9.2 リリースノート

Image Builder Web コンソールでブループリントとイメージを作成するための新しく改良された方法

この機能強化により、イメージビルダーツールの統合バージョンにアクセスできるようになり、ユーザーエクスペリエンスが大幅に向上しました。

/etc ディレクトリーにカスタマイズされたファイルとディレクトリーを作成する機能

この機能強化により、2 つの新しいブループリントのカスタマイズが利用可能になりました。[[customizations.files]] および [[customizations.directories]] ブループリントのカスタマイズを使用すると、イメージの /etc ディレクトリーにカスタマイズされたファイルとディレクトリーを作成できます。現在、これらのカスタマイズは /etc ディレクトリーのみで使用できます。

simplified-installer イメージのブループリントでユーザーを指定する機能

以前は、簡易インストーラーイメージのブループリントを作成するときに、カスタマイズが使用されずに破棄されたため、ブループリントのカスタマイズでユーザーを指定できませんでした。今回の更新により、ブループリントからイメージを作成すると、インストール時にこのブループリントによって /usr/lib/passwd ディレクトリーにユーザーが作成され、/usr/etc/shadow ディレクトリーにパスワードが作成されます。ブループリント用に作成したユーザー名とパスワードを使用してデバイスにログインできます。システムにアクセスした後、useradd コマンドなどでユーザーを作成する必要があることに注意してください。

イメージビルダーで構築された .vhd イメージの 64 ビット ARM のサポート

以前は、イメージビルダーツールで作成された Microsoft Azure .vhd イメージは、64 ビット ARM アーキテクチャーではサポートされていませんでした。この更新プログラムでは、64 ビット ARM Microsoft Azure .vhd イメージのサポートが追加され、イメージビルダーを使用して .vhd イメージを構築し、Microsoft Azure クラウドにアップロードできるようになりました。

最小限の RHEL インストールでは、s390utils-core パッケージのみがインストールされるようになる

RHEL 8.4 以降では、s390utils-base パッケージは、s390utils-core パッケージと補助 s390utils-base パッケージに分割されています。そのため、RHEL インストールを minimal-environment に設定すると、必要な s390utils-core パッケージのみがインストールされ、補助 s390utils-base パッケージはインストールされません。最小限の RHEL インストールで s390utils-base パッケージを使用する場合は、RHEL インストールの完了後にパッケージを手動でインストールするか、キックスタートファイルを使用して s390utils-base を明示的にインストールする必要があります。

RHEL for Edge 簡略化イメージでの Ignition サポート

この機能強化により、ブループリントをカスタマイズすることによって、Ignition ファイルを簡易インストーラーイメージに追加できるようになります。GUI と CLI の両方で Ignition カスタマイズがサポートされています。RHEL for Edge は、Ignition プロビジョニングユーティリティーを使用して、ブートプロセスの初期段階でユーザー設定をイメージに挿入します。最初の起動時に、Ignition はリモート URL または簡易インストーラーイメージに埋め込まれたファイルから設定を読み取り、その設定をイメージに適用します。

簡素化されたインストーラーイメージは、ブループリントの FDO カスタマイズセクションなしで作成できるようになりました。

以前は、RHEL for Edge Simplified Installer イメージを構築するには、FIDO デバイスオンボーディング (FDO) カスタマイズセクションに詳細を追加する必要がありました。そうしないと、イメージのビルドが失敗します。この更新により、ブループリントでの FDO カスタマイズがオプションになり、エラーなしで RHEL for Edge Simplified Installer イメージをビルドできるようになりました。

RHEL for Edge イメージ用の Red Hat build of MicroShift 有効化

この機能強化により、RHEL for Edge システムで Red Hat build of MicroShift サービスを有効にすることができます。[[customizations.firewalld.zones]] ブループリントカスタマイズを使用すると、ブループリントカスタマイズに firewalld ソースのサポートを追加できます。そのためには、ゾーンの名前とその特定のゾーン内のソースのリストを指定します。ソースは、source[/mask]|MAC|ipset:ipset の形式にすることができます。

RHEL でのオフライン更新のための新しい dnf offline-upgrade コマンド

この機能強化により、DNF system-upgrade プラグインの新しい dnf offline-upgrade コマンドを使用して、オフライン更新を RHEL に適用できるようになります。

dnf offline-upgrade へのアドバイザリーセキュリティーフィルターの適用がサポートされるようになりました。

この機能強化により、アドバイザリーフィルタリングの新しい機能が追加されました。その結果、dnf offline-upgrade コマンドをアドバイザリーセキュリティーフィルター (--advisory、--security、--bugfix、およびその他のフィルター) とともに使用することにより、指定されたアドバイザリーのみからパッケージとその依存関係をダウンロードできるようになりました。

unload_plugins 関数が DNF API で使用できるようになりました。

この機能強化により、プラグインのアンロードを可能にする新しい unload_plugins 関数が DNF API に追加されました。

rpm2archive の新しい --nocompression オプション

この機能強化により、--nocompression オプションが rpm2archive ユーティリティーに追加されました。このオプションを使用すると、RPM パッケージを直接解凍するときに圧縮を回避できます。

ReaR は 64 ビット IBM Z アーキテクチャーでも完全にサポートされるようになりました。

Basic Relax and Recover (ReaR) 機能は、64 ビット IBM Z アーキテクチャーでテクノロジープレビューとして以前に利用可能でしたが、rear パッケージのバージョン 2.6-17.el9 以降で完全にサポートされています。ReaR レスキューイメージは、z/VM 環境の IBM Z アーキテクチャー上のみで作成できます。論理パーティション (LPAR) のバックアップとリカバリーは、現時点ではサポートされていません。ReaR は、Extended Count Key Data (ECKD) ダイレクトアクセスストレージデバイス (DASD) 上のみでディスクレイアウトの保存と復元をサポートします。ファイバーチャネルプロトコル (FCP) を介して接続された固定ブロックアクセス (FBA) DASD および SCSI ディスクは、この目的ではサポートされていません。現在利用可能な唯一の出力方法は、初期プログラムロード (IPL) です。これは、zIPL ブートローダーと互換性のあるカーネルと初期 RAM ディスク (initrd) を生成します。

systemd がバージョン 252 にリベース

systemd パッケージがバージョン 252 にアップグレードされました。主な変更点は、以下のとおりです。

更新された systemd-udevd が、InfiniBand インターフェイスに一貫性のあるネットワークデバイス名を割り当てる

RHEL 9 で導入された systemd パッケージの新しいバージョンには、更新された systemd-udevd デバイスマネージャーが含まれています。デバイスマネージャーは、InfiniBand インターフェイスのデフォルト名を、systemd-udevd が選択した一貫性のある名前に変更します。

chrony がバージョン 4.3 にリベースされました

chrony スイートがバージョン 4.3 に更新されました。バージョン 4.2 からの主な機能強化は、以下のとおりです。

frr がバージョン 8.3.1 にリベースされました。

動的ルーティングスタックを管理するための frr パッケージがバージョン 8.3.1 に更新されました。バージョン 8.2.2 への主な変更点は、以下のとおりです。

vsftpd がバージョン 3.0.5 にリベースされました。

Very Secure FTP Daemon (vsftpd) はホスト間でファイルを転送するセキュアな方法を提供します。vsftpd パッケージがバージョン 3.0.5 に更新されました。以下の SSL モダナイゼーションを含む変更および機能強化がおこなわれています。

frr パッケージには、ターゲットを絞った SELinux ポリシーが含まれるようになりました。

ダイナミックルーティングスタックを管理するための frr パッケージの急速な開発により、新機能とアクセスベクターキャッシュ (AVC) の問題が頻繁に発生しました。この機能強化により、SELinux ルールが FRR とともにパッケージ化され、問題に迅速に対処できるようになりました。SELinux は、必須のアクセス制御ポリシーを強制することで、パッケージに追加の保護レベルを追加します。

powertop がバージョン 2.15 にリベースされました。

エネルギー効率を向上させる powertop パッケージがバージョン 2.15 に更新されました。注目すべき変更点と機能拡張は次のとおりです。

systemd-sysusers ユーティリティーは、chrony、dhcp、radvd、および quid パッケージで使用できます。

systemd-sysusers ユーティリティーは、パッケージのインストール時にシステムユーザーとグループを作成し、パッケージの削除時にそれらを削除します。この機能強化により、次のパッケージのスクリプトレットに systemd-sysusers ユーティリティーが含まれるようになりました。

周波数同期用の新しい synce4l パッケージが利用可能になりました。

SyncE (同期イーサネット) は、PTP クロックが物理層で周波数の正確な同期を達成できるようにするハードウェア機能です。SyncE は、特定のネットワークインターフェイスカード (NIC) およびネットワークスイッチでサポートされています。

tuned がバージョン 2.20.0 にリベースされました。

アプリケーションとワークロードのパフォーマンスを最適化するための TuneD ユーティリティーがバージョン 2.20.0 に更新されました。バージョン 2.19.0 に対する主な変更点および機能強化は、以下のとおりです。

Libreswan が 4.9 にリベースされました。

libreswan パッケージがバージョン 4.9 にアップグレードされました。以前のバージョンに対する主な変更点は、以下のとおりです。

OpenSSL が 3.0.7 にリベースされました。

OpenSSL パッケージがバージョン 3.0.7 にリベースされ、さまざまなバグ修正と拡張機能が含まれています。最も注目すべき点は、デフォルトのプロバイダーに RIPEMD160 ハッシュ関数が含まれるようになった点です。

libssh がスマートカードをサポートするようになりました。

Public-Key Cryptography Standard (PKCS) #11 Uniform Resource Identifier (URI) を通じてスマートカードを使用できるようになりました。その結果、スマートカードを libssh SSH ライブラリーおよび libssh を使用するアプリケーションで使用できるようになります。

libssh が 0.10.4 にリベースされました。

セキュアなリモートアクセスとマシン間のファイル転送のための SSH プロトコルを実装する libssh ライブラリーがバージョン 0.10.4 に更新されました。

SELinux ユーザー空間パッケージが 3.5 に更新されました。

SELinux ユーザー空間パッケージ libselinux、libsepol、libsemanage、checkpolicy、mcstrans、および sepolicy ユーティリティーを含む policycoreutils がバージョン 3.5 に更新されました。以下は、主な機能強化およびバグ修正です。

OpenSCAP が 1.3.7 にリベースされました。

OpenSCAP パッケージがアップストリームバージョン 1.3.7 にリベースされました。このバージョンは、さまざまなバグ修正と機能拡張を提供します。特に、次のとおりです。

SCAP セキュリティーガイドが 0.1.66 にリベースされました。

SCAP セキュリティーガイド (SSG) パッケージがアップストリームバージョン 0.1.66 にリベースされました。このバージョンは、さまざまな拡張機能とバグ修正を提供します。特に、次のようなものがあります。

アイドルセッション終了の新しい SCAP ルール

新しい SCAP ルール logind_session_timeout が拡張レベルおよび高レベルの ANSSI-BP-028 プロファイルの scap-security-guide パッケージに追加されました。このルールは、systemd サービスマネージャーの新機能を使用し、一定時間が経過すると、アイドル状態のユーザーセッションを終了します。このルールは、複数のセキュリティーポリシーで必要とされる堅牢なアイドルセッション終了メカニズムの自動設定を提供します。その結果、OpenSCAP はアイドル状態のユーザーセッションの終了に関連するセキュリティー要件を自動的にチェックし、必要に応じて修正できます。

Rsyslog ログファイルの scap-security-guide ルールは、RainerScript ログと互換性があります。

Rsyslog ログファイルの所有権、グループ所有権、およびアクセス許可を確認および修正するための scap-security-guide のルールは、RainerScript 構文とも互換性があるようになりました。最新のシステムはすでに Rsyslog 設定ファイルで RainerScript 構文を使用していますが、それぞれのルールはこの構文を認識できませんでした。その結果、scap-security-guide ルールは、使用可能な両方の構文で、Rsyslog ログファイルの所有権、グループ所有権、およびアクセス許可をチェックして修正できるようになりました。

Keylime が 6.5.2 にリベースされました。

keylime パッケージがアップストリームバージョン keylime-6.5.2-5.el9 にリベースされました。このバージョンには、さまざまな機能強化とバグ修正が含まれていますが、特に注目すべき点は次のとおりです。

Clevis は外部トークンを受け入れます。

Clevis 自動暗号化ツールに導入された新しい -e オプションを使用すると、外部トークン ID を指定して、cryptsetup 中にパスワードを入力する必要がなくなります。この機能により、設定プロセスがより自動化され便利になり、特に Clevis を使用する stratis などのパッケージに役立ちます。

Rsyslog TLS 暗号化ログが複数の CA ファイルをサポートするようになりました。

新しい NetstreamDriverCaExtraFiles ディレクティブを使用すると、TLS 暗号化リモートログ用の追加の認証局 (CA) ファイルのリストを指定できます。新しいディレクティブは、ossl (OpenSSL) Rsyslog ネットワークストリームドライバーのみで使用できることに注意してください。

Rsyslog 権限は制限されています。

Rsyslog ログ処理システムの権限は、Rsyslog によって明示的に必要な権限のみに制限されるようになりました。これにより、ネットワークプラグインなどの入力リソースに潜在的なエラーが発生した場合のセキュリティーの危険が最小限に抑えられます。その結果、Rsyslog は同じ機能を持ちますが、不必要な権限を持ちません。

SELinux ポリシーにより、Rsyslog が起動時に権限を削除できるようになります。

Rsyslog ログ処理システムの権限は、セキュリティーの危険を最小限に抑えるためにさらに制限されているため (RHBZ#2127404)、SELinux ポリシーが更新され、rsyslog サービスが開始時に権限を削除できるようになりました。

Tang は systemd-sysusers を使用するようになりました。

Tang ネットワークプレゼンスサーバーは、useradd コマンドを含むシェルスクリプトの代わりに、systemd-sysusers サービスを通じてシステムユーザーとグループを追加するようになりました。これにより、システムユーザーリストのチェックが簡素化され、sysuser.d ファイルに優先順位を付けてシステムユーザーの定義を上書きすることもできます。

opencryptoki が 3.19.0 にリベースされました。

opencryptoki パッケージがバージョン 3.19.0 にリベースされ、多くの機能強化とバグ修正が提供されています。最も注目すべき点は、opencryptoki が次の機能をサポートするようになったということです。

SELinux は mptcpd と udftools を制限するようになりました。

selinux-policy パッケージの今回の更新により、SELinux は次のサービスを制限します。

fapolicyd は RPM データベースのフィルタリングを提供するようになりました。

新しい設定ファイル /etc/fapolicyd/rpm-filter.conf を使用すると、fapolicyd ソフトウェアフレームワークが信頼データベースに保存する RPM データベースファイルのリストをカスタマイズできます。これにより、RPM によってインストールされた特定のアプリケーションをブロックしたり、デフォルトの設定フィルターによって拒否されたアプリケーションを許可したりできます。

GnuTLS は復号化および暗号化中にパディングを追加および削除できます。

特定のプロトコルの実装では、復号化および暗号化中に PKCS#7 パディングが必要です。パディングを透過的に処理するために、gnutls_cipher_encrypt3 および gnutls_cipher_decrypt3 ブロック暗号関数が GnuTLS に追加されました。その結果、これらの関数を GNUTLS_CIPHER_PADDING_PKCS7 フラグと組み合わせて使用し、元のプレーンテキストの長さがブロックサイズの倍数でない場合にパディングを自動的に追加または削除できるようになりました。

NSS が 1023 ビット未満の RSA 鍵に対応しなくなる

Network Security Services (NSS) ライブラリーの更新により、すべての RSA 操作の最小鍵サイズが 128 から 1023 ビットに変更されます。つまり、NSS は以下の機能を実行しなくなります。

Extended Master Secret TLS エクステンションが FIPS 対応システムに適用されるようになりました。

RHSA-2023:3722 アドバイザリーのリリースにより、FIPS 対応 RHEL 9 システム上の TLS 1.2 接続に、TLS Extended Master Secret (EMS) エクステンション (RFC 7627) エクステンションが必須になりました。これは FIPS-140-3 要件に準拠しています。TLS 1.3 は影響を受けません。

NetworkManager がバージョン 1.42.2 にリベースされました。

NetworkManager パッケージがアップストリームバージョン 1.42.2 にアップグレードされ、以前のバージョンに対するバグ修正や機能強化が数多く追加されました。

NetworkManager を使用した ECMP ルーティングの weight プロパティーの導入

この更新により、RHEL 9 は、IPv4 等コストマルチパス (ECMP) ルートを定義する際の新しいプロパティーの weight をサポートします。NetworkManager を使用してマルチパスルーティングを設定し、ネットワークトラフィックの負荷分散と安定化を行うことができます。これにより、2 つのノード間のデータ送信に複数のパスを使用できるようになり、ネットワーク効率が向上し、リンク障害が発生した場合に冗長性が提供されます。weight プロパティーを使用するための条件は次のとおりです。

NetworkManager の更新により、複数のネットワークにわたる DNS 設定の柔軟性が向上しました。

この更新により、/etc/Networkmanager/NetworkManager.conf ファイルの既存の [global-dns] セクションを使用して、[global-dns-domain-*] セクションで nameserver の値を指定せずに DNS オプションを設定できるようになります。これにより、実際の DNS 解決のためにネットワーク接続によって提供される DNS サーバーに依存しながら、/etc/resolv.conf ファイルで DNS オプションを設定できます。その結果、この機能により、異なる DNS サーバーを使用して異なるネットワークに接続する際の DNS 設定の管理がより簡単かつ柔軟になります。特に、/etc/resolv.conf ファイルを使用して DNS オプションを設定する場合はそうです。

NetworkManager が新しい vlan.protocol プロパティーをサポートするようになりました。

今回の更新により、vlan インターフェイスタイプは、新しい protocol プロパティーを受け入れるようになりました。プロパティータイプは文字列です。受け入れられる値は 802.1Q (デフォルト) または 802.1ad のいずれかです。新しいプロパティーは、カプセル化のタグ識別子を制御する VLAN プロトコルを指定します。

NetworkManager で、アンマネージドインターフェイスを介した VLAN 設定が可能になりました。

この機能拡張により、NetworkManager で仮想 LAN (VLAN) を設定するときに、アンマネージドネットワークインターフェイスをベースインターフェイスとして使用できるようになります。その結果、VLAN ベースインターフェイスは、nmcli device set enp1s0 managed true コマンドまたは NetworkManager の他の API を通じて明示的に変更されないかぎり、そのまま残ります。

NetworkManager を使用したマルチパス TCP の設定が完全にサポートされるようになりました。

今回の更新で、NetworkManager ユーティリティーが Multipath TCP (MPTCP) 機能を提供するようになりました。nmcli コマンドを使用して MPTCP を制御し、その設定を永続化できます。

NetworkManager ユーティリティーは、loopback インターフェイスでの接続のアクティブ化をサポートするようになりました。

管理者は、loopback インターフェイスを管理して、以下を行うことができます。

balance-slb ボンディングモードがサポートされるようになりました。

新しい balance-slb ボンディングモードソースロードバランシングには、スイッチ設定は必要ありません。balance-slb は、xmit_hash_policy=vlan+srcmac を使用して、ソースイーサネットアドレスのトラフィックを分割し、NetworkManager はトラフィックフィルタリングに必要な nftables ルールを追加します。その結果、NetworkManager を使用して、balance-slb オプションを有効にして結合プロファイルを作成できるようになりました。

firewalld がバージョン 1.2 にリベースされました。

firewalld パッケージがバージョン 1.2 にアップグレードされ、複数の機能強化が提供されています。主な変更点は、以下のとおりです。

firewalld は起動時のフェールセーフメカニズムをサポートするようになりました。

この機能強化により、起動に失敗した場合、firewalld はフェイルセーフのデフォルトに戻ります。この機能は、無効な設定やその他の起動の問題が発生した場合にホストを保護します。その結果、ユーザー設定が無効であっても、firewalld を実行しているホストは起動時にフェイルセーフになるようになりました。

conntrack-tools がバージョン 1.4.7 にリベースされました。

conntrack-tools パッケージがバージョン 1.4.7 にアップグレードされ、複数のバグ修正と拡張機能が提供されています。主な変更点は、以下のとおりです。

nmstate API が IPv6 リンクローカルアドレスを DNS サーバーとしてサポートするようになりました。

この機能強化により、nmstate API を使用して、IPv6 link-local アドレスを DNS サーバーとして設定できるようになりました。たとえば、<link-local_address>%<interface> 形式を使用します。

nmstate API が MPTCP フラグをサポートするようになりました。

この更新では、MultiPath TCP (MPTCP) フラグのサポートにより nmstate API が強化されています。その結果、nmstate を使用して、静的または動的 IP アドレスを持つインターフェイスに MPTCP アドレスフラグを設定できます。

すべてのインターフェイスの MTU に min-mtu および max-mtu プロパティーが追加されました。

以前は、例外メッセージが明確ではなく、サポートされている MTU 範囲を理解できませんでした。この更新では、すべてのインターフェイスに min-mtu および max-mtu プロパティーが導入されます。その結果、必要な MTU が範囲外の場合、nmstate はサポートされる MTU 範囲を示します。

NetworkManager で、アンマネージドインターフェイスを介した VLAN 設定が可能になりました。

この機能拡張により、NetworkManager で仮想 LAN (VLAN) を設定するときに、アンマネージドネットワークインターフェイスをベースインターフェイスとして使用できるようになります。その結果、VLAN ベースインターフェイスは、nmcli device set enp1s0 managed true コマンドまたは NetworkManager の他の API を通じて明示的に変更されないかぎり、そのまま残ります。

balance-slb ボンディングモードがサポートされるようになりました。

新しい balance-slb ボンディングモードソースロードバランシングには、スイッチ設定は必要ありません。balance-slb は、xmit_hash_policy=vlan+srcmac を使用して、送信元イーサネットアドレス上のトラフィックを分割し、NetworkManager はトラフィックフィルタリングに必要な nftables ルールを追加します。その結果、NetworkManager を使用して、balance-slb オプションを有効にして結合プロファイルを作成できるようになりました。

Nmstate の新しい weight プロパティー

この更新では、Nmstate API およびツールスイートに weight プロパティーが導入されました。weight を使用して、Equal Cost Multi-Path (ECMP) ルートグループ内の各パスの相対的な weight を指定できます。weight は 1 - 256 の間の数値です。その結果、Nmstate の weight プロパティーにより、ECMP グループ内のトラフィック分散に対する柔軟性と制御が向上します。

xdp-tools がバージョン 1.3.1 にリベースされました。

xdp-tools パッケージがアップストリームバージョン 1.3.1 にアップグレードされ、以前のバージョンに比べて多くの機能強化とバグ修正が行われました。

iproute がバージョン 6.1.0 にリベースされました。

iproute パッケージがバージョン 6.1.0 にアップグレードされ、複数のバグ修正と拡張機能が提供されています。主な変更点は、以下のとおりです。

カーネルは、SYN フラッドメッセージにリスニングアドレスを記録するようになりました。

この機能拡張により、リスニング IP アドレスが SYN フラッドメッセージに追加されます。

VLAN インターフェイスの新しい nmstate 属性の導入

今回の nmstate フレームワークの更新により、以下の VLAN 属性が導入されました。

RHEL 9.2 のカーネルバージョン

Red Hat Enterprise Linux 9.2 は、カーネルバージョン 5.14.0-284.11.1 で配布されます。

64k ページサイズのカーネルが利用可能になりました。

4k ページをサポートする RHEL 9 for ARM カーネルに加えて、Red Hat は 64k ページをサポートするオプションのカーネルパッケージ kernel-64k を提供するようになりました。

kexec-tools の virtiofs サポートが有効になりました。

この機能拡張では、新しいオプション virtiofs myfs を導入することにより、kexec-tools の virtiofs 機能が追加されます。ここで、myfs は、qemu コマンドラインで設定する変数タグ名です (-device vhost-user-fs-pci,tag=myfs など)。

kexec-tools パッケージにリモート kdump ターゲットの機能強化が追加されました。

この機能拡張により、kexec-tools パッケージに重要なバグ修正と機能拡張が追加されました。以下は、主な変更点です。

BPF がバージョン 6.0 にリベースされました。

Berkeley Packet Filter (BPF) 機能が複数の拡張機能を備えた Linux カーネルバージョン 6.0 にリベースされました。この更新により、カーネルモジュールの BPF Type Format (BTF) に依存するすべての BPF 機能が有効になります。このような機能には、トレース用の BPF トランポリンの使用、Compile Once - Run Everywhere (CO-RE) メカニズムの可用性、および複数のネットワーク関連機能が含まれます。さらに、カーネルモジュールにはデバッグ情報が含まれるようになりました。つまり、実行中のモジュールを検査するために debuginfo パッケージをインストールする必要がなくなりました。

rtla メタツールは、トレース機能を向上させるために osnoise および timerlat トレーサーを追加します。

Real-Time Linux Analysis (rtla) は、Linux のリアルタイムプロパティーを分析する一連のコマンドを含むメタツールです。rtla は、カーネルトレース機能を利用して、予期しないシステム結果のプロパティーと根本原因に関する正確な情報を提供します。rtla は現在、osnoise および timerlat トレーサーコマンドのサポートを追加しています。

Tuna のargparse モジュールが CPU ソケットの設定をサポートするようになりました。

この機能強化により、複数の CPU ソケットがある場合に特定の CPU ソケットを指定できるようになります。サブコマンドで -h を使用すると、ヘルプの使用法を表示できます (tuna show_threads -h など)。

Tuna の cgroups と irqs の出力形式が改善され、読みやすくなりました。

この機能強化により、cgroup ユーティリティーの tuna show_threads コマンド出力が端末のサイズに基づいて構造化されるようになりました。新しい -z または --spaced オプションを show_threads コマンドに追加することで、cgroups 出力に追加のスペースを設定することもできます。

新しいコマンドラインインターフェイスがリアルタイムで tuna ツールに追加されました。

この機能拡張により、argparse 解析モジュールに基づく新しいコマンドラインインターフェイスが tuna ツールに追加されます。この更新により、次のタスクを実行できるようになりました。

rteval コマンドの出力には、プログラムのロードと測定スレッドの情報が含まれるようになりました。

rteval コマンドは、プログラムのロード数、測定スレッド、およびこれらのスレッドを実行した対応する CPU を含むレポートの概要を表示するようになりました。この情報は、特定のハードウェアプラットフォームの負荷下でのリアルタイムカーネルのパフォーマンスを評価するのに役立ちます。

レイテンシーを測定するために、-W および --bucket-width オプションが oslat プログラムに追加されました。

この機能強化により、単一バケットのレイテンシー範囲をナノ秒の精度で指定できるようになりました。1000 ナノ秒の倍数ではない幅は、ナノ秒の精度を示します。新しいオプション -W または --bucket-width を使用すると、バケット間のレイテンシー間隔を変更して、マイクロ秒未満の遅延時間内のレイテンシーを測定できます。

kdump ストレージターゲットとして有効になった NVMe/FC トランスポートプロトコル。

kdump メカニズムは、ダンプターゲットとしてファイバーチャネル (NVMe/FC) プロトコル上の Nonvolatile Memory Express (NVMe) のサポートを提供するようになりました。この更新により、カーネルクラッシュダンプファイルを NVMe/FC ストレージターゲットに保存するように kdump を設定できるようになります。

crash-utility ツールがバージョン 8.0.2 にリベースされました。

アクティブなシステム状態またはカーネルクラッシュ後の分析を行う crash-utility がバージョン 8.0.2 にリベースされました。注目すべき変更には、multiqueue(blk-mq) デバイスのサポートの追加が含まれます。dev -d または dev -D コマンドを使用すると、multiqueue(blk-mq) デバイスのディスク I/O 統計を表示できます。

openssl-ibmca がバージョン 2.3.1 にリベースされました。

64 ビット IBM Z アーキテクチャー上の IBMCA の動的 OpenSSL エンジンとプロバイダーがアップストリームバージョン 2.3.1 にリベースされました。RHEL 9 のユーザーは、OpenSSL の今後の更新との互換性を確保するために、OpenSSL プロバイダー を使用することを推奨します。エンジン 機能は OpenSSL バージョン 3 で非推奨になりました。

顧客キーを使用した Secure Execution ゲストダンプ暗号化

この新機能により、kdump ユーティリティーが機能しないシナリオで、Secure Execution ゲストのハイパーバイザー開始ダンプが KVM からカーネルクラッシュ情報を収集できるようになります。Secure Execution のハイパーバイザー開始ダンプは、IBM Z シリーズ z16 および LinuxONE Emperor 4 ハードウェア向けに設計されていることに注意してください。

リアルタイムの TSN プロトコルが ADL-S プラットフォームで有効になりました。

この機能強化により、IEEE Time Sensitive Networking (TSN) 仕様により、Intel Alder Lake S (ADL-S) プラットフォーム上のネットワーク上でのリアルタイムワークロードの時刻同期と確定的処理が可能になります。次のネットワークデバイスをサポートします。

Intel Ice ドライバーがバージョン 6.0.0 にリベースされました。

Intel ice ドライバーはアップストリームバージョン 6.0.0 にアップグレードされ、以前のバージョンに比べて多くの機能強化とバグ修正が行われました。注目すべき機能強化には次のものがあります。

GNSS モジュールのデータを書き込むオプションが利用可能になりました。

この更新では、gnss レシーバーにデータを書き込むオプションが提供されます。以前は、gnss は完全には設定できませんでした。この機能強化により、すべての gnss 機能が利用できるようになりました。

IBM zSystems のセキュアブート証明書のホスティング

IBM z16 A02/AGZ および LinuxONE Rockhopper 4 LA2/AGL 以降、ハードウェア管理コンソール (HMC) でセキュアブートを有効にしてシステムを起動するときに、Linux カーネルの検証に使用される証明書を管理できるようになりました。以下に例を示します。

zipl が 64 ビット IBM Z でのセキュアブート IPL とダンプをサポート

この更新により、zipl ユーティリティーは、64 ビット IBM Z アーキテクチャー上の Extended Count Key Data (ECKD) Direct Access Storage Devices (DASD) からの List-Directed IPL および List-Directed ダンプをサポートします。その結果、IBM Z での RHEL のセキュアブートは、ECKD タイプの DASD でも動作します。

rtla がアップストリーム kernel ソースコードのバージョン 6.6 にリベース

rtla ユーティリティーが最新のアップストリームバージョンにアップグレードされ、複数のバグ修正および機能拡張が追加されました。主な変更点は、以下のとおりです。

nvme-cli がバージョン 2.2.1 にリベースされました。

nvme-cli パッケージがバージョン 2.2.1 にアップグレードされ、複数のバグ修正と拡張機能が提供されています。主な変更点は、以下のとおりです。

libnvme がバージョン 1.2 にリベースされました。

libnvme パッケージがバージョン 1.2 にアップグレードされ、複数のバグ修正と拡張機能が提供されています。最も注目すべき変更は、libuuid ライブラリーの依存関係が削除されたことです。

Stratis はプール内で一貫したブロックサイズを強制します。

Stratis は、プール内でブロックサイズが混在しているデバイスが存在する場合に発生する可能性がある潜在的なエッジケースの問題に対処するために、プール内で一貫したブロックサイズを強制するようになりました。この機能強化により、ユーザーはプールを作成したり、プール内の既存のデバイスとは異なるブロックサイズを持つ新しいデバイスを追加したりできなくなります。その結果、プール障害のリスクが軽減されます。

Stratis プール内の既存のディスク増加のサポート。

以前は、ユーザーが RAID アレイに新しいディスクを追加すると、通常、RAID アレイのサイズが増加していました。ただし、どの場合でも、Stratis はサイズの増加を無視し、最初にプールに追加されたときに RAID アレイ上で利用可能なスペースのみを使用し続けました。その結果、Stratis は新しいデバイスを識別できず、ユーザーはプールのサイズを増やすことができませんでした。

lvreduce コマンドの機能の改善。

この機能強化により、論理ボリューム (LV) がアクティブな場合、lvreduce コマンドは、LV サイズを縮小することでその上に存在するファイルシステムが損傷するかどうかをチェックします。LV 上のファイルシステムで縮小が必要であり、lvreduce resizefs オプションが有効になっていない場合、LV は縮小されません。

statx のダイレクト I/O アライメント情報が追加されました。

この更新により、新しいマスク値 "STATX_DIOALIGN" が statx(2) 呼び出しに導入されました。この値が stx_mask フィールドに設定されている場合、stx_dio_mem_align および stx_dio_offset_align 値を要求します。これらの値は、それぞれ、ユーザーメモリーバッファーとファイルオフセットに必要なアライメント (バイト単位)、およびこのファイルのダイレクト I/O (O_DIRECT) の I/O セグメント長を示します。ファイルで直接 I/O がサポートされていない場合、両方の値は 0 になります。このインターフェイスは、RHEL9 の xfs および ext4 ファイルシステム上のファイルだけでなく、ブロックデバイスにも実装されるようになりました。

NFSv4.1 セッショントランキングの検出

この更新により、クライアントは同じサーバーおよびセッションに対して複数の接続を使用できるようになり、データ転送が高速化されます。NFS クライアントが異なる IP アドレスを持つマルチホーム NFS サーバーをマウントする場合、デフォルトでは 1 つの接続のみが使用され、残りは無視されます。パフォーマンスを向上させるために、この更新では、trunkdiscovery および max_connect マウントオプションのサポートが追加されています。これにより、クライアントは各接続をテストし、複数の接続を同じ NFSv4.1+ サーバーおよびセッションに関連付けることができます。

NFS IO サイズを TCP および RDMA の PAGE_SIZE の倍数として設定できるようになりました。

この更新により、ユーザーは TCP および RDMA 接続の NFS IO サイズを PAGE_SIZE の倍数として設定できるようになります。これにより、一部のアーキテクチャーの NFS パフォーマンスを最適化する際の柔軟性が向上します。

nfsrahead が RHEL 9 に追加されました。

nfsrahead ツールの導入により、それを使用して NFS マウントの readahead 値を変更できるため、NFS 読み取りパフォーマンスに影響を与えることができます。

新しい enable-authfile ブース設定オプション

クラスター設定でブースチケットマネージャーを使用するブース設定を作成する場合、pcs booth setup コマンドにより、新しい enable-authfile ブース設定オプションがデフォルトで有効になるようになりました。pcs booth enable-authfile コマンドを使用して、既存のクラスターでこのオプションを有効にできます。さらに、pcs status および pcs booth status コマンドは、enable-authfile の設定ミスの可能性を検出したときに警告を表示するようになりました。

pcs はリソースおよび stonith エージェントの validate-all アクションを実行できるようになりました。

リソースまたは STONITH デバイスを作成または更新するときに、--agent-validation オプションを指定できるようになりました。このオプションを使用すると、pcs は、エージェントのメタデータに基づいて pcs によって実行される検証に加えて、エージェントの validate-all アクション (利用可能な場合) を使用します。

Python 3.11 は RHEL 9 で利用可能

RHEL 9.2 では、新しいパッケージ python3.11 とそのために構築された一連のパッケージ、および ubi9/python-311 コンテナーイメージによって提供される Python 3.11 が導入されています。

nodejs:18 がバージョン 18.14 にリベースされ、npm がバージョン 9 にリベースされました。

更新された Node.js 18.14 には、npm のバージョン 8 からバージョン 9 への SemVer メジャーアップグレードが含まれています。この更新はメンテナンス上の理由から必要であり、npm 設定の調整が必要になる場合があります。

git がバージョン 2.39.1 にリベースされました。

Git バージョン管理システムがバージョン 2.39.1 に更新され、以前にリリースされたバージョン 2.31 に比べて、バグ修正、拡張機能、およびパフォーマンスが向上しました。

git-lfs がバージョン 3.2.0 にリベースされました。

Git Large File Storage (LFS) 拡張機能がバージョン 3.2.0 に更新され、以前にリリースされたバージョン 2.13 に比べて、バグ修正、拡張機能、およびパフォーマンスが向上しました。

新しいモジュールストリーム: nginx:1.22

nginx 1.22 Web およびプロキシーサーバーは、nginx:1.22 モジュールストリームとして利用できるようになりました。この更新では、以前にリリースされたバージョン 1.20 に対して、多数のバグ修正、セキュリティー修正、新機能、機能強化が提供されます。

mod_security がバージョン 2.9.6 にリベースされました。

Apache HTTP サーバーの mod_security モジュールがバージョン 2.9.6 に更新され、以前に利用可能だったバージョン 2.9.3 に新機能、バグ修正、セキュリティー修正が追加されました。

新しいパッケージ: tomcat

RHEL 9.2 では、Apache Tomcat サーバーバージョン 9 が導入されています。Tomcat は、Java Servlet および JavaServer Pages テクノロジーの公式リファレンス実装で使用されるサーブレットコンテナーです。Java Servlet および JavaServer Pages の仕様は、Java Community Process に基づいて Sun によって開発されました。Tomcat はオープンな参加型環境で開発され、Apache ソフトウェアライセンスバージョン 2.0 に基づいてリリースされています。

新しいモジュールストリーム: postgresql:15

RHEL 9.2 では、PostgreSQL 15 が postgresql:15 モジュールストリームとして導入されています。PostgreSQL 15 は、バージョン 13 に比べて多くの新機能と拡張機能を提供します。主な変更点は、以下のとおりです。

openblas がバージョン 0.3.21 にリベースされました。

OpenBLAS ライブラリーがバージョン 0.3.21 に更新されました。この更新には、IBM POWER10 プラットフォームのパフォーマンス最適化パッチが含まれています。

新しいモジュールストリーム: swig:4.1

RHEL 9.2 では、Simplified Wrapper and Interface Generator (SWIG) バージョン 4.1 が swig:4.1 モジュールストリームとして導入され、CodeReady Linux Builder (CRB) リポジトリーで利用できます。CodeReady Linux Builder リポジトリーに含まれるパッケージは、サポート対象外であることに注意してください。

新しいパッケージ: CRB リポジトリー内の jmc

RHEL 9.2 では、HotSpot JVM バージョン 8.2.0 用の JDK Mission Control (JMC) プロファイラーが導入されており、AMD および Intel 64 ビットアーキテクチャー用の CodeReady Linux Builder (CRB) リポジトリーの jmc パッケージとして利用できます。

OpenJDK サービス属性が FIPS モードで利用可能。

以前は、FIPS モードの OpenJDK で利用可能な暗号化サービスとアルゴリズムが厳格にフィルターされ、サービス属性が利用できなくなっていました。この機能強化により、これらのサービス属性が FIPS モードで使用できるようになりました。

Performance Co-Pilot がバージョン 6.0 にリベースされました。

Performance Co-Pilot (PCP) がバージョン 6.0 に更新されました。以下は、主な改善点です。

grafana がバージョン 9.0.9 にリベースされました。

grafana パッケージがバージョン 9.0.9 にリベースされました。主な変更点は、以下のとおりです。

grafana-pcp がバージョン 5.1.1 にリベースされました。

grafana-pcp パッケージがバージョン 5.1.1 にリベースされました。主な変更点は、以下のとおりです。

GCC Toolset 12 の更新

GCC Toolset 12 は最新バージョンの開発ツールを提供するコンパイラーツールセットです。このツールセットは、AppStream リポジトリーにおいて、Software Collection の形式で、Application Streams として利用できます。

更新された GCC コンパイラーが RHEL 9.2 で利用できるようになりました。

システム GCC コンパイラーバージョン 11.3.1 が更新され、アップストリームの GCC で利用可能なバグ修正および機能拡張が数多く追加されました。

LLVM Toolset がバージョン 15.0.7 にリベースされました。

LLVM Toolset がバージョン 15.0.7 に更新されました。主な変更点は、以下のとおりです。

Rust Toolset がバージョン 1.66.1 にリベースされました。

Rust Toolset がバージョン 1.66.1 に更新されました。主な変更点は、以下のとおりです。

Go Toolset がバージョン 1.19.6 にリベースされました。

Go Toolset がバージョン 1.19.6 に更新されました。主な変更点は、以下のとおりです。

tzdata パッケージには /usr/share/zoneinfo/leap-seconds.list ファイルが含まれるようになりました。

以前は、tzdata パッケージには、/usr/share/zoneinfo/leapseconds ファイルのみが同梱されていました。一部のアプリケーションは、/usr/share/zoneinfo/leap-seconds.list ファイルによって提供される代替形式に依存しているため、エラーが発生する可能性があります。

ホームディレクトリーを小文字に変換するための SSSD のサポート

この機能強化により、ユーザーのホームディレクトリーを小文字に変換するように SSSD を設定できるようになりました。これは、RHEL 環境の大文字と小文字を区別する性質とより適切に統合するのに役立ちます。/etc/sssd/sssd.conf ファイルの [nss] セクションの override_homedir オプションが %h テンプレート値を認識するようになりました。override_homedir 定義の一部として %h を使用すると、SSSD は %h をユーザーのホームディレクトリーの小文字に置き換えます。

SSSD が shadow パスワードポリシーを使用した LDAP ユーザーパスワードの変更をサポートするようになりました。

この機能強化により、/etc/sssd/sssd.conf ファイルで ldap_pwd_policy を shadow に設定すると、LDAP ユーザーは LDAP に保存されているパスワードを変更できるようになります。以前は、ldap_pwd_policy が shadow に設定されている場合、対応する shadow LDAP 属性が更新されているかどうかが明確ではないため、パスワードの変更は拒否されました。

IdM は min_lifetime パラメーターをサポートするようになる

この機能拡張により、min_lifetime パラメーターが /etc/gssproxy/*.conf ファイルに追加されました。min_lifetime パラメーターは、サービスチケットの残りの有効期間がこの値よりも短い場合にサービスチケットの更新をトリガーします。

ipapwpolicy ansible-freeipa モジュールが新しいパスワードポリシーオプションをサポートするようになりました。

この更新により、ansible-freeipa パッケージに含まれる ipapwpolicy モジュールは、追加の libpwquality ライブラリーオプションをサポートします。

IdM が ipanetgroup Ansible 管理モジュールをサポートするようになりました。

Identity Management (IdM) システム管理者は、IdM を NIS ドメインおよびネットグループと統合できます。ipanetgroup ansible-freeipa モジュールを使用すると、次のことを実現できます。

クライアントの DNS リゾルバーを指定する新しい ipaclient_configure_dns_resolver および ipaclient_dns_servers Ansible ipaclient ロール変数  

以前は、ansible-freeipa ipaclient ロールを使用して Identity Management (IdM) クライアントをインストールする場合、インストールプロセス中に DNS リゾルバーを指定できませんでした。インストール前に DNS リゾルバーを設定する必要がありました。   

ipaclient ロールを使用して IdM クライアントを OTP とともにインストールするには、Ansible コントローラーを事前に変更する必要はありません。

以前は、Ansible コントローラーの kinit コマンドは、Identity Management (IdM) クライアントのデプロイメント用のワンタイムパスワード (OTP) を取得するための前提条件でした。Red Hat Ansible Automation Platform (AAP) では、コントローラーで OTP を取得する必要性が問題でした。AAP では、krb5-workstation パッケージがデフォルトでインストールされませんでした。

IdM は、Kerberos チケットに MS-PAC 構造体の存在を適用するようになりました。

RHEL 9.2 以降、セキュリティーを向上させるために、Identity Management (IdM) および MIT Kerberos は、RHEL IdM Kerberos Distribution Center (KDC) が発行する Kerberos チケットに特権属性証明書 (MS-PAC) 構造体の存在を適用するようになりました。

FIPS 140-3 準拠のキー暗号化を有効にする KDC の新しいレルム設定テンプレート

今回の更新により、/var/kerberos/krb5kdc/kdc.conf ファイルに新しい EXAMPLE.COM レルム設定の例が提供されます。これにより、次の 2 つの変更が行われます。

設定ファイルを使用して pam_pwhistory を設定します。

この更新により、/etc/security/pwhistory.conf 設定ファイルで pam_pwhistory モジュールを設定できるようになりました。pam_pwhistory モジュールは、パスワード変更履歴を管理するために、各ユーザーの最後のパスワードを保存します。authselect にもサポートが追加され、pam_pwhistory モジュールを PAM スタックに追加できるようになりました。

IdM が新しい Active Directory 証明書マッピングテンプレートをサポートするようになりました

Active Directory (AD) ドメイン管理者は、altSecurityIdentities 属性を使用して、証明書を AD 内のユーザーに手動でマッピングできます。この属性には 6 つの値がサポートされていますが、3 つのマッピングは安全ではないと考えられています。2022 年 5 月 10 日のセキュリティー更新 の一部として、この更新プログラムがドメインコントローラーにインストールされると、すべてのデバイスが互換モードになります。証明書がユーザーに弱くマッピングされている場合、認証は期待どおりに行われますが、完全強制モードと互換性のない証明書を示す警告メッセージがログに記録されます。2023 年 11 月 14 日以降、すべてのデバイスは完全強制モードに更新され、証明書が強力なマッピング基準を満たさない場合、認証は拒否されます。

samba がバージョン 4.17.5 にリベースされました。

samba パッケージがアップストリームバージョン 4.17.5 にアップグレードされ、以前のバージョンに対するバグ修正と拡張機能が提供されています。最も注目すべき変更点:

ipa-client-install が PKINIT による認証をサポートするようになりました。

以前は、ipa-client-install はパスワードベースの認証のみをサポートしていました。この更新により、PKINIT による認証のための ipa-client-install のサポートが提供されます。

Red Hat IdM と Certificate System が EST プロトコルをサポートするようになりました。

Enrollment over Secure Transport (EST) は、RFC 7030 で指定されている新しい Certificate System サブシステム機能で、認証局 (CA) から証明書をプロビジョニングするために使用されます。EST は、/getcacerts、/simpleenroll、/simplereenroll などのサーバー側の操作を実装します。

ネガティブキャッシュの使用を強化します。

この更新により、セキュリティー識別子 (SID) によるルックアップの SSSD パフォーマンスが向上します。存在しない SID を個々のドメインのネガティブキャッシュに保存し、SID が属するドメインを要求するようになりました。

Directory Server が TLS の ECDSA 秘密キーをサポートするようになりました。

以前は、RSA より強力な暗号化アルゴリズムを使用して Directory Server 接続を保護することはできませんでした。この機能強化により、Directory Server は ECDSA キーと RSA キーの両方をサポートするようになりました。

Directory Server が検索操作の拡張ログをサポートするようになりました。

以前は、アクセスログの記録には、一部の検索操作で etime 値が非常に大きい理由が示されませんでした。このリリースでは、インデックス検索 (データベース読み取り操作) の数や各検索操作ごとのインデックス検索の全体的な継続時間などの統計のログを有効にすることができます。これらの統計レコードは、etime 値がリソースを非常に高価にする理由を分析するのに役立ちます。

NUNC_STANS エラーログレベルは、新しい 1048576 ログレベルに置き換えられました。

以前は、パスワードポリシーの問題を簡単にデバッグできませんでした。エラーログの新しいログレベル 1048576 を使用すると、次のパスワードポリシー情報を確認できるようになりました。

Directory Server ではセキュリティーログが導入されています。

問題を長期にわたって適切に追跡するために、Directory Server にはセキュリティーデータを維持する特殊なログが用意されるようになりました。セキュリティーログは、すべての情報が含まれるアクセスログと比較して、すぐには更新されず、消費するディスクリソースも少なくなりますが、セキュリティーデータを取得するために高価な解析が必要になります。

Directory Server でアーカイブされたログファイルを圧縮できるようになりました。

以前は、アーカイブされたログファイルは圧縮されていませんでした。このリリースでは、アクセス、エラー、監査、監査失敗ログ、セキュリティーログファイルの圧縮を有効にして、ディスク領域を節約できます。デフォルトではセキュリティーログファイルの圧縮のみが有効になっていることに注意してください。

新しい pamModuleIsThreadSafe 設定オプションが利用可能になりました

PAM モジュールがスレッドセーフである場合、新しい pamModuleIsThreadSafe 設定オプションを yes に設定することで、その特定のモジュールの PAM 認証のスループットと応答時間を改善できます。

Directory Server が証明書バンドルをインポートできるようになりました。

以前は、dsconf または dsctl ユーティリティーを使用して証明書バンドルを追加しようとすると、手順がエラーで失敗し、証明書バンドルはインポートされませんでした。このような動作は、一度に 1 つの証明書しかインポートできない certutil ユーティリティーが原因で発生しました。この更新により、Directory Server は certutil の問題を回避し、証明書バンドルが正常に追加されました。

デフォルトの動作の変更: Directory Server が、データベース追加時とまったく同じスペルの DN を返すようになりました。

cn=config エントリーの新しい nsslapd-return-original-entrydn パラメーターを使用すると、検索操作中に Directory Server がエントリーの識別名 (DN) を返す方法を管理できます。

MIT Kerberos はチケット署名および拡張 KDC MS-PAC 署名をサポートします

この更新により、Red Hat が使用する MIT Kerberos は、最近の CVE に対応して Microsoft が導入した、2 種類の特権属性証明書 (PAC) 署名のサポートを実装します。具体的には、次の署名がサポートされます。

Directory Server 監査ログ用の新しい nsslapd-auditlog-display-attrs 設定パラメーター

以前は、監査ログイベント内のターゲットエントリーを識別する方法は、識別名 (DN) のみでした。新しい nsslapd-auditlog-display-attrs パラメーターを使用すると、監査ログに追加の属性を表示するように Directory Server を設定できます。これにより、変更されたエントリーに関する詳細情報が提供されます。

ワークスペースを切り替えるためのスワイプを無効にします。

以前は、3 本の指で上下にスワイプすると、常にタッチスクリーン上のワークスペースが切り替わっていました。このリリースでは、ワークスペースの切り替えを無効にすることができます。

Wayland が Aspeed GPU で有効になりました。

以前は、Aspeed GPU ドライバーのパフォーマンスが十分ではなく、Wayland セッションを実行できませんでした。この問題を回避するために、Aspeed GPU に対して Wayland セッションが無効になりました。

デスクトップ上のカスタム右クリックメニュー

デスクトップの背景を右クリックしたときに開くメニューをカスタマイズできるようになりました。任意のコマンドを実行するカスタムエントリーをメニューに作成できます。

特定の暗号化サブポリシーが Web コンソールで使用できるようになりました。

RHEL Web コンソールの今回の更新により、Change crypto policy ダイアログのオプションが拡張されました。4 つのシステム全体の暗号化ポリシーに加えて、グラフィカルインターフェイスを介して次のサブポリシーも適用できるようになりました。

Web コンソールは、LUKS で暗号化されたルートボリュームを NBDE にバインドするための追加手順を実行するようになりました。

この更新により、RHEL Web コンソールは、LUKS で暗号化されたルートボリュームを Network-Bound Disk Encryption (NBDE) デプロイメントにバインドするために必要な追加の手順を実行します。暗号化されたルートファイルシステムと Tang サーバーを選択した後、カーネルコマンドラインへの rd.neednet=1 パラメーターの追加、clevis-dracut パッケージのインストール、および初期 RAM ディスク (initrd) の再生成をスキップできます。非ルートファイルシステムの場合、Web コンソールは、remote-cryptsetup.target および clevis-luks-akspass.path systemd ユニットを有効にし、clevis-systemd パッケージをインストールし、_netdev パラメーターを fstab および crypttab 設定ファイルに追加するようになりました。その結果、LUKS で暗号化されたルートボリュームの自動ロック解除のための NBDE デプロイメントを作成するときに、すべての Clevis クライアント設定手順でグラフィカルインターフェイスを使用できるようになりました。

ルーティングルールは名前でルートテーブルを検索できます。

この更新により、rhel-system-roles.network RHEL システムロールが、ルーティングルールを定義するときに名前によるルートテーブルの検索をサポートするようになりました。この機能は、ネットワークセグメントごとに異なるルーティングルールが必要な複雑なネットワーク設定を迅速にナビゲートします。

network システムロールが DNS 優先度値の設定をサポートするようになりました

この機能拡張により、RHEL network システムロールに dns_priority パラメーターが追加されました。このパラメーターは、-2147483648 から 2147483647 までの値に設定できます。デフォルト値は 0 です。値が小さいほど優先順位が高くなります。負の値を指定すると、システムロールによって、より大きな数値の優先度を持つ他の設定が除外されることに注意してください。したがって、少なくとも 1 つの負の優先度値が存在する場合、システムロールは優先度値が最も低い接続プロファイルの DNS サーバーのみを使用します。

vpn RHEL システムロールの新しい IPsec カスタマイズパラメーター

特定のネットワークデバイスを正しく動作させるには、IPsec のカスタマイズが必要なため、vpn RHEL システムロールに次のパラメーターが追加されました。

selinux RHEL システムロールが local パラメーターをサポートするようになりました

今回の selinux RHEL システムロールの更新により、local パラメーターのサポートが導入されました。このパラメーターを使用すると、ローカルポリシーの変更のみを削除し、組み込みの SELinux ポリシーを保持できます。

ha_cluster システムロールが、firewall、selinux、certificate システムロールの自動実行をサポートするようになりました

ha_cluster RHEL システムロールは、次の機能をサポートするようになりました。

postfix RHEL システムロールが、firewall および selinux RHEL システムロールを使用してポートアクセスを管理できるようになりました

この機能強化により、新しいロール変数 postfix_manage_firewall および postfix_manage_selinux を使用してポートアクセスの管理を自動化できます。

vpn RHEL システムロールが、firewall および selinux ロールを使用してポートアクセスを管理できるようになりました

この機能拡張により、firewall および selinux ロールを介した vpn RHEL システムロールでのポートアクセスの管理を自動化できます。新しいロール変数 vpn_manage_firewall および vpn_manage_selinux を true に設定すると、ロールはポートアクセスを管理します。

logging RHEL システムロールが、ポートアクセスと証明書の生成をサポートするようになりました

この機能強化により、logging ロールを使用してポートアクセスを管理し、新しいロール変数で証明書を生成できるようになります。新しいロール変数 logging_manage_firewall および logging_manage_selinux を true に設定すると、ロールはポートアクセスを管理します。証明書を生成するための新しいロール変数は、logging_certificates です。タイプと使用法は、certificate ロール certificate_requests と同じです。logging ロールを使用して、これらの操作を直接自動化できるようになりました。

metrics RHEL システムロールが、firewall および selinux ロールを使用してポートアクセスを管理できるようになりました

この機能強化により、ポートへのアクセスを制御できるようになります。新しいロール変数 metrics_manage_firewall および metrics_manage_firewall を true に設定すると、ロールはポートアクセスを管理します。metrics ロールを使用して、これらの操作を自動化し、直接実行できるようになりました。

nbde_server RHEL システムロールが、firewall および selinux ロールを使用してポートアクセスを管理できるようになりました

この機能強化により、firewall および selinux ロールを使用してポートアクセスを管理できるようになります。新しいロール変数 nbde_server_manage_firewall および nbde_server_manage_selinux を true に設定すると、ロールはポートアクセスを管理します。nbde_server ロールを使用して、これらの操作を直接自動化できるようになりました。

initscripts ネットワークプロバイダーが、デフォルトゲートウェイのルートメトリクス設定をサポートするようになりました

この更新により、rhel-system-roles.network RHEL システムロールの initscripts ネットワークプロバイダーを使用して、デフォルトゲートウェイのルートメトリクスを設定できるようになりました。

cockpit RHEL システムロールと firewall、selinux、および certificate ロールの統合

この機能拡張により、cockpit ロールを firewall ロール、ポートアクセスを管理するための selinux ロール、および証明書を生成するための 証明書 ロールと統合できるようになります。

Active Directory と直接統合するための新しい RHEL システムロール

新しい rhel-system-roles.ad_integration RHEL システムロールが rhel-system-roles パッケージに追加されました。その結果、管理者は RHEL システムと Active Directory ドメインの直接統合を自動化できるようになりました。

Red Hat Insights と Subscription Management のための新しい Ansible ロール

rhel-system-roles パッケージには、リモートホスト設定 (rhc) システムロールが含まれるようになりました。このロールにより、管理者は RHEL システムを Red Hat Subscription Management (RHSM) および Satellite サーバーに簡単に登録できるようになります。デフォルトでは、rhc システムロールを使用してシステムを登録すると、システムは Red Hat Insights に接続します。新しい rhc システムロールを使用すると、管理者はマネージドノードで次のタスクを自動化できるようになりました。

クローン MAC アドレスのサポートを追加しました。

クローンされた MAC アドレスは、マシンの MAC アドレスと同じデバイスの WAN ポートの MAC アドレスです。この更新により、ユーザーは MAC アドレスを使用してボンディングインターフェイスまたはブリッジインターフェイスを指定したり、ボンディングインターフェイスまたはブリッジインターフェイスのデフォルトの MAC アドレスを取得するために random または preserve などの戦略を指定したりできるようになります。

Microsoft SQL Server Ansible ロールは非同期高可用性レプリカをサポートします。

以前は、Microsoft SQL Server Ansible ロールは、プライマリー、同期、監視の高可用性レプリカのみをサポートしていました。mssql_ha_replica_type 変数を asynchronous に設定して、新規または既存のレプリカに対して非同期レプリカタイプを設定できるようになりました。

Microsoft SQL Server Ansible ロールは読み取りスケールクラスタータイプをサポートします。

以前は、Microsoft SQL Ansible ロールは外部クラスタータイプのみをサポートしていました。これで、新しい変数 mssql_ha_ag_cluster_type を使用してロールを設定できるようになりました。デフォルト値は external です。これを使用して Pacemaker でクラスターを設定します。Pacemaker を使用せずにクラスターを設定するには、その変数に値 none を使用します。

Microsoft SQL Server Ansible ロールは TLS 証明書を生成できます。

以前は、Microsoft SQL Ansible ロールを設定する前に、ノード上で TLS 証明書と秘密キーを手動で生成する必要がありました。この更新により、Microsoft SQL Server Ansible ロールは、その目的で redhat.rhel_system_roles.certificate ロールを使用できるようになりました。これで、mssql_tls_certificates 変数を certificate ロールの certificate_requests 変数の形式で設定して、ノード上に TLS 証明書と秘密鍵を生成できるようになりました。

Microsoft SQL Server Ansible ロールは SQL Server バージョン 2022 の設定をサポートします。

以前は、Microsoft SQL Ansible ロールは SQL Server バージョン 2017 とバージョン 2019 の設定のみをサポートしていました。この更新プログラムでは、Microsoft SQL Ansible ロールの SQL Server バージョン 2022 のサポートが提供されます。新しい SQL Server 2022 を設定するか、SQL Server をバージョン 2019 からバージョン 2022 にアップグレードするために、mssql_version 値を 2022 に設定できるようになりました。SQL Server をバージョン 2017 からバージョン 2022 にアップグレードすることはできないことに注意してください。

Microsoft SQL Server Ansible ロールは、Active Directory 認証の設定をサポートします。

この更新により、Microsoft SQL Ansible ロールは SQL Server の Active Directory 認証の設定をサポートします。これで、mssql_ad_ 接頭辞を使用して変数を設定することで、Active Directory 認証を設定できるようになりました。

journald RHEL システムロールが利用可能になりました

journald サービスは、ログデータを収集し、一元化されたデータベースに保存します。この機能強化により、journald システムロール変数を使用して systemd ジャーナルの設定を自動化し、Red Hat Ansible Automation Platform を使用して永続的なログを設定できるようになりました。

ha_cluster システムロールがクォーラムデバイス設定をサポートするようになりました

クォーラムデバイスは、クラスターのサードパーティー調停デバイスとして機能します。クォーラムデバイスは、偶数のノードを持つクラスターに推奨されます。2 ノードクラスターでクォーラムデバイスを使用すると、スプリットブレインの状況で存続するノードをより適切に判別できます。ha_cluster システムロール (クラスター用の qdevice と調停ノード用の qnetd の両方) を使用してクォーラムデバイスを設定できるようになりました。

ハードウェア暗号化デバイスを自動的にホットプラグできるようになりました。

以前は、仲介デバイスが開始される前に暗号化デバイスがホスト上に存在していた場合のみ、パススルー用の暗号化デバイスを定義できました。これで、仮想マシン (VM) にパススルーするすべての暗号化デバイスをリストする仲介デバイスマトリックスを定義できるようになりました。その結果、指定された暗号化デバイスは、後で使用可能になった場合、実行中の VM に自動的にパススルーされます。また、デバイスが使用できなくなると、デバイスは VM から削除されますが、ゲストオペレーティングシステムは正常に動作し続けます。

IBM Z 上の PCI パススルーデバイスのパフォーマンスの向上

この更新では、I/O 処理に対する複数の改善により、IBM Z ハードウェアでの PCI パススルー実装が強化されました。その結果、IBM Z ホスト上の KVM 仮想マシン (VM) にパススルーされる PCI デバイスのパフォーマンスが大幅に向上しました。

新しいパッケージ: passt

この更新では、passt パッケージが追加され、仮想マシンで passt ユーザーモードネットワークバックエンドを使用できるようになります。

zPCI デバイスの割り当て

IBM Z ハードウェア上で実行される RHEL でホストされる仮想マシン (VM) に、zPCI デバイスをパススルーデバイスとして接続できるようになりました。たとえば、これを使用すると、仮想マシンで NVMe フラッシュドライブを使用できます。

新しいパッケージ: python-virt-firmware

この更新では、Open Virtual Machine Firmware (OVMF) ファームウェアイメージを処理するためのツールが含まれる python-virt-firmware パッケージが追加されます。これらのツールは、たとえば次の目的で使用できます。

sos ユーティリティーは 4 週間ごとの更新頻度に移行しています。

RHEL マイナーリリースで sos 更新をリリースする代わりに、sos ユーティリティーのリリース頻度が 6 か月から 4 週間に変更されます。sos パッケージの更新の詳細は、RPM 変更ログで 4 週間ごとに確認できます。また、sos 更新の概要は RHEL リリースノートで 6 か月ごとに確認できます。

sos clean コマンドで IPv6 アドレスが難読化されるようになりました。

以前は、sos clean コマンドは IPv6 アドレスを難読化せず、収集された sos レポートに顧客の機密データの一部が残っていました。この更新により、sos clean は期待どおりに IPv6 アドレスを検出し、難読化します。

新しい podman RHEL システムロールが利用可能になりました。

Podman 4.2 以降では、podman システムロールを使用して、Podman 設定、コンテナー、および Podman コンテナーを実行する systemd サービスを管理できるようになりました。

Podman は監査用のイベントをサポートするようになりました。

Podman v4.4 以降、コンテナーに関するすべての関連情報を 1 つのイベントと journald エントリーから直接収集できるようになりました。Podman 監査を有効にするには、container.conf 設定ファイルを変更し、events_container_create_inspect_data=true オプションを [engine] セクションに追加します。データは JSON 形式であり、podman container inspect コマンドからのものと同じです。詳細は、Podman 4.4 の新しいコンテナーイベントと監査機能の使用方法 を参照してください。

container-tools メタパッケージが更新された

Podman、Buildah、Skopeo、crun、runc ツールを含む container-tools RPM メタパッケージが利用可能になりました。この更新では、以前のバージョンに対する一連のバグ修正と機能拡張が適用されます。

Aardvark と Netavark がカスタム DNS サーバーの選択をサポートするようになりました。

Aardvark および Netavark ネットワークスタックは、ホスト上のデフォルトの DNS サーバーの代わりに、コンテナーのカスタム DNS サーバーの選択をサポートするようになりました。カスタム DNS サーバーを指定するには、次の 2 つのオプションがあります。

Skopeo は、sigstore キーペアの生成をサポートするようになりました。

skopeo generate-sigstore-key コマンドを使用して、sigstore 公開キー/秘密キーのペアを生成できます。詳細は、skopeo-generate-sigstore-key man ページを参照してください。

ツールボックスが利用可能になりました。

toolbox ユーティリティーを使用すると、トラブルシューティングツールをシステムに直接インストールしなくても、コンテナー化されたコマンドライン環境を使用できます。Toolbox は、Podman および OCI のその他の標準コンテナーテクノロジーを基盤として構築されています。詳細は、toolbx を参照してください。

コンテナーイメージに 2 桁のタグが付けられるようになりました。

RHEL 9.0 および RHEL 9.1 では、コンテナーイメージには 3 桁のタグがありました。RHEL 9.2 以降、コンテナーイメージには 2 桁のタグが付けられるようになりました。

イメージに署名するための複数の信頼できる GPG キーの機能が利用可能です。

/etc/containers/policy.json ファイルは、信頼できるキーを含むファイルのリストを受け入れる新しい keyPaths フィールドをサポートします。このため、Red Hat の一般公開キーとベータ GPG キーで署名されたコンテナーイメージがデフォルト設定で受け入れられるようになりました。

Podman が実行前フックをサポートするようになりました。

/usr/libexec/podman/pre-exec-hooks ディレクトリーと /etc/containers/pre-exec-hooks ディレクトリーにある root 所有のプラグインスクリプトは、コンテナー操作の詳細な制御、特に無許可のアクションのブロックを定義します。

sigstore 署名が利用可能になりました。

Podman 4.2 以降では、コンテナーイメージ署名の sigstore 形式を使用できます。sigstore 署名はコンテナーイメージと共にコンテナーレジストリーに格納されるため、イメージ署名を格納するために別の署名サーバーを用意する必要はありません。

Toolbox は RHEL 9 コンテナーを作成できます。

以前は、Toolbox ユーティリティーは RHEL UBI 8 イメージのみをサポートしていました。このリリースでは、Toolbox は RHEL UBI 9 もサポートするようになりました。その結果、RHEL 8 または 9 に基づいて Toolbox コンテナーを作成できます。

新しいパッケージ: passt

この更新では、passt パッケージが追加され、コンテナーで passt ルートレスネットワークバックエンドを使用できるようになります。

インストーラーは、マルチパスまたは DDF RAID デバイスを使用したカスタムパーティショニングで正しい合計ディスク容量を表示するようになりました。

以前は、マルチパスまたは DDF RAID デバイスを備えたシステム上のインストーラーでカスタムパーティション分割が選択されている場合、合計ディスク容量が正しく報告されず、メンバーディスクデバイスがパーティション分割に使用できるものとしてリストされていました。

インストーラーは、設定オプションを yum リポジトリーファイルに正しく追加するようになりました。

以前は、追加のインストールリポジトリーからパッケージを含めたり除外したりするときに、インストーラは yum リポジトリーファイルに設定オプションを正しく追加しませんでした。この更新により、yum リポジトリーファイルが正しく作成されるようになりました。その結果、repo キックスタートコマンドで --excludepkgs= または --includepkgs= オプションを使用すると、インストール中に指定されたパッケージが期待どおりに除外または組み込まれるようになりました。

filename DHCP オプションを使用しても、インストール用の kickstart ファイルのダウンロードがブロックされなくなりました。

以前は、NFS サーバーからキックスタートファイルを取得するためのパスを構築するときに、インストーラーは filename DHCP オプションを考慮しませんでした。その結果、インストーラーはキックスタートファイルをダウンロードせず、インストールプロセスをブロックしていました。この更新により、filename DHCP オプションはキックスタートファイルへのパスを正しく構築します。その結果、キックスタートファイルが適切にダウンロードされ、インストールプロセスが正しく開始されます。

インストーラーはカスタムパーティショニング中に新しい GPT ディスクレイアウトを作成するようになりました。

以前は、カーネルコマンドラインで inst.gpt が指定されている場合、インストーラはディスクレイアウトを GPT に変更せず、ユーザーはカスタムパーティショニングスポーク上の MBR ディスクレイアウトを持つディスクからすべてのパーティションを削除していました。その結果、MBR ディスクレイアウトがディスク上に残りました。

インストーラーは、カスタムパーティショニング中にすべての PPC PreP Boot または BIOS Boot パーティションをリストするようになりました。

以前は、カスタムパーティショニング中に複数の PPC PreP Boot または BIOS Boot パーティションを追加すると、Custom Partitioning 画面には関連するタイプのパーティションが 1 つだけ表示されていました。その結果、カスタムパーティショニング画面には意図したパーティショニングレイアウトの実際の状態が反映されず、パーティショニングプロセスが困難かつ不透明になっていました。

Anaconda が、FIPS 要件の LUKS パスフレーズを検証するようになる

以前は、Anaconda は LUKS パスフレーズの長さが FIPS 要件を満たしているかどうかを確認しませんでしたが、基礎となるツールはこのチェックを実行していました。これにより、パスフレーズが 8 文字より短い FIPS モードでインストールすることで、インストーラーが途中で終了していました。

サブスクリプションマネージャーが Red Hat コンテンツの登録と取得を拒否しなくなりました

以前は、RHEL 9 でコンテナー検出ロジックが改善されたため、OpenShift Container Platform (OCP) で実行される場合、subscription-manager はコンテナーモードで動作していました。その結果、システムは提供されたサブスクリプション認証情報を使用できず、Red Hat コンテンツを取得できませんでした。

subscription-manager は端末に不要なテキストを保持しなくなる

RHEL 9.1 以降、subscription-manager は操作の処理中に進行状況情報を表示します。以前は、一部の言語 (通常は非ラテン語) では、操作の終了後に進行状況メッセージがクリーンアップされませんでした。この更新により、操作の終了時にすべてのメッセージが適切にクリーンアップされます。

fapolicyd サービスの再起動を伴うトランザクション中に RPM がハングしなくなりました

以前は、fapolicyd サービスの再起動を引き起こすパッケージ (systemd など) を更新しようとすると、fapolicyd プラグインが fapolicyd デーモンとの通信に失敗したため、RPM トランザクションが応答を停止していました。

パッケージグループまたは環境に対して DNF アップグレードトランザクションを元に戻せるようになりました。

以前は、パッケージグループまたは環境のアップグレードトランザクションを元に戻そうとすると、dnf history rollback コマンドが失敗していました。

アップグレードによってアーキテクチャーが変更されるパッケージに対してセキュリティー DNF アップグレードが可能になりました。

RHBA-2022:8295 とともに導入された BZ#2108969 のパッチにより、セキュリティーフィルターを使用した DNF アップグレードにより、アップグレードを通じてアーキテクチャーが noarch からまたは noarch に変更されたパッケージがスキップされるというリグレッションが発生しました。したがって、これらのパッケージのセキュリティーアップグレードが不足していると、システムが脆弱な状態になる可能性があります。

RPM パッケージのビルドまたは再ビルド時に、3 文字の名前を持つ Qt メッセージ QM ファイルが、パッケージ化されるようになりました。

以前は、find-lang.sh スクリプトは、名前が 3 文字で構成される Qt メッセージ QM ファイル (.qm) を見つけることができませんでした。したがって、これらのファイルは RPM パッケージに追加されませんでした。

ReaR は、IBM Z アーキテクチャー上で除外された DASD を正しく処理します。

以前の IBM Z アーキテクチャーでは、ReaR は、ユーザーが保存されたレイアウトから除外し、コンテンツを復元するつもりがなかった DASD を含め、接続されているすべてのダイレクトアクセスストレージデバイス (DASD) をリカバリープロセス中に再フォーマットしていました。その結果、保存されたレイアウトから一部の DASD を除外すると、システムの回復中にそれらのデータが失われます。この更新により、ReaR は、(zIPL ブートローダーを使用して) ReaR レスキューシステムがブートされたデバイスを含む、システムリカバリー中に除外された DASD をフォーマットしなくなりました。ReaR が DASD を再フォーマットする前に、DASD フォーマットスクリプトを確認するように求められます。これにより、除外された DASD 上のデータはシステム回復後も確実に残ります。

ReaR は非 LVM XFS ファイルシステムの復元に失敗しなくなりました。

以前は、ReaR を使用して特定の設定とディスクマッピングを使用して非 LVM XFS ファイルシステムを復元すると、ReaR は指定された設定ではなくデフォルト設定でファイルシステムを作成していました。たとえば、ファイルシステムの sunit パラメーターと swidth パラメーターが 0 以外の値に設定されており、ディスクマッピングを備えた ReaR を使用してファイルシステムを復元した場合、ファイルシステムは、指定された値を無視してデフォルトの sunit パラメーターと swidth パラメーターで作成されます。その結果、ReaR は特定の XFS オプションを使用してファイルシステムをマウントするときに失敗しました。この更新により、ReaR は指定された設定でファイルシステムを正しく復元します。

wsmancli は HTTP 401 Unauthorized ステータスを正しく処理します。

Web サービス管理プロトコルを使用してシステムを管理するための wsmancli ユーティリティーは、RFC 2616 への準拠を強化するために認証を処理するようになりました。

USBGuard は、RuleFile が定義されていない場合でもルールを保存します。

以前は、USBGuard の RuleFolder 設定ディレクティブが設定されていても、RuleFile が設定されていない場合、ルールセットを変更できませんでした。今回の更新により、RuleFile が設定されていなくても、RuleFolder が設定されている場合は、ルールセットを変更できるようになりました。その結果、USBGuard の永続ポリシーを変更して、新しく追加されたルールを永続的に保存できます。

python-sqlalchemy が 1.4.45 にリベースされました。

python-sqlalchemy パッケージがバージョン 1.4.45 にリベースされ、バージョン 1.4.37 に比べて多くのバグ修正が行われています。最も注目すべき点は、このバージョンにはキャッシュキー生成における重大なメモリーバグの修正が含まれているということです。

crypto-policies はバインドの NSEC3DSA を無効にするようになりました。

以前は、システム全体の暗号化ポリシーは、バインド設定の NSEC3DSA アルゴリズムを制御していませんでした。その結果、現在のセキュリティー要件を満たしていない NSEC3DSA は、DNS サーバーで無効になりませんでした。この更新により、すべての暗号化ポリシーはデフォルトでバインド設定の NSEC3DSA を無効にします。

SECLEVEL=3 の OpenSSL が PSK 暗号スイートで動作するようになりました。

以前は、事前共有キー (PSK) 暗号スイートは、PFS (Perfect Forward Secrecy) キー交換方式を実行すると認識されませんでした。その結果、ECDHE-PSK および DHE-PSK 暗号スイートは、たとえば、システム全体の暗号化ポリシーが FUTURE に設定されている場合、SECLEVEL=3 に設定された OpenSSL では機能しませんでした。openssl パッケージの新しいバージョンでは、この問題が解決されています。

Clevis は、crypttab でコメントアウトされたデバイスを正しくスキップするようになりました。

以前は、Clevis が crypttab ファイル内のコメントアウトされたデバイスのロックを解除しようとしたため、デバイスが有効でない場合でも clevis-luks-askpass サービスが実行されてしまいました。これにより、不必要なサービスが実行され、トラブルシューティングが困難になりました。

Clevis は pwmake に過剰なエントロピーを要求しなくなりました。

以前は、Clevis が pwmake を使用してデータを LUKS メタデータに保存するためのパスワードを作成するときに、pwmake パスワード生成ユーティリティーによって不要な警告が表示され、Clevis が使用するエントロピーが低下していました。この更新により、Clevis は pwmake に提供されるエントロピービットが 256 に制限され、不要な警告が排除され、正しい量のエントロピーが使用されます。

USBGuard で紛らわしい警告が表示されなくなりました。

以前は、親プロセスが最初の子プロセスよりも早く終了すると、USBGuard で競合状態が発生することがありました。その結果、systemd は、誤って識別された親 PID (PPID) を持つプロセスが存在すると報告しました。この更新により、親プロセスは最初の子プロセスが作業モードで終了するまで待機します。その結果、systemd は、そのような警告を報告しなくなります。

OOM キラーが usbguard を途中で終了させなくなりました。

以前は、usbguard.service ファイルには、systemd サービスの OOMScoreAdjust オプションの定義が含まれていませんでした。その結果、システムのリソースが不足すると、usbguard-daemon プロセスが他の権限のないプロセスよりも前に終了する可能性がありました。今回の更新により、usbguard.service ファイルに OOMScoreAdjust 設定が含まれるようになり、メモリー不足 (OOM) キラーが usbguard-daemon プロセスを途中で終了するのを防ぎます。

logrotate はログローテーションで Rsyslog に誤って通知しなくなりました。

以前は、logrotate スクリプトで引数の順序が誤って設定されており、構文エラーが発生していました。これにより、logrotate がログローテーション中に Rsyslog に正しく信号を送信できなくなりました。

imklog は失われたオブジェクトに対して free() を呼び出さなくなりました。

以前は、imklog モジュールは、すでに解放されたオブジェクトに対して free() 関数を呼び出していました。その結果、imklog によってセグメンテーション違反が発生する可能性があります。今回の更新により、オブジェクトが 2 回解放されることがなくなりました。

fagenrules --load が正常に動作するようになりました

以前は、fapolicyd サービスはシグナルのハングアップ (SIGHUP) を正しく処理しませんでした。そのため、fapolicyd は SIGHUP を受信した後に終了し、fagenrules --load コマンドが正しく機能しませんでした。この更新では、その問題が修正されました。その結果、fagenrules --load が正常に機能し、ルール更新時に fapolicyd を手動で再起動する必要がなくなりました。

スキャンと修復は SCAP 監査ルールを正しく無視します。

以前は、監査キー (-k または -F キー) を使用せずに定義された監査監視ルールでは、次の問題が発生しました。

Keylime は、複数の IMA で測定されたファイルにアクセスするシステムの認証に失敗しなくなりました。

以前は、Keylime エージェントを実行するシステムが、Integrity Measurement Architecture (IMA) によって測定された複数のファイルに連続してアクセスした場合、Keylime ベリファイアは IMA ログの追加を誤って処理していました。その結果、実行中のハッシュが正しいプラットフォーム設定レジスター (PCR) の状態と一致せず、システムは認証に失敗しました。この更新により問題が修正され、複数の測定ファイルに迅速にアクセスするシステムが認証に失敗することがなくなりました。

Keylime ポリシー生成スクリプトでセグメンテーションフォールトとコアダンプが発生しなくなりました。

create_mb_refstate スクリプトは、Keylime で測定されたブート認証用のポリシーを生成します。以前は、create_mb_refstate が DevicePath フィールドのデータ長を誤って計算していました。その結果、スクリプトは誤って計算された長さを使用して無効なメモリーにアクセスしようとし、セグメンテーションフォールトとコアダンプが発生しました。

TPM 証明書によって Keylime レジストラがクラッシュすることはなくなりました。

以前は、Keylime TPM 証明書ストア内の一部の証明書は不正な形式の x509 証明書であり、Keylime レジストラーのクラッシュを引き起こしていました。この更新により問題が修正され、不正な形式の証明書が原因で Keylime レジストラーがクラッシュすることはなくなりました。

NetworkManager は、新しい DHCP リースを取得する前の再適用中に IP アドレスを保持するようになりました。

以前は、接続設定を変更してから nmcli device reapply コマンドを使用した後、NetworkManager は DHCP リースを保存しませんでした。その結果、IP アドレスが一時的に削除されました。この修正により、NetworkManager は DHCP リースを保存し、リースの有効期限が切れるか、クライアントが新しいリースを要求するまでそれを使用します。その結果、nmcli device reapply コマンドが DHCP クライアントを再起動しても、IP アドレスは一時的に削除されません。

firewalld サービスは、直接ルールを使用する場合のみ、ipset 非推奨の警告をトリガーするようになりました。

以前は、firewalld サービスは、不要な場合に非推奨の ipset カーネルモジュールを使用していました。その結果、RHEL はモジュールの非推奨警告をログに記録しました。これは、firewalld の ipset 機能が非推奨ではないため、誤解を招く可能性があります。この更新により、firewalld は、ユーザーが --direct オプションを指定して明示的に ipset を使用した場合にのみ、非推奨の ipset モジュールを使用し、警告をログに記録します。

再起動後に HNV インターフェイスにオプションが表示されるようになりました

以前は、nmcli ユーティリティーは NetworkManager API を使用してハイブリッドネットワーク仮想化 (HNV) ボンドを作成していました。その結果、再起動後、HNV ボンドはプライマリーポート設定を失いました。この修正により、nmcli は hcnmgr を使用してプライマリーポートのボンディングオプションを設定するようになりました。hcnmgr ユーティリティーは、ハイブリッドネットワークのシングルルート入出力仮想化 (SR-IOV) を使用したライブパーティションの移行をサポートします。その結果、再起動後に HNV ボンドインターフェイスに active slave/primary_reselect オプションが表示されます。

セキュアブートで有効になっている FADump は正しく動作します。

以前は、セキュアブート環境でファームウェアアシストダンプ (FADump) が有効になっており、ブートコンポーネントのいずれかが割り当てられたメモリー領域を超えた場合、システムの再起動により GRUB メモリー不足 (OOM) 状態が発生していました。この更新では、kexec-tools に修正が加えられ、セキュアブートと FADump が正しく連携できるようになりました。

grubby は引数を新しいカーネルに正しく渡すようになりました。

grubby ツールを使用して新しいカーネルを追加し、引数を指定しないか、引数を空白のままにすると、grubby は新しいカーネルに引数を渡さず、root は設定されません。--args および --copy-default オプションを使用すると、新しい引数がデフォルトの引数に追加されます。

PReP のサイズが 4 MiB または 8 MiB でない場合でも、RHEL のインストールが成功するようになりました。

以前は、4 kiB セクターを使用するディスク上の PowerPC Reference Platform (PReP) パーティションのサイズが 4 MiB または 8 MiB とは異なる場合、RHEL インストーラーがブートローダーをインストールできませんでした。その結果、ディスクに RHEL をインストールできませんでした。

セクターサイズが 512 バイトの LUKSv2 デバイスを作成するインストーラー。

以前は、ディスクに 4096 バイトの物理セクターがある場合、RHEL インストーラーは 4096 バイトのセクターを持つ LUKSv2 デバイスを作成しました。この更新により、インストーラーはセクターサイズが 512 バイトの LUKSv2 デバイスを作成するようになり、LVM 物理ボリュームが暗号化されている場合でも、1 つの LVM ボリュームグループで一緒に使用されるさまざまな物理セクターサイズとのディスク互換性が向上しました。

supported_speeds sysfs 属性は正しい速度値を報告します。

以前は、qla2xxx ドライバーの定義が間違っていたため、HBA の supported_speeds sysfs 属性は、予想される 64 Gb/s の速度ではなく、20 Gb/s の速度を報告していました。その結果、HBA が 64 Gb/s リンク速度をサポートしている場合、supported_speeds sysfs 値が正しくなくなり、報告された速度値に影響を及ぼしました。

lpfc ドライバーが D_ID ポートスワップ中に有効な状態にある

以前は、SAN ブートホストが NetApp ギブバックオペレーションを発行した後、LVM ハングタスクの警告とストールした I/O を引き起こしていました。この問題は、ファイバーチャネル D_ID ポートスワップが原因で、DM-Multipath 環境で代替パスが利用可能であった場合でも発生しました。競合状態の結果として、D_ID ポートスワップにより lpfc ドライバーで不整合な状態が発生し、I/O の発行が妨げられました。

pcs では、変更すべきではないクラスターのプロパティーを変更できなくなりました。

以前は、pcs コマンドラインインターフェイスを使用して、変更すべきでないクラスタープロパティーや、変更が有効にならないクラスタープロパティーを変更できました。この修正により、pcs では、クラスタープロパティー cluster-infrastructure、cluster-name、dc-version、have-watchdog、および last-lrm-refresh を変更できなくなりました。

pcs は、明示的に設定されていないクラスターのプロパティーを表示するようになりました。

以前は、特定のクラスタープロパティーの値を表示する pcs コマンドでは、CIB で明示的に設定されていない値がリストされませんでした。この修正により、クラスタープロパティーが設定されていない場合、pcs はプロパティーのデフォルト値を表示します。

crm_mon を呼び出すクラスターリソースがシャットダウン時に正常に停止するようになりました。

以前は、Pacemaker のシャットダウン中に crm_mon ユーティリティーがゼロ以外の終了ステータスを返していました。ocf:heartbeat:pqsql などのモニターアクションで crm_mon を呼び出したリソースエージェントが、クラスターのシャットダウン時に誤って失敗を返す可能性がありました。この修正により、クラスターがシャットダウン中であっても crm_mon は成功を返すようになりました。crm_mon を呼び出すリソースは、クラスターのシャットダウン時に正常に停止するようになりました。

OCF リソースエージェントのメタデータアクションが、予期しないフェンシングを引き起こすことなく crm_node を呼び出せるようになりました。

RHEL 8.5 以降、OCF リソースエージェントのメタデータアクションはコントローラーをブロックし、crm_node クエリーはコントローラー要求を実行しました。その結果、エージェントのメタデータアクションが crm_node を呼び出した場合、アクションがタイムアウトになるまで 30 秒間コントローラーがブロックされました。これにより、他のアクションが失敗し、ノードが隔離される可能性があります。

Pacemaker は、リソースの順序が変更されたときにすぐにリソースの割り当てを再チェックするようになりました。

RHEL 8.7 以降、リソース定義を変更せずに CIB 内のリソースの順序が変更された場合、Pacemaker はリソース割り当てを再チェックしませんでした。設定の並べ替えによりリソースが移動する場合、次の自然な移行 (cluster-recheck-interval-property の値まで) まで移動は行われません。これにより、リソースの固定性がリソースに対して設定されていない場合に問題が発生する可能性があります。

単一のリソースと監視操作を有効にしても、リソースグループ内のすべてのリソースの監視操作は有効になりません。

以前は、リソースグループ内のすべてのリソースの管理を解除し、操作を監視した後、そのグループ内のリソースの 1 つをその監視操作とともに管理すると、リソースグループ内のすべてのリソースの監視操作が再び有効になりました。これにより、クラスターの予期しない動作が引き起こされる可能性があります。

一部の CNAME レコードが無効な場合でも、DNS ルックアップが成功するようになりました。

以前は、glibc DNS スタブリゾルバーは、ホスト名ではない所有者名を持つ CNAME レコードを DNS パケットエラーとして処理していました。その結果、DNS パケットエラーにより DNS クエリーが失敗しました。今回の更新により、glibc スタブリゾルバーは無効な CNAME レコードをスキップし、対応するエイリアス情報は抽出されなくなりました。したがって、サーバー応答にホスト名ではないドメイン名を含む CNAME チェーンが含まれている場合でも、DNS ルックアップが成功するようになりました。

golang が x509 FIPS モードで 4096 ビットキーをサポートするようになりました。

以前は、golang は x509 FIPS モードの 4096 ビットキーをサポートしていませんでした。その結果、ユーザーが 4096 ビットのキーを使用すると、プログラムがクラッシュしました。この更新により、golang は x509 FIPS モードで 4096 ビットキーをサポートするようになりました。

すべてのアーキテクチャーで pip を使用して SciPy をインストールできます。

以前は、openblas-devel パッケージには OpenBLAS ライブラリーの pkg-config ファイルが含まれていませんでした。その結果、特定のシナリオでは、OpenBLAS でコンパイル中に pkgconf ユーティリティーを使用してコンパイラーとリンカーのフラグを決定することができませんでした。たとえば、これにより、64 ビット IBM Z および IBM Power Systems のリトルエンディアンアーキテクチャー上で pip install scipy コマンドが失敗します。

TZ データに DST ルールがある場合、glibc の tzset 関数は夏時間変数をゼロ以外の値に設定するようになりました。

以前は、タイムゾーンデータファイル内の最後の DST 移行によって、標準時間オフセットの同時変更が原因でクロックが変更されなかった場合、glibc の tzset 関数は夏時間変数を 0 に設定していました。したがって、アプリケーションが夏時間変数を使用して DST がアクティブだったかどうかを確認すると、正しい結果が得られず、この情報に基づいて誤ったアクションが実行されます。これを修正するために、tzset 関数は、オフセットに関係なく、タイムゾーンデータに DST ルールがある場合、夏時間変数をゼロ以外の値に設定するようになりました。その結果、アプリケーションはオフセットの変更に関係なく、DST ルールの存在を監視するようになりました。

OpenJDK RSAPSSSignature 実装では、RSA キーを使用する前に検証するようになりました。

以前は、OpenJDK の RSAPSSSignature 実装は、指定された RSA キーを使用する前に、SunRSASign プロバイダーがその RSA キーを使用できるかどうかを完全にチェックしなかったため、カスタムセキュリティープロバイダーの使用時にエラーが発生していました。このバグは修正され、その結果、RSAPSSSignature 実装は RSA キーを検証し、他のプロバイダーがこれらのキーを処理できない場合に処理できるようになりました。

OpenJDK XML 署名プロバイダーが FIPS モードで機能するようになる

以前は、OpenJDK XML 署名プロバイダーは FIPS モードで動作できませんでした。FIPS モードのサポートが強化された結果、OpenJDK XML 署名プロバイダーが FIPS モードで有効になりました。

FIPS モードの OpenJDK で、特定の PKCS#11 トークンで予期しないエラーが発生しなくなりました。

以前は、一部の PKCS#11 トークンは、OpenJDK による FIPS モードでの使用前に完全に初期化されておらず、予期しないエラーが発生していました。今回のアップグレードにより、これらのエラーは予期され、FIPS サポートコードによって処理されるようになりました。

クライアントシークレットを必要とする外部 IdP への認証が可能になりました。

以前は、SSSD はクライアントシークレットを外部 ID プロバイダー (IdP) に適切に渡しませんでした。その結果、クライアントシークレットを要求するように ipa idp-add --secret コマンドで以前に設定した外部 IdP に対する認証が失敗しました。この更新により、SSSD はクライアントシークレットを IdP に渡し、ユーザーは認証できるようになります。

IdM は、Ansible を使用した sudo ルールのホストマスクの設定をサポートするようになりました。

以前は、ipa sudorule-add-host コマンドでは、sudo ルールで使用されるホストマスクを設定できましたが、このオプションは ansible-freeipa パッケージには存在していませんでした。この更新により、ansible-freeipa hostmask 変数を使用して、Identity Management (IdM) で定義された特定の sudo ルールが適用されるホストマスクのリストを定義できるようになりました。

db_dir パラメーターでカスタムパスを使用すると、dscreate ユーティリティーが正しく動作するようになる

以前は、カスタムディレクトリーの SELinux ラベルが間違っていたため、カスタムディレクトリーパスを使用するインスタンスは起動に失敗していました。その結果、SELinux はこれらのディレクトリーへのアクセスを拒否し、インスタンスは作成されませんでした。このリリースでは、dscreate ユーティリティーはカスタムインスタンスディレクトリーに正しい SELinux ラベルを設定します。

Directory Server レプリケーションマネージャーアカウントのパスワード変更が正しく機能するようになりました

以前は、パスワード変更後、Directory Server はレプリケーションアグリーメントのパスワードキャッシュを適切に更新していませんでした。その結果、レプリケーションマネージャーアカウントのパスワードを変更すると、レプリケーションが失敗しました。この更新により、Directory Server はキャッシュを適切に更新し、その結果、レプリケーションが期待どおりに機能するようになりました。

IdM クライアントインストーラーは、ldap.conf ファイルで TLS CA 設定を指定しなくなる

以前は、IdM クライアントインストーラーは ldap.conf ファイルで TLS CA 設定を指定していました。この更新により、OpenLDAP はデフォルトのトラストストアを使用し、IdM クライアントインストーラーは ldap.conf ファイルに TLS CA 設定をセットアップしません。

IdM クライアントは、信頼できる AD ユーザーの名前に大文字と小文字が混在している場合でも、当該 AD ユーザーの情報を適切に取得する

以前は、ユーザーの検索または認証を試行した際に、その信頼できる Active Directory (AD) ユーザーの名前に大文字と小文字が混在しており、かつ IdM でオーバーライドが設定されていた場合、エラーが返され、ユーザーは IdM リソースにアクセスできませんでした。

Matrox G200e が VGA ディスプレイに出力を表示するようになりました。

以前は、次のシステム設定を使用している場合、ディスプレイにグラフィカル出力が表示されないことがありました。

Web コンソールの NBDE バインディング手順が、ルートファイルシステムを持つボリュームグループで機能するようになる

RHEL 9.2.0 では、ユーザーがルートファイルシステムに Tang キーを追加したかどうかを判断するコードのバグが原因で、LUKS コンテナー上にファイルシステムがまったくない場合に、Web コンソールのバインディングプロセスがクラッシュしていました。Verify key ダイアログの Trust key ボタンをクリックした後、Web コンソールにエラーメッセージ TypeError: Qe(…​) is undefined が表示されたため、説明されているシナリオのコマンドラインインターフェイスで必要な手順をすべて実行する必要がありました。

nbde_client システムロールが、clevis-luks-askpass のさまざまな名前を正しく処理するようになりました

nbde_client システムロールは、clevis-luks-askpass systemd ユニットの名前が異なるシステムを処理できるように更新されました。このロールは、マネージドノード上のさまざまな名前の clevis-luks-askpass で正しく動作するようになりました。これには、ブートプロセスの後半でマウントされる LUKS 暗号化ボリュームのロックも解除する必要があります。

ha_cluster システムロールログに、暗号化されていないパスワードや機密情報が表示されなくなりました

ha_cluster システムロールは、パスワードなどの機密情報であるパラメーターを受け入れます。以前は、一部のタスクは入力と出力をログに記録していました。その結果、ロールログに暗号化されていないパスワードなどの機密情報が含まれる可能性がありました。

ha_cluster システムロールで SBD を使用し、ブート時に起動しないように設定されたクラスターが正しく動作するようになりました

以前は、ユーザーが ha_cluster システムロールで SBD を使用し、ブート時に起動しないようにクラスターを設定した場合、SBD サービスが無効になり、SBD は起動しませんでした。この修正により、クラスターがブート時に起動するように設定されているかどうかに関係なく、クラスターが SBD を使用するように設定されている場合、SBD サービスが常に有効になります。

cockpit-session-recording SSSD 設定を修正するための暗黙的ファイルプロバイダーの有効化。

SSSD 暗黙的ファイルプロバイダーが無効になっているため、cockpit-session-recording モジュールが無効な System Security Services Daemon (SSSD) 設定を作成しました。この更新により、ファイルプロバイダーが無条件で有効になり、その結果、cockpit-session-recording によって作成された SSSD 設定が期待どおりに機能するようになりました。

nbde_client_clevis ロールはユーザーにトレースバックを報告しなくなりました。

以前は、nbde_client_clevis ロールが例外で失敗することがあり、トレースバックが発生し、encryption_password フィールドなどの機密データがユーザーに報告されていました。今回の更新により、ロールは機密データを報告しなくなり、適切なエラーメッセージのみが報告されるようになりました。

ha_cluster システムロールを使用した stonith-watchdog-timeout プロパティーの設定が、停止したクラスターでも機能するようになりました

以前は、停止したクラスターで ha_cluster システムロールを使用して stonith-watchdog-timeout プロパティーを設定すると、プロパティーが以前の値に戻り、ロールが失敗していました。この修正により、ha_cluster システムロールを使用した stonith-watchdog-timeout プロパティーの設定が正しく機能するようになりました。

networking RHEL システムロールで initscripts を使用する場合、ネットワークトラフィックが目的のネットワークインターフェイス経由で送信されるようになりました

以前は、initscripts プロバイダーを使用する場合、ネットワーク接続のルーティング設定で、トラフィックが通過する出力デバイスが指定されませんでした。その結果、カーネルはユーザーが意図したものとは異なる出力デバイスを使用する可能性があります。現在、接続用の Playbook でネットワークインターフェイス名が指定されている場合、その名前がルート設定ファイルの出力デバイスとして使用されます。これにより、デバイス上でプロファイルをアクティブ化するときにルート内の出力デバイスを設定する NetworkManager と動作が調整されます。その結果、ユーザーはトラフィックが意図したネットワークインターフェイスを介して確実に送信されるようになります。

selinux ロールがポリシーモジュールをべき等性で管理するようになりました。

以前は、selinux ロールは毎回既存のモジュールをマネージドノードにコピーし、モジュールがすでに存在する場合でも変更を報告していました。この更新により、selinux ロールはモジュールがマネージドノードにインストールされているかどうかを確認し、モジュールがすでにインストールされている場合はコピーしてインストールしようとしません。

rhc_auth にアクティベーションキーが含まれている場合、rhc システムロールが登録済みシステムで失敗しなくなる

以前は、rhc_auth パラメーターで指定されたアクティベーションキーを使用して登録済みシステムで Playbook ファイルを実行すると、エラーが発生していました。この問題は解決されています。rhc_auth パラメーターにアクティベーションキーが提供されていても、すでに登録されているシステムで Playbook ファイルを実行できるようになりました。

ネストされた VM 上のシステム時刻が確実に動作するようになりました。

以前は、ネストされた仮想マシン (VM) 上のシステム時刻がレベル 0 およびレベル 1 のホストから非同期になる場合がありました。これにより、ネストされた VM が応答しなくなったり、予期せず終了したりすることがありました。

memfd メモリーバッキングを使用しているときに IBM Z 上の VM が起動に失敗しなくなりました。

以前は、IBM Z ホスト上で、次のように memfd タイプの hugepage メモリーバッキングを使用するように設定されている場合、仮想マシン (VM) が起動できませんでした。

移行後に VNC が UEFI VM に確実に接続できるようになりました。

以前は、仮想マシン (VM) の移行中にメッセージキューを有効または無効にすると、移行の完了後に仮想ネットワークコンピューティング (VNC) クライアントが VM に接続できませんでした。

インストーラーには、仮想マシンに RHEL をインストールするために予期されるシステムディスクが表示される

以前は、virtio-scsi デバイスを使用して VM に RHEL をインストールする場合、device-mapper-multipath のバグにより、これらのデバイスがインストーラーに表示されない可能性がありました。したがって、インストール中に、シリアルセットを持つデバイスとシリアルセットを持たないデバイスがある場合、multipath コマンドはすべてのデバイスがシリアルを持つと主張していました。このため、インストーラーは、VM に RHEL をインストールするための予期されたシステムディスクを見つけることができませんでした。

NVMe over Fibre Channel デバイスが RHEL インストーラーでテクノロジープレビューとして利用可能になる

NVMe over Fibre Channel デバイスをテクノロジープレビューとして RHEL インストールに追加できるようになりました。RHEL インストーラーでは、インストール先画面でディスクを追加するときに、NVMe ファブリックデバイスセクションでこれらのデバイスを選択できます。

RHEL 9 でテクノロジープレビューとして利用可能な GIMP

GNU Image Manipulation Program (GIMP) 2.99.8 が、テクノロジープレビューとして RHEL 9 で利用できるようになりました。gimp パッケージバージョン 2.99.8 は、改善された一連の改良を含むリリース前のバージョンですが、機能のセットが制限され、安定性の保証は保証されません。公式の GIMP 3 のリリース後すぐに、今回のリリース前のバージョンの更新として RHEL 9 に導入されます。

TuneD 用のソケット API がテクノロジープレビューとして利用可能になる

Unix ドメインソケットを通じて TuneD を制御するためのソケット API がテクノロジープレビューとして利用可能になりました。ソケット API は D-Bus API と 1 対 1 でマッピングされ、D-Bus が利用できない場合に代替通信方法を提供します。ソケット API を使用すると、TuneD デーモンを制御してパフォーマンスを最適化したり、さまざまなチューニングパラメーターの値を変更したりできます。ソケット API はデフォルトでは無効になっていますが、tuned-main.conf ファイルで有効にできます。

gnutls がテクノロジープレビューとして KTLS を使用するようになる

更新された gnutls パッケージは、テクノロジープレビューとして、暗号化チャネルでのデータ転送を加速するためにカーネル TLS (KTLS) を使用できます。KTLS を有効にするには、modprobe コマンドを使用して tls.ko カーネルモジュールを追加し、以下の内容でシステム全体の暗号化ポリシー用の新しい設定ファイル /etc/crypto-policies/local.d/gnutls-ktls.txt を作成します。

WireGuard VPN はテクノロジープレビューとして利用可能になる

Red Hat がサポートしていないテクノロジープレビューとして提供している WireGuard は、Linux カーネルで実行する高パフォーマンスの VPN ソリューションです。最新の暗号を使用し、その他の VPN ソリューションよりも簡単に設定できます。さらに、WireGuard のコードベースが小さくなり、攻撃の影響が減るため、セキュリティーが向上します。

KTLS がテクノロジープレビューとして利用可能になる

RHEL は、テクノロジープレビューとして KTLS (Kernel Transport Layer Security) を提供します。KTLS は、AES-GCM 暗号化のカーネルで対称暗号化アルゴリズムまたは複号アルゴリズムを使用して TLS レコードを処理します。KTLS には、この機能を提供するネットワークインターフェイスコントローラー (NIC) に TLS レコード暗号化をオフロードするインターフェイスも含まれています。

systemd-resolved サービスがテクノロジープレビューとして利用可能になる

systemd-resolved サービスは、ローカルアプリケーションに名前解決を提供します。このサービスは、DNS スタブリゾルバー、LLMNR (Link-Local Multicast Name Resolution)、およびマルチキャスト DNS リゾルバーとレスポンダーのキャッシュと検証を実装します。

SGX がテクノロジープレビューとして利用可能

Software Guard Extensions (SGX) は、ソフトウェアコードおよび公開および修正からのデータを保護する Intel® テクノロジーです。RHEL カーネルは、SGX v1 および v1.5 の機能を部分的に提供します。バージョン 1 では、Flexible Launch Control メカニズムを使用するプラットフォームが SGX テクノロジーを使用できるようにします。

カーネルの Intel データストリーミングタブレットドライバーがテクノロジープレビューとして利用可能になる

カーネルの Intel データストリーミングアクセラレータードライバー (IDXD) は、現在テクノロジープレビューとして利用できます。これは Intel CPU 統合アクセラレータであり、プロセスアドレス空間 ID (pasid) 送信と共有仮想メモリー (SVM) を備えた共有ワークキューが含まれています。

Soft-iWARP ドライバーがテクノロジープレビューとして利用可能になる

Soft-iWARP(siw) は、Linux 用のソフトウェア、インターネットワイドエリア RDMA プロトコル (iWARP)、カーネルドライバーです。soft-iWARP は、TCP/IP ネットワークスタックで iWARP プロトコルスイートを実装します。このプロトコルスイートはソフトウェアで完全に実装されており、特定のリモートダイレクトメモリーアクセス (RDMA) ハードウェアを必要としません。Soft-iWARP を使用すると、標準のイーサネットアダプターを備えたシステムが iWARP アダプターまたは他のシステムに接続でき、すでに Soft-iWARP がインストールされている別のシステムに接続できます。

SGX がテクノロジープレビューとして利用可能

Software Guard Extensions (SGX) は、ソフトウェアコードおよび公開および修正からのデータを保護する Intel® テクノロジーです。RHEL カーネルは、SGX v1 および v1.5 の機能を部分的に提供します。バージョン 1 では、Flexible Launch Control メカニズムを使用するプラットフォームで SGX テクノロジーを使用できるようになります。バージョン 2 では、Enclave Dynamic Memory Management (EDMM) が追加されています。主な変更には以下のものがあります。

rvu_af、rvu_nicpf、および rvu_nicvf がテクノロジープレビューとして利用可能

次のカーネルモジュールは、Marvell OCTEON TX2 インフラストラクチャープロセッサーファミリーのテクノロジープレビューとして利用できます。

DAX がテクノロジープレビューとして ext4 および XFS で利用可能になる

RHEL 9 では、DAX ファイルシステムがテクノロジープレビューとして提供されています。DAX は、アプリケーションが永続メモリーをそのアドレス空間に直接マップするための手段を提供します。DAX を使用するには、システムに何らかの形式の永続メモリー (通常は 1 つ以上の不揮発性デュアルインラインメモリーモジュール (NVDIMM) の形式) が必要であり、DAX 互換ファイルシステムを NVDIMM 上に作成する必要があります。)。また、ファイルシステムは dax マウントオプションでマウントする必要があります。これにより、dax をマウントしたファイルシステムのファイルの mmap が、アプリケーションのアドレス空間にストレージを直接マッピングされます。

Stratis はテクノロジープレビューとして利用可能です

Stratis はローカルストレージマネージャーです。ユーザーへの追加機能を備えたストレージプールに管理されたファイルシステムを提供します。

NVMe-oF Discovery Service 機能がテクノロジープレビューとして利用可能になる

NVMexpress.org Technical Proposals (TP) 8013 および 8014 で定義されている NVMe-oF Discovery Service の機能は、テクノロジープレビューとして利用できます。これらの機能をプレビューするには、nvme-cli 2.0 パッケージを使用して、TP-8013 または TP-8014 を実装する NVMe-oF ターゲットデバイスにホストを割り当てます。TP-8013 および TP-8014 の詳細は、https://nvmexpress.org/specations/ Web サイトから NVM Express 2.0 認定 TP を参照してください。

nvme-stas パッケージがテクノロジープレビューとして利用可能になる

Linux の Central Discovery Controller (CDC) クライアントである nvme-stas パッケージがテクノロジープレビューとして利用できるようになりました。これは、非同期イベント通知 (AEN)、自動化された NVMe サブシステム接続制御、エラー処理とレポート、および Automatic (zeroconf) 手動設定を処理します。

NVMe TP 8006 インバンド認証がテクノロジープレビューとして利用可能に

Non-Volatile Memory Express (NVMe) の実装 NVMe over Fabrics (NVMe-oF) のインバンド認証である TP 8006 は、サポートされていないテクノロジープレビューとして利用できるようになりました。NVMe Technical Proposal 8006 で、この機能拡張で提供される NVMe-oF の DH-HMAC-CHAP インバンド認証プロトコルが定義されています。

jmc-core および owasp-java-encoder がテクノロジープレビューとして利用可能になる

RHEL 9 は、AMD および Intel 64 ビットアーキテクチャー用のテクノロジープレビューとして、jmc-core および owasp-java-encoder パッケージとともに配布されます。

DNSSEC が IdM でテクノロジープレビューとして利用可能になる

統合 DNS のある Identity Management (IdM) サーバーは、DNS プロトコルのセキュリティーを強化する DNS に対する拡張セットである DNS Security Extensions (DNSSEC) を実装するようになりました。IdM サーバーでホストされる DNS ゾーンは、DNSSEC を使用して自動的に署名できます。暗号鍵は、自動的に生成およびローテートされます。

Identity Management JSON-RPC API がテクノロジープレビューとして利用可能

Identity Management (IdM) では API が利用できます。API を表示するために、IdM は、テクノロジープレビューとして API ブラウザーも提供します。

sssd-idp サブパッケージがテクノロジープレビューとして利用可能

SSSD の sssd-idp サブパッケージには、Identity Management (IdM) サーバーに対して OAuth2 認証を実行するクライアント側のコンポーネントである oidc_child プラグインおよび krb5 idp プラグインが含まれます。この機能は、RHEL 9.1 以降の IdM サーバーのみで使用できます。

SSSD の内部 krb5 idp プラグインがテクノロジープレビューとして利用可能

SSSD krb5 idp プラグインを使用すると、OAuth2 プロトコルを使用して外部アイデンティティープロバイダー (IdP) に対して認証できます。この機能は、RHEL 9.1 以降の IdM サーバーのみで使用できます。

RHEL IdM では、ユーザー認証をテクノロジープレビューとして外部 ID プロバイダーに委任できる

RHEL IdM では、OAuth 2 デバイス認証フローをサポートする外部 ID プロバイダー (IdP) にユーザーを関連付けることができるようになりました。これらのユーザーが RHEL 9.1 以降で利用可能な SSSD バージョンで認証すると、外部 IdP で認証と認可を実行した後、Kerberos チケットを使用した RHEL IdM Single Sign-On 機能を受け取ります。

テクノロジープレビューとして ACME が期限切れの証明書の自動削除をサポート

Identity Management (IdM) の自動証明書管理環境 (ACME) サービスは、期限切れの証明書を認証局 (CA) からパージする自動メカニズムをテクノロジープレビューとして追加します。その結果、ACME は指定された間隔で期限切れの証明書を自動的に削除できるようになりました。期限切れの証明書の削除はデフォルトでは無効になっています。有効にするには、次のように入力します。

64 ビット ARM アーキテクチャーの GNOME がテクノロジープレビューとして利用可能になる

GNOME デスクトップ環境は、テクノロジープレビューとして 64 ビット ARM アーキテクチャーで利用できます。

テクノロジープレビューとして利用可能な IBM Z アーキテクチャー用の GNOME

GNOME デスクトップ環境は、テクノロジープレビューとして IBM Z アーキテクチャーで利用できます。

Intel Arc A シリーズグラフィックスがテクノロジープレビューとして利用可能。

Alchemist または DG2 としても知られる Intel Arc A シリーズグラフィックスがテクノロジープレビューとして利用できるようになりました。

Stratis が RHEL Web コンソールでテクノロジープレビューとして利用可能

今回の更新で、Red Hat Enterprise Linux Web コンソールは、Stratis ストレージをテクノロジープレビューとして管理できるようになりました。

入れ子仮想マシンの作成

入れ子 KVM 仮想化は、RHEL 9 で Intel、AMD64、および IBM Z ホストで実行している KVM 仮想マシン用のテクノロジープレビューとして提供されます。この機能を使用すると、物理 RHEL 9 ホストで実行中の RHEL 7、RHEL 8、または RHEL 9 仮想マシンがハイパーバイザーとして機能し、独自の仮想マシンをホストできます。

Intel SGX がテクノロジープレビューとして VM で利用可能。

テクノロジープレビューとして、RHEL 9 でホストされる仮想マシン (VM) 用に Intel Software Guard Extensions (SGX) を設定できるようになりました。SGX は、Intel ハードウェア上の特定のプロセスのデータの整合性と機密性を保護するのに役立ちます。ホスト上で SGX をセットアップすると、その機能はその VM に渡され、ゲストオペレーティングシステム (OS) で使用できるようになります。

KVM 仮想マシンの AMD SEV および SEV-ES

RHEL 9 は、テクノロジープレビューとして、KVM ハイパーバイザーを使用する AMD EPYC ホストマシンに、セキュア暗号化仮想化 (SEV) 機能を提供します。仮想マシンで有効になっている場合は、SEV が仮想マシンのメモリーを暗号化して、ホストから仮想マシンへのアクセスを防ぎます。これにより、仮想マシンのセキュリティーが向上します。

ARM 64 で仮想化が利用可能になる

テクノロジープレビューとして、ARM 64 CPU を使用してシステムに KVM 仮想マシンを作成できるようになりました。

AMD64、Intel 64、および ARM 64 で virtio-mem が利用可能になる

RHEL 9 では、テクノロジープレビューとして、AMD64、Intel 64、および ARM 64 システムに virtio-mem 機能が追加されました。virtio-mem を使用すると、仮想マシンでホストメモリーを動的に追加または削除できます。

RHEL ゲストのインテル TDX

テクノロジープレビューとして、Intel Trust Domain Extension (TDX) 機能が RHEL 9.2 ゲストオペレーティングシステムで使用できるようになりました。ホストシステムが TDX をサポートしている場合は、トラストドメイン (TD) と呼ばれる、ハードウェアから分離された RHEL 9 仮想マシン (VM) をデプロイできます。ただし、TDX は現在 kdump では機能せず、TDX を有効にすると VM 上で kdump が失敗することに注意してください。

RHEL の Unified Kernel Image がテクノロジープレビューとして利用可能に

テクノロジープレビューとして、RHEL カーネルを仮想マシン (VM) の Unified Kernel Image (UKI) として入手できるようになりました。Unified Kernel Image は、カーネル、initramfs、およびカーネルコマンドラインを単一の署名付きバイナリーファイルに結合します。

Intel vGPU がテクノロジープレビューとして利用可能になる

テクノロジープレビューとして、物理 Intel GPU デバイスを、mediated devices と呼ばれる複数の仮想デバイスに分割できるようになりました。この仲介デバイスは、仮想 GPU として複数の仮想マシンに割り当てることができます。これにより、この仮想マシンが、1 つの物理 Intel GPU のパフォーマンスを共有します。

RHEL がテクノロジープレビューとして Azure Confidential VM で利用可能になる

更新された RHEL カーネルを使用すると、RHEL 機密仮想マシン (VM) を Microsoft Azure 上でテクノロジープレビューとして作成して実行できるようになりました。新しく追加された Unified Kernel Image (UKI) により、暗号化された機密 VM イメージを Azure 上で起動できるようになりました。UKI は、RHEL 9 リポジトリーの kernel-uki-virt パッケージとして利用できます。

Podman の Quadlet がテクノロジープレビューとして利用可能になりました。

Podman v4.4 以降では、Quadlet を使用して、コンテナーの説明から systemd サービスファイルをテクノロジープレビューとして自動的に生成できます。コンテナーの説明は systemd ユニットファイル形式です。この説明では、関連するコンテナーの詳細に焦点を当てており、systemd でコンテナーを実行する際の技術的な複雑さは隠しています。Quadlet は、systemd ユニットファイルよりも作成と保守が簡単です。

Fulcio と Rekor を使用した sigstore 署名のクライアントがテクノロジープレビューとして利用可能になりました。

Fulcio および Rekor サーバーを使用すると、秘密鍵を手動で管理する代わりに、OpenID Connect (OIDC) サーバー認証に基づく短期証明書を使用して署名を作成できるようになりました。Fulcio と Rekor を使用した sigstore 署名のクライアントがテクノロジープレビューとして利用できるようになりました。この追加機能はクライアント側のサポートのみであり、Fulcio サーバーや Rekor サーバーは含まれません。

podman-machine コマンドはサポート対象外です。

仮想マシンを管理するための podman-machine コマンドは、テクノロジープレビューとしてのみ利用可能です。代わりに、コマンドラインから直接 Podman を実行してください。

非推奨のキックスタートコマンド

以下のキックスタートコマンドが非推奨になりました。

edge-commit および edge-container ブループリントのユーザーとグループのカスタマイズは非推奨になる

ブループリントでユーザーまたはグループのカスタマイズを指定することは、edge-commit および edge-container イメージタイプでは非推奨になりました。これは、イメージをアップグレードし、ブループリントでユーザーを再度指定しないと、ユーザーのカスタマイズが失われるためです。したがって、既存の OSTree コミット (edge-raw-image、edge-installer、edge-simplified-installer など) のデプロイに使用されるエッジイメージタイプのブループリントでユーザーとグループを直接指定する必要があります。

subscription-manager コマンドの --token オプションは非推奨になりました。

subscription-manager register コマンドの --token=<TOKEN> オプションは、システムを Red Hat に登録するのに役立つ認証方法です。このオプションは、エンタイトルメントサーバーが提供する機能に応じて異なります。デフォルトのエンタイトルメントサーバー subscription.rhsm.redhat.com は、この機能をオフにする予定です。その結果、subscription-manager register --token=<TOKEN> を使用しようとすると、次のエラーメッセージが表示されて失敗する可能性があります。

ReaR 設定ファイルでの TMPDIR 変数の設定が非推奨になる

export TMPDIR=… などのステートメントを使用して、/etc/rear/local.conf または /etc/rear/site.conf ReaR 設定ファイルで TMPDIR 環境変数を設定することは、機能せず非推奨です。

dump からの dump ユーティリティーが非推奨になる

ファイルシステムのバックアップに使用される dump ユーティリティーが非推奨になり、RHEL 9 では使用できなくなります。

Bacula の SQLite データベースバックエンドが非推奨に

Bacula バックアップシステムは、複数のデータベースバックエンド (PostgreSQL、MySQL、および SQLite) をサポートしていました。SQLite バックエンドに非推奨となり、RHEL の今後のリリースではサポートされなくなります。代わりに、他のバックエンド (PostgreSQL または MySQL) のいずれかに移行し、新しい展開では SQLite バックエンドを使用しないでください。

SHA-1 は暗号化の目的で非推奨になる

暗号化を目的とした SHA-1 メッセージダイジェストの使用は、RHEL 9 では非推奨になりました。SHA-1 によって生成されたダイジェストは、ハッシュ衝突の検出に基づく多くの攻撃の成功例が記録化されているため、セキュアであるとは見なされません。RHEL コア暗号コンポーネントは、デフォルトで SHA-1 を使用して署名を作成しなくなりました。RHEL 9 のアプリケーションが更新され、セキュリティー関連のユースケースで SHA-1 が使用されないようになりました。

fapolicyd.rules が非推奨になる

実行ルールの許可と拒否を含むファイルの /etc/fapolicyd/rules.d/ ディレクトリーは、/etc/fapolicyd/fapolicyd.rules ファイルを置き換えます。fagenrules スクリプトは、このディレクトリー内のすべてのコンポーネントルールファイルを /etc/fapolicyd/compiled.rules ファイルにマージするようになりました。/etc/fapolicyd/fapolicyd.trust のルールは引き続き fapolicyd フレームワークによって処理されますが、下位互換性を確保するためのみに使用されます。

RHEL 9 で SCP が非推奨になる

SCP (Secure Copy Protocol) には既知のセキュリティー脆弱性があるため、非推奨となりました。SCP API は RHEL 9 ライフサイクルで引き続き利用できますが、システムセキュリティーが低下します。

Digest-MD5 SASL では非推奨となりました。

SASL (Simple Authentication Security Layer) フレームワークの Digest-MD5 認証メカニズムは非推奨になり、将来バージョンのメジャーリリースでは cyrus-sasl パッケージから削除される可能性あり

OpenSSL は、MD2、MD4、MDC2、Whirlpool、Blowfish、CAST、DES、IDEA、RC2、RC4、RC5、SEED、および PBKDF1 を非推奨にします。

OpenSSL プロジェクトは、セキュアではない、一般的ではない、またはその両方であるという理由で、一連の暗号アルゴリズムを非推奨にしました。Red Hat もそれらのアルゴリズムの使用を推奨せず、RHEL 9 では、新しいアルゴリズムを使用するために暗号化されたデータを移行するためにそれらを提供しています。ユーザーは、自分のシステムのセキュリティーのためにこれらのアルゴリズムに依存してはいけません。

/etc/system-fips が非推奨となる

/etc/system-fips ファイルで FIPS モードが削除されることを示すサポートにより、ファイルは今後の RHEL バージョンに含まれなくなります。FIPS モードで RHEL をインストールするには、システムのインストール時に fips=1 パラメーターをカーネルコマンドラインに追加します。fips-mode-setup --check コマンドを使用して、RHEL が FIPS モードで動作しているかどうかを確認できます。

libcrypt.so.1 が非推奨に

libcrypt.so.1 ライブラリーは現在非推奨であり、RHEL の将来のバージョンで削除される可能性があります。

OpenSSL では、FIPS モードでの RSA 暗号化にパディングが必要です。

OpenSSL は、FIPS モードでのパディングなしの RSA 暗号化をサポートしなくなりました。パディングを使用しない RSA 暗号化は一般的ではないため、ほとんど使用されません。RSA (RSASVE) によるキーのカプセル化はパディングを使用しませんが、引き続きサポートされていることに注意してください。

RHEL 9 でネットワークチームが非推奨に

teamd サービスおよび libteam ライブラリーは、Red Hat Enterprise Linux 9 では非推奨になり、次回のメジャーリリースでは削除される予定です。代替として、ネットワークチームの代わりにボンディングを設定します。

ifcfg 形式の NetworkManager 接続プロファイルが非推奨に

RHEL 9.0 以降では、ifcfg 形式の接続プロファイルは非推奨になりました。次の RHEL メジャーリリースでは、この形式のサポートが削除されます。ただし、RHEL 9 では、既存のプロファイルを変更すると、NetworkManager は引き続きこの形式で既存のプロファイル処理および更新します。

firewalld の iptables バックエンドが非推奨に

RHEL 9 では、iptables フレームワークは非推奨になりました。結果として、iptables バックエンドと、firewalld の 直接インターフェイス も非推奨になりました。直接インターフェイス の代わりに、firewalld のネイティブ機能を使用して、必要なルールを設定できます。

RHEL 9 で ATM カプセル化が非推奨になる

非同期転送モード (ATM) カプセル化により、ATM アダプテーションレイヤー 5(AAL-5) のレイヤー 2(ポイントツーポイントプロトコル、イーサネット) またはレイヤー 3(IP) 接続が可能になります。Red Hat は、RHEL 7 以降 ATM NIC ドライバーのサポートを提供していません。ATM 実装のサポートは RHEL 9 で廃止されています。これらのプロトコルは現在、ADSL テクノロジーをサポートし、メーカーによって段階的に廃止されているチップセットのみで使用されています。したがって、ATM カプセル化は Red Hat Enterprise Linux 9 では非推奨です。

kexec-tools の kexec_load システムコールが非推奨になる

2 番目のカーネルをロードする kexec_load システムコールは、将来の RHEL リリースではサポートされなくなります。kexec_file_load システムコールは kexec_load に代わるもので、現在はすべてのアーキテクチャーのデフォルトのシステムコールです。

RHEL 9 でネットワークチームが非推奨に

teamd サービスおよび libteam ライブラリーは、Red Hat Enterprise Linux 9 では非推奨になり、次回のメジャーリリースでは削除される予定です。代替として、ネットワークチームの代わりにボンディングを設定します。

lvm2-activation-generator およびその生成されたサービスが RHEL 9.0 で削除される

lvm2-activation-generator プログラムとその生成されたサービス lvm2-activation、lvm2-activation-early、および lvm2-activation-net は、RHEL 9.0 で削除されています。サービスをアクティベートするために使用される lvm.conf event_activation 設定は機能しなくなりました。ボリュームグループを自動アクティブ化する唯一の方法は、イベントベースのアクティブ化です。

libdb が非推奨になる

RHEL 8 および RHEL 9 は、現在、LGPLv2 ライセンスで配布される Berkeley DB (libdb) バージョン 5.3.28 を提供しています。アップストリームの Berkeley DB バージョン 6 は、より厳しい AGPLv3 ライセンスで利用できます。

2048 より小さいサイズのキーは、openssl 3.0 で廃止されました。

2048 ビットより小さい鍵サイズは openssl 3.0 で廃止され、Go の FIPS モードでは機能しなくなりました。

一部の PKCS1 v1.5 モードが非推奨になりました

一部の PKCS1 v1.5 モードは、FIPS-140-3 で暗号化が承認されておらず、無効になっています。Go の FIPS モードでは機能しなくなります。

OpenDNSSec の SHA-1 が非推奨になりました

OpenDNSSec は、SHA-1 アルゴリズムを使用したデジタル署名および認証レコードのエクスポートに対応しています。SHA-1 アルゴリズムの使用に対応しなくなりました。RHEL 9 リリースでは、OpenDNSSec の SHA-1 が非推奨になり、今後のマイナーリリースで削除される可能性があります。また、OpenDNSSec のサポートは、Red Hat Identity Management との統合に限定されます。OpenDNSSec はスタンドアロンでは対応していません。

SSSD 暗黙的なファイルプロバイダードメインが、デフォルトで無効化される

/etc/shadow などのローカルファイルからユーザー情報を取得し、/etc/groups からのグループ情報をグループ化する SSSD 暗黙的 files プロバイダードメインが、デフォルトで無効になりました。

-h および -p オプションは、OpenLDAP クライアントユーティリティーで廃止されました。

アップストリームの OpenLDAP プロジェクトは、そのユーティリティーで -h および -p オプションを廃止し、代わりに -H オプションを使用して LDAP URI を指定することを推奨しています。その結果、RHEL 9 では、すべての OpenLDAP クライアントユーティリティーでこれら 2 つのオプションが廃止されました。-h および -p オプションは、将来のリリースで RHEL 製品から削除される予定です。

SSSD files プロバイダーは非推奨に

SSSD files プロバイダーは Red Hat Enterprise Linux (RHEL) 9 で非推奨になりました。files プロバイダーは、RHEL の将来のリリースから削除される可能性があります。

nsslapd-idlistscanlimit パラメーターは非推奨となり、デフォルト値が変更されました

新しいフィルターの並べ替えの最適化により、nsslapd-idlistscanlimit 属性が検索パフォーマンスに与える影響は、役に立つというよりも有害になります。その結果、この属性は非推奨になりました。さらに、デフォルト値が 2147483646 (無制限) に変更されました。

SMB1 プロトコルは Samba では非推奨に

Samba 4.11 以降、安全でない Server Message Block バージョン 1 (SMB1) プロトコルは非推奨となり、今後のリリースでは削除される予定です。

GTK 2 が非推奨になりました

レガシー GTK 2 ツールキットと、以下の関連パッケージが非推奨になりました。

LibreOffice が非推奨に

LibreOffice RPM パッケージは非推奨となり、今後の RHEL メジャーリリースで削除される予定です。LibreOffice は、RHEL 7、8、および 9 のライフサイクル全体を通じて引き続き完全にサポートされます。

Motif が非推奨になりました

アップストリームの Motif コミュニティーでの開発は非アクティブであるため、Motif ウィジェットツールキットは RHEL で非推奨になりました。

RHEL 9 ノードでチームを設定すると、network システムロールが非推奨の警告を表示します

ネットワークチーミング機能は、RHEL 9 では非推奨になりました。その結果、RHEL 8 コントロールノードの network RHEL システムロールを使用して RHEL 9 ノードでネットワークチームを設定すると、非推奨に関する警告が表示されます。

SHA1 ベースの署名を使用した SecureBoot イメージ検証が非推奨になりました

UEFI (PE/COFF) 実行ファイルでの SHA1 ベースの署名を使用した SecureBoot イメージ検証の実行は非推奨になりました。代わりに、Red Hat は、SHA2 アルゴリズムまたはそれ以降に基づく署名を使用することを推奨します。

仮想マシンスナップショットのサポートが限定されました

仮想マシンのスナップショットの作成は、現在、UEFI ファームウェアを使用していない仮想マシンのみでサポートされています。さらに、スナップショット操作中に QEMU モニターがブロックされる可能性があり、これは特定のワークロードのハイパーバイザーのパフォーマンスに悪影響を及ぼします。

仮想フロッピードライバーが非推奨に

仮想フロッピーディスクデバイスを制御する isa-fdc ドライバーが非推奨になり、今後の RHEL ではサポートされなくなります。そのため、移行した仮想マシンとの前方互換性を確保するため、Red Hat では、RHEL 9 でホストされている仮想マシンでのフロッピーディスクデバイスの使用を推奨しません。

qcow2-v2 イメージ形式が非推奨になりました

RHEL 9 では、仮想ディスクイメージの qcow2-v2 形式が非推奨になり、将来バージョンの RHEL ではサポートされなくなります。また、RHEL 9 Image Builder は、qcow2-v2 形式のディスクイメージを作成できません。

virt-manager が非推奨になりました

Virtual Machine Manager アプリケーション (virt-manager) は非推奨になっています。RHEL Web コンソール (Cockpit) は、後続のリリースで置き換えられる予定です。したがって、GUI で仮想化を管理する場合は、Web コンソールを使用することが推奨されます。ただし、virt-manager で利用可能な機能によっては、RHEL Web コンソールで利用できない場合があります。

libvirtd が非推奨に

モノリシック libvirt デーモン libvirtd は、RHEL 9 で非推奨になり、RHEL の将来のメジャーリリースで削除される予定です。ハイパーバイザーで仮想化を管理するために libvirtd を引き続き使用できることに注意してください。ただし、Red Hat では、新しく導入されたモジュラー libvirt デーモンに切り替えることを推奨します。手順と詳細は、RHEL 9 の仮想化の設定と管理 に関するドキュメントを参照してください。

レガシー CPU モデルが非推奨に

かなりの数の CPU モデルが非推奨になり、RHEL の将来のメジャーリリースで仮想マシン (VM) での使用がサポートされなくなります。非推奨のモデルは次のとおりです。

RDMA ベースのライブマイグレーションが非推奨になる

この更新により、リモートダイレクトメモリーアクセス (RDMA) を使用した実行中の仮想マシンの移行は非推奨になりました。その結果、rdma:// 移行 URI を使用して RDMA 経由の移行を要求することは可能ですが、この機能は RHEL の将来のメジャーリリースではサポートされなくなります。

RHEL 7 ホストでの RHEL 9 コンテナーの実行がサポート対象外

RHEL 7 ホストでは、RHEL 9 コンテナーの実行に対応していません。正常に動作するかもしれませんが、保証されません。

Podman 内の SHA1 ハッシュアルゴリズムが非推奨

ルートレスネットワーク namespace のファイル名を生成するために使用される SHA1 アルゴリズムは Podman ではサポートされなくなりました。したがって、Podman 4.1.1 以降に更新する前に起動されたルートレスコンテナーは、ネットワークに参加している場合は (slirp4netns を使用するだけでなく) 再起動して、アップグレード後に起動したコンテナーに接続できるようにする必要があります。

rhel9/pause が非推奨に

rhel9/pause コンテナーイメージが非推奨になりました

CNI ネットワークスタックが非推奨に

Container Network Interface (CNI) ネットワークスタックは、将来のマイナーバージョンで非推奨になる予定です。以前は、コンテナーは DNS 経由のみで単一の Container Network Interface (CNI) プラグインに接続していました。Podman v.4.0 では、新しい Netavark ネットワークスタックが導入されました。Netavark ネットワークスタックは、Podman およびその他の Open Container Initiative (OCI) コンテナー管理アプリケーションとともに使用できます。Podman 用の Netavark ネットワークスタックは、高度な Docker 機能とも互換性があります。複数のネットワーク内のコンテナーは、それらのネットワークのいずれかにあるコンテナーにアクセスできます。

キックスタートコマンドの auth および authconfig で AppStream リポジトリーが必要になる

インストール中に、キックスタートコマンドの auth および authconfig で authselect-compat パッケージが必要になります。auth または authconfig を使用したときに、このパッケージがないとインストールに失敗します。ただし、設計上、authselect-compat パッケージは AppStream リポジトリーでのみ使用可能です。

reboot --kexec コマンドおよび inst.kexec コマンドが、予測可能なシステム状態を提供しない

キックスタートコマンド reboot --kexec またはカーネル起動パラメーター inst.kexec で RHEL インストールを実行しても、システムの状態が完全な再起動と同じになるわけではありません。これにより、システムを再起動せずにインストール済みのシステムに切り替えると、予期しない結果が発生することがあります。

Anaconda がアプリケーションとして実行されているシステムでの予期しない SELinux ポリシー

Anaconda がすでにインストールされているシステムでアプリケーションとして実行されている場合 (たとえば、–image anaconda オプションを使用してイメージファイルに別のインストールを実行する場合)、システムはインストール中に SELinux のタイプと属性を変更することを禁止されていません。そのため、SELinux ポリシーの特定の要素は、Anaconda が実行されているシステムで変更される可能性があります。この問題を回避するには、実稼働システムで Anaconda を実行せず、一時的な仮想マシンで実行します。そうすることで、実稼働システムの SELinux ポリシーは変更されません。boot.iso や dvd.iso からのインストールなど、システムインストールプロセスの一部として anaconda を実行しても、この問題の影響は受けません。

サードパーティーのツールを使用して作成した USB からインストールを起動する際に、Local Media のインストールソースが検出されない

サードパーティーツールを使用して作成した USB から RHEL インストールを起動すると、インストーラーは Local Media インストールソースを検出できません (Red Hat CDN のみが検出されます)。

USB CD-ROM ドライブが Anaconda のインストールソースとして利用できない

USB CD-ROM ドライブがソースで、キックスタート ignoredisk --only-use= コマンドを指定すると、インストールに失敗します。この場合、Anaconda はこのソースディスクを見つけ、使用できません。

ドライバーディスクメニューがコンソールでユーザー入力を表示できない

ドライバーディスクを使用したカーネルコマンドラインで inst.dd オプションを使用して RHEL インストールを開始すると、コンソールはユーザー入力を表示できません。その結果、アプリケーションがユーザー入力に応答せずにフリーズしているように見えますが、出力が表示されるため、ユーザーにとってわかりにくいます。ただし、この動作は機能に影響を与えず、Enter を押すとユーザー入力が登録されます。

iso9660 ファイルシステムで、ハードドライブがパーティション分割されたインストールが失敗する

ハードドライブが iso9660 ファイルシステムでパーティションが設定されているシステムには、RHEL をインストールできません。これは、iso9660 ファイルシステムパーティションを含むハードディスクを無視するように設定されている、更新されたインストールコードが原因です。これは、RHEL が DVD を使用せずにインストールされている場合でも発生します。

Anaconda が管理者ユーザーアカウントの存在の確認に失敗する

グラフィカルユーザーインターフェイスを使用して RHEL をインストールしている場合に、管理者アカウントが作成されていると、Anaconda が確認に失敗します。その結果、管理者ユーザーアカウントがなくても、システムをインストールできてしまう可能性があります。

新しい XFS 機能により、バージョン 5.10 よりも古いファームウェアを持つ PowerNV IBM POWER システムが起動しなくなる

PowerNV IBM POWER システムは、ファームウェアに Linux カーネルを使用し、GRUB の代わりに Petitboot を使用します。これにより、ファームウェアカーネルのマウント /boot が発生し、Petitboot が GRUB 設定を読み取り、RHEL を起動します。

rpm-ostree ペイロードをインストールすると、RHEL for Edge インストーラーイメージがマウントポイントの作成に失敗する

RHEL for Edge インストーラーイメージなどで使用される rpm-ostree ペイロードをデプロイする場合、インストーラーはカスタムパーティションの一部のマウントポイントを適切に作成しません。その結果、インストールは以下のエラーで中止されます。

ネットワークに接続されているが、DHCP または静的 IP アドレスが設定されていない場合、NetworkManager はインストール後に起動に失敗する

RHEL 9.0 以降、特定の ip= または kickstart ネットワーク設定が設定されていない場合、Anaconda はネットワークデバイスを自動的にアクティブ化します。Anaconda は、イーサネットデバイスごとにデフォルトの永続的な設定ファイルを作成します。接続プロファイルには、ONBOOT と autoconnect の値が true に設定されています。その結果、インストールされたシステムの起動中に、RHEL がネットワークデバイスをアクティブ化し、networkManager-wait-online サービスが失敗します。

インストール環境でドライバー更新ディスクから更新されたドライバーをロードできない

インストールの初期 RAM ディスクから同じドライバーがすでにロードされている場合、ドライバー更新ディスクからの新しいバージョンのドライバーがロードされない場合があります。そのため、ドライバーの最新バージョンをインストール環境に適用できません。

キックスタートインストールでネットワーク接続の設定に失敗する

Anaconda は、NetworkManager API を通じてのみキックスタートネットワーク設定を実行します。Anaconda は、%pre キックスタートセクションの後にネットワーク設定を処理します。その結果、キックスタート %pre セクションの一部のタスクがブロックされます。たとえば、%pre セクションからのパッケージのダウンロードは、ネットワーク設定が利用できないため失敗します。

選択した RAID ボリュームで USB 3.0 ポートを使用すると、Anaconda エラーが発生してインストールが失敗する場合があります

起動可能なドライブを USB 3.0 ポートに接続した状態で、選択した RAID 0 または RAID 1 に RHEL をインストールしようとすると、次の Anaconda エラーが発生して RHEL のインストールプロセスが失敗する場合があります。

RHEL インストーラーが inst.proxy ブートオプションを正しく処理しない

Anaconda を実行すると、インストールプログラムが inst.proxy ブートオプションを正しく処理しません。そのため、指定したプロキシーを使用してインストールイメージを取得することができません。

Windows 11 で RHEL ISO をマウントする際にファイル名が切り捨てられる

RHEL 9.2 バイナリー DVD ISO を Windows 11 システムにマウントすると、同じ ISO を RHEL システムにマウントした場合と異なり、ファイル名が切り捨てられます。その結果、Windows 11 システムでは異なるファイル名が表示されます。この問題を回避するには、RHEL 9.2 バイナリー DVD ISO を RHEL システムにマウントし、特定のユースケースで必要な場合にファイルを Windows システムにコピーするか、最新バージョンの RHEL を使用してください。

RHEL インストーラーは、iSCSI デバイスを aarch64 の起動デバイスとして自動的に検出または使用しません。

aarch64 で実行している RHEL インストーラーに iscsi_ibft カーネルモジュールがないと、ファームウェアで定義された iSCSI デバイスの自動検出ができなくなります。これらのデバイスはインストーラーに自動的に表示されず、GUI を使用して手動で追加した場合はブートデバイスとして選択できません。回避策として、インストーラーを起動するときにカーネルコマンドラインで "inst.nonibftiscsiboot" パラメーターを追加し、GUI 経由で iSCSI デバイスを手動で接続します。その結果、インストーラーは、接続されている iSCSI デバイスを起動可能として認識し、インストールを期待どおりに完了できます。

'ignoredisk' コマンドが 'iscsi' コマンドの前にある場合、キックスタートのインストールが unknown disk エラーで失敗する

ignoredisk コマンドが iscsi コマンドの前に配置されている場合、キックスタート方式を使用して RHEL をインストールすると失敗します。この問題は、iscsi コマンドがコマンド解析中に指定の iSCSI デバイスを接続する間、ignoredisk コマンドが同時にデバイスの仕様を解決するために発生します。iscsi コマンドによって iSCSI デバイス名が割り当てられる前に ignoredisk コマンドが iSCSI デバイス名を参照すると、インストールが "unknown disk" エラーで失敗します。

キックスタートコマンドが firewalld サービス の無効化に失敗する

Anaconda のバグにより、services --disabled=firewalld コマンドがキックスタートの firewalld サービスを無効にできなくなります。この問題を回避するには、代わりに firewall --disabled コマンドを使用します。その結果、firewalld サービスが適切に無効になります。

インストールプロセスが応答しなくなることがある

RHEL をインストールすると、インストールプロセスが応答しなくなることがあります。/tmp/packaging.log ファイルは、最後に以下のメッセージを表示します。

設定ファイルで TMPDIR 変数が設定されている場合、ReaR がリカバリー中に失敗する

/etc/rear/local.conf または /etc/rear/site.conf ReaR 設定ファイルで TMPDIR を設定してエクスポートすることは、機能せず非推奨です。

ifcfg ファイルを使用したネットワークインターフェイスの名前変更に失敗する

RHEL 9 では、initscripts はデフォルトでインストールされません。その結果、ifcfg ファイルを使用したネットワークインターフェイスの名前変更に失敗します。この問題を解決するには、udev ルールを使用するか、ファイルをリンクしてインターフェイスの名前を変更することが推奨されます。詳細は、一貫したネットワークインターフェイスデバイスの命名 および systemd.link(5) の man ページを参照してください。

RHEL 9 では、chkconfig パッケージがデフォルトでインストールされない

システムサービス用のランレベル情報を更新およびクエリーする chkconfig パッケージは、RHEL 9 ではデフォルトでインストールされません。

Service Location Protocol (SLP) は UDP を介した攻撃に対して脆弱である

OpenSLP は、プリンターやファイルサーバーなどのローカルエリアネットワーク内のアプリケーションに動的設定メカニズムを提供します。ただし、SLP は、インターネットに接続されたシステムで UDP を介した反射型/増幅型サービス拒否攻撃に対して脆弱です。SLP を使用すると、認証されていない攻撃者は、SLP 実装によって設定された制限なしで新しいサービスを登録できます。攻撃者は UDP を使用し、送信元アドレスをスプーフィングすることで、サービス一覧を要求し、スプーフィングされたアドレスにサービス拒否を作成できます。

bind および unbound の両方が SHA-1- ベースの署名の検証を無効化する

bind および unbound コンポーネントは、すべての RSA/SHA1 (アルゴリズム番号 5) および RSASHA1-NSEC3-SHA1 (アルゴリズム番号 7) 署名の検証サポートを無効にし、署名の SHA-1 使用は DEFAULT システム全体の暗号化ポリシーで制限されます。

同じ書き込み可能ゾーンファイルが複数のゾーンで使用されていると、named が起動しない

BIND では、複数のゾーンに同じ書き込み可能ゾーンファイルを使用することができません。そのため、named で変更可能なファイルへのパスを共有するゾーンが複数存在すると、named が起動できなくなります。この問題を回避するには、in-view 節を使用して、複数のビュー間で 1 つのゾーンを共有し、異なるゾーンに異なるパスを使用するようにします。たとえば、パスにビュー名を含めます。

libotr は FIPS に準拠していない

libotr ライブラリーとオフザレコード (OTR) メッセージング用のツールキットは、インスタントメッセージングの会話にエンドツーエンドの暗号化を提供します。ただし、libotr ライブラリーは gcry_pk_sign() および gcry_pk_verify() 関数を使用しているため、連邦情報処理標準 (FIPS) に準拠していません。その結果、FIPS モードでは libotr ライブラリーを使用できません。

コンソール keymap を設定するには、最小限のインストールで libxkbcommon ライブラリーが必要

RHEL 9 では、特定の systemd ライブラリーの依存関係が動的リンクから動的ロードに変換され、システムが実行時にライブラリーを開いて使用できるようになりました。今回の変更により、必要なライブラリーをインストールしない限り、このようなライブラリーに依存する機能は使用できなくなります。これは、最小限のインストール設定を使用するシステムにおけるキーボードレイアウトの設定にも影響します。その結果、localectl --no-convert set-x11-keymap gb コマンドに失敗します。

sysstat パッケージの %vmeff メトリックに誤った値が表示される

sysstat パッケージは、ページ再利用効率を測定するための %vmeff メトリックを提供します。sysstat は、新しいカーネルバージョンで提供されるすべての関連する /proc/vmstat 値を解析しないため、sar -B コマンドによって返される %vmeff 列の値は正しくありません。この問題を回避するには、/proc/vmstat ファイルから %vmeff 値を手動で計算します。詳細は、Why the sar(1) tool reports %vmeff values beyond 100 % in RHEL 8 and RHEL 9? を参照してください。

tangd-keygen はデフォルト以外の umask を正しく処理しません。

tangd-keygen スクリプトは、生成されたキーファイルのファイル権限を変更しません。その結果、他のユーザーへのキーの読み取りを防止するデフォルトのユーザーファイル作成モードマスク (umask) が設定されているシステムでは、tang-show-keys コマンドはキーを表示する代わりにエラーメッセージ Internal Error 500 を返します。

PKCS #11 トークンが生の RSA または RSA-PSS 署名の作成をサポートしているかどうかを OpenSSL が検出しない

TLS 1.3 プロトコルには、RSA-PSS 署名のサポートが必要です。PKCS #11 トークンが生の RSA または RSA-PSS 署名をサポートしていない場合、キーが PKCS #11 トークンによって保持されている場合、OpenSSL ライブラリーを使用するサーバーアプリケーションは RSA キーを操作できません。これにより、上記のシナリオで TLS 通信に失敗します。

OpenSSL が、生の RSA または RSA-PSS の署名に対応していない PKCS #11 トークンを誤って処理する

OpenSSL ライブラリーは、PKCS #11 トークンの鍵関連の機能を検出しません。したがって、生の RSA または RSA-PSS の署名に対応しないトークンで署名が作成されると、TLS 接続の確立に失敗します。

特定の構文の使用時に scp はコピーされたファイルを空にします

scp ユーティリティーが Secure copy protocol (SCP) からよりセキュアな SSH ファイル転送プロトコル (SFTP) に変更されました。したがって、ある場所からファイルを同じ場所にコピーすると、ファイルの内容が消去されます。この問題は以下の構文に影響します。

OSCAP Anaconda アドオンは、グラフィカルインストールで調整されたプロファイルをフェッチしない

OSCAP Anaconda アドオンには、RHEL グラフィカルインストールでセキュリティープロファイルの調整を選択または選択解除するオプションがありません。RHEL 8.8 以降、アドオンはアーカイブまたは RPM パッケージからインストールするときにデフォルトで調整を考慮しません。その結果、インストールでは、OSCAP に合わせたプロファイルを取得する代わりに、次のエラーメッセージが表示されます。

Ansible 修復には追加のコレクションが必要

ansible-core パッケージによる Ansible Engine の置き換えにより、RHEL サブスクリプションで提供される Ansible モジュールのリストが削減されました。これにより、scap-security-guide パッケージに含まれる Ansible コンテンツを使用する修復を実行するには、rhc-worker-playbook パッケージからのコレクションが必要です。

oscap-anaconda-addon では、Network Servers パッケージグループを使用したシステムの CIS 強化が許可されません。

ネットワークサーバーパッケージグループが選択されているシステムに、CIS セキュリティープロファイル (cis、cis_server_l1、cis_workstation_l1、または cis_workstation_l2) を使用して RHEL ネットワークサーバーをインストールすると、oscap-anaconda-addon によってエラーメッセージ package tftp has been added to the list of excluded packages, but it can’t be removed from the current software selection without breaking the install が送信されます。インストールを続行するには、ソフトウェアの選択に戻り、追加ソフトウェア Network Servers のチェックを外して、インストールとハードニングを終了します。次に、必要なパッケージをインストールします。

Keylime は連結された PEM 証明書を受け入れない

Keylime が単一のファイルに連結された PEM 形式の複数の証明書として証明書チェーンを受信すると、keylime-agent-rust Keylime コンポーネントは署名検証中に提供されたすべての証明書を正しく使用せず、TLS ハンドシェイクが失敗します。その結果、クライアントコンポーネント (keylime_verifier および keylime_tenant) は Keylime エージェントに接続できません。この問題を回避するには、複数の証明書ではなく 1 つの証明書だけを使用します。

Keylime には tls_dir = default の特定のファイルが必要

Keylime verifier または registrar 設定で tls_dir 変数が default に設定されている場合、Keylime は /var/lib/keylime/cv_ca ディレクトリーに cacert.crt ファイルが存在するか確認します。ファイルが存在しない場合、keylime_verifier または keylime_registrar サービスは開始に失敗し、メッセージ Exception: It appears that the verifier has not yet created a CA and certificates, please run the verifier first がログに記録されます。その結果、Keylime は、ファイル名が異なるカスタム認証局 (CA) 証明書が /var/lib/keylime/ca_cv ディレクトリーに配置されている場合でも拒否します。

デフォルトの SELinux ポリシーにより、制限のない実行ファイルがスタックを実行可能にする

SELinux ポリシーの selinuxuser_execstack ブール値のデフォルトの状態は on です。これは、制限のない実行ファイルがスタックを実行可能にすることを意味します。実行可能ファイルはこのオプションを使用しないでください。また、ハードコーディングされていない実行ファイルや攻撃の可能性を示している可能性があります。ただし、他のツール、パッケージ、およびサードパーティー製品との互換性のため、Red Hat はデフォルトポリシーのブール値を変更できません。そのような互換性の側面に依存しない場合は、コマンド setsebool -P selinuxuser_execstack off を入力して、ローカルポリシーでブール値をオフにすることができます。

STIG プロファイルの SSH タイムアウトルールが誤ったオプションを設定する

OpenSSH の更新は、次の米国国防情報システム局のセキュリティー技術実装ガイド (DISA STIG) プロファイルのルールに影響を与えました。

GnuPG は crypto-policies によって許可されていない場合でも、SHA-1 署名の使用を誤って許可する

GNU Privacy Guard (GnuPG) 暗号化ソフトウェアは、システム全体の暗号化ポリシーで定義されている設定に関係なく、SHA-1 アルゴリズムを使用する署名を作成および検証できます。したがって、DEFAULT の暗号化ポリシーで暗号化の目的で SHA-1 を使用できます。これは、署名に対するこのセキュアではないアルゴリズムのシステム全体での非推奨とは一致しません。

gpg-agent が FIPS モードで SSH エージェントとして動作しない

gpg-agent ツールは、FIPS モードが MD5 ダイジェストが無効であっても ssh-agent プログラムにキーを追加する際に MD5 フィンガープリントを作成します。その結果、ssh-add ユーティリティーは認証エージェントへのキーの追加に失敗します。

OpenSCAP のメモリー消費の問題

メモリーが限られているシステムでは、OpenSCAP スキャナが途中で終了するか、結果ファイルが生成されない可能性があります。この問題を回避するには、スキャンプロファイルをカスタマイズして、/ ファイルシステム全体の再帰を含むルールの選択を解除します。

キックスタートインストール時のサービス関連のルールの修正が失敗する場合があります。

キックスタートのインストール時に、OpenSCAP ユーティリティーで、サービス enable または disable 状態の修正が必要でないことが誤って表示されることがあります。これにより、OpenSCAP が、インストール済みシステムのサービスを非準拠状態に設定する可能性があります。回避策として、キックスタートインストール後にシステムをスキャンして修復できます。これにより、サービス関連の問題が修正されます。

RHEL 9.0-9.3 の OpenSSH に OpenSSL 3.2.2 との互換性がない

RHEL 9.0、9.1、9.2、9.3 で提供される openssh パッケージは、OpenSSL のバージョンを厳密にチェックします。そのため、openssl パッケージをバージョン 3.2.2 以上にアップグレードし、openssh パッケージをバージョン 8.7p1-34.el9_3.3 以前のままにしておくと、OpenSSL version mismatch というエラーメッセージが表示され、sshd サービスの起動が失敗します。

nm-cloud-setup サービスは、手動で設定されたセカンダリー IP アドレスをインターフェイスから削除する

クラウド環境から受け取った情報に基づいて、nm-cloud-setup サービスがネットワークインターフェイスを設定します。インターフェイスを手動で設定するには、nm-cloud-setup を無効にします。ただし、場合によっては、ホスト上の他のサービスもインターフェイスを設定できます。たとえば、これらのサービスはセカンダリー IP アドレスを追加できます。nm-cloud-setup がセカンダリー IP アドレスを削除しないようにするには、

セッションキーの更新に失敗すると、接続が切断される

Kernel Transport Layer Security (kTLS) プロトコルは、対称暗号で使用されるセッションキーの更新をサポートしていません。その結果、ユーザーはキーを更新することができず、接続が切断されてしまいます。この問題を回避するには、kTLS を無効にしてください。その結果、この回避策により、セッションキーを正常に更新できます。

initscripts パッケージがデフォルトでインストールされない

デフォルトでは、initscripts パッケージはインストールされません。これにより、ifup ユーティリティーおよび ifdown ユーティリティーが利用できません。別の方法として、nmcli connection up コマンドおよび nmcli connection down コマンドを使用して、接続を有効および無効にします。提案された代替案がうまくいかない場合は、問題を報告し、NetworkManager-initscripts-updown パッケージをインストールしてください。これは、ifup および ifdown ユーティリティー用の NetworkManager ソリューションを提供します。

mlx5 ドライバーを使用し、MTU が 3498 バイトを超えた状態で XDP マルチバッファーモードを使用するには、RX Striding RQ を無効にする必要がある

次の条件にすべて一致するホストにおいて、マルチバッファーモードを使用した eXpress Data Path (XDP) スクリプトの実行が失敗します。

カーネルの kdump メカニズムにより、64K カーネルで OOM エラーが発生します。

64 ビット ARM アーキテクチャー上の 64K カーネルページサイズは、4KB カーネルよりも多くのメモリーを使用します。その結果、kdump はカーネルパニックを引き起こし、メモリー不足 (OOM) エラーでメモリー割り当てが失敗します。回避策として、crashkernel 値を手動で 640 MB に設定します。たとえば、crashkernel= パラメーターを crashkernel=2G- :640M として設定します。

カーネルページサイズに依存する顧客アプリケーションは、ページサイズカーネルを 4k から 64k に移行するときに更新が必要になる場合があります。

RHEL は、4k と 64k の両方のページサイズのカーネルと互換性があります。4K カーネルページサイズに依存する顧客アプリケーションは、4K から 64K ページサイズカーネルに移行するときに更新が必要になる場合があります。この既知の例には、jemalloc および依存アプリケーションが含まれます。

kdump サービスが IBM Z システムで initrd ファイルの構築に失敗する

64 ビットの IBM Z システムでは、s390- subchannels などの znet 関連の設定情報が非アクティブな NetworkManager 接続プロファイルに存在する場合、kdump サービスは初期 RAM ディスク (initrd) のロードに失敗します。その結果、kdump メカニズムは次のエラーで失敗します。

kTLS は、TLS 1.3 の NIC へのオフロードをサポートしない

Kernel Transport Layer Security (kTLS) は、TLS 1.3 の NIC へのオフロードをサポートしていません。そのため、NIC が TLS オフロードをサポートしていても、TLS 1.3 によるソフトウェア暗号化が使用されます。この問題を回避するには、オフロードが必要な場合は TLS 1.3 を無効にしてください。その結果、TLS 1.2 のみをオフロードすることができます。TLS 1.3 が使用されている場合、TLS 1.3 をオフロードすることができないため、パフォーマンスが低下します。

デフォルトでは、Delay Accounting 機能は SWAPIN および IO% 統計列を表示しない

初期のバージョンとは異なり、Delayed Accounting 機能はデフォルトで無効になっています。その結果、iotop アプリケーションは SWAPIN および IO% 統計列を表示せず、次の警告を表示します。

kdump メカニズムは、LUKS 暗号化ターゲットで vmcore ファイルをキャプチャーできない

Linux Unified Key Setup (LUKS) で暗号化されたパーティションを使用するシステムで kdump を実行する場合、システムには一定量の使用可能なメモリーが必要です。使用可能なメモリーが必要なメモリー量より少ない場合、systemd-cryptsetup サービスはパーティションのマウントに失敗します。その結果、2 番目のカーネルは LUKS 暗号化ターゲット上のクラッシュダンプファイル (vmcore) のキャプチャに失敗します。

起動時にクラッシュカーネルメモリーの割り当てに失敗する

特定の Ampere Altra システムでは、利用可能なメモリーが 1 GB 未満の場合に、起動中に kdump の使用に対してクラッシュカーネルメモリーの割り当てに失敗します。その結果、kdumpctl コマンドは kdump サービスの起動に失敗します。

VMD が有効になっている場合、RHEL が NVMe ディスクを認識できません。

ドライバーをリセットまたは再接続しても、ボリューム管理デバイス (VMD) ドメインは現在ソフトリセットされません。その結果、ハードウェアはデバイスを適切に検出して列挙できなくなります。その結果、VMD が有効になっているオペレーティングシステムは、特にサーバーをリセットするときや VM マシンを操作するときに、NVMe ディスクを認識しません。

iwl7260-firmware により、Intel Wi-Fi 6 AX200、AX210、および Lenovo ThinkPad P1 Gen 4 で Wi-Fi が切断される

iwl7260-firmware または iwl7260-wifi ドライバーを RHEL 9.1 以降で提供されるバージョンに更新すると、ハードウェアが不正な内部状態になります。その状態を誤って報告します。その結果、Intel Wifi 6 カードが機能せず、次のエラーメッセージが表示される場合があります。

kmod の weak-modules がモジュールの相互依存関係で機能しない

kmod パッケージによって提供される weak-modules スクリプトは、どのモジュールがインストールされたカーネルと kABI 互換であるかを判別します。しかし、weak-modules は、モジュールのカーネル互換性をチェックする際に、モジュールシンボルの依存関係を、そのビルド対象のカーネルの新しいリリースから古いリリースの順に処理します。結果として、異なるカーネルリリースに対して構築された相互依存関係を持つモジュールは互換性がないと解釈される可能性があるため、weak-modules はこのシナリオでは機能しません。

Mellanox ConnectX-5 アダプターの使用中に mlx5 ドライバーが失敗する

イーサネットスイッチデバイスドライバーモデル (switchdev) モードでは、デバイス管理フローステアリング (DMFS) パラメーターと ConnectX-5 アダプターがサポートするハードウェアを使用して設定されていると、mlx5 ドライバーが失敗します。その結果、次のエラーメッセージが表示されることがあります。

コア数が大きいシステムのリアルタイムカーネルのハードウェア認定では、ロックの競合を回避するために skew-tick=1 ブートパラメーターを渡す必要がある場合があります。

多数のソケットとコアカウントが大きい大規模なシステムまたは中規模のシステムでは、タイムキーピングシステムで使用される xtime_lock のロック競合により、レイテンシーの急増が発生する可能性があります。その結果、マルチプロセッシングシステムでは、レイテンシーの急増やハードウェア認定の遅延が発生する可能性があります。回避策として、skew_tick=1 ブートパラメーターを追加することで、CPU ごとにタイマーティックをオフセットし、別のタイミングで開始できます。

64 ビット ARM CPU で正しくコンパイルされたドライバーでのプログラム失敗に関して dkms が誤った警告を出す

Dynamic Kernel Module Support (dkms) ユーティリティーは、64 ビット ARM CPU のカーネルヘッダーが、ページサイズが 4 キロバイトのカーネルと 64 キロバイトのカーネルの両方で動作することを認識しません。その結果、dkms は、カーネルの更新時に kernel-64k-devel パッケージがインストールされていない場合、正しくコンパイルされたドライバーでプログラムが失敗した理由に関して誤った警告を出します。この問題を回避するには、kernel-headers パッケージをインストールします。このパッケージは、両タイプの ARM CPU アーキテクチャー用のヘッダーファイルを含むもので、dkms とその要件に特化したものではありません。