーズでは、UCX (Unified Communication X) がデフォルトの PPL (ポイントツーポイント) です。OPEN MPI 4.0.x シリーズの新しいバージョンでは、openib Byte Transfer Layer (BTL) が非推奨になりました。

ただし、OPEN MPI は 同種 クラスター (同じハードウェアおよびソフトウェア設定) で実行される場合も、UCX は MPI openlib の一方向操作に BTL を使用します。これにより、実行エラーが発生する可能性があります。この問題を回避するには、以下を実行します。

  • 以下のパラメーターを使用して mpirun コマンドを実行します。
-mca btl openib -mca pml ucx -x UCX_NET_DEVICES=mlx5_ib0

詳細は以下のようになります。

  • -mca btl openib パラメーターは openib BTL を無効にします。
  • -mca pml ucx パラメーターは、ucx PML を使用するように OPEN MPI を設定します。
  • x UCX_NET_DEVICES= パラメーターは、指定したデバイスを使用するように UCX を制限します。

OPEN MPI は、異種 クラスター (ハードウェアおよびソフトウェア設定に異なる) を実行する場合は、デフォルトの PML として UCX を使用します。これにより、OPEN MPI ジョブが不安定なパフォーマンス、応答しない動作で実行されたり、またはクラッシュによる不具合とともに実行される可能性があります。この問題を回避するには、UCX の優先度を以下のように設定します。

  • 以下のパラメーターを使用して mpirun コマンドを実行します。
-mca pml_ucx_priority 5

これにより、OPEN MPI ライブラリーは、UCX を介して利用可能な別のトランスポート層を選択することができます。

(BZ#1866402)

5.7.7. ファイルシステムおよびストレージ

/boot ファイルシステムを LVM に配置することができません。

/boot ファイルシステムを LVM 論理ボリュームに配置することはできません。この制限は、以下の理由により存在します。

  • EFI システムでは、EFI システムパーティション が従来の /boot ファイルシステムとして機能します。uEFI 標準では、特定の GPT パーティションタイプと、このパーティションの特定のファイルシステムタイプが必要です。
  • RHEL 8 は、システムブートエントリーに Boot Loader Specification (BLS) を使用します。この仕様では、プラットフォームのファームウェアが /boot ファイルシステムを読み込める必要があります。EFI システムでは、プラットフォームファームウェアは uEFI 標準で定義された /boot 設定のみを読み取ることができます。
  • GRUB 2 ブートローダーでの LVM 論理ボリュームに対するサポートは完全ではありません。Red Hat は、uEFI や BLS などの標準があるので、この機能のユースケース数が減少しているため、サポートを改善する予定はありません。

Red Hat では、LVM での /boot のサポートを提供する予定はありません。代わりに、Red Hat は、/boot ファイルシステムを LVM 論理ボリュームに配置する必要がないシステムスナップショットおよびロールバックを管理するツールを提供します。

(BZ#1496229)

LVM で、複数のブロックサイズを持つボリュームグループが作成できません。

vgcreate または vgextend などの LVM ユーティリティーでは、物理ボリューム (PV) の論理ブロックサイズが異なるボリュームグループ (VG) を作成できなくなりました。別のブロックサイズの PV で基礎となる論理ボリューム (LV) を拡張するとファイルシステムがマウントに失敗するため、LVM はこの変更を採用しました。

ブロックサイズが混在する VG の作成を再度有効にするには、lvm.conf ファイルの allow_mixed_block_sizes=1 オプションを設定します。

(BZ#1768536)

LVM writecache の制限

writecache LVM キャッシュメソッドには以下の制限がありますが、cache メソッドには存在しません。

  • pvmove コマンドを使用すると、writecache 論理ボリュームに名前を付けることはできません。
  • writecache を指定した論理ボリュームは、シンプールまたは VDO と組み合わせて使用できません。

以下の制限は、cache メソッドにも適用されます。

  • cache または writecache がアタッチされている間は、論理ボリュームのサイズを変更することはできません。

(JIRA:RHELPLAN-27987, BZ#1798631, BZ#1808012)

LUKS ボリュームを格納する LVM mirror デバイスが応答しなくなることがあります。

セグメントタイプが mirror のミラーリング LVM デバイスで LUKS ボリュームを格納すると、特定の条件下で応答しなくなる可能性があります。デバイスが応答しなくなると、すべての I/O 操作を拒否します。

耐障害性のソフトウェア定義ストレージに、LUKS ボリュームをスタックする必要がある場合に、この問題を回避するには、Red Hat は セグメントタイプが mirror ではなく raid1 の LVM RAID 1 デバイスを使用することを推奨します。

raid1 のセグメントタイプは、デフォルトの RAID 設定タイプで、mirror の代わりに、推奨のソリューションとしてこのタイプが使用されます。

mirror デバイスを raid に変換するには、「ミラーリングされた LVM デバイスの RAID1 デバイスへの変換 」を参照してください。

(BZ#1730502)

NFS 4.0 パッチにより、オープンな高ワークロードでパフォーマンスが低下する可能性があります。

以前、場合によっては NFS のオープン操作で、サーバー上のファイルが削除されたり、名前が変更されたりするという事実を見落とすというバグが修正されています。ただし、この修正により、多くのオープンな操作が必要とるするワークロードのパフォーマンスが遅くなる可能性があります。この問題を回避するには、NFS バージョン 4.1 以降を使用します。これは、多くの場合においてクライアントに委譲を付与するように改善されています。このため、クライアントがローカルに素早く安全にオープン操作を実行できます。

(BZ#1748451)

5.7.8. 動的プログラミング言語、Web サーバー、およびデータベースサーバー

32 ビットアプリケーションで呼び出されると getpwnam() が失敗する場合がある

NIS のユーザーが getpwnam() 関数を呼び出す 32 ビットアプリケーションを使用する場合は、nss_nis.i686 パッケージがないと呼び出しに失敗します。この問題を回避するには、yum install nss_nis.i686 コマンドを使用して、不足しているパッケージを手動でインストールします。

(BZ#1803161)

OpenLDAP ライブラリー間のシンボルの競合により、httpd でクラッシュが発生することがある

OpenLDAP が提供する libldap ライブラリーと libldap_r ライブラリーの両方が、単一のプロセス内にロードされ、使用されると、これらのライブラリー間でシンボルの競合が発生する可能性があります。そのため、httpd 設定によって mod_security または mod_auth_openidc モジュールもロードされると、PHP ldap 拡張機能を使用する Apache httpd 子プロセスが突然終了する可能性があります。

Apache Portable Runtime(APR)ライブラリーに対する今回の更新では、APR_DEEPBIND 環境変数を設定することでこの問題を回避できます。これにより、httpd モジュールの読み込み時に RTLD_DEEPBIND 動的リンカーオプションを使用できるようになります。APR_DEEPBIND 環境変数を有効にすると、競合するライブラリーをロードする httpd 設定でクラッシュが発生しなくなります。

(BZ#1819607)

PAM プラグインは MariaDBで動作しません。

MariaDB 10.3 は、PAM (Pluggable Authentication Modules) プラグインバージョン 1.0 を提供します。RHEL 8.3 が pam パッケージおよび pam および systemd-pam パッケージに更新されるため、MariaDB の PAM プラグインバージョン 1.0 は機能しません。

この問題を回避するには、RHEL 8.4 で利用できる mariadb:10.5 モジュールストリームが提供する PAM プラグインバージョン 2.0 を使用します。

(BZ#1942330)

5.7.9. ID 管理

すべての KRA メンバーが非表示レプリカの場合は、KRA のインストールに失敗します。

最初の KRA インスタンスが非表示レプリカにインストールされている場合、Key Recovery Authority (KRA) がすでに存在するクラスターでは ipa-kra-install ユーティリティーで問題が発生します。そのため、これ以上、追加の KRA インスタンスをクラスターに追加することはできません。

この問題を回避するには、新しい KRA インスタンスを追加する前に、KRA ロールが割り当てられた非表示レプリカを解除します。Ipa-kra-install が正常に終了してから、レプリカを再度非表示にできます。

(BZ#1816784)

--agent-uid pkidbuser オプションを指定して cert-fix ユーティリティーを使用すると、証明書システムが破損します。

--agent-uid pkidbuser オプションを指定して cert-fix ユーティリティーを使用すると、証明書システムの LDAP 設定が破損します。したがって、証明書システムは不安定になり、システムの復元に手動の操作が必要になる可能性があります。

(BZ#1729215)

PKI CA に接続された PKI ACME Responder が発行した証明書は OCSP の検証に失敗することがあります。

PKI CA が提供するデフォルトの ACME 証明書プロファイルには、実際の OCSP サービスを参照しないサンプル OCSP URL が含まれています。これにより、PKI ACME Responder が PKI CA 発行者を使用するように設定されている場合、レスポンダーが発行する証明書は OCSP 検証に失敗する可能性があります。

この問題を回避するには、/usr/share/pki/ca/profiles/ca/acmeServerCert .cfg 設定ファイルで policyset.serverCertSet.5.default.params. authInfoAccessADLocation_0 プロパティーを空の値に設定する必要があります。

  1. ACME Responder 設定ファイルで policyset.serverCertSet.5.default.params.authInfoAccessADLocation_0=http://ocsp.example.com の行を policyset. serverCertSet.5.default.serverCertSet.5.default.authInfoAccessADLocation_0= に変更します。
  2. サービスを再起動して、証明書を再生成します。

その結果、PKI CA は実際の OCSP サービスを参照する、自動生成された OCSP URL で ACME 証明書を生成します。

(BZ#1868233)

FreeRADIUS が 249 文字を超える Tunnel-Passwords を断りなく切り捨てます。

Tunnel-Password が 249 文字を超える場合、FreeRADIUS サービスはそのパスワードを断りなく切り捨てます。これにより、他のシステムと矛盾する想定外のパスワードになる可能性があります。

この問題を回避するには、249 文字以下のパスワードを選択します。

(BZ#1723362)

IdM ホストの /var/log/lastlog 分析ファイルが、パフォーマンスの問題を引き起こす可能性があります。

IdM のインストール時に、利用できる合計 10,000 の範囲からの 200,000 の UID の範囲が無作為に選択され、割り当てられます。このようにランダムな範囲を選択すると、今後別の 2 つの IdM ドメインを統合する場合に、ID の競合が発生する可能性を大幅に削減できます。

ただし、UID が多いと、/var/log/lastlog ファイルで問題が発生する可能性があります。たとえば、1280000008 の UID を持つユーザーが IdM クライアントにログインすると、ローカルの /var/log/lastlog ファイルサイズは、約 400 GB に増えます。実際のファイルはスパースで、その領域をすべて使用しません。ただし、一部のアプリケーションはデフォルトではスパースファイルを識別するように設計されています。そのため、それらを処理する特定のオプションが必要になる場合があります。たとえば、設定が複雑でバックアップ、コピーアプリケーションがスパースファイルを正しく処理しない場合、ファイルはサイズが 400 GB であるかのようにコピーされます。この動作により、パフォーマンスの問題が発生する可能性があります。

この問題を回避するには、以下を実行します。

  • 標準パッケージの場合は、そのドキュメントを参照して、スパースファイルを処理するオプションを特定します。
  • カスタムアプリケーションの場合、/var/log/lastlog などのスパースファイルを正しく管理できることを確認してください。

(JIRA:RHELPLAN-59111)

5.7.10. デスクトップ

ソフトウェアリポジトリーからの flatpak リポジトリーの無効化ができません。

現時点で、GNOME Software ユーティリティーの Software Repositories ツールで flatpak リポジトリーを無効化または削除することはできません。

(BZ#1668760)

ドラッグアンドドロップが、デスクトップとアプリケーション間で機能しません。

gnome-shell-extensions パッケージのバグにより、ドラッグアンドドロップ機能は現在、デスクトップとアプリケーションの間では機能しません。この機能のサポートは、今後のリリースで追加される予定です。

(BZ#1717947)

Generation 2 の RHEL 8 仮想マシンが Hyper-V Server 2016 ホストで起動できない場合があります。

Microsoft Hyper-V Server 2016 ホストで実行している仮想マシンで RHEL 8 をゲストオペレーティングシステムとして使用すると、仮想マシンが起動しなくなり、GRUB ブートメニューに戻る場合があります。さらに、以下のエラーが Hyper-V イベントログに記録されます。

The guest operating system reported that it failed with the following error code: 0x1E

このエラーは、Hyper-V ホストの UEFI ファームウェアバグが原因で発生します。この問題を回避するには、Hyper-V Server 2019 をホストとして使用します。

(BZ#1583445)

5.7.11. グラフィックインフラストラクチャー

radeon がハードウェアを適切なハードウェアリセットに失敗します。

現在、radeon カーネルドライバーは、kexec コンテキストでハードウェアを正しくリセットしません。代わりに radeon がフェイルオーバーします。これにより、kdump サービスの残りの部分が失敗します。

この問題を回避するには、/etc/kdump.conf ファイルに以下の行を追加して、kdumpradeon を無効にします。

dracut_args --omit-drivers "radeon"
force_rebuild 1

マシンと kdump を再起動します。kdumpの起動後、設定ファイルから force_rebuild 1 行が削除される可能性があります。

このシナリオでは、kdump 中にグラフィックは利用できませんが、kdump は正常に動作します。

(BZ#1694705)

1 つの MST トポロジーで複数の HDR ディスプレイを使用すると、電源が入らないことがあります。

nouveau ドライバーの NVIDIA Turing GPUs を使用するシステムで、DisplayPort ハブ (ラップトップのドックなど) を使用して HDR プラグインのサポートがあるモニターを複数接続すると、電源が入らないことがあります。これは、全ディスプレイをサポートする帯域幅がハブ上にないと、システムが誤って判断してしまうことが原因で発生します。

(BZ#1812577)

sudo コマンドを使用してグラフィカルアプリケーションを実行できません。

権限が昇格されたユーザーで、グラフィカルアプリケーションを実行しようとすると、エラーメッセージが表示され、アプリケーションを開くことができません。この障害は、 Xauthority ファイルで、通常ユーザーの認証情報を使用して認証するように、Xwayland に制限が加えられているため発生します。

この問題を回避するには、sudo -E コマンドを使用して、root ユーザーとしてグラフィカルアプリケーションを実行します。

(BZ#1673073)

VNC Viewer が、IBM Z で 16 ビットのカラーデプスで誤った色を表示

VNC Viewer アプリケーションは、16 ビットのカラーデプスで IBM Z サーバーの VNC セッションに接続すると、誤った色を表示します。

この問題を回避するには、VNC サーバーで 24 ビットのカラーデプスを設定します。Xvnc サーバーの場合は、Xvnc 設定で -depth 16 オプションを -depth 24 に置き換えます。

その結果、VNC クライアントで色が正しく表示されますが、サーバーでは、より多くのネットワーク帯域幅が使用されます。

(BZ#1886147)

ARM でハードウェアアクセラレーションがサポートされない

組み込みグラフィックドライバーは、64 ビット ARM アーキテクチャー上のハードウェアアクセラレーションまたは Vulkan API に対応していません。

ARM でハードウェアアクセラレーションまたは Vulkan を有効にするには、プロプライエタリーの Nvidia ドライバーをインストールします。

(JIRA:RHELPLAN-57914)

NVIDIA Ampere で RHEL インストーラーが応答しなくなる

RHEL 8.3.0 は、NVIDIA Ampere GPU に対応していません。NVIDIA Ampere GPU を持つシステムで RHEL のインストールを開始すると、インストーラーは応答しなくなります。したがって、インストールは正常に完了できません。

NVIDIA Ampere ファミリーには以下の GPU モデルが含まれます。

  • GeForce RTX 3060 Ti
  • GeForce RTX 3070
  • GeForce RTX 3080
  • GeForce RTX 3090
  • RTX A6000
  • NVIDIA A40
  • NVIDIA A100
  • NVIDIA A100 80GB

この問題を回避するには、nouveau グラフィックドライバーを無効にして、テキストモードで RHEL をインストールします。

  1. インストーラーのブートメニューに対して起動します。
  2. カーネルコマンドラインに nouveau.modeset=0 オプションを追加します。

    詳細は「 起動オプションの編集」を 参照してください。

  3. システムに RHEL をインストールします。
  4. 新たにインストールした RHEL で起動します。起動メニューで、カーネルコマンドラインに nouveau.modeset=0 オプションを追加します。
  5. nouveau ドライバーを永続的に無効にします。

    # echo 'blacklist nouveau' >> /etc/modprobe.d/blacklist.conf

これにより、インストールは正常に終了し、RHEL がテキストモードで実行されるようになりました。

オプションで、プロプライエタリー NVIDIA GPU ドライバーをインストールして、グラフィックを有効にできます。手順は「 RHEL 8 に NVIDIA プロプライエタリードライバーをインストールする方法」を参照して ください。

(BZ#1903890)

5.7.12. Web コンソール

非特権ユーザーがサブスクリプションページにアクセスできます。

管理者以外のユーザーが Web コンソールの サブスクリプションページ に移動すると、Web コンソールでは、Cockpit had an unexpected internal error (Cockpit に予期しない内部エラーが発生しました) という一般的なエラーメッセージが表示されます。

この問題を回避するには、権限のあるユーザーで Web コンソールにサインインし、Reuse my password for privileged tasks チェックボックスをチェックします。

(BZ#1674337)

5.7.13. Red Hat Enterprise Linux システムロール

システムロールロギングでは、oVirt 入力および elasticsearch 出力機能に対応していません。

システムロールロギングでは、oVirt 入力と elasticsearch の出力はサポートされていませんが、README ファイルで説明されています。現在利用できる回避策はありません。

(BZ#1889468)

5.7.14. 仮想化

QXL で、Wayland を使用する仮想マシンの複数のモニターを表示できません。

remote-viewer ユーティリティーを使用して、Wayland ディスプレイサーバーを使用している仮想マシンのモニターを複数表示すると、仮想マシンが応答しなくなり、Waiting for display というステータスメッセージが永久に表示されます。

この問題を回避するには、Wayland を使用する仮想マシンの GPU デバイスとして qxl の代わりに virtio-gpu を使用します。

(BZ#1642887)

virsh iface-\* コマンドが一貫して動作しません。

現在、virsh iface-* コマンド (virsh iface-startvirsh iface-destroy など) は、設定の依存関係が原因で頻繁に失敗します。したがって、ホストネットワーク接続の設定および管理には virsh iface-\* コマンドを使用しないことが推奨されます。代わりに、NetworkManager プログラムとその関連管理アプリケーションを使用します。

(BZ#1664592)

多数の virtio-blk ディスクを使用すると、仮想マシンが起動しないことがあります。

多数の virtio-blk デバイスを仮想マシンに追加すると、プラットフォームで利用可能な割り込みベクトルの数が使い切られる可能性があります。これが発生すると、仮想マシンのゲスト OS は起動できず、dracut-initqueue[392]: Warning: Could not boot エラーが表示されます。

(BZ#1719687)

virtio-blk を使用して仮想マシンに LUN デバイスを割り当てると機能しません。

q35 マシンタイプは、移行用の virtio 1.0 デバイスをサポートしないため、RHEL 8 では virtio 1.0 で非推奨となった機能はサポートされません。特に、RHEL 8 ホストで virtio-blk デバイスから SCSI コマンドを送信することはできません。したがって、virtio-blk コントローラーを使用する場合は、物理ディスクを LUN デバイスとして仮想マシンに割り当てると失敗します。

物理ディスクをゲストオペレーティングシステムを通して渡すことは引き続き可能ですが、device='lun' オプションではなく、device='disk' オプションで設定する必要があることに留意してください。

(BZ#1777138)

ホストで TSX が無効になっていると、Cooperlake を使用する仮想マシンを起動できません。

現在、ホストで TSX CPU フラグが無効化されている場合、Cooperlake CPU モデルを使用する仮想マシンは起動に失敗します。代わりに、ホストに以下のエラーメッセージが表示されます。

the CPU is incompatible with host CPU: Host CPU does not provide required features: hle, rtm

このようなホストで仮想マシンが Cooperlake を使用できるようにするには、VM の XML 設定の VM 設定で HLE、RTM、および TAA_NO のフラグを無効化します。

<feature policy='disable' name='hle'/>
<feature policy='disable' name='rtm'/>
<feature policy='disable' name='taa-no'/>

(BZ#1860743)

仮想マシンが、Witherspoon ホストで起動できないことがあります。

pseries-rhel7.6.0-sxxm マシンタイプを使用すると、DD 2.2 または DD 2.3 CPU を使用する Power9 S922LC for HPC ホストで起動できない場合があります。

代わりに仮想マシンを起動しようとすると、以下のエラーメッセージが出力されます。

qemu-kvm: Requested safe indirect branch capability level not supported by kvm

この問題を回避するには、次のように仮想マシンの XML 設定を構成します。

<domain type='qemu' xmlns:qemu='http://libvirt.org/schemas/domain/qemu/1.0'>
  <qemu:commandline>
    <qemu:arg value='-machine'/>
    <qemu:arg value='cap-ibs=workaround'/>
  </qemu:commandline>

(BZ#1732726)

5.7.15. クラウド環境の RHEL

Azure NV6 インスタンスにおける GPU の問題。

Microsoft Azure NV6 インスタンス上で RHEL 8 をゲストオペレーティングシステムとして実行している場合、ハイバネートから仮想マシン (VM) を再開すると、VM の GPU が正しく機能しなくなることがあります。これが発生すると、カーネルは以下のメッセージをログに記録します。

hv_irq_unmask() failed: 0x5

(BZ#1846838)

Azure および Hyper-V で kdump が起動しないことがあります。

Microsoft Azure または Hyper-V ハイパーバイザーでホストされている RHEL 8 ゲストオペレーティングシステムでは、実行後通知が有効な場合に kdump カーネルの起動が失敗することがあります。

この問題を回避するには、crash kexec post notifiers を無効にします。

# echo N > /sys/module/kernel/parameters/crash_kexec_post_notifiers

(BZ#1865745)

VMWare ホストの RHEL 8 仮想マシンで静的 IP を設定できませんでした。

現在、VMWare ホストで RHEL 8 を仮想マシンのゲストオペレーティングシステムとして使用すると、DatasourceOVF 機能は正しく機能しません。これにより、cloud-init ユーティリティーを使用して仮想マシンのネットワークを静的 IP に設定し、仮想マシンを再起動すると、仮想マシンのネットワークが DHCP に変更されます。

(BZ#1750862)

特定の NIC を搭載した RHEL 8 仮想マシンの Azure のリモートマシンへのコアダンプには、予想よりも長い時間がかかっていました。

現在、kdump ユーティリティーを使用した、Microsoft Azure ハイパーバイザー上の RHEL 8 仮想マシンのコアダンプファイルのリモートマシンへの保存は、仮想マシンがネットワークアクセラレーションを有効化して NIC を使用している場合は適切に動作しません。これにより、ダンプファイルは即座にではなく、約 200 秒後に保存されます。さらに、ダンプファイルを保存する前に、以下のエラーメッセージがコンソールに記録されます。

device (eth0): linklocal6: DAD failed for an EUI-64 address

(BZ#1854037)

仮想マシンがハイバネートから再開した後にTX/RX パケットカウンターが増加しない

TX/RX パケットカウンターは、CX4 VF NIC を使用する RHEL 8 仮想マシンが Microsoft Azure でハイバネートから再開すると、増加しなくなります。カウンターが機能し続けるには、仮想マシンを再起動します。これを実行するとカウンターがリセットされることに注意してください。

(BZ#1876527)

RHEL 8 仮想マシンが Azure でハイバネートから再開できない

Virtual Function(VF)、vmbus デバイス、vmbus デバイス の GUID は、SR-IOV が有効になっている RHEL 8 仮想マシンが Microsoft Azure でハイバネートされて割り当て解除されると変更されます。このため、仮想マシンが再起動すると、再開に失敗してクラッシュします。回避策として、Azure シリアルコンソールを使用して仮想マシンのハードリセットを行います。

(BZ#1876519)

RHEL 7-ALT ホストから RHEL 8 への POWER9 ゲストの移行に失敗する

現在のリリースでは、RHEL 7-ALT ホストシステムから RHEL 8 に POWER9 仮想マシンを移行すると、「Migration status: active」のステータスで応答がなくなります。

この問題を回避するには、RHEL 7-ALT ホストで Transparent Huge Pages (THP) を無効にすることで、移行が正常に完了します。

(BZ#1741436)

5.7.16. サポート関連

redhat-support-toolFUTURE 暗号化ポリシーを使用すると機能しません。

カスタマーポータル API の証明書が使用する暗号化キーは FUTURE のシステム全体の暗号化ポリシーが定義する要件を満たさないので、現時点で redhat-support-tool ユーティリティーは、このポリシーレベルでは機能しません。

この問題を回避するには、カスタマーポータル API への接続中に DEFAULT 暗号化ポリシーを使用します。

(BZ#1802026)

5.7.17. コンテナー

UDICA が 1.0 の安定したストリームと連携するように想定されていません。

UDICA (コンテナーの SELinux ポリシーを生成するツール ) は、container-tools:1.0 モジュールストリームの podman 1.0.x で実行されるコンテナーで機能するように想定されていません。

(JIRA:RHELPLAN-25571)

podman system connection add does not configure the default connection (podman system connection add がデフォルト接続を自動的に設定しない)

podman system connection add コマンドでは、最初の接続がデフォルト接続になるように自動的に設定されません。デフォルトの接続を設定するには、podman system connection default <connection_name> コマンドを手動で実行する必要があります。

(BZ#1881894)

第6章 国際化

6.1. Red Hat Enterprise Linux 8 の多言語

Red Hat Enterprise Linux 8 は、複数の言語のインストールと、要件に応じた言語の変更に対応します。

  • 東アジア言語 - 日本語、韓国語、簡体字中国語、および繁体字中国語。
  • ヨーロッパ言語 - 英語、ドイツ語、スペイン語、フランス語、イタリア語、ポルトガル語、およびロシア語。

次の表は、さまざまな主要言語に提供されるフォントと入力方法を示しています。

言語デフォルトフォント (フォントパッケージ)入力メソッド

英語

dejavu-sans-fonts

 

フランス語

dejavu-sans-fonts

 

ドイツ語

dejavu-sans-fonts

 

イタリア語

dejavu-sans-fonts

 

ロシア語

dejavu-sans-fonts

 

スペイン語

dejavu-sans-fonts

 

ポルトガル語

dejavu-sans-fonts

 

簡体字中国語

google-noto-sans-cjk-ttc-fonts、google-noto-serif-cjk-ttc-fonts

ibus-libpinyin、libpinyin

繁体字中国語

google-noto-sans-cjk-ttc-fonts、google-noto-serif-cjk-ttc-fonts

ibus-libzhuyin、libzhuyin

日本語

google-noto-sans-cjk-ttc-fonts、google-noto-serif-cjk-ttc-fonts

ibus-kkc、libkkc

韓国語

google-noto-sans-cjk-ttc-fonts、google-noto-serif-cjk-ttc-fonts

ibus-hangul、libhangul

6.2. RHEL 8 における国際化の主な変更点

RHEL 8 では、RHEL 7 の国際化に以下の変更が加えられています。

  • Unicode 11 コンピューティングの業界標準のサポートが追加されました。
  • 国際化は複数のパッケージで配布され、より小さなフットプリントのインストールを可能にします。詳細は、「言語パックの使用 」を参照してください。
  • 多くの glibc ロケールが Unicode Common Locale Data Repository (CLDR) と同期されています。

付録A コンポーネント別のチケットリスト

本書には Bugzilla と JIRA ID が記載されています。一般にアクセス可能な Bugzilla バグには、チケットへのリンクが含まれます。

コンポーネントチケット

389-ds-base

BZ#1816862, BZ#1638875, BZ#1728943

NetworkManager

BZ#1814746, BZ#1626348

anaconda

BZ#1665428, BZ#1775975, BZ#1630299, BZ#1823578, BZ#1672405, BZ#1644662, BZ#1745064, BZ#1821192, BZ#1822880, BZ#1862116, BZ#1890261, BZ#1891827, BZ#1691319, BZ#1931069

apr

BZ#1819607

authselect

BZ#1654018

bcc

BZ#1837906

bind

BZ#1818785

buildah-container

BZ#1627898

buildah

BZ#1806044

clevis

BZ#1716040, BZ#1818780, BZ#1436735, BZ#1819767

cloud-init

BZ#1750862

cloud-utils-growpart

BZ#1846246

cockpit-session-recording

BZ#1826516

cockpit

BZ#1710731, BZ#1666722

corosync-qdevice

BZ#1784200

crun

BZ#1841438

crypto-policies

BZ#1832743, BZ#1660839

cyrus-sasl

BZ#1817054

distribution

BZ#1815402, BZ#1657927

dnf

BZ#1793298, BZ#1832869, BZ#1842285

elfutils

BZ#1804321

fapolicyd

BZ#1897090, BZ#1817413, BZ#1714529

fence-agents

BZ#1830776, BZ#1775847

firewalld

BZ#1790948, BZ#1682913, BZ#1809225, BZ#1817205, BZ#1809636

freeradius

BZ#1672285, BZ#1859527, BZ#1723362

gcc-toolset-10-gdb

BZ#1838777

gcc

BZ#1784758

gdb

BZ#1659535

git

BZ#1825114

glibc

BZ#1812756, BZ#1743445, BZ#1783303, BZ#1642150, BZ#1810146, BZ#1748197, BZ#1774115, BZ#1807824, BZ#1757354, BZ#1836867, BZ#1780204, BZ#1821531, BZ#1784525

gnome-session

BZ#1739556

gnome-shell-extensions

BZ#1717947

gnome-shell

BZ#1724302

gnome-software

BZ#1668760

gnutls

BZ#1677754, BZ#1789392, BZ#1849079, BZ#1855803

go-toolset

BZ#1820596

gpgme

BZ#1829822

grafana-container

BZ#1823834

grafana-pcp

BZ#1807099

grafana

BZ#1807323

grub2

BZ#1583445

httpd

BZ#1209162

initial-setup

BZ#1676439

ipa-healthcheck

BZ#1852244

ipa

BZ#1816784, BZ#1810154, BZ#913799, BZ#1651577, BZ#1851139, BZ#1664719, BZ#1664718

iperf3

BZ#1665142, BZ#1700497

jss

BZ#1821851

kernel-rt

BZ#1818138

kernel

BZ#1758323, BZ#1812666, BZ#1793389, BZ#1694705, BZ#1748451, BZ#1654962, BZ#1792125, BZ#1708456, BZ#1812577, BZ#1757933, BZ#1847837, BZ#1666538, BZ#1666538, BZ#1602962, BZ#1609288, BZ#1730502, BZ#1806882, BZ#1660290, BZ#1846838, BZ#1865745, BZ#1868526, BZ#1884857, BZ#1854037, BZ#1876527, BZ#1876519, BZ#1823764, BZ#1822085, BZ#1735611, BZ#1281843, BZ#1828642, BZ#1825414, BZ#1761928, BZ#1791041, BZ#1796565, BZ#1834769, BZ#785085, BZ#1735611, BZ#1688, BZ#1825414, BZ#151642, BZ#1010 BZ#1501618, BZ#1495358, BZ#1633143, BZ#1503672, BZ#1570255, BZ#1696451, BZ#1348508, BZ#1778762, BZ#1839311, BZ#1783396, BZ#1665295, BZ#1658840, BZ#1660627, BZ#1569610

krb5

BZ#1791062, BZ#1784655, BZ#1820311, BZ#1802334, BZ#1877991

libbpf

BZ#1759154

libcap

BZ#1487388

libdb

BZ#1670768

libffi

BZ#1723951

libgnome-keyring

BZ#1607766

libkcapi

BZ#1683123

libmaxminddb

BZ#1642001

libpcap

BZ#1806422

libreswan

BZ#1544463, BZ#1820206

libseccomp

BZ#1770693

libselinux-python-2.8-module

BZ#1666328

libssh

BZ#1804797

libvirt

BZ#1664592, BZ#1528684

lldb

BZ#1841073

llvm-toolset

BZ#1820587

llvm

BZ#1820319

lshw

BZ#1794049

lvm2

BZ#1496229, BZ#1768536, BZ#1598199, BZ#1541165, JIRA:RHELPLAN-39320

mariadb

BZ#1942330

memcached

BZ#1809536

mesa

BZ#1886147

microdnf

BZ#1781126

mod_http2

BZ#1814236

nfs-utils

BZ#1817756, BZ#1592011

nginx

BZ#1668717, BZ#1826632

nmstate

BZ#1674456

nss_nis

BZ#1803161

nss

BZ#1817533, BZ#1645153

opencryptoki

BZ#1780293

openmpi

BZ#1866402

opensc

BZ#1810660

openscap

BZ#1803116, BZ#1870087, BZ#1795563, BZ#1824152, BZ#1829761

openssh

BZ#1744108

openssl

BZ#1685470, BZ#1810911

oscap-anaconda-addon

BZ#1816199, BZ#1665082, BZ#1674001, BZ#1691305, BZ#1787156, BZ#1843932, BZ#1834716

pacemaker

BZ#1828488, BZ#1784601, BZ#1837747, BZ#1718324

papi

BZ#1807346, BZ#1664056, BZ#1726070

pcp-container

BZ#1497296

pcp

BZ#1792971

pcs

BZ#1817547, BZ#1684676, BZ#1839637, BZ#1619620

perl-5.30-module

BZ#1713592

perl-IO-Socket-SSL

BZ#1824222

perl-libwww-perl

BZ#1781177

php

BZ#1797661

pki-core

BZ#1729215, BZ#1868233, BZ#1770322, BZ#1824948

podman

BZ#1804193, BZ#1881894, BZ#1627899

powertop

BZ#1783110

pykickstart

BZ#1637872

python38

BZ#1847416

qemu-kvm

BZ#1719687, BZ#1860743, JIRA:RHELPLAN-45901, BZ#1651994

rear

BZ#1843809, BZ#1729502, BZ#1743303

redhat-support-tool

BZ#1802026

resource-agents

BZ#1814896

rhel-system-roles-sap

BZ#1844190, BZ#1660832

rhel-system-roles

BZ#1889468, BZ#1822158, BZ#1677739

rpm

BZ#1688849

rsyslog

BZ#1659383, JIRA:RHELPLAN-10431, BZ#1679512, BZ#1713427

ruby-2.7-module

BZ#1817135

ruby

BZ#1846113

rust-toolset

BZ#1820593

samba

BZ#1817557, JIRA:RHELPLAN-13195

scap-security-guide

BZ#1843913, BZ#1858866, BZ#1750755, BZ#1760734, BZ#1832760, BZ#1815007

scap-workbench

BZ#1640715

selinux-policy

BZ#1826788, BZ#1746398, BZ#1776873, BZ#1772852, BZ#1641631, BZ#1860443

setools

BZ#1820079

skopeo-container

BZ#1627900

smartmontools

BZ#1671154

spice

BZ#1849563

squid

BZ#1829467

sssd

BZ#1827615, BZ#1793727

stratis-cli

BZ#1734496

stunnel

BZ#1808365

subscription-manager

BZ#1674337

sudo

BZ#1786990

systemtap

BZ#1804319

tang

BZ#1716039

tcpdump

BZ#1804063

tigervnc

BZ#1806992

tpm2-tools

BZ#1789682

tuned

BZ#1792264, BZ#1840689, BZ#1746957

udica

BZ#1763210

usbguard

BZ#1738590, BZ#1667395, BZ#1683567

valgrind

BZ#1804324

wayland

BZ#1673073

xdp-tools

BZ#1880268, BZ#1820670

xorg-x11-drv-qxl

BZ#1642887

xorg-x11-server

BZ#1698565

yum

BZ#1788154

その他

JIRA:RHELPLAN-45950, JIRA:RHELPLAN-57572, BZ#1640697, BZ#1659609, BZ#1687900, BZ#1697896, BZ#1790635, BZ#1823398, BZ#1757877, JIRA:RHELPLAN-25571, BZ#1777138, JIRA:RHELPLAN-27987, JIRA:RHELPLAN-28940, JIRA:RHELPLAN-34199, JIRA:RHELPLAN-57914, BZ#1897383, BZ#1900019, BZ#1839151, BZ#1780124, JIRA:RHELPLAN-42395, BZ#1889736, BZ#1842656, JIRA:RHELPLAN-45959, JIRA:RHELPLAN-45958, JIRA:RHELPLAN-45957, JIRA:RHELPLAN-45956, JIRA:RHELPLAN-45945, JIRA:RHELPLAN-45939, JIRA:RHELPLAN-45939, JIRA:RHELPLAN-45937, JIRA:RHELPLAN-45936, JIRA:RHELPLAN-45930, JIRA:RHELPLAN-45926, JIRA:RHELPLAN-45922, JIRA:RHELPLAN-45920, JIRA:RHELPLAN-45920, JIRA:RHELPLAN ALWAYS6, JIRA:RHELPLAN OBSERVED5, JIRA:RHELPLAN-4591, JIRA:RHELPLAN-45920, JIRA:RHELPLAN, JIRA:RHELPLAN, JIRA:RHELPLAN, JIRA:RHELPLAN, JIRA:RHELPLAN, JIRA:RHELPLAN,PLAN, JIRA:RHELPLAN, JIRA-RHELPLAN, JIRA-RHELPLAN, JIRA:RHELPLAN-RHELPLAN, JIRA-RHELPLAN, JIRA:RHELPLAN, JIRA:RHELPLAN,RHELPLAN,RHELPLAN, JIRA,RHELPLAN, JIRA:RHELPLAN, JIRA:RHELPLAN, JIRA:RHELPLAN,RHELPLAN,RHELPLAN , https://bugzilla.redhat.com/show_bug.cgi?id=1866695 JIRA:RHELPLAN,RHELPLAN, JIRA:RHELPLAN,PLAN, JIRA:RHELPLAN,PLAN, JIRA:RHELPLAN-4590 JIRA:RHELPLAN-30878, JIRA:RHELPLAN-37517, JIRA:RHELPLAN-55009, JIRA:RHELPLAN-42396, BZ# 1836211, JIRA:RHELPLAN-57564, JIRA:RHELPLAN-57567, BZ#189RUN , https://bugzilla.redhat.com/show_bug.cgi?id=1812552 JIRA:RHELPLAN-40234 , JIRA:RHELPLAN-6676, JIRA:RHELPLAN-14754, JIRA:RHELPLAN-51289 , BZ# 1893174, BZ# 1690207, JIRA:RHELPLAN-07 , BZ

付録B 改訂履歴

0.2-6

2021 年 7 月 9 日(金)Lucie Maňásková(mailto:lmanasko@redhat.com)

0.2-5

2021 年 6 月 23 日(水)Lucie Maňásková(lmanasko@redhat.com)

  • BZ#1922488 (Desktop)の AlternateTab の削除に関する情報を追加。
0.2-4

2021 年 5 月 21 日(金)Lenka Špačková(lspackova@redhat.com)

  • 概要 で OS 変換に関する情報を更新。
0.2-3

2021 年 5 月 20 日(木)Lenka Špačková(lspackova@redhat.com)

  • 既知の問題 BZ#1942330( Dynamic プログラミング言語、Web およびデータベースサーバー)への回避策が追加されました。
0.2-2

Fri May 14 2021, Lucie Maňásková (lmanasko@redhat.com)

0.2-1

2021 年 4 月 19 日(月)Lenka Špačková(lspackova@redhat.com)

  • 既知の問題 BZ#1942330( Dynamic プログラミング言語、Web およびデータベースサーバー)を追加。
0.2-0

2021 年 4 月 13 日(火)Lenka Špačková(lspackova@redhat.com)

  • 既知の問題の追加(インストーラーおよびイメージの作成)
0.1-9

2021 年 4 月 6 日(火)Lenka Špačková(lspackova@redhat.com)

  • サポートされるアーキテクチャーの一覧が改善
0.1-8

2021 年 3 月 31 日(水)Lenka Špačková(lspackova@redhat.com)

  • サポートされる Convert2RHEL ユーティリティーの可用性で OS 変換に関する情報を更新。
0.1-7

Mon Mar 29 2021, Lucie Maňásková (lmanasko@redhat.com)

  • 新機能セクションを更新(Kernel)。
0.1-6

2021 年 2 月 25 日(木)Lenka Špačková(lspackova@redhat.com)

  • CentOS Linux 名が修正されました。
0-1-5

Tue Feb 23 2021, Lucie Maňásková (lmanasko@redhat.com)

  • 既知の問題(Identity Management)を追加します。
  • RHEL 8.3.1 セクションに、podman ユーティリティーリベースに関する注記を追加します。
0-1-4

2021 年 2 月 18 日(木)Jaroslav Klech(jklech@redhat.com)

  • 既知の問題(Kernel)を追加します。
  • 機能強化のリンクの修正(Kernel)。
0-1-3

2021 年 2 月 16 日(火)Lenka Špačková(lspackova@redhat.com)

  • 『 Red Hat Enterprise Linux 8.3.1 リリースノート』も併せて参照してください。
  • RHBA-2021:0569 』の「概要」のインプレースアップグレードセクションを更新します。
0-1-2

Fri Feb 12 2021, Lucie Maňásková (lmanasko@redhat.com)

  • 既知の問題 (Security、Installer) を 2 つ追加。
0-1-1

2021 年 2 月 10 日(水)Lucie Maňásková(lmanasko@redhat.com)

  • 既知の問題 (仮想化) を追加。
0-1-0

2021 年 2 月 3 日(水)Lenka Špačková(lspackova@redhat.com)

  • ip パラメーター(Networking)でカーネルコマンドラインのネットワーク設定に関する注意事項を追加。
  • 非推奨のパッケージに mercurial を追加しました。
  • Witherspoon ホスト (Virtualization) に関連する既知の問題を追加。
0-0-9

Fri Jan 29 2021, Lucie Maňásková (lmanasko@redhat.com)

  • 新しいバグ修正の説明 (Security) を追加。
  • mailman パッケージ(ソフトウェア管理)の非推奨に関する注意書きを追加しました。
  • 新機能のセクション (セキュリティー、Identity Management) を更新。
  • systemd-resolved サービスに関するテクノロジープレビューの注記を追加。
  • その他のマイナー更新
0.0-8

2020 年 12 月 14 日(月)Lucie Maňásková(lmanasko@redhat.com)

  • 既知の問題およびバグ修正のセクションを更新。
0.0-7

2020 年 11 月 27 日(金)Lucie Maňásková(lmanasko@redhat.com)

  • fapolicyd (Security)の問題のバグ修正を追加。
  • バグ修正のセクションを追加更新。
  • 非推奨になる Podman varlink ベースの REST API V1 (コンテナー) に関する注記を追加。
  • 新機能セクションを更新。
  • lorax-composer バックエンドから新しい osbuild-composer バックエンド(Image Builder)に Blueprint を複製する既知の問題を新たに追加。
0.0-6

2020 年 11 月 20 日(金)Lucie Maňásková(lmanasko@redhat.com)

  • OpenSCAP バグ修正の説明 (Security) を追加。
  • 新機能セクション (ソフトウェア管理) を更新。
0.0-5

2020 年 11 月 18 日(水)Lenka Špačková(lspackova@redhat.com)

  • Oracle Linux または CentOS Linux から RHEL への移行(概要)に関する情報を追加。
0.0-4

2020 年 11 月 12 日(木)Lenka Špačková(lspackova@redhat.com)

0.0-3

2020 年 11 月 11 日(水)Lucie Maňásková(lmanasko@redhat.com)

  • 新機能に Omni-Path Architecture (OPA) ホストソフトウェアのサポートに関する説明が追加されました。
0.0-2

2020 年 11 月 9 日(月)Lenka Špačková(lspackova@redhat.com)

  • Intel Tiger Lake グラフィックをテクノロジープレビューとして追加しました (グラフィックインフラストラクチャー)。
0.0-1

2020 年 11 月 4 日(水)Lucie Maňásková(lmanasko@redhat.com)

  • 『Red Hat Enterprise Linux 8.3 リリースノート』も併せて参照してください。
0.0-0

2020 年 7 月 28 日(火)Lucie Maňásková(lmanasko@redhat.com)

  • 『Red Hat Enterprise Linux 8.3 Beta リリースノート』をリリースしました。

このページには機械翻訳が使用されている場合があります (詳細はこちら)。