Anaconda がバージョン 33.16 にリベース

今回のリリースで、Anaconda がバージョン 33.16 にリベースされました。このバージョンは、以前のバージョンに対する以下の主な機能強化を提供します。

RHEL インストールプログラムの GUI の変更点

RHEL インストールプログラムには、インストール概要画面に以下のユーザー設定が追加されました。

Image Builder バックエンド osbuild-composer が lorax-composer に置き換え

osbuild-composer バックエンドは、lorax-composer を置き換えます。新しいサービスには、イメージビルド向けの REST API が含まれます。その結果、ユーザーはより信頼性の高いバックエンドと予測可能な出力イメージの利点を活用できます。

Image Builder の osbuild-composer が、イメージタイプのセットに対応

osbuild-composer バックエンドの置換により、osbuild-composer で以下のイメージタイプがサポートされます。

Image Builder が、GUI でクラウドへのプッシュに対応しました。

今回の機能拡張により、イメージの作成時に、GUI Image Builder で Azure および AWS サービスクラウドにプッシュするオプションをユーザーが選択できるようになりました。その結果、ユーザーはアップロードとインスタンス化をより簡単に活用できます。

RHEL for Edge イメージの概要

今回のリリースで、Edge サーバー用にカスタマイズした RHEL イメージを作成できるようになりました。

best dnf 設定オプションのデフォルト値が True から False に変更されました。

今回の更新で、元の dnf 動作を維持するために、デフォルトの設定ファイルで、best な dnf 設定オプションの値が True に設定されました。その結果、デフォルトの設定ファイルを使用するユーザーには、動作は変更されません。

dnf reposync コマンドの新しい --norepopath オプションが利用できるようになりました。

以前のバージョンでは、reposync コマンドは、デフォルトでダウンロードした各リポジトリーに対して、--download-path ディレクトリーにサブディレクトリーを作成していました。今回の更新で、--norepopath オプションが追加され、reposync はサブディレクトリーを作成しません。これにより、--download-path で指定されたディレクトリーにリポジトリーが直接ダウンロードされます。このオプションは、YUM v3 にも存在します。

libdnf プラグインを有効または無効にする機能

以前は、サブスクリプションチェックは libdnf プラグインの RHEL バージョンにハードコードされていました。今回の更新で、microdnf ユーティリティーが libdnf プラグインを有効または無効にすることができ、DNF と同じようにサブスクリプションチェックを無効にできるようになりました。サブスクリプションの確認を無効にするには、--disableplugin=subscription-manager コマンドを使用します。すべてのプラグインを無効にするには、--noplugins コマンドを使用します。

ReaR が更新されました。

RHEL 8.3 では、ReaR (Relax-and-Recover) ユーティリティーに多くの更新が導入されました。以下は、主な変更点です。

smartmontools がバージョン 7.1 にリベース

smartmontools パッケージがバージョン 7.1 にアップグレードされ、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

opencryptoki がバージョン 3.14.0 にリベースされました。

opencryptoki パッケージがバージョン 3.14.0 にアップグレードされ、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

gpgme がバージョン 1.13.1 にリベース

gpgme パッケージがアップストリームバージョン 1.13.1 にアップグレードされました。以下は、主な変更点です。

powertop がバージョン 2.12 にリベースされました。

powertop パッケージがバージョン 2.12 にアップグレードされました。以前に利用可能なバージョン 2.11 に対する主な変更点は、以下のとおりです。

tuned がバージョン 2.14.0 にリベースされました。

tuned パッケージがアップストリームバージョン 2.14.0 にアップグレードされました。主な機能強化は、次のとおりです。

tcpdump がバージョン 4.9.3 にリベース

tcpdump ユーティリティーがバージョン 4.9.3 に更新され、CVE (Common Vulnerabilities and Exposures) を修正できるようになりました。

libpcap がバージョン 1.9.1 にリベース

libpcap パッケージがバージョン 1.9.1 に更新され、CVE (Common Vulnerabilities and Exposures) を修正できるようになりました。

iperf3 がクライアント側で sctp オプションに対応

今回の機能拡張により、ユーザーはネットワークスループットをテストするクライアント側の TCP (Transmission Control Protocol) の代わりに SCTP (Stream Control Transmission Protocol) を使用できるようになりました。

iperf3 が SSL に対応

今回の機能強化により、ユーザーはクライアントとサーバー間の RSA 認証を使用して、サーバーへの接続を正当なクライアントのみに制限できるようになりました。

bind が 9.11.20 にリベース

pcp パッケージがバージョン 9.11.20 にアップグレードされ、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

printk の値を減らして I/O をシリアルコンソールに減らす新しい optimize-serial-console TuneD プロファイル

今回の更新で、新しい optimize-serial-console TuneD プロファイルが利用できるようになりました。シナリオによっては、カーネルドライバーが大量の I/O 操作をシリアルコンソールに送信することができます。I/O がシリアルコンソールに書き込まれる間、そのような動作は一時的に応答しなくなることがあります。optimize-serial-console プロファイルでは、デフォルトの 7 4 1 7 から 4 4 1 7 への printk 値を減らすことで、この I/O を減らします。システムでこの変更を行う場合は、シリアルコンソールを使用すると、以下のようにシステムをインストルメント化できます。

AMD ベースのプラットフォームに新しい TuneD プロファイルが追加

RHEL 8.3 では、AMD ベースのプラットフォームのチューニングを組み込むように throughput-performance TuneD プロファイルが更新されました。パラメーターを手動で変更する必要はありません。チューニングは AMD システムに自動的に適用されます。AMD Epyc Naples および Rome システムは、デフォルトの throughput-performance プロファイルで以下のパラメーターを変更します。

Memcached がバージョン 1.5.22 にリベース

memcached パッケージがバージョン 1.5.22 にアップグレードされました。以前のバージョンに対する主な変更点は、以下のとおりです。

Cyrus SASL は、SASL/GSSAPI プラグインおよび SASL/GSS-SPNEGO プラグインを使用したチャンネルバインディングをサポートするようになりました。

今回の更新で、SASL/GSSAPI プラグインおよび SASL/GSS-SPNEGO プラグインを使用したチャンネルバインディングのサポートが追加されました。その結果、openldap ライブラリーで使用すると、この機能は、Cyrus SASL が LDAP 接続に強制チャンネルバインディングを持つ Microsoft Active Directory および Microsoft Windows システムとの互換性を維持およびアクセスできるようになります。

Libreswan を 3.32 にリベース

今回の更新で、Libreswan がアップストリームバージョン 3.32 にリベースされ、新機能およびバグ修正が複数追加されました。主な変更には以下のものがあります。

libssh ライブラリーがバージョン 0.9.4 にリベース

SSH プロトコルを実装する libssh ライブラリーがバージョン 0.9.4 にアップグレードされました。

gnutls が 3.6.14 にリベース

gnutls パッケージがアップストリームバージョン 3.6.14 にリベースされました。このバージョンでは、主なバグ修正および機能強化が数多く追加されました。

gnutls FIPS DH チェックが NIST SP 800-56A リビジョンに準拠3

gnutls パッケージの今回の更新で、NIST Special Publication 800-56A リビジョン 3、セクション 5.7.1.1 および 5.7.1.2 ステップ 2 で必要なチェックが提供されます。この変更は、今後の FIPS 140-2 認定に必要です。その結果、gnutls は、FIPS モードで動作する際に、Diffie-Hellman 鍵交換中に RFC 7919 および RFC 3526 から 2048 ビット以上のパラメーターのみを受け入れるようになりました。

gnutls が NIST SP 800-56A リビジョン 3 に従って検証を実行

gnutls パッケージの今回の更新で、NIST Special Publication 800-56A リビジョン 3、セクション 5.6.2.2.2 および 5.6.2.1.3、ステップ 2 で必要なチェックが追加されました。さらに、今後の FIPS 140-2 認定に gnutls を準備します。その結果、gnutls は、FIPS モードで動作する際に、Diffie-Hellman 鍵交換中に公開鍵の生成および受け取りについて追加の検証ステップを実行します。

update-crypto-policies および fips-mode-setup が crypto-policies-scripts に移動

crypto-policies パッケージに含まれていた update-crypto-policies スクリプトおよび fips-mode-setup スクリプトは、別の RPM サブパッケージ crypto-policies-scripts に移動しました。パッケージは、通常のインストールの Recommends 依存関係を使用して自動的にインストールされます。これにより、ubi8/ubi-minimal イメージが有効になり、Python 言語インタープリターが含まれなくなり、イメージサイズが削減されます。

opensc がバージョン 0.20.0 にリベース

opensc パッケージがバージョン 0.20.0 にリベースされ、複数のバグやセキュリティー上の問題に対応します。以下は、主な変更点です。

stunnel がバージョン 5.56 にリベース

今回の更新で、stunnel 暗号化ラッパーがアップストリームバージョン 5.56 にリベースされ、新機能やバグ修正が複数追加されました。主な変更には以下のものがあります。

libkcapi がバージョン 1.2.0 にリベース

libkcapi パッケージがアップストリームバージョン 1.2.0 にリベースされ、これには若干の変更が含まれています。

setools が 4.3.0 にリベース

SELinux ポリシー解析を容易にするために設計されたツールの集合である setools パッケージが、バージョン 4.3.0 にアップグレードされました。

個々の CephFS ファイルおよびディレクトリーに SELinux ラベルを追加

CephFS (Ceph File System) は、ファイルの拡張属性に SELinux ラベルを保存するように最近有効化されています。以前のリリースでは、CephFS ボリュームのすべてのファイルに、共通のラベル system_u:object_r:cephfs_t:s0 のラベルが付けられました。今回の機能拡張により、個別のファイルのラベルを変更し、SELinux が移行ルールに基づいて新たに作成されたファイルのラベルを定義することができるようになりました。以前にラベル付けされていないファイルには、明示的に変更されるまで system_u:object_r:cephfs_t:s0 ラベルが設定されていることに注意してください。

OpenSCAP がバージョン 1.3.3 にリベースされました。

openscap パッケージがアップストリームバージョン 1.3.3 にアップグレードされ、以前のバージョンに対するバグ修正および機能拡張が数多く追加されました。主な変更点:

SCAP セキュリティーガイドで、CIS RHEL 8 Benchmark v1.0.0 に一致するプロファイルを提供

今回の更新により、scap-security-guide パッケージで CIS Red Hat Enterprise Linux 8 Benchmark v1.0.0 に一致するプロファイルが提供されるようになりました。このプロファイルを使用すると、Center for Internet Security (CIS) のガイドラインに従ってシステムの設定を強化できます。このため、CIS Ansible Playbook および CIS SCAP プロファイルを使用して、RHEL 8 システムの CIS への準拠を設定および自動化できます。

scap-security-guide が HIPAA を実装するプロファイルを提供

scap-security-guide パッケージの今回の更新で、Health Insurance Portability and Accountability Act (HIPAA) プロファイルが RHEL 8 セキュリティーコンプライアンスコンテンツに追加されました。このプロファイルは、The HIPAA Privacy Rule の Web サイトで説明されている推奨事項を実装します。

scap-security-guide が 0.1.50 にリベース

scap-security-guide パッケージ (Linux システムのセキュリティーポリシーの最新セットを含む) が、バージョン 0.1.50 にアップグレードされました。

SCAP Workbench が、カスタムプロファイルから結果ベースの修正を生成可能に

今回の更新で、SCAP Workbench ツールを使用して、カスタマイズしたプロファイルから結果ベースの修復ロールを生成できるようになりました。

新しい Ansible ロール は、Clevis クライアントの自動デプロイメントを提供します。

rhel-system-roles パッケージの今回の更新で、nbde_client RHEL システムロールが導入されました。この Ansible ロールを使用すると、複数の Clevis クライアントを自動的にデプロイできます。

新しい Ansible ロールで、Tang サーバーを設定可能に

今回の機能拡張により、新しい nbde_server システムロールを使用して、自動ディスク暗号化ソリューションの一部として、Tang サーバーをデプロイおよび管理できるようになりました。rhel-system-roles パッケージに含まれる nbde_server Ansible ロールでは、以下の機能がサポートされます。

clevis がバージョン 13 にリベース

clevis パッケージがバージョン 13 にリベースされ、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

clevis luks edit を使用して特定のピン設定を編集可能に

clevis パッケージの今回の更新で、特定のピン設定を編集できるように、新しい clevis luks edit サブコマンドが追加されました。たとえば、Tang サーバーの URL アドレスと、TPM2 設定で pcr_ids パラメーターを変更できるようになりました。新しい sss ピンを追加および削除し、sss ピンのしきい値を変更することもできます。

clevis luks bind -y で自動バインディングが可能に

今回の機能強化により、Clevis は -y パラメーターを使用した自動バインディングをサポートするようになりました。clevis luks bind コマンドで -y オプションを使用して、その後のプロンプトに yes と自動的に回答できるようになりました。たとえば、Tang ピンを使用する場合は、Tang 鍵を手動で信頼する必要がなくなりました。

fapolicyd がバージョン 1.0 にリベース

fapolicyd パッケージがバージョン 1.0 にリベースされ、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

fapolicyd が、fapolicyd-selinux に独自の SELinux ポリシーを提供

今回の機能拡張により、fapolicyd フレームワークが独自の SELinux セキュリティーポリシーを提供するようになりました。デーモンは fapolicyd_t ドメインで制限され、ポリシーは fapolicyd-selinux サブパッケージを使用してインストールされます。

usbguard がバージョン 0.7.8 にリベース

usbguard パッケージがバージョン 0.7.8 にリベースされ、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

USBGuard は、企業デスクトップユーザーの改善を多数提供

USBGuard プロジェクトへの追加には、企業のデスクトップユーザーのユーザービリティーを向上させる機能拡張およびバグ修正が含まれます。重要な変更には以下が含まれます。

USBGuard が usbguard-selinux に独自の SELinux ポリシーを提供するようになりました。

今回の機能拡張により、USBGuard フレームワークが独自の SELinux セキュリティーポリシーを提供するようになりました。デーモンは usbguard_t ドメインで制限され、ポリシーは usbguard-selinux サブパッケージからインストールされます。

libcap がアンビエント機能に対応

この更新で、ユーザーはログイン時にアンビエント機能を付与できるようになり、適切に設定されたプロセスに root アクセス権を持たせる必要をなくすことができます。

libseccomp ライブラリーがバージョン 2.4.3 にリベース

seccomp システムコールのフィルタリングメカニズムへのインターフェイスを提供する libseccomp ライブラリーが、バージョン 2.4.3 にアップグレードされました。

omamqp1 モジュールのサポート

今回の更新で、AMQP 1.0 プロトコルがバスの宛先へのメッセージの送信をサポートするようになりました。以前のリリースでは、OpenStack は AMQP1 プロトコルを通信標準として使用していました。このプロトコルは AMQP メッセージでメッセージをログに記録できるようになりました。今回の更新で、rsyslog-omamqp1 サブパッケージが導入され、omamqp1 出力モードが提供され、これはメッセージをログに記録し、バスの宛先に送信します。

OpenSCAP はリモートコンテンツを圧縮

今回の更新で、OpenSCAP がリモートコンテンツを転送するのに gzip 圧縮を使用します。リモートコンテンツの最も一般的なタイプはテキストベースの CVE フィードです。これは、時間の経過とともにサイズが増え、通常はすべてのスキャンに対してダウンロードする必要があります。gzip 圧縮は、圧縮されていないコンテンツに必要な帯域幅を 10% に減らします。その結果、スキャンされたシステムと、リモートコンテンツをホストするサーバーとの間のチェーン全体で帯域幅要件が減少します。

SCAP セキュリティーガイドで NIST-800-171 に一致するプロファイルが提供されるようになりました。

今回の更新で、scap-security-guide パッケージが、NIST-800-171 標準に一致するプロファイルを提供するようになりました。このプロファイルを使用すると、非対応情報システムの CUI (Controlled Unclassified Information) のセキュリティー要件に従ってシステム設定を強化できます。これにより、NIST-800-171 標準に合わせてシステムを簡単に設定することができます。

IPv4 接続追跡モジュールおよび IPv6 接続追跡モジュールは、nf_conntrack モジュールにマージされています。

今回の機能拡張で、Netfilter 接続追跡モジュール nf_conntrack_ipv4 と nf_conntrack_ipv6 が nf_conntrack カーネルモジュールにマージされます。この変更により、アドレスファミリー固有のモジュールを RHEL 8.3 で機能しないので、nf_conntrack モジュールのみをブラックリストに登録して、IPv4 プロトコルと IPv6 プロトコルの両方の接続追跡サポートを無効にできます。

firewalld がバージョン 0.8.2 にリベース

firewalld パッケージがアップストリームバージョン 0.8.2 にアップグレードし、以前のバージョンにバグ修正が数多く追加されました。詳細は、firewalld 0.8.2 Release Notes を参照してください。

NetworkManager がバージョン 1.26.0 にリベース

NetworkManager パッケージがアップストリームバージョン 1.26.0 にアップグレードされ、以前のバージョンに対するバグ修正や機能強化が数多く追加されました。

XDP に条件付きサポートを追加

Red Hat は、以下の条件がすべて適用されている場合に限り、eXpress Data Path (XDP) 機能をサポートします。

xdp-tools が部分的にサポートされます。

XDP (kernel eXpress Data Path) 機能のユーザー空間サポートユーティリティーを含む xdp-tools パッケージが、AMD および Intel 64 ビットアーキテクチャーでサポートされるようになりました。これには、libxdp ライブラリー、XDP プログラムを読み込む xdp-loader ユーティリティー、パケットフィルタリングの xdp-filter サンプルプログラムが含まれます。XDP が有効になっているネットワークインターフェイスからパケットをキャプチャーするための xdpdump ユーティリティーは、引き続きテクノロジープレビューである点に注意してください。(BZ#1820670)

デフォルトでは、dracut ユーティリティーが初期 RAM ディスクで NetworkManager を使用するようになりました。

以前は、dracut ユーティリティーはシェルスクリプトを使用して初期 RAM ディスク (initrd) のネットワークを管理していました。場合によっては、問題が発生することがあります。たとえば、RAM ディスクのスクリプトが IP アドレスをすでに要求している場合でも、NetworkManager が別の DHCP 要求を送信すると、タイムアウトが発生する可能性があります。

カーネルコマンドラインのネットワーク設定が、ip パラメーターに統合されました。

カーネルコマンドラインでネットワーク設定を設定する ipv6、netmask、gateway、および hostname パラメーターは、ip パラメーターに統合されました。ip パラメーターでは、以下のような異なる形式を使用できます。

RHEL 8.3 のカーネルバージョン

Red Hat Enterprise Linux 8.3 には、カーネルバージョン 4.18.0-240 が同梱されています。

Extended Berkeley Packet Filter for RHEL 8.3

extended Berkeley Packet Filter (eBPF ) は、限られた一連の関数にアクセスできる制限付きサンドボックス環境において、カーネル領域でのコード実行を可能にするカーネル内の仮想マシンです。この仮想マシンは、特別なアセンブリーのようなコードを実行します。

Cornelis Networks Omni-Path Architecture (OPA) ホストソフトウェア

Red Hat Enterprise Linux 8.3 は、Omni-Path Architecture (OPA) ホストソフトウェアに完全に対応しています。OPA は、クラスター環境のコンピュートと I/O ノード間の高性能データ転送 (高帯域幅、高メッセージレート、低レイテンシー) のために、初期化とセットアップを行う Host Fabric Interface (HFI) ハードウェアを提供します。

TSX がデフォルトで無効になる

RHEL 8.3 以降、カーネルはデフォルトで Intel® Transactional Synchronization Extensions (TSX) 技術を無効にし、OS セキュリティーを強化するようになりました。この変更は、TSX の無効化に対応する CPU に適用されます。これには、第 2 世代の Intel® Xeon® Scalable Processor (以前は Intel® C620 Series Chipsets で Cascade Lake として知られる) が含まれます。

RHEL 8.3 がページ所有者の追跡機能に対応

今回の更新により、ページの所有者追跡機能を使用して、ページ割り当てレベルでカーネルメモリー使用率を確認できるようになりました。

AMD EPYC™ 7003 シリーズプロセッサーの EDAC に対応

今回の機能拡張により、AMD EPYC™ 7003 シリーズプロセッサー用の Error Detection And Correction (EDAC) デバイスのサポートが提供されます。以前は、AMD EPYC™ 7003 シリーズプロセッサーをベースとするシステムで、修正 (CE) および未修正 (UE) メモリーエラーが報告されていませんでした。今回の更新で、このエラーが EDAC を使用して報告されるようになりました。

flamegraph が perf ツールに対応

今回の更新で、perf コマンドラインツールが、システムのパフォーマンスのグラフィカル表現を作成するためのフレームグラフをサポートするようになりました。perf データは、同様のスタックのバックトレースが設定されたサンプルにグループ化されます。その結果、このデータは視覚的な表現に変換され、計算量の多いコード領域を簡単に識別できるようになります。perf ツールを使用してフレームグラフを生成するには、以下のコマンドを実行します。

/dev/random および /dev/urandom が、Kernel Crypto API DRBG が条件付きで電源が入るように

FIPS モードでは、疑似乱数ジェネレーター /dev/random および /dev/urandom は、Kernel Crypto API Deterministic Random Generator (DRBG) によって電源が活用されます。FIPS モードのアプリケーションは、上記のデバイスを FIPS 準拠のノイズ源として使用するため、デバイスは FIPS で承認されるアルゴリズムを使用する必要があります。この目的を達成するために、必要なフックが /dev/random ドライバーに追加されました。その結果、このフックは FIPS モードで有効になり、/dev/random および /dev/urandom が Kernel Crypto API DRBG に接続します。

libbpf が完全対応

bpftrace、bpf/xdp 開発などの bpf 関連アプリケーションに不可欠な libbpf パッケージが完全にサポートされるようになりました。

lshw ユーティリティーが追加の CPU 情報を提供

今回の機能拡張により、List Hardware ユーティリティー (lshw) により多くの CPU 情報が表示されます。CPU の version フィールドは、システムプロセッサーのファミリー、モデル、およびステッピングの詳細を version: <family>.<model>.<stepping> として数値形式で提供するようになりました。

kernel-rt ソースツリーが RHEL 8.3 ツリーに更新

kernel-rt ソースが更新され、最新の Red Hat Enterprise Linux カーネルソースツリーを使用するようになりました。リアルタイムパッチセットも、最新のアップストリームバージョン v5.6.14-rt7 に更新されました。これらの更新はいずれも、バグ修正および機能強化を多数提供します。

tpm2-tools がバージョン 4.1.1 にリベース

tpm2-tools パッケージがバージョン 4.1.1 にアップグレードされ、コマンドの追加、更新、および削除が数多く追加されました。詳細は、Updates to tpm2-tools package in RHEL8.3 を参照してください。

Mellanox ConnectX-6 Dx ネットワークアダプターが完全にサポートされるようになりました。

今回の機能拡張により、Mellanox ConnectX-6 Dx ネットワークアダプターの PCI ID が mlx5_core ドライバーに追加されました。このアダプターを使用するホストでは、RHEL は mlx5_core ドライバーを自動的に読み込みます。この機能は以前のリリースではテクノロジープレビュー機能として利用できていましたが、RHEL 8.3 で完全にサポートされるようになりました。

mlxsw ドライバーがバージョン 5.7 にリベース

mlxsw ドライバーは、アップストリームバージョン 5.7 にアップグレードされ、以下の新機能を追加します。

クラッシュカーネルが、kdump 用のメモリー予約を拡張

今回の機能拡張により、crashkernel=auto 引数は、4GB から 64GB のメモリー容量を持つマシンでより多くのメモリーを予約するようになりました。以前は、メモリーが限定されたため、クラッシュカーネルはカーネルスペースおよびユーザー空間のメモリーとしてクラッシュダンプをキャプチャーできませんでした。これにより、クラッシュカーネルが OOM (Out-of-memory) エラーが発生しました。この更新は、上記のシナリオで OOM エラーの発生を軽減し、kdump のメモリー容量を適宜拡張するのに役立ちます。

LVM が VDO ボリュームを管理可能に

LVM が、VDO (Virtual Data Optimizer) セグメントタイプをサポートするようになりました。これにより、LVM ユーティリティーを使用して、ネイティブの LVM 論理ボリュームとして VDO ボリュームを作成および管理できるようになりました。

SCSI スタックが、高パフォーマンスアダプターにより適切に動作するようになりました。

SCSI スタックのパフォーマンスが向上しました。その結果、次世代の高パフォーマンスホストバスアダプター (HBA) が、RHEL でより高い IOPS (I/Os 毎秒) 可能になりました。

megaraid_sas ドライバーが最新バージョンに更新されました。

megaraid_sas ドライバーがバージョン 07.713.01.00-rc1 に更新されました。この更新では、パフォーマンスの向上、サポートされている MegaRAID アダプターの安定性、およびリッチ機能セットに関連するバグ修正および機能強化が複数追加されました。

Stratis が、エラーのプール名をリスト表示

既存の Stratis プールが使用しているブロックデバイスに Stratis プールを作成しようとすると、stratis ユーティリティーが既存プールの名前を報告するようになりました。以前は、ユーティリティーはプールの UUID ラベルのみをリスト表示していました。

FPIN ELS フレーム通知のサポート

lpfc Fibre Channel (FC) ドライバーが、リンクの整合性に関する Fabric Performance Impact Notifications (FPIN) に対応するようになりました。これは、リンクレベルの問題を特定し、スイッチがより信頼できるパスを選択できるようになります。

LVM オンディスクのメタデータのデバッグを行うための新しいコマンド

lvm2 パッケージで利用できる pvck ユーティリティーは、物理ボリュームで LVM のディスク上のメタデータをデバッグまたはレスキューするための低レベルのコマンドを提供するようになりました。

LVM RAID は、デバイスのデータの破損によるデータ損失を防ぐために DM 整合性に対応します。

LVM RAID 設定に Device Mapper (DM) の整合性を追加して、データ損失を防ぐことができます。整合性層は、デバイスのデータの破損を検出し、RAID レイヤーに、LVM RAID 全体で破損したデータを修正するよう警告します。

Resilient Storage (GFS2) は、AWS、Azure、および Aliyun パブリッククラウドでサポートされます。

Resilient Storage (GFS2) は、それらのプラットフォームで共有ブロックデバイスのサポートの導入により、3 つの主要なパブリッククラウド、Amazon (AWS)、Microsoft (Azure)、および Alibaba (Aliyun) でサポートされるようになりました。これにより、GFS2 は、オンプレミスおよびパブリッククラウドの両方を使用するオプションが含まれる、実際のハイブリッドクラウドクラスターファイルシステムになりました。Microsoft Azure および AWS で共有ブロックストレージを設定する方法については、Microsoft Azure への RHEL 8 のデプロイ および Amazon Web Services への RHEL 8 のデプロイ を参照してください。Alibaba Cloud で共有ブロックストレージを設定する方法は、Configuring Shared Block Storage for a Red Hat High Availability Cluster on Alibaba Cloud を参照してください。

ユーザー空間が最新の nfsdcld デーモンに対応

ユーザー空間は、最新の nfsdcld デーモンしかサポートするようになりました。これは、namespace 対応のクライアント追跡メソッドのみです。今回の機能拡張により、データの破損なしに、クライアントがコンテナー化された knfsd デーモンから開放またはロックするようになります。

nconnect が複数の同時接続に対応

今回の機能拡張により、nconnect 機能を使用して NFS サーバーへの同時接続を複数作成できるようになり、異なる負荷分散機能が可能になりました。nconnect=X NFS マウントオプションを使用して nconnect 機能を有効にします。ここで、X は、使用する同時接続の数です。現在の制限は 16 です。

クライアント情報追跡用の nfsdcld デーモンに対応

今回の機能強化により、nfsdcld デーモンが安定したストレージのクライアントベース情報を追跡するデフォルトのメソッドになりました。その結果、コンテナーで実行中の NFS v4 により、クライアントはサーバーの再起動後に開いたり、ロックの返還を要求できます。

pacemaker がバージョン 2.0.4 にリベース

Pacemaker クラスターリソースマネージャーがアップストリームのバージョン 2.0.4 にアップグレードされ、多くのバグ修正が提供されています。

新しい priority-fencing-delay クラスタープロパティー

Pacemaker は、新しい priority-fencing-delay クラスタープロパティーをサポートするようになりました。これにより、スプリットブレインが発生した場合に、実行中のリソースが最も少ないノードがフェンシングされるように、2 ノードクラスターを設定できます。

リソースおよび操作のデフォルトの複数のセットを管理する新しいコマンド

リソースおよび操作のデフォルトの複数のセットの作成、リスト表示、変更、および削除が可能になりました。デフォルト値のセットを作成する場合は、resource および op 式が含まれるルールを指定できます。たとえば、たとえば、特定タイプのすべてのリソースにデフォルトのリソース値を設定できます。既存のデフォルト値をリスト表示するコマンドには、出力に複数のデフォルトセットが含まれるようになりました。

クラスターリソースのタグ付けのサポート

pcs tag コマンドを使用して、Pacemaker クラスターにクラスターリソースをタグ付けできるようになりました。この機能により、1 つのコマンドで特定のリソースセットを管理できます。pcs tag コマンドを使用して、リソースタグを削除または変更したり、タグ設定を表示したりすることもできます。

Pacemaker が、完全に停止するのではなく、昇格したリソースの降格により復元に対応しました。

Pacemaker クラスターに昇格可能なリソースを設定し、そのリソースに対してプロモートまたは監視アクションが失敗した場合や、リソースを実行しているパーティションがクォーラムを失った場合に、リソースが完全に停止されるようにできるようになりました。

Pacemaker との同期を改善するための新たな SBD_SYNC_RESOURCE_STARTUP SBD 設定パラメーター

SBD と Pacemaker の同期をより適切に制御するために、/etc/sysconfig/sbd ファイルが SBD_SYNC_RESOURCE_STARTUP パラメーターに対応するようになりました。RHEL 8.3 以降の Pacemaker パッケージおよび SBD パッケージがインストール済みで、SBD_SYNC_RESOURCE_STARTUP=true が設定されている場合、SBD はデーモンの状態についての情報を Pacemaker デーモンに問い合わせます。

新しいモジュールストリーム: ruby:2.7

RHEL 8.3 では、新しい ruby:2.7 モジュールストリームに Ruby 2.7.1 が導入されました。このバージョンでは、RHEL 8.1 で配布される Ruby 2.6 に対するパフォーマンスの向上、バグおよびセキュリティー修正、および新機能が数多く追加されました。

新しいモジュールストリーム: nodejs:14

新しいモジュールストリーム nodejs:14 が利用できるようになりました。RHEL 8.3 に含まれている Node.js 14 は、RHEL 8.1 で配布される Node.js 12 に新機能およびバグ修正が数多く追加されました。

git がバージョン 2.27 にリベース

git パッケージがアップストリームバージョン 2.27 にアップグレードされました。以前に利用できたバージョン 2.18 への主な変更点は、以下のとおりです。

Python の変更点

RHEL 8.3 では、python38:3.8 モジュールストリームに以下の変更が加えられています。

新しいモジュールストリーム: php:7.4

RHEL 8.3 では PHP 7.4 が導入され、バージョン 7.3 に対するバグ修正および機能拡張が数多く追加されました。

新しいモジュールストリーム: nginx:1.18

nginx 1.18 Web およびプロキシーサーバーが利用できるようになりました。バージョン 1.16 に対するバグ修正、セキュリティー修正、および拡張機能が数多く追加されました。以下は、主な変更点です。

新しいモジュールストリーム: perl:5.30

RHEL 8.3 では Perl 5.30 が導入され、以前にリリースされた Perl 5.26 にバグ修正および機能拡張が数多く追加されました。新しいバージョンは、特定の言語機能も非推奨または削除します。大きな影響を及ぼす主な変更点には、以下が含まれます。

新しいモジュールストリーム: perl-libwww-perl:6.34

RHEL 8.3 では、新しい perl-libwww-perl:6.34 モジュールストリームが導入され、RHEL 8 で利用可能なすべてのバージョンの Perl に perl-libwww-perl パッケージが提供されています。RHEL 8.0 以降の、モジュールでない perl-libwww-perl パッケージは、5.26 以外の Perl ストリームで使用できません。新しいデフォルトの perl-libwww-perl:6.34 ストリームは廃止されました。

新しいモジュールストリーム: perl-IO-Socket-SSL:2.066

新しい perl-IO-Socket-SSL:2.066 モジュールストリームが利用できるようになりました。本モジュールでは、perl-IO-Socket-SSL パッケージおよび perl-Net-SSLeay パッケージを提供し、RHEL 8 で利用可能なすべての Perl ストリームと互換性があります。

squid:4 モジュールストリームがバージョン 4.11 にリベース

squid:4 モジュールストリームが提供する Squid プロキシーサーバーが、バージョン 4.4 からバージョン 4.11 にアップグレードされました。本リリースでは、複数のバグ修正およびセキュリティー修正と、新しい設定オプションなどのさまざまな機能拡張が提供されます。

httpd:2.4 モジュールストリームの変更点

RHEL 8.3 では、httpd:2.4 モジュールストリームで利用可能な Apache HTTP Server に以下のような変更が追加されました。

httpd の CustomLog ディレクティブから journald へのロギングのサポート

CustomLog ディレクティブの新規オプションを使用して、Apache HTTP Server から journald にアクセス (transfer) ログを出力できるようになりました。

.NET 5 が RHEL で利用可能に

.NET 5 は、Red Hat Enterprise Linux 7、Red Hat Enterprise Linux 8、および OpenShift Container Platform で利用できます。.NET 5 には、新しい言語バージョン (C# 9 および F# 5.0) が含まれます。ベースライブラリー、GC および JIT でパフォーマンスが大幅に改善されました。.NET 5 では 単一ファイルアプリケーション、.NET アプリケーションを 1 つの実行可能ファイルとして配布でき、すべての依存関係が含まれます。.NET 5 用の UBI8 イメージは Red Hat コンテナーレジストリーから利用でき、OpenShift で使用できます。

新しい GCC Toolset 10

GCC Toolset 10 は最新バージョンの開発ツールを提供するコンパイラーツールセットです。このツールセットは、AppStream リポジトリーにおいて、Software Collection の形式で、Application Stream として利用できます。

Rust Toolset がバージョン 1.45.2 にリベース

Rust Toolset が、バージョン 1.45.2 に更新されました。以下は、主な変更点です。

LLVM Toolset がバージョン 10.0.1 にリベース

LLVM Toolset がバージョン 10.0.1 にアップグレードされました。今回の更新で、clang-libs パッケージに個別のコンポーネントライブラリーが含まれなくなりました。その結果、アプリケーションにアプリケーションをリンクできなくなりました。clang ライブラリーにアプリケーションをリンクするには、libclang-cpp.so パッケージを使用します。

Go Toolset がバージョン 1.14.7 にリベース

Go Toolset がバージョン 1.14.7 の主な変更点にアップグレードされました。

SystemTap がバージョン 4.3 にリベース

SystemTap 計測ツールがバージョン 4.3 に更新され、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

Valgrind がバージョン 3.16.0 にリベース

Valgrind 実行コード分析ツールがバージョン 3.16.0 に更新されました。これにより、以前のバージョンに対するバグ修正や機能強化が数多く追加されました。

elfutils がバージョン 0.180 にリベース

elftils パッケージがバージョン 0.180 にアップグレードされ、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

GDB が IBM z15 でのプロセスレコードおよび再生に対応

今回の機能強化により、GNU Debugger (GDB) は、IBM z15 プロセッサーのほとんどの新しい命令で、プロセスレコードおよび再生をサポートするようになりました (以前は arch13 と呼ばれます)。現在、以下の指示はサポートされていません。SORTL (sort list)、DFLTCC (deflate conversion call)、KDSA (コンピュートデジタル署名認証)。

Marvell ThunderX2 パフォーマンス監視イベントが papi で更新されました。

今回の機能拡張により、未コアイベントを含む ThunderX2 に固有のパフォーマンスイベントが多数更新されました。その結果、開発者は Marvell ThunderX2 システムでシステムパフォーマンスをより適切に調査できます。

glibc math ライブラリーが IBM Z に対して最適化

今回の機能拡張により、IBM Z マシンのパフォーマンスを向上するために、libm math 機能が最適化されました。以下は、主な変更点です。

追加の libffi 固有の一時ディレクトリーが利用可能

以前は、強化されたシステムでは、システム全体の一時ディレクトリーには、libffi ライブラリーとの使用に適したパーミッションがない可能性があります。

strstr() および strcasestr() のパフォーマンスを改善

今回の更新で、サポートされる複数のアーキテクチャーで strstr() 関数および strcasestr() 関数のパフォーマンスが改善されました。その結果、文字列およびメモリー操作ルーチンを使用したすべてのアプリケーションのパフォーマンスを大幅に向上させるようになりました。

glibc が、省略されたロケールアーカイブの読み込みを正しく処理

アップグレード時またはディスク障害の発生時に、システムロケールのアーカイブが切り捨てられていたり、システムロケールのアーカイブが切り捨てられると、アーカイブの読み込み時にプロセスが予期せず終了する可能性があります。今回の機能拡張により、ロケールアーカイブのロードに一貫性チェックが追加されます。その結果、プロセスはアーカイブ切り捨てを検出し、アーカイブされていないロケールまたはデフォルトの POSIX ロケールのいずれかにフォールバックできるようになりました。

GDB が debuginfod に対応

今回の機能強化により、GNU Debugger (GDB) は、elfutils debuginfod クライアントライブラリーを使用して、集中型サーバーからデバッグ情報パッケージをダウンロードできるようになりました。

pcp がバージョン 5.1.1-3 にリベース

pcp パッケージが、バージョン 5.1.1-3 にアップグレードされました。以下は、主な変更点です。

grafana がバージョン 6.7.3 にリベース

grafana パッケージがバージョン 6.7.3 にアップグレードされました。以下は、主な変更点です。

grafana-pcp がバージョン 2.0.2 にリベース

grafana-pcp パッケージがバージョン 2.0.2 にアップグレードされました。以下は、主な変更点です。

新しい rhel8/pcp コンテナーイメージ

Red Hat コンテナーレジストリーで rhel8/pcp コンテナーイメージが利用できるようになりました。イメージには Performance Co-Pilot (PCP) ツールキットが含まれます。これには、pcp-zeroconf パッケージおよび OpenMetrics PMDA が事前にインストールされます。

新しい rhel8/grafana コンテナーイメージ

rhel8/grafana コンテナーイメージが、Red Hat コンテナーレジストリーで利用できるようになりました。Grafana は、メトリックダッシュボードを含むオープンソースユーティリティーで、Graphite、Elasticsearch、OpenTSDB、 Prometheus、InfluxDB、および PCP 監視ツールのグラフエディターです。

IdM のバックアップユーティリティーが、必要なレプリカロールを確認するようになりました。

ipa-backup ユーティリティーは、認証局 (CA)、Domain Name System (DNS)、Key Recovery Agent (KRA) などの IdM クラスターで使用されるすべてのサービスが、バックアップを実行しているレプリカにインストールされているかどうかを確認するようになりました。レプリカにこれらのサービスがすべてインストールされていない場合、そのホストで取得したバックアップはクラスターのフル復元には十分ではないため、ipa-backup ユーティリティーは警告を表示して終了します。

新しいパスワード有効期限の通知ツール

ipa-client-epn パッケージが提供する Password Notification (EPN) は、パスワードの期限が切れる Identity Management (IdM) ユーザーのリストを構築するために使用できるスタンドアロンツールです。

JSS が FIPS 準拠の SSLContext を提供するようになりました。

以前のリリースでは、Tomcat は Java Cryptography Architecture (JCA) SSLContext クラスの SSLEngine ディレクティブを使用していました。デフォルトの SunJSSE 実装は連邦情報処理標準 (FIPS) に準拠していないため、PKI は JSS 経由で FIPS 準拠の実装を提供するようになりました。

公開鍵インフラストラクチャーの全体的な正常性を確認できるようになりました。

今回の更新で、公開鍵インフラストラクチャー (PKI) Healthcheck ツールが、RHEL 8.1 で導入された Identity Management (IdM) Healthcheck ツールに PKI サブシステムの正常性を報告するようになりました。IdM Healthcheck を実行すると、PKI Healthcheck が呼び出され、これにより、PKI サブシステムの正常性レポートを収集して返します。

RSA PSS のサポート

今回の機能強化により、PKI は RSA PSS (Probabilistic Signature Scheme) 署名アルゴリズムに対応するようになりました。

Directory Server は、サービスの起動時にプライベートキーと証明書をプライベート名前空間にエクスポートします。

Directory Server は、レプリカ合意などの発信接続に OpenLDAP ライブラリーを使用します。これらのライブラリーはネットワークセキュリティーサービス (NSS) データベースに直接アクセスできないため、Directory Server は、TLS 暗号化サポートのあるインスタンスで秘密鍵と証明書を抽出し、OpenLDAP ライブラリーが暗号化された接続を確立できるようにします。以前は、Directory Server は、cn=config エントリー (デフォルト: /etc/dirsrv/slapd-<instance_name>/) の nsslapd-certdir パラメーターで設定したディレクトリーに、秘密鍵と証明書をデプロイメントしました。これにより、Directory Server は、このディレクトリーに Server-Cert-Key.pem および Server-Cert.pem を保存します。今回の機能強化により、Directory Server が、systemd が /tmp/ ディレクトリーにマウントされるプライベート名前空間に秘密鍵と証明書を抽出するようになりました。その結果、セキュリティーが強化されました。

ディスクの監視のしきい値に達すると、Directory Server がインスタンスの読み取り専用モードに切り替わるようになりました。

今回の更新で、nsslapd-disk-monitoring-readonly-on-threshold パラメーターを cn=config エントリーに追加されました。この設定を有効にすると、Directory Server は、ディスクの監視が有効で、空きディスク領域が nsslapd-disk-monitoring-threshold に設定した値よりも小さい場合に、すべてのデータベースを読み取り専用に切り替えます。nsslapd-disk-monitoring-readonly-on-threshold を on に設定すると、Directory Server がインスタンスを正常にシャットダウンするまでデータベースを変更することはできません。これにより、データの破損を防ぐことができます。

samba がバージョン 4.12.3 にリベース

samba パッケージがアップストリームバージョン 4.12.3 にアップグレードされ、以前のバージョンに対するバグ修正や機能強化が数多く追加されました。

cockpit-session-recording がバージョン 4 にリベース

cockpit-session-recording モジュールがバージョン 4 にリベースされました。このバージョンでは、以前のバージョンに対する以下の主な変更点があります。

krb5 がバージョン 1.18.2 にリベース

krb5 パッケージがアップストリームバージョン 1.18.2 にアップグレードされました。主なバグ修正と機能強化は、以下のとおりです。

IdM が新しい Ansible 管理モジュールに対応するようになりました。

今回の更新で、Ansible Playbook を使用して一般的な Identity Management (IdM) タスクを自動化する複数の ansible-freeipa モジュールが導入されました。

IdM が、証明書管理用の新しい Ansible システムロールに対応

Identity Management (IdM) は、証明書管理タスクを自動化するために新しい Ansible システムロールをサポートします。新しいロールには以下の利点があります。

Identity Management が FIPS に対応

今回の機能拡張により、Identity Management (IdM) の認証メカニズムを使用して、連邦情報処理標準 (FIPS) によって承認された暗号化タイプを使用できるようになりました。IdM と Active Directory との間のフォレスト間の信頼は、FIPS に準拠していないことに注意してください。

idm:DL1 の OpenDNSSEC がバージョン 2.1 にリベース

idm:DL1 モジュールストリームの OpenDNSSEC コンポーネントが、現在の長期アップストリームサポートバージョンの 2.1 バージョンシリーズにアップグレードされました。opendnssec は、DNSSEC (Domain Name System Security Extensions) の導入を促進するオープンソースプロジェクトで、インターネットセキュリティーをさらに強化します。opendnssec 2.1 では、以前のバージョンに対するバグ修正および機能拡張が数多く追加されました。詳細は、アップストリームのリリースノート https://www.opendnssec.org/archive/releases/ を参照してください。

IdM が、新しいシステム全体の暗号化ポリシーで非推奨の RC4 暗号スイートに対応

今回の更新で、Identity Management (IdM) で Rivest Cipher 4 (RC4) 暗号スイートを有効にする新しい AD-SUPPORT 暗号化サブポリシーが導入されました。

新しい Microsoft LDAP チャンネルバインディングおよび LDAP 署名要件への調整

最近の Microsoft の更新では、Active Directory (AD) が、LDAP チャネルバインディングおよび LDAP 署名のデフォルトの Windows 設定を使用しないクライアントにフラグを付けます。これにより、AD との直接統合または間接統合に System Security Services Daemon (SSSD) を使用する RHEL システムは、Generic Security Services Application Program Interface (GSSAPI) を使用する Simple Authentication and Security Layer (SASL) 操作が正常に実行されると、AD でエラーイベント ID をトリガーする可能性があります。

SSSD、adcli、および realmd が、新しいシステム全体の暗号化ポリシーで非推奨の RC4 暗号スイートに対応するようになりました。

今回の更新で、以下のユーティリティーの Rivest Cipher 4 (RC4) 暗号スイートを有効にする新しい AD-SUPPORT 暗号化サブポリシーが導入されました。

authselect に新しい minimal プロファイル

authselect ユーティリティーには minimal プロファイルが新しくなりました。このプロファイルを使用すると、他の認証プロバイダーを使用する代わりに、ローカルユーザーおよびグループだけがシステムファイルから直接提供できます。したがって、SSSD、winbind パッケージ、および fprintd パッケージを安全に削除し、ディスクおよびメモリー領域の保存に最小限のインストールを必要とするシステムでこのプロファイルを使用できます。

SSSD が、パスワードをローテーションする際に Samba の secrets.tdb ファイルを更新するようになりました。

sssd.conf ファイルの新しい ad_update_samba_machine_account_password オプションが RHEL で利用できるようになりました。Samba の使用時にマシンのドメインパスワードをローテーションする際に、SSSD を使用して Samba の secrets.tdb ファイルを自動的に更新できます。

SSSD がデフォルトで AD GPO を強制するようになりました。

SSSD オプション ad_gpo_access_control のデフォルト設定が Enforcing になりました。RHEL 8 では、SSSD は、デフォルトで Active Directory Group Policy Objects (GPO) に基づいてアクセス制御ルールを強制します。

Directory Server が pwdReset 操作属性をサポート

今回の機能拡張で、Directory Server に pwdReset 操作属性のサポートが追加されました。管理者がユーザーのパスワードを変更すると、Directory Server は、ユーザーのエントリーの pwdReset を true に設定します。アプリケーションはこの属性を使用して、管理者がユーザーのパスワードをリセットしたかどうかを識別できます。

Directory Server が RESULT エントリーで作業および操作時間のログを記録するようになりました。

今回の更新で、Directory Server は、/var/log/dirsrv/slapd-<instance_name>/access ファイルの RESULT エントリーに追加の時間値をログ記録するようになりました。

単一アプリケーションセッションが利用できるように

kiosk モード とも呼ばれる 1 つのアプリケーションセッションで GNOME を起動できるようになりました。このセッションでは、GNOME は、設定したアプリケーションのフルスクリーンウィンドウのみを表示します。

TigerVNC がバージョン 1.10.1 にリベース

tigervnc スイートがバージョン 1.10.1. にリベースされました。この更新には、修正および改善点が多数含まれています。以下に例を示します。

新しいグラフィックカードのサポートが追加されました。

以下のグラフィックカードが完全にサポートされるようになりました。

ハードウェアアクセラレーション (Nvidia Volta および Turing)

nouveau グラフィックドライバーが、Nvidia Volta および Turing GPU ファミリーのハードウェアアクセラレーションをサポートするようになりました。その結果、3D グラフィックスを使用するデスクトップおよびアプリケーションが GPU で効率的にレンダリングされるようになりました。また、これにより他のタスクの CPU が解放され、システム全体の応答性が向上します。

XWayland でのディスプレイテアリングの減少

XWayland ディスプレイバックエンドは、XPresent 拡張を有効にします。XPresent を使用すると、アプリケーションはウィンドウコンテンツを効率的に更新できるため、表示表示が削減されます。

Intel Tiger Lake GPU に対応

今回の更新で、GPU の Intel Tiger Lake ファミリーがサポートされるようになりました。これには、CPU モデルで見つかった Intel UHD Graphics および Intel Xe GPU が含まれます (https://ark.intel.com/content/www/us/en/ark/products/codename/88759/tiger-lake.html)。

Web コンソールセッション内からの権限の設定

Web コンソールには、ユーザーセッション内から管理アクセスと制限付きアクセスを切り替えるオプションがあります。Web コンソールセッションの Administrative access または Limited access をクリックして、モードを切り替えることができます。

ログ検索の改善

今回の更新により、Web コンソールでは、ユーザーがログ間で検索する方法に関する新しい方法をサポートする検索ボックスが導入されました。検索ボックスでは、ログメッセージの検索、サービスの指定、または特定のログフィールドによるエントリーの検索をサポートします。

概要ページでは、より多くの Insights レポートが表示されます。

今回の更新により、マシンが Red Hat Insights に接続されると、Web コンソールの Overview ページの Health カードに、ヒットの数とその優先度に関する詳細情報が表示されるようになりました。

RHEL システムロールに追加された ターミナルログロール

今回の機能拡張により、rhel-system-roles パッケージに同梱された RHEL システムロールに新しいターミナルログ (TLOG) ロールが追加されました。ユーザーは、tlog ロールを使用して、Ansible を使用してセッションの録画を設定し、設定できるようになりました。

RHEL Logging システムロールが Ansible で利用可能になりました。

Logging システムロールを使用すると、ローカルおよびリモートホストにさまざまなロギング設定を一貫してデプロイできます。RHEL ホストをサーバーとして設定して、多くのクライアントシステムからログを収集できます。

rhel-system-roles-sap に完全対応

以前はテクノロジープレビューとして利用できた rhel-system-roles-sap パッケージが完全にサポートされるようになりました。SAP 向けの Red Hat Enterprise Linux (RHEL) システムロールを提供します。これを使用して、RHEL システムの設定を自動化して SAP ワークロードを実行できます。これらのロールは、関連する SAP ノート記載のベストプラクティスに基づいて最適な設定を自動的に適用することで、SAP ワークロードを実行するようにシステムを設定する時間を大幅に短縮できます。アクセスは、RHEL for SAP Solutions 製品に限定されます。サブスクリプションに関するサポートが必要な場合は、Red Hat カスタマーサポートまでご連絡ください。

Ansible で RHEL システムロール metrics が利用可能

metric の RHEL システムロールを使用すると、ローカルおよびリモートホスト用に設定できます。

rhel-system-roles-sap がアップグレード

rhel-system-roles-sap パッケージがアップストリームバージョン 2.0.0 にアップグレードし、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

RHEL システムロール storage がファイルシステム管理に対応

今回の機能強化により、管理者は、storage RHEL システムロールを使用して以下を実行できるようになりました。

互換性のない TSC 設定を持つホストへの仮想マシンの移行が速くなりました。

以前のリリースでは、TSC (Time Stamp Counter) 設定がないホストに仮想マシンを移行すると、プロセスでレイテンシーが発生していました。今回の更新により、移行の試行により、移行プロセスが開始する前にエラーが生成されるようになりました。

第 2 世代 AMD EPYC プロセッサーの仮想化サポート

今回の更新で、RHEL 8 の仮想化で、第 2 世代 AMD EPYC プロセッサー (EPYC Rome としても知られる) のサポートが追加されました。これにより、RHEL 8 でホストされる仮想マシンは EPYC-Rome CPU モデルを使用し、プロセッサーが提供する新機能を使用できるようになりました。

新しいコマンド: virsh iothreadset

今回の更新で、virsh iothreadset コマンドが追加されました。これは、動的な IOThread ポーリングを設定するのに使用できます。これにより、IOThread の CPU 消費よりも、レイテンシーが低くなるため、I/O 集約型のワークロードで仮想マシンを設定できるようになります。特定のオプションは、man ページの virsh を参照してください。

第 10 世代 Intel Core プロセッサーでは、UMIP が KVM で対応

今回の更新で、第 10 世代 Intel Core プロセッサー (Ice Lake Server とも呼ばれる) で実行されるホストの、User-mode Instruction Prevention (UMIP) 機能が、KVM で対応するようになりました。sgdt、sidt、sldt、smsw、str などの特定の命令が、現在の Privilege Level (CPL) が 0 よりも大きい場合に、UMIP 機能は一般的な保護例外を発行します。その結果、UMIP は、承認されていないアプリケーションが、特権昇格攻撃を開始するために使用できる特定のシステム全体の設定にアクセスできないことで、システムセキュリティーを確保します。

libvirt ライブラリーがメモリー帯域幅の割り当てに対応

libvirt が、メモリー帯域幅の割り当て (MBA) に対応するようになりました。MBA の場合、<cputune> セクションの <memorytune> 要素を使用して、vCPU スレッドのホストメモリー帯域幅の一部を割り当てることができます。

RHEL 6 仮想マシンが Q35 マシンタイプに対応

ゲスト OS として RHEL 6 を使用する RHEL 8 でホストされる仮想マシン (VM) が、より現代的な PCI Express ベースのマシンタイプである Q35 を使用できるようになりました。これにより、仮想デバイスの機能とパフォーマンスに様々な改善が行われ、最新の広範囲なデバイスで RHEL 6 VM への互換性が保証されます。

ログに記録されたすべての QEMU イベントにタイムスタンプが付けられました。これにより、/var/log/libvirt/qemu/ ディレクトリーに保存されているログを使用して、仮想マシンをより簡単にトラブルシューティングできます。

QEMU ログに spice-server イベントのタイムスタンプが含まれる

bochs-display デバイスへの対応

RHEL 8.3 以降では、Bochs 表示デバイスが導入され、現在使用されている stdvga デバイスよりも安全です。bochs-display と互換性があるすべての仮想マシンはデフォルトでこれを使用することに注意してください。これには、主に UEFI インターフェイスを使用する仮想マシンが含まれます。

仮想マシンの MDS 保護の最適化

今回の更新で、RHEL 8 ホストは、Microarchitectural Data Sampling (MDS) に対して脆弱であるかどうかを仮想マシン (VM) に通知します。脆弱ではない仮想マシンは MDS に対する計測値を使用しません。これにより、パフォーマンスが向上します。

RBD での QCOW2 ディスクイメージの作成がサポートされるようになりました。

今回の更新により、RADOS Block Device (RBD) ストレージに QCOW2 ディスクイメージを作成できるようになりました。その結果、仮想マシンは、QCOW2 イメージでストレージバックエンドに RBD サーバーを使用することができます。

サポートされる VFIO デバイスの最大数が 64 に増加

今回の更新で、VFIO を使用する 64 PCI デバイスを RHEL 8 ホストの 1 台の仮想マシンに割り当てることができるようになりました。これは、RHEL 8.2 以前の 32 から増えています。

QEMU/KVM で discard コマンドと write-zeroes コマンドに対応

今回の更新で、virtio-blk の discard コマンドおよび write-zeroes コマンドが QEMU/KVM でサポートされるようになりました。したがって、仮想マシンは virtio-blk デバイスを使用して SSD の未使用のセクターを破棄し、割りがついているときにセクターをゼロで埋めます。これは、SSD のパフォーマンスを向上させる場合や、ドライブが安全に消去されていることを確認するために使用できます。

RHEL 8 が IBM POWER 9 XIVE に対応

今回の更新で、IBM POWER9 の External Interrupt Virtualization Engine (XIVE) 機能のサポートが RHEL 8 に導入されています。これにより、IBM POWER 9 システムの RHEL 8 ハイパーバイザーで実行している仮想マシンは、XIVE を使用して、I/O 集約型仮想マシンのパフォーマンスを向上できます。

仮想マシンの Control Group v2 に対応

今回の更新で、libvirt スイートがコントロールグループ v2 をサポートするようになりました。これにより、RHEL 8 でホストされる仮想マシンは、コントロールグループ v2 のリソース制御機能を利用できます。

準仮想化 IPI が Windows 仮想マシンで対応

今回の更新で、Windows 仮想マシン (VM) のサポートされるハイパーバイザー Enlightenment に hv_ipi フラグが追加されました。これにより、ハイパーコールを介してプロセッサー間割り込み (IPI) を送信できます。これにより、Windows OS を実行している仮想マシンでは、IPI を高速に実行することができます。

ディスクキャッシュが有効な仮想マシンの移行が可能になりました

今回の更新で、RHEL 8 KVM ハイパーバイザーが、ディスクキャッシュのライブマイグレーションと互換性があります。その結果、ディスクキャッシュが有効にされている仮想マシンのライブマイグレーションが可能になりました。

非特権セッションの仮想マシンで macvtap インターフェイスを使用できるようになりました。

特権プロセスで事前に作成した macvtap インターフェイスを仮想マシンで使用することができます。特に、libvirtd の非特権 user セッションで起動した仮想マシンが、macvtap インターフェイスを使用できるようにします。

仮想マシンは、第 10 世代 Intel Core プロセッサーの機能を使用できるようになりました。

Icelake-Server および Icelake-Client CPU モデル名が仮想マシンで利用可能になりました。第 10 世代 Intel Core プロセッサーを持つホストで、Icelake-Server または Icelake-Client を仮想マシンの XML 設定の CPU タイプとして使用すると、これらの CPU の新機能が仮想マシンに公開されます。

QEMU が LUKS 暗号化に対応

今回の更新で、LUKS (Linux Unified Key Setup) 暗号化を使用して仮想ディスクを作成できるようになりました。仮想マシンの XML 設定に <encryption> フィールドを追加して、ストレージボリュームの作成時にディスクを暗号化できます。また、XML 設定ファイルにディスクのドメイン定義に <encryption> フィールドを追加して、LUKS 暗号化仮想ディスクを完全に仮想マシンに透過的にすることもできます。

nbdkit のログの改善

nbdkit サービスロギングが冗長化されるように変更されました。その結果、nbdkit は重要なメッセージのみをログに記録し、virt-v2v 変換中に作成されたログは短くなり、解析が容易になりました。

仮想マシンの SELinux セキュリティーラベルおよびパーミッションの一貫性を強化

今回の更新で、libvirt サービスは、ファイルに関連する SELinux セキュリティーラベルとパーミッションを記録し、ファイルの変更後にラベルを復元できるようになりました。したがって、たとえば libguestfs ユーティリティーを使用して、特定のユーザーが所有している仮想マシン (VM) のディスクイメージを変更しても、イメージの所有者が root に変更されなくなりました。

QEMU が XTS 暗号のグ gcrypt ライブラリーを使用するようになりました。

今回の更新で、QEMU エミュレーターが、gcrypt ライブラリーが提供する XTS 暗号モード実装を使用するように変更になりました。これにより、ホストストレージが QEMU のネイティブ luks 暗号化ドライバーを使用する仮想マシンの I/O パフォーマンスが改善されます。

Windows Virtio ドライバーが Windows の更新を使用して更新可能に

今回の更新で、QEMU の起動時に、新しい仕様 SMBIOS 文字列がデフォルトで開始されるようになりました。SMBIOS フィールドで提供されるパラメーターにより、仮想マシンで実行している仮想ハードウェアの ID を生成できます。これにより、Windows Update は仮想ハードウェアと RHEL ハイパーバイザーマシンタイプを特定し、Windows 10+、Windows Server 2016、および Windows Server 2019+ を実行している仮想マシンで Virtio ドライバーを更新できます。

新しいコマンド: virsh guestinfo

virsh guestinfo コマンドが RHEL 8.3 に導入されました。これにより、仮想マシンに関する以下のタイプの情報を報告できます。

BFLOAT16 入力の VNNI が KVM で対応する

今回の更新で、BFLOAT16 入力に対応する Vector Neural Network Instructions (VNNI) は、AVX512_BF16 命令とも呼ばれる、KVM が 3rd Gen Intel Xeon スケーラブルプロセッサー (Cooper Lake とも呼ばれる) で実行されるホストの KVM でサポートされるようになりました。その結果、ゲストソフトウェアは、仮想 CPU 設定で有効にすることで、仮想マシン内の AVX512_BF16 命令を使用できるようになりました。

新しいコマンド: virsh pool-capabilities

RHEL 8.3 には、virsh pool-capabilities コマンドオプションが追加されました。このコマンドは、ホスト上のストレージプールおよび各プール内のストレージボリュームの作成に使用できる情報を表示します。これには以下が含まれます。

Intel Xeon Platinum 9200 シリーズプロセッサーを持つ仮想マシンで CPUID.1F のサポート

今回の更新で、RHEL 8 でホストされる仮想マシンは、拡張 Topology Enumeration リーフ機能 (CPUID.1F) を使用して、複数のロールの仮想 CPU トポロジーで設定できるようになりました。この機能は、以前は Cascade Lake として知られる Intel Xeon Platinum 9200 シリーズプロセッサーでサポートされます。これにより、Intel Xeon Platinum 9200 シリーズプロセッサーを使用するホストで、ホストの物理 CPU トポロジーをミラーリングする vCPU トポロジーを作成できるようになりました。

仮想マシンが第 3 世代 Intel Xeon Scalable プロセッサーの機能を使用可能に

Cooperlake CPU モデル名が仮想マシン (VM) で利用可能になりました。Cooperlake を仮想マシンの XML 設定の CPU タイプとして使用すると、ホストがこの CPU を使用する場合は、仮想マシンに公開される 3 世代 Intel Xeon Scalable Processor の新機能が作成されます。

KVM で Intel Optane 永続メモリーに対応

今回の更新で、RHEL 8 でホストされる仮想マシンは、Intel Crystal Ridge として知られる Intel Optane 永続メモリー技術の利点を活用できるようになりました。Intel Optane 永続メモリーストレージデバイスは、データセンタークラスの永続メモリー技術を提供し、トランザクションのスループットを大幅に向上させます。

仮想マシンで Intel プロセッサートレースを使用可能に

今回の更新で、RHEL 8 でホストされる仮想マシン (VM) が Intel プロセッサートレース (PT) 機能を使用できるようになりました。ホストが Intel PT をサポートする CPU を使用する場合は、特殊な Intel ソフトウェアを使用して、仮想マシンの CPU のパフォーマンスに関するさまざまなメトリックスを収集できます。また、仮想マシンの XML 設定で intel-pt 機能も有効にする必要があります。

DASD デバイスが IBM Z の仮想マシンに割り当てられる

DASD (ダイレクトアクセスストレージデバイス) は、特定のストレージ機能を提供します。この vfio-ccw 機能を使用すると、DASD を仲介デバイスとして IBM Z ホストの仮想マシンに割り当てることができます。たとえば、仮想マシンは z/OS データセットにアクセスするか、割り当てられた DASD を z/OS マシンと共有できます。

IBM Z でサポートされる IBM Secure Execution

IBM Z ハードウェアを使用して RHEL 8 ホストを実行する場合は、仮想マシンの IBM Secure Execution を設定して、仮想マシンのセキュリティーを強化できます。IBM Secure Execution (Protected Virtualization とも呼ばれる) は、ホストシステムが仮想マシンの状態とメモリーのコンテンツにアクセスできないようにします。

cloud-utils-growpart が 0.31 にリベース

cloud-utils-growpart パッケージがバージョン 0.31 にアップグレードされ、バグ修正および機能強化が複数追加されました。以下は、主な変更点です。

skopeo コンテナーイメージが利用可能に

registry.redhat.io/rhel8/skopeo コンテナーイメージは、skopeo パッケージをコンテナー化した実装です。skopeo ツールは、コンテナーイメージおよびイメージリポジトリーでさまざまな操作を実行するコマンドラインユーティリティーです。このコンテナーイメージを使用すると、レジストリー内のコンテナーイメージを検査し、レジストリーからコンテナーイメージを削除し、認証されていないあるコンテナーレジストリーから別のコンテナーレジストリーにコンテナーイメージをコピーすることができます。registry.redhat.io/rhel8/skopeo コンテナーイメージをプルするには、アクティブな Red Hat Enterprise Linux サブスクリプションが必要です。

buildah コンテナーイメージが利用可能に

registry.redhat.io/rhel8/buildah コンテナーイメージは、buildah パッケージをコンテナー化した実装です。buildah ツールは、OCI コンテナーイメージの構築を容易にします。このコンテナーイメージを使用すると、システムに buildah パッケージをインストールしなくても、コンテナーイメージをビルドできます。このユースケースでは、root 以外のユーザーとして rootless モードでこのイメージを実行することを説明しません。registry.redhat.io/rhel8/buildah コンテナーイメージをプルするには、アクティブな Red Hat Enterprise Linux サブスクリプションが必要です。

Podman v2.0 RESTful API が利用可能に

varlink ライブラリーに基づいて古いリモート API に代わる、新しい REST ベースの Podman 2.0 API。新規 API はルートフル環境およびルートレス環境の両方で機能し、docker 互換レイヤーを提供します。

Podman のインストールには、 container-selinux は必要ありません。

今回の機能拡張により、コンテナービルド時に container-selinux パッケージのインストールはオプションになりました。その結果、Podman に他のパッケージの依存関係が少なくなる

RHEL 8 初期セットアップが SSH で適切に動作するように

以前は、SSH を使用してシステムにログインすると、RHEL 8 の初期セットアップインターフェイスが表示されませんでした。これにより、SSH を介して管理される RHEL 8 マシンの初期設定を実行できません。この問題は修正され、SSH を介して実行された場合に RHEL 8 の初期設定が正しく機能するようになりました。

reboot --kexec コマンドを使用するとインストールが失敗しました。

以前では、reboot --kexec コマンドを含むキックスタートファイルを使用すると、RHEL 8 のインストールに失敗していました。

America/New York タイムゾーンを正しく設定可能

以前では、インタラクティブな Anaconda インストールプロセスでは、キックスタートファイルの使用時に America/New York タイムゾーンをユーザーが設定できませんでした。今回の更新で、タイムゾーンがキックスタートファイルで指定されていない場合に、インタラクティブなインストーラーの希望のタイムゾーンとして America/New York を設定できるようになりました。

SELinux コンテキストが正しく設定されるようになる

以前では、SELinux が Enforcing モードの場合、一部のフォルダーおよびファイルの誤った SELinux コンテキストにより、インストール後にこれらのファイルにアクセスしようとする際に、予期しない AVC 拒否が発生していました。

自動パーティション作成が有効な /boot パーティションを作成

以前は、自動パーティション設定を使用して、または事前設定されたパーティションを持つキックスタートファイルを使用してシステムに RHEL をインストールすると、インストーラーは無効な /boot パーティションを含むパーティション設定スキームを作成していました。したがって、パーティション設定スキームの検証に失敗していたため、自動インストールプロセスが途中で終了しました。今回の更新で、Anaconda が、有効な /boot パーティションを含むパーティション設定スキームを作成するようになりました。その結果、自動インストールは期待どおりに完了します。

Binary DVD ISO イメージを使用した GUI インストールが、CDN の登録なしで正常に完了するようになりました。

以前のバージョンでは、Binary DVD ISO イメージファイルを使用して GUI インストールを実行する場合は、Red Hat 機能への接続機能を使用してシステムを登録するまで、インストーラーの競合状態によりインストールが続行できなくなることがあります。

キックスタートで iSCSI デバイスまたは FCoE デバイスを作成し、ignoredisk --only-use コマンドでインストールプロセスを停止しなくなりました。

以前では、キックスタートで作成された iSCSI デバイスまたは FCoE デバイスが ignoredisk --only-use コマンドで使用されると、インストールプログラムは、Disk "disk/by-id/scsi-360a9800042566643352b476d674a774a" で指定されている error のようなエラーを出して失敗しました。これによりインストールプロセスが停止しました。

CDN を使用したシステム登録に失敗し、エラーメッセージ Name or service not knownが表示

コンテンツ配信ネットワーク (CDN) を使用してシステムを登録しようとすると、登録プロセスが失敗し、Name or service not known というエラーメッセージが表示されていました。

dnf-automatic が、正しい GPG 署名を持つパッケージのみを更新

以前は、dnf-automatic 設定ファイルは、更新を実行する前にダウンロードしたパッケージの GPG 署名を確認しませんでした。そのため、リポジトリー設定に GPG 署名の確認 (gpgcheck=1) が必要ですが、インポートされていない鍵で署名されていない更新または更新は、dnf-automatic でインストールできませんでした。今回の更新で問題が修正され、dnf-automatic は、更新を実行する前にダウンロードしたパッケージの GPG 署名をチェックするようになりました。その結果、正しい GPG 署名を使用した更新は、GPG 署名の確認が必要なリポジトリーからのみインストールされます。

末尾にコンマがあると append タイプオプションでエントリーが削除されなくなる

以前のバージョンでは、末尾のコンマ (リストの最後に空のエントリー) を append タイプオプション (例: exclude、excludepkgs、includepkgs) に追加すると、オプション内のすべてのエントリーが削除されることがありました。また、2 つのコンマ (空のエントリー) を追加すると、コンマを使用した後のエントリーのみが使用されることがありました。

ReaR ディスクレイアウトに Rancher 2 Longhorn iSCSI デバイスおよびファイルシステムのエントリーが含まれなくなりました。

今回の更新で、ReaR が作成したディスクレイアウトから Rancher 2 Longhorn iSCSI デバイスおよびファイルシステムのエントリーが削除されました。

IBM POWER (リトルエンディアン) では、4 GB を超えるファイルを使用したレスキューイメージの作成が有効になりました。

以前のリリースでは、ReaR ユーティリティーは、IBM POWER (リトルエンディアン) アーキテクチャーに 4GB を超えるファイルを含むレスキューイメージを作成できませんでした。今回の更新で問題が修正され、IBM POWER、リトルエンディアンに 4 GB を超えるファイルでレスキューイメージを作成できるようになりました。

SELinux により、systemd-journal-gatewayd が corosync で使用される /dev/shm/ ファイルで newfstatat() を呼び出さなくなりました。

以前のバージョンでは、SELinux ポリシーには、systemd-journal-gatewayd が corosync サービスによって作成されるファイルにアクセスできるルールが含まれません。その結果、SELinux は、systemd-journal-gatewayd による、corosync で作成された共有メモリーファイルの newfstatat() 関数を呼び出しを拒否します。今回の更新で、SELinux は、systemd-journal-gatewayd が、corosync で作成された共有メモリーファイルの newfstatat() を呼び出すのを回避しなくなりました。

Libreswan が、すべての設定で seccomp=enabled で動作するようになりました。

この更新以前は、Libreswan SECCOMP サポート実装で許可された syscall のセットが、RHEL ライブラリーの新たな使用と一致しませんでした。したがって、SECCOMP が ipsec.conf ファイルで有効になっていると、syscall のフィルタリングは pluto デーモンの正常な機能に必要な syscall に拒否されました。このデーモンは強制終了され、ipsec サービスが再起動されました。今回の更新で、新しく要求されたシステムコールがすべて許可され、Libreswan が seccomp=enabled オプションで正しく機能するようになりました。

auditd によるシステムの停止や電源オフが SELinux によって阻止されなくなりました

以前のバージョンでは、SELinux ポリシーに、Audit デーモンが power_unit_file_t systemd ユニットを起動できるようにするルールがありませんでした。したがって、Logging ディスクパーティションに領域が残っていない場合などに auditd がシステムの停止や電源オフを行うことができるように設定されていても、これを行うことができませんでした。

IPTABLES_SAVE_ON_STOP が正常に動作するように

以前のバージョンでは、保存された IP テーブルコンテンツを持つファイルが間違った SELinux コンテキストを受け取るため、iptables サービスの IPTABLES_SAVE_ON_STOP 機能は機能しませんでした。これにより、iptables スクリプトはパーミッションを変更できず、その後のスクリプトでは変更を保存できませんでした。今回の更新で、iptables.save ファイルおよび ip6tables.save ファイルの適切なコンテキストを定義し、ファイル名の移行ルールが作成されます。これにより、iptables サービスの IPTABLES_SAVE_ON_STOP 機能が正しく機能します。

NSCD データベースが異なるモードを使用できるようになりました。

nsswitch_domain 属性のドメインは、Name Service Cache Daemon (NSCD) サービスにアクセスできます。各 NSCD データベースは thenscd.conf ファイルで設定され、共有プロパティーはデータベースが shared メモリー または Socket モードを使用するかどうかを決定します。以前のバージョンでは、すべての NSCD データベースは thenscd_use_shm ブール値に応じて同じアクセスモードを使用する必要がありました。現在は、Unix ストリームソケットが常に許可されるようになったため、異なる NSCD データベースが異なるモードを使用できるようになりました。

oscap-ssh ユーティリティーが、--sudo でリモートシステムをスキャンすると、正しく機能するようになりました。

oscap-ssh ツールで --sudo オプションを使用してリモートシステムの Security Content Automation Protocol (SCAP) スキャンを実行すると、リモートシステムの oscap ツールが、root ユーザーとして、スキャン結果ファイルとレポートファイルを一時ディレクトリーに保存します。以前は、リモートマシンの umask 設定を変更すると、oscap-ssh がこれらのファイルにアクセスできないことがありました。今回の更新で問題が修正され、oscap がターゲットユーザーとしてファイルを保存し、oscap -ssh が通常ファイルにアクセスします。

OpenSCAP が、リモートファイルシステムを正しく処理

以前は、マウント仕様が 2 つのスラッシュで開始されなかった場合に、OpenSCAP はリモートファイルシステムを確実に検出しませんでした。これにより、OpenSCAP が、一部のネットワークベースのファイルシステムをローカルとして処理していました。今回の更新で、OpenSCAP はマウント仕様ではなく、ファイルシステムタイプを使用してファイルシステムを特定します。これにより、OpenSCAP がリモートファイルシステムを正しく処理するようになりました。

OpenSCAP で YAML の複数行文字列から空の行が削除されなくなる

以前のバージョンでは、OpenSCAP は YAML の複数ライン文字列から、データストリームから生成された Ansible 修正から空の行を削除していました。この影響を受ける Ansible の修正により、openscap ユーティリティーが対応する Open Vulnerability and Assessment Language (OVAL) チェックに失敗し、誤検出結果が生成されます。この問題は修正され、openscap は YAML の複数行の文字列から空の行を削除しなくなりました。

OpenSCAP はメモリーが不足することなく、ファイルが大量に含まれるシステムをスキャンできるように。

以前のリリースでは、メモリーが少なく、ファイルが多数あるシステムをスキャンすると、OpenSCAP スキャナーが原因でシステムのメモリーがなくなることがありました。今回の更新で、OpenSCAP スキャナーのメモリー管理が改善されました。その結果、スキャナーは、たとえば、Server with GUI および Workstation を使用するパッケージグループなど、多数のファイルをスキャンする際に、RAM が少ないシステムでメモリーが不足することがなくなりました。

config.enabled がステートメントを適切に制御

以前のバージョンでは、rsyslog は、ステートメントの設定処理中に config.enabled ディレクティブを誤って評価していました。そのため、include() を除く各ステートメントに対して parameter not known エラーが表示されました。今回の更新で、すべてのステートメントに対して設定が同等に処理されます。その結果、config.enabled はエラーを表示せずに、ステートメントを正しく無効または有効にするようになりました。

fapolicyd が RHEL の更新を阻止しなくなりました。

更新で実行中のアプリケーションのバイナリーが置き換えられると、カーネルにより、接尾辞 " (deleted) が追加されて、メモリー内のアプリケーションのバイナリーパスが変更されます。以前のバージョンでは、fapolicyd ファイルアクセスポリシーデーモンは、信頼できないアプリケーションなどのように処理し、他のファイルを開き、実行できませんでした。そのため、更新の適用後にシステムを起動できないことがありました。

e8 プロファイルを使用して、Server with GUI で RHEL 8 システムを修復可能に

OpenSCAP Anaconda Add-on を使用して、Verify Integrity with RPM グループからルールを選択するプロファイルが含まれる Server With GUI パッケージグループでシステムを強化すると、システム上のメモリーが過剰に必要ではなくなりました。この問題の原因は OpenSCAP スキャナーでした。詳細は Scanning large numbers of files with OpenSCAP causes systems to run out of memory を参照してください。これにより、RHEL 8 Essential Eight (e8) プロファイルを使用してシステムを強化すると、Server With GUI も機能するようになりました。

nft_compat モジュールによる iptables 拡張機能モジュールの自動読み込みがハングしなくなる

以前は、ネットワーク名前空間 (netns) が並行して操作中に nft_compat モジュールが拡張モジュールがロードされた場合、その拡張が初期化中に pernet サブシステムを登録すると、ロックの競合が発生する可能性がありました。これにより、modprobe コマンド と呼ばれるカーネルがハングします。これは、libvirtd などの他のサービスが、iptables コマンドも実行するその他のサービスが原因である可能性があります。この問題が修正されました。その結果、nft_compat モジュールによる iptables 拡張機能モジュールの読み込みでハングしなくなりました。

firewalld サービスは、サービスが停止すると ipsets を削除するようになりました。

以前は、firewalld サービスを停止すると、ipsets が削除されませんでした。今回の更新でこの問題が修正されています。これにより、firewalld が停止すると、ipset がシステムに残らなくなくなりました。

firewalld がシャットダウン後に ipset エントリーを保持しない

以前は、firewalld をシャットダウンすると、ipset エントリーが削除されませんでした。したがって、firewalld サービスを停止した後も、ipset エントリーはカーネル内でアクティブな状態のままになりました。今回の修正により、firewalld をシャットダウンすると、ipset エントリーが期待どおりに削除されるようになりました。

firewalld が、リロード後に ipset エントリーを復元するようになりました。

以前は、再読み込み後に firewalld がランタイム ipset エントリーを保持しませんでした。したがって、ユーザーは不足しているエントリーをもう一度手動で追加する必要がありました。今回の更新で、再読み込み後に ipset エントリーを復元するように firewalld が変更されました。

nftables サービスおよび firewalld サービスが相互に排他的に

以前は、nftables サービスと firewalld サービスを同時に有効にできました。これにより、nftables は firewalld ルールセットを上書きしていました。今回の更新で、nftables サービスおよび firewalld サービスは相互排他的になり、同時に有効にできなくなりました。

huge_page_setup_helper.py スクリプトが正しく動作する

Python 3 の huge_page_setup_helper.py スクリプトしたパッチが、誤って削除されました。これにより、huge_page_setup_helper.py の実行後に、以下のエラーメッセージが表示されます。

大量の永続メモリーを備えたシステムは、タイムアウトなしでより迅速に起動します

元のソースコードではノードごとに 1 つの初期化スレッドしか許可されていなかったため、大量の永続メモリーを備えたシステムは起動に長い時間がかかりました。たとえば、4 ノードシステムの場合は、4 つのメモリー初期化スレッドがありました。したがって、/etc/fstab ファイルに永続メモリーのファイルシステムがあると、デバイスが利用できるようになるまで待つ際に、システムがタイムアウトする場合があります。今回の更新では、ソースコードが単一ノード内で複数のメモリー初期化スレッドを許可するようになったため、問題が修正されました。その結果、システムはより迅速に起動し、説明されているシナリオではタイムアウトは発生しません。

bcc スクリプトが正常に BPF モジュールをコンパイル

スクリプトコードをコンパイルして Berkeley Packet Filter (BPF) モジュールを作成すると、bcc ツールキットはデータタイプ定義にカーネルヘッダーを使用していました。一部のカーネルヘッダーには、KBUILD_MODNAME マクロを定義する必要がありました。そのため、KBUILD_MODNAME を追加しない bcc スクリプトでは、さまざまな CPU アーキテクチャー全体で BPF モジュールをコンパイルする可能性がありました。以下の bcc スクリプトは影響を受けます。

IBM Z で bcc-tools および bpftrace が適切に動作するようになりました。

以前のバージョンでは、機能のバックポートにより、ARCH_HAS_NON_OVERLAPPING_ADDRESS_SPACE カーネルオプションが導入されました。ただし、IBM Z アーキテクチャー用の bcc-tools パッケージおよび bpftrace トレース言語パッケージでは、このオプションが適切にサポートされませんでした。そのため、bpf() システムコールが Invalid argument exception で失敗し、bpftrace が BPF プログラムを読み込む際に Error loading program を示すエラーを出して失敗しました。今回の更新により、ARCH_HAS_NON_OVERLAPPING_ADDRESS_SPACE オプションが削除されました。その結果、上記のシナリオで問題が表示されなくなりました。

エントロピーがないためブートプロセスが失敗しなくなる

以前のバージョンでは、エントロピーがないためにブートプロセスが失敗しました。カーネルがブートプロセスの早い段階でエントロピーを収集できるように、より良いメカニズムが使用されるようになりました。これは、ハードウェア固有の割り込みに依存しません。今回の更新では、起動の初期で無作為な生成のセキュリティーを保護するのに十分なエントロピーの可用性を確保することでこの問題が修正されています。その結果、この修正によりキックスタートのタイムアウトや起動速度が遅くなり、起動プロセスが期待どおりに機能します。

kexec を使用した再起動が期待どおりに動作する

以前のバージョンでは、Amazon EC2 Nitro プラットフォームでカーネルを再起動すると、カーネル実行パスの shutdown() の呼び出し中に remove モジュール (rmmod) が呼び出されませんでした。したがって、kexec システムコールを使用してカーネルを再起動すると、失敗していました。今回の更新で、安全なカーネル実行を可能にする PCI shutdown() ハンドラーを追加してこの問題が修正されています。その結果、Amazon EC2 Nitro プラットフォームで kexec を使用した再起動が繰り返し行われなくなりました。

ダンプターゲットとして vPMEM メモリーを使用した繰り返し再起動が期待どおりに機能するようになりました。

以前は、kdump または fadump のダンプターゲットとして仮想永続メモリー (vPMEM) 名前空間を使用すると、papr_scm モジュールが vPMEM がサポートするメモリーのマッピングを解除し、メモリーをリニアマップに再追加していました。

ICE ドライバーの NIC ポートをモード 5 ボンディングマスターインターフェイスに追加しようとしても失敗しなくなりました。

以前のバージョンでは、ICE ドライバー NIC ポートをモード 5 (balance-tlb) ボンディングマスターインターフェイスに追加しようとすると、Master 'bond0', Slave 'ens1f0': Error: Enslave failed のエラーで失敗する可能性があります。そのため、NIC ポートをボンディングマスターインターフェイスに NICE ポートを追加するときに断続的に問題が発生していました。今回の更新で問題が修正され、インターフェイスの追加は失敗しなくなりました。

cxgb4 ドライバーにより、kdump カーネルでクラッシュが発生しなくなる

以前のリリースでは、vmcore ファイルに情報を保存しようとすると、kdump カーネルがクラッシュしていました。そのため、cxgb4 ドライバーにより、kdump カーネルが、後で分析するためにコアを保存できなくなります。この問題を回避するには、kdump カーネルコマンドラインに novmcoredd パラメーターを追加して、コアファイルを保存できるようにします。

ファイルシステムエージェントで GFS2 ファイルシステムを使用する場合は、fast_stop オプションがデフォルトで no に設定されます。

以前は、ファイルシステムエージェントで GFS2 ファイルシステムを使用すると、fast_stop オプションがデフォルトで yes に設定されます。この値により、GFS2 ファイルシステムのマウント解除にかかる時間が原因で、不要なフェンスイベントが発生する可能性がありました。今回の更新で、このオプションはデフォルトで no に設定されます。他のすべてのファイルシステムでは、デフォルトで yes に設定されます。

fence_compute および fence_evacuate エージェントは、より標準的な方法で insecure オプションを解釈するようになりました。

以前は、fence_compute および fence_evacuate エージェントは、--insecure がデフォルトで指定されたかのように動作していました。今回の更新により、コンピュートまたは退避サービスに有効な証明書を使用しないお客様は、insecure=true を設定し、CLI から手動で実行する場合に --insecure オプションを使用する必要がありました。これは、他のすべてのエージェントの動作に一貫性があります。

libdb による CPU 消費の最適化

以前の libdb データベースの更新により、trickle スレッドにおける CPU 消費が過剰になっていました。今回の更新で、CPU 使用率が最適化されました。

did_you_mean Ruby gem には、重要なライセンスを持つファイルが含まれなくなりました。

以前は、ruby:2.5 モジュールストリームで利用可能な did_you_mean gem には、自分以外のライセンスを持つファイルが含まれていました。今回の更新で、影響を受けるファイルが削除されます。

nginx が PKCS#11 URI を使用して、ハードウェアセキュリティートークンからサーバー証明書をロードできるようになりました。

nginx Web サーバーの ssl_certificate ディレクティブは、PKCS#11 モジュールを利用してハードウェアセキュリティートークンから直接 TLS サーバー証明書を読み込むことをサポートします。以前は、PKCS#11 URI を使用して、ハードウェアセキュリティートークンからサーバー証明書を読み込むことができませんでした。

DT_FILTER を使用する共有ライブラリーの読み込み中に glibc 動的ローダーが失敗しなくなりました。

この更新以前は、共有オブジェクトの動的ローダー実装にフィルターとして不具合があると、フィルターを使用する共有ライブラリーがロードされ、コンストラクターを持つ際に動的ローダーが失敗していました。今回のリリースにより、フィルターの動的ローダー実装 (DT_FILTER) が修正され、このような共有ライブラリーを正しく処理できるようになりました。その結果、上述のシナリオで動的ローダーが想定どおりに機能するようになりました。

glibc が、getmntent() リストから擬似マウントを削除可能

カーネルには、ユーザー空間に公開されるテーブルの automount 疑似エントリーが含まれます。そのため、getmntent() API を使用するプログラムは、通常のマウントとこの擬似マウントの両方をリストに表示されるようになりました。擬似マウントは、実際のマウントには対応せず、有効な情報も含まれます。

movv1qi パターンにより、IBM Z の自動ベクターコードに誤コンパイルが発生しなくなりました。

この更新以前は、movv1qi パターンに対して誤った負荷命令が生成されていました。これにより、自動アクターのフィルターが有効になっていると、IBM Z システムで不適切なコンパイルが実行される可能性がありました。今回の更新で movv1qi パターンが修正され、コードコンパイルおよび実行が正常に実行されるようになりました。

PAPI_event_name_to_code() が複数のスレッドで適切に動作するようになりました。

この更新以前は、PAPI 内部コードがスレッドの調整を正しく処理しませんでした。したがって、複数のスレッドが PAPI_event_name_to_code() 操作を使用すると、競合状態が発生し、操作に失敗していました。今回の更新で、PAPI 内部コードで複数のスレッドの処理が強化されます。その結果、PAPI_event_name_to_code() 操作を使用したマルチスレッドコードが正しく機能するようになりました。

IBM Power Systems の glibc math 関数のパフォーマンスを改善

以前は、glibc math 関数は、IBM Power Systems で不要な浮動小数点のステータスの更新とシステムコールを実行していたため、パフォーマンスに悪影響を及ぼしていました。今回の更新で、不要な浮動小数点ステータスの更新が削除され、ceil()、ceilf()、fegetmode()、fesetmode()、fesetenv()、fegetexcept()、feenableexcept()、fedisablexcept()、fegetround()、fesetround() の実装が改善されました。その結果、IBM Power Systems では、math ライブラリーのパフォーマンスが向上しました。

メモリー保護鍵が IBM Power で対応

IBM Power Systems では、メモリー保護キーインターフェイス pkey_set および pkey_get は、以前はスタブ機能でした。そのため、常に失敗していました。今回の更新でインターフェイスが実装され、GNU C ライブラリー (glibc) が IBM Power Systems でのメモリー保護キーをサポートするようになりました。

papi-testsuite および papi-devel が、必要な papi-libs パッケージをインストールするようになりました。

以前は、papi-testsuite および papi-devel RPM パッケージは、一致する papi-libs パッケージの依存関係を宣言しませんでした。そのため、テストは実行に失敗し、開発者はアプリケーションで利用可能な papi 共有ライブラリーの必要なバージョンがありませんでした。

複数のアーキテクチャー用の lldb パッケージのインストールでファイルの競合が発生しなくなる

以前では、lldb パッケージは、アーキテクチャーに依存しない場所にアーキテクチャー依存ファイルをインストールしていました。そのため、パッケージの 32 ビットバージョンと 64 ビットバージョンの両方をインストールすると、ファイルの競合が発生していました。今回の更新で、アーキテクチャー依存の場所のファイルがパッケージ化されるようになりました。これにより、上記のシナリオでの lldb のインストールが正常に完了します。

getaddrinfo がメモリー割り当てエラーを適切に処理

以前は、メモリー割り当てに失敗すると、GNU C ライブラリー glibc の getaddrinfo 関数は、内部リゾルバーコンテキストをリリースしませんでした。したがって、getaddrinfo は、呼び出しスレッドの残りのライフタイム中は /etc/resolv.conf ファイルを再読み込みできず、メモリーリークが発生していました。

glibc が、IFUNC リゾルバーの順序によって発生する特定の障害を回避

以前は、GNU C ライブラリー glibc の librt および libpthread ライブラリーの実装には、以下の関数の間接関数 (IFUNC) リゾルバーが含まれていました。time_gettime、clock_getcpuclockid、clock_nanosleep、time_settime、vfork。場合によっては、IFUNC リゾルバーは、librt ライブラリーおよび libpthread ライブラリーが再配置される前に実行できることがあります。その結果、早いプログラムの起動時にアプリケーションが glibc 動的ローダーで失敗していました。

アサーションの失敗が pthread_create の実行中に発生しない

以前のバージョンでは、glibc 動的ローダーは内部 Thread Local Storage (TLS) モジュール ID カウンターへの変更をロールバックしませんでした。これにより、pthread_create 関数のアサーションエラーが生じ、特定の方法で dlopen 関数が失敗していました。今回の修正により、glibc 動的ローダーは、特定の障害が発生しなくなった後に、後で TLS モジュール ID カウンターを更新するようになりました。その結果、アサーションエラーが生じなくなりました。

glibc が nss_db を使用して 32 ビットアプリケーションに正しい依存関係をインストールするようになりました。

以前は、nss_db.x86_64 パッケージは nss_db.i686 パッケージで依存関係を宣言しませんでした。したがって、32 ビット環境 glibc.i686 がインストールされている場合でも、自動インストールでは nss_db.i686 をシステムにインストールしませんでした。そのため、nss_db を使用する 32 ビットアプリケーションは、正確なユーザーデータベースルックアップを実行しなくなり、同じ設定の 64 ビットアプリケーションが正常に機能します。

Odia 言語で更新された glibc ロケール情報

以前 Orissa と呼ばれる Indian 状態の名前が Odisha に変更され、公式の言語の名前が Oriya から Odia に変更になりました。今回の更新で、glibc ロケール情報に言語の新しい名前が反映されるようになりました。

LLVM サブパッケージが、アーキテクチャーに依存しない場所に arch 依存ファイルをインストールするようになりました。

以前では、LLVM サブパッケージは、アーキテクチャーに依存しない場所に arch 依存ファイルをインストールしていました。これにより、32 ビットおよび 64 ビットバージョンの LLVM のインストール時に競合が生じました。今回の更新で、パッケージファイルがアーキテクチャー依存の場所に正しくインストールされるようになり、バージョンの競合を避けるようになりました。

glibc でパスワードおよびグループ検索が失敗しなくなりました。

以前は、glibc ライブラリーの nss_compat モジュールが、パスワードおよびグループエントリーの処理中に誤ったエラーコードで errno 状態を上書きしていました。その結果、アプリケーションはバッファーを予想通りにサイズ変更せず、パスワードおよびグループの検索に失敗していました。今回の更新で問題が修正され、ルックアップが期待どおりに完了するようになりました。

SSSD がデフォルトでワイルドカード文字が含まれるすべてのルールをダウンロードしない

以前は、ldap_sudo_include_regexp オプションがデフォルトで誤って true に設定されていました。これにより、SSSD が SSSD ルールの実行または更新を開始した場合、SSSD は sudoHost 属性にワイルドカード文字 (*) が含まれるすべてのルールをダウンロードしていました。今回の更新でバグが修正され、ldap_sudo_include_regexp オプションがデフォルトで false に設定されるようになりました。その結果、上記の問題が発生しなくなりました。

krb5 が、許可された暗号化タイプのみを要求する

以前のバージョンでは、default_tgs_enctypes 属性または default_tkt_enctypes 属性が設定されていない場合、/etc/krb5.conf ファイルの permitted_enctypes 変数で指定された暗号化タイプは、デフォルトの暗号化タイプに適用されませんでした。そのため、Kerberos クライアントは RC4 などの非推奨の暗号スイートを要求することができ、これにより、他のプロセスが失敗する可能性があります。今回の更新で、allow_enctypes 変数で指定した暗号化タイプもデフォルトの暗号化タイプに適用され、許可される暗号化タイプのみが要求されるようになりました。

KDC で LDAP バックエンドからパスワード有効期間のポリシーを正常に適用されるようになりました

以前のバージョンは、Kerberos LDAP バックエンドにより、パスワードポリシーが正しく適用されていなかったため、IPA 以外の Kerberos Distribution Center (KDC) ではパスワードの最大有効期間を保証できませんでした。今回の更新で、Kerberos LDAP バックエンドが修正され、パスワードの有効期間が期待どおりに機能するようになりました。

SSSD を使用する AD クライアントにパスワード有効期限の通知が送信されます

以前のバージョンでは、SSSD を使用する Active Directory クライアント (IdM 以外) には、パスワード有効期限の通知が送信されませんでした。これは Kerberos 認証情報を取得するために、SSSD インターフェイスに最近変更が加えられたためです。

間接的な CoS 定義を使用時の、Directory Server でのメモリーリークを修正

以前のバージョンでは、間接的な CoS (Class of Service) 定義を処理すると、Directory Server では、間接 CoS 定義を使用する検索操作ごとにメモリーリークが発生していました。今回の更新で、Directory Server は、処理後にデータベースエントリーに関連する CoS 内部構造をすべて解放するようになりました。その結果、間接的な CoS 定義の使用時にサーバーでのメモリーリークがなくなりました。

AD ユーザーの ID オーバーライドの追加が IdM Web UI で機能するようになりました。

以前は、IdM Web UI の使用時に、管理ロールへのアクセスを付与する目的で、Default Trust View の Active Directory (AD) ユーザーの ID オーバーライドを Identity Management (IdM) グループに追加していました。今回の更新でバグが修正されました。これにより、このシナリオで Web UI と IdM コマンドラインインターフェイス (CLI) の両方を使用できるようになりました。

FreeRADIUS がパッケージのインストール時に証明書を生成しなくなりました

以前のバージョンでは、FreeRADIUS がパッケージのインストール時に証明書を生成していたため、以下の問題が発生することがありました。

FreeRADIUS が FIPS 準拠の Diffie-Hellman パラメーターを生成するようになりました。

openssl が dhparam を介して Diffie-Hellman (dh) パラメーターを生成できない新しい FIPS 要件により、dh パラメーターの生成は FreeRADIUS ブートストラップスクリプトから削除され、rfc3526-group-18-8192.dhparam ファイルはすべてのシステムの FreeRADIUS パッケージに含まれており、FreeRADIUS が FIPS モードで起動するようになっています。

Healthcheck の更新により ipa-healthcheck-core および ipa-healthcheck の両方が適切に更新されるようになりました。

以前では、yum update healthcheck を入力すると、ipa-healthcheck パッケージが更新されず、ipa-healthcheck-core パッケージに置き換えられました。そのため、更新後に ipa-healthcheck コマンドが機能しませんでした。

ハイブリッド Nvidia GPU を備えたラップトップがサスペンドから正常に再開できるようになりました。

以前では、nouveau グラフィックスドライバーが、省電力モードからの特定のラップトップでハイブリッド Nvidia GPU の電源をオンにできないことがありました。その結果、ラップトップはサスペンドから再開できませんでした。

デフォルトの CPU モデルを使用する仮想マシンの移行がより確実に機能するようになりました。

以前は、特定の CPU モデルなしで仮想マシン (VM) が作成された場合、QEMU が libvirt サービスに見えないデフォルトモデルを使用していました。したがって、仮想マシンのデフォルトの CPU モデルをサポートしないホストに仮想マシンを移行する可能性がありました。これにより、移行後にゲスト OS でクラッシュおよび誤った動作が生じることがありました。

Podman での FIPS サポートに関する注意事項

Federal Information Processing Standard (FIPS) を使用するには、認定済みモジュールを使用する必要があります。以前のバージョンでは、Podman は起動時に適切なフラグを有効にして、コンテナーに認定モジュールを正しくインストールしていました。ただし、本リリースでは、Podman は FIPS システム全体の crypto-policy の形式でシステムによって提供される追加アプリケーションヘルパーを適切に設定しません。認定モジュールでは、システム全体の crypto-policy を設定する必要はありませんが、適切な方法で暗号化モジュールを使用するアプリケーションが強化されます。この問題を回避するには、他のアプリケーションコードを実行する前に、コンテナーを変更して update-crypto-policies --set FIPS コマンドを実行します。今回の修正では、update-crypto-policies --set FIPS コマンドが不要になりました。

xt_u32 Netfilter モジュールを有効化

xt_u32 Netfilter モジュールは kernel-modules-extra rpm で利用できるようになりました。このモジュールは、他のプロトコルベースのパケットフィルターからアクセスできないデータに基づいて、パケットの転送に役立ちます。したがって、nftables の手動移行が容易になります。ただし、Netfilter モジュール xt_u32 は Red Hat ではサポートされていません。

nmstate がテクノロジープレビューとして利用可能になりました。

Nmstate は、ホストのネットワーク API です。テクノロジープレビューとして利用できる nmstate パッケージでは、ライブラリーおよび nmstatectl コマンドラインユーティリティーを利用でき、ホストのネットワーク設定を宣言型で管理できます。ネットワークの状態は事前定義済みのスキーマで説明されています。現在の状態と、必要な状態への変更の報告は、両者ともこのスキーマに一致します。

AF_XDP がテクノロジープレビューとして利用可能に

AF_XDP (Address Family eXpress Data Path) ソケットは、高性能パケット処理用に設計されています。さらに処理するために、XDP を取り入れ、プログラムにより選択されたパケットの効率的なリダイレクトをユーザー空間アプリケーションに付与します。

XDP がテクノロジープレビューとして利用可能になりました。

eXpress Data Path (XDP) 機能はテクノロジープレビューとして利用でき、カーネルの入力データパスの初期段階にある高性能パケット処理に、eBPF (extended Berkeley Packet Filter) プログラムを追加する手段を提供します。これにより、効率的なプログラム可能なパケット分析、フィルタリング、および操作が可能になります。

KTLS がテクノロジープレビューとして利用可能になりました。

Red Hat Enterprise Linux 8 では、Kernel Transport Layer Security (KTLS) がテクノロジープレビューとして提供されます。KTLS は、AES-GCM 暗号化のカーネルで対称暗号化アルゴリズムまたは複号アルゴリズムを使用して TLS レコードを処理します。KTLS は、この機能に対応するネットワークインターフェイスコントローラー (NIC) に TLS レコード暗号化をオフロードするインターフェイスも提供します。

テクノロジープレビューとして利用できる XDP 機能

Red Hat は、以下の eXpress Data Path (XDP) 機能をサポート対象外のテクノロジープレビューとして提供します。

act_mpls モジュールがテクノロジープレビューとして利用可能になりました。

act_mpls モジュールが、テクノロジープレビューとして kernel-modules-extra rpm で利用可能になりました。モジュールを使用すると、トラフィック制御 (TC) フィルターを使用した Multiprotocol Label Switching (MPLS) アクション (TC フィルターを使用した MPLS ラベルスタックエントリーの push や pop など) の適用が可能になります。また、このモジュールでは、Label、Traffic Class、Botem of Stack、および Time to Live フィールドを独立して設定できます。

Multipath TCP がテクノロジープレビューとして利用可能

TCP の拡張である Multipath TCP (MPTCP) がテクノロジープレビューとして利用できるようになりました。MPTCP はネットワーク内のリソース使用状況を改善し、ネットワーク障害に対する耐障害性を確保します。たとえば、RHEL サーバーで Multipath TCP を使用すると、MPTCP v1 対応のスマートカードは、サーバーで実行中のアプリケーションに接続し、サーバーへの接続を中断せずに Wi-Fi とセルラーネットワークを切り替えることができます。

systemd-resolved サービスがテクノロジープレビューとして利用できるようになりました。

systemd-resolved サービスは、ローカルアプリケーションに名前解決を提供します。このサービスは、DNS スタブリゾルバー、LLMNR (Link-Local Multicast Name Resolution)、およびマルチキャスト DNS リゾルバーとレスポンダーのキャッシュと検証を実装します。

kexec fast reboot 機能がテクノロジープレビューとして利用可能になりました。

kexec fast reboot 機能は、引き続きテクノロジープレビューとして利用できます。kexec fast reboot は、カーネルが先に BIOS (Basic Input/Output System) を経由せずに、2 番目のカーネルを直接起動できるようにすることで、ブートプロセスの時間を大幅に短縮します。この機能を使用するには、以下を実行します。

eBPF がテクノロジープレビューとして利用可能になりました。

eBPF (extended Berkeley Packet Filter) は、限られた一連の関数にアクセスできる制限付きサンドボックス環境において、カーネル領域でのコード実行を可能にするカーネル内の仮想マシンです。

igc ドライバーが、RHEL 8 でテクノロジープレビューとして利用できるようになりました。

igc Intel 2.5G Ethernet Linux 有線 LAN ドライバーは、テクノロジープレビューとして、RHEL 8 の全アーキテクチャーで利用できるようになりました。ethtool ユーティリティーは igc 有線 LAN もサポートします。

テクノロジープレビューとして利用できる Soft-RoCE

Remote Direct Memory Access (RDMA) over Converged Ethernet (RoCE) は、RDMA over Ethernet を実装するネットワークプロトコルです。Soft-RoCE は、RoCE v1 および RoCE v2 の 2 つのプロトコルバージョンに対応する RoCE のソフトウェア実装です。Soft-RoCE ドライバーの rdma_rxe は、RHEL 8 ではサポートされていないテクノロジープレビューとして利用できます。

NVMe/TCP がテクノロジープレビューとして利用可能になりました。

TCP/IP ネットワーク (NVMe/TCP) および対応する nvme-tcp.ko および nvmet -tcp.ko カーネルモジュールへのアクセスおよび共有がテクノロジープレビューとして追加されました。

ファイルシステム DAX が、テクノロジープレビューとして ext4 および XFS で利用可能に

Red Hat Enterprise Linux 8 では、ファイルシステムの DAX がテクノロジープレビューとして利用できます。DAX は、永続メモリーをそのアドレス空間に直接マッピングする手段をアプリケーションに提供します。DAX を使用するには、システムで利用可能な永続メモリーの形式が必要になります。通常は、NVDIMM (Non-Volatile Dual In-line Memory Module) の形式で、DAX に対応するファイルシステムを NVDIMM に作成する必要があります。また、ファイルシステムは dax マウントオプションでマウントする必要があります。これにより、dax をマウントしたファイルシステムのファイルの mmap が、アプリケーションのアドレス空間にストレージを直接マッピングされます。

OverlayFS

OverlayFS は、ユニオンファイルシステムのタイプです。これにより、あるファイルシステムを別のファイルシステムに重ねることができます。変更は上位のファイルシステムに記録され、下位のファイルシステムは変更しません。これにより、ベースイメージが読み取り専用メディアにあるコンテナーや DVD-ROM などのファイルシステムイメージを、複数のユーザーが共有できるようになります。

Straits がテクノロジープレビューとして利用可能になりました。

Stratis は、新しいローカルストレージマネージャーです。ユーザーへの追加機能を備えたストレージプールに、管理されるファイルシステムを提供します。

IdM がテクノロジープレビューとして、IdM ドメインメンバーでの Samba サーバー設定に対応しました。

今回の更新で、Identity Management (IdM) ドメインメンバーに Samba サーバーを設定できるようになりました。同じ名前パッケージに含まれる新しい ipa-client-samba ユーティリティーは、Samba 固有の Kerberos サービスプリンシパルを IdM に追加し、IdM クライアントを準備します。たとえば、ユーティリティーは、sss ID マッピングバックエンドの ID マッピング設定で /etc/samba/smb.conf を作成します。その結果、管理者が IdM ドメインメンバーに Samba を設定できるようになりました。

pcs cluster setup コマンドのローカルモードバージョンがテクノロジープレビューとして利用可能になりました。

デフォルトでは、pcs cluster setup コマンドは、すべての設定ファイルをクラスターノードに自動的に同期します。Red Hat Enterprise Linux 8.3 以降、pcs cluster setup コマンドは、--corosync-conf オプションをテクノロジープレビューとして提供します。このオプションを指定すると、コマンドが local モードに切り替わります。このモードでは、pcs は他のノードと通信せずに corosync.conf ファイルを作成し、ローカルノード上の指定されたファイルに保存します。これにより、スクリプトで corosync.conf ファイルを作成し、スクリプトでそのファイルを処理できます。

Pacemaker の podman バンドルがテクノロジープレビューとして利用可能になりました。

Pacemaker コンテナーバンドルは、テクノロジープレビューとして利用できるコンテナーバンドル機能を使用して、podman コンテナープラットフォームで動作するようになりました。この機能はテクノロジープレビューとして利用できますが、例外が 1 つあります。Red Hat は、Red Hat Openstack 用の Pacemaker バンドルの使用に完全対応します。

テクノロジープレビューとして利用可能な corosync-qdevice のヒューリスティック

ヒューリスティックは、起動、クラスターメンバーシップの変更、corosync-qnetd への正常な接続でローカルに実行され、任意で定期的に実行される一連のコマンドです。すべてのコマンドが時間どおりに正常に終了すると (返されるエラーコードがゼロである場合)、ヒューリスティックは渡されますが、それ以外の場合は失敗します。ヒューリスティックの結果は corosync-qnetd に送信され、クオーラムとなるべきパーティションを判断するための計算に使用されます。

新しい fence-agents-heuristics-ping フェンスエージェント

Pacemaker は、テクノロジープレビューとして fence_heuristics_ping エージェントに対応するようになりました。このエージェントの目的は、実際にはフェンシングを行わず、フェンシングレベルの動作を新しい方法で活用する実験的なフェンスエージェントのクラスを開くことです。

Identity Management JSON-RPC API がテクノロジープレビューとして利用可能になりました。

Identity Management (IdM) では API が利用できます。API を表示するために、IdM は、テクノロジープレビューとして API ブラウザーも提供します。

DNSSEC が IdM でテクノロジープレビューとして利用可能になりました。

統合 DNS のある Identity Management (IdM) サーバーは、DNS プロトコルのセキュリティーを強化する DNS に対する拡張セットである DNS Security Extensions (DNSSEC) に対応するようになりました。IdM サーバーでホストされる DNS ゾーンは、DNSSEC を使用して自動的に署名できます。暗号鍵は、自動的に生成およびローテートされます。

64 ビット ARM アーキテクチャーの GNOME がテクノロジープレビューとして利用できるようになりました。

GNOME デスクトップ環境がテクノロジープレビューとして、64 ビット ARM アーキテクチャーで利用可能になりました。これにより、管理者は VNC セッションを使用して、グラフィカルユーザーインターフェイス (GUI) からサーバーをリモートで設定し、管理できます。

IBM Z の GNOME デスクトップがテクノロジープレビューとして利用可能に

Firefox Web ブラウザーを含む GNOME デスクトップが、IBM Z アーキテクチャーでテクノロジープレビューとして利用できるようになりました。VNC を使用して GNOME を実行するリモートグラフィカルセッションに接続し、IBM Z サーバーを設定および管理できるようになりました。

64 ビット ARM アーキテクチャーで VNC リモートコンソールがテクノロジープレビューとして利用可能に

64 ビットの ARM アーキテクチャーでは、Virtual Network Computing (VNC) リモートコンソールがテクノロジープレビューとして利用できます。グラフィックススタックの残りの部分は、現在、64 ビット ARM アーキテクチャーでは検証されていません。

Intel Tiger Lake グラフィックがテクノロジープレビューとして利用可能に

Intel Tiger Lake UP3 および UP4 Xe グラフィックがテクノロジープレビューとして利用できるようになりました。

RHEL システムロールの postfix ロールが、テクノロジープレビューとして利用可能になりました。

Red Hat Enterprise Linux システムロールは、Red Hat Enterprise Linux サブシステムの設定インターフェイスを提供します。これにより、Ansible ロールを介したシステム設定が簡単になります。このインターフェイスにより、Red Hat Enterprise Linux の複数のバージョンにわたるシステム設定の管理と、新しいメジャーリリースの導入が可能になります。

RHEL 8 Hyper-V 仮想マシンで KVM 仮想化が利用可能に

ネストされた KVM 仮想化は、テクノロジープレビューとして、Microsoft Hyper-V ハイパーバイザーで使用できるようになりました。これにより、Hyper-V ホストで実行している RHEL 8 ゲストシステムで仮想マシンを作成できます。

KVM 仮想マシンの AMD SEV。

テクノロジープレビューとして、RHEL 8 に、KVM ハイパーバイザーを使用する AMD EPYC ホストマシン用のセキュア暗号化仮想化 (SEV) 機能が同梱されます。仮想マシンで有効になっている場合は、ホストが仮想マシンのデータにアクセスできないように、SEV が仮想マシンメモリーを暗号化します。ホストがマルウェアに感染した場合は、これにより仮想マシンのセキュリティーが向上します。

Intel vGPU

テクノロジープレビューとして、物理 Intel GPU デバイスを、仲介デバイス と呼ばれる複数の仮想デバイスに分割できるようになりました。この仲介デバイスは、仮想 GPU として複数の仮想マシンに割り当てることができます。これにより、この仮想マシンが、1 つの物理 Intel GPU のパフォーマンスを共有します。

入れ子仮想マシンの作成

入れ子 KVM 仮想化は、RHEL 8 で AMD64 および IBM Z システムホストで実行している KVM 仮想マシン用のテクノロジープレビューとして提供されます。この機能を使用すると、物理 RHEL 8 ホストで実行中の RHEL 7 または RHEL 8 仮想マシンがハイパーバイザーとして機能し、独自の仮想マシンをホストできます。

Hyper-V の RHEL ゲストで、Intel ネットワークアダプターが SR-IOV に対応するようになりました。

テクノロジープレビューとして、Hyper-V ハイパーバイザーで実行している Red Hat Enterprise Linux のゲストオペレーティングシステムは、ixgbevf および ixgbevf ドライバーがサポートする Intel ネットワークアダプターに、シングルルート I/O 仮想化 (SR-IOV) 機能を使用することができるようになりました。この機能は、以下の条件が満たされると有効になります。

podman コンテナーイメージが、テクノロジープレビューとして利用可能になりました。

registry.redhat.io/rhel8/podman コンテナーイメージは、podman パッケージをコンテナー化した実装です。podman ツールは、コンテナーおよびイメージの管理、それらのコンテナーにマウントされたボリューム、およびコンテナーのグループから作成された Pod を管理するために使用されます。podman は、コンテナーライフサイクル管理の libpod ライブラリーに基づいています。libpod ライブラリーは、コンテナー、Pod、コンテナーイメージ、およびボリュームを管理するための API を提供します。このコンテナーイメージを使用すると、システムに podman パッケージをインストールしなくても、コンテナーイメージの作成、変更、実行を行うことができます。このユースケースでは、root 以外のユーザーとして rootless モードでこのイメージを実行することを説明しません。registry.redhat.io/rhel8/podman コンテナーイメージをプルするには、アクティブな Red Hat Enterprise Linux サブスクリプションが必要です。

crun がテクノロジープレビューとして利用可能になりました。

crun OCI ランタイムが container-rools:rhl8 モジュールに追加されました。crun が、cgoupsV2 での実行権限を提供します。crun は、コンテナーがルートレスユーザーの追加のグループにアクセスできるアノテーションをサポートします。これは、ユーザーにグループアクセスのみが割り当てられているディレクトリーへのボリュームマウントや、setgid のあるディレクトリーに役に立ちます。

podman-machine コマンドはサポート対象外です。

仮想マシンを管理するための podman-machine コマンドは、テクノロジープレビューとしてのみ利用可能です。代わりに、コマンドラインから直接 Podman を実行してください。

複数のキックスタートコマンドおよびオプションが非推奨になりました。

RHEL 8 キックスタートファイルで以下のコマンドとオプションを使用すると、ログに警告が表示されます。

キックスタートコマンド ignoredisk の --interactive オプションが非推奨になりました。

Red Hat Enterprise Linux の将来のリリースで --interactive オプション を使用すると、致命的なインストールエラーが発生します。このオプションを削除するには、キックスタートファイルを変更することが推奨されます。

RHEL 8 で非推奨となった Image Builder lorax-composer バックエンド

Image Builder の以前のバックエンド lorax-composer は非推奨とみなされます。Red Hat Enterprise Linux 8 の残りのライフサイクルでは一部の修正のみが提供され、今後のメジャーリリースから削除される予定です。  Red Hat では、lorax-composer をアンインストールして osbuild-composer バックエンドを代わりにインストールすることを推奨します。

rpmbuild --sign が非推奨になりました。

今回の更新で、rpmbuild --sign コマンドが非推奨となりました。Red Hat Enterprise Linux の今後のリリースでこのコマンドを実行すると、エラーが発生します。代わりに rpmsign コマンドを使用することが推奨されます。

curl の Metalink サポートが無効になりました。

Metalink を使用してダウンロードされたコンテンツのクレデンシャルとファイルハッシュの不一致を処理する方法で、curl 機能に欠陥が見つかりました。この欠陥により、悪意のある攻撃者がホスティングサーバーを制御して次のことが可能になります。

mailman が非推奨に

今回の更新で、mailman パッケージが非推奨と識別され、Red Hat Enterprise Linux の将来のメジャーリリースで利用できなくなりました。

NSS SEED 暗号が非推奨になりました。

Mozilla Network Security Services (NSS) ライブラリーでは、今後のリリースで SEED 暗号化を使用する TLS 暗号スイートのサポートがなくなります。NSS がサポートを削除した際に SEED 暗号に依存するデプロイメントを円滑に移行させるため、Red Hat は、他の暗号スイートのサポートを有効にすることを推奨します。

TLS 1.0 および TLS 1.1 が非推奨になりました。

TLS 1.0 プロトコルおよび TLS 1.1 プロトコルは、システム全体の暗号化ポリシーレベル DEFAULT で無効になります。たとえば、Firefox Web ブラウザーのビデオ会議アプリケーションで、非推奨のプロトコルを使用する必要がある場合は、システム全体の暗号化ポリシーを LEGACY レベルに変更してください。

RHEL 8 で DSA が非推奨になりました。

デジタル署名アルゴリズム (DSA) は、Red Hat Enterprise Linux 8 では非推奨であると考えられています。DSA キーに依存する認証メカニズムはデフォルト設定では機能しません。OpenSSH クライアントは、LEGACY のシステム全体の暗号化ポリシーレベルでも DSA ホストキーを許可しません。

NSS で SSL2 Client Hello が非推奨に

TLS (Transport Layer Security) プロトコルバージョン 1.2 以前は、SSL (Secure Sockets Layer) プロトコルバージョン 2 と後方互換性がある形式の Client Hello メッセージを使用してネゴシエーションを開始できます。NSS (Network Security Services) ライブラリーでのこの機能への対応は非推奨となっており、デフォルトで無効になっています。

TPM 1.2 が非推奨になりました。

Trusted Platform Module (TPM) のセキュアな暗号化プロセッサーの標準バージョンが 2016 年に バージョン 2.0 に更新されました。TPM 2.0 は TPM 1.2 に対する多くの改良を提供しますが、以前のバージョンと後方互換性はありません。TPM 1.2 は RHEL 8 で非推奨となり、次のメジャーリリースで削除される可能性があります。

RHEL 8 でネットワークスクリプトが非推奨に

Red Hat Enterprise Linux 8 では、ネットワークスクリプトが非推奨になっており、デフォルトでは提供されなくなりました。基本的なインストールでは、nmcli ツール経由で、NetworkManager サービスを呼び出す ifup スクリプトおよび ifdown スクリプトの新しいバージョンが提供されます。Red Hat Enterprise Linux 8 で ifup スクリプトおよび ifdown スクリプトを実行する場合は、NetworkManager を実行する必要があります。

ディスクレスブートを使用した RHEL for Real Time 8 のインストールが非推奨になりました。

ディスクレスブートにより、複数のシステムがネットワーク経由で root ファイルシステムを共有できます。メリットはありますが、ディスクレスブートでは、リアルタイムのワークロードでネットワークレイテンシーが発生する可能性が高くなります。RHEL for Real Time 8 の将来のマイナー更新では、ディスクレスブート機能はサポートされなくなります。

qla3xxx ドライバーが非推奨になりました。

RHEL 8 では、qla3xxx ドライバーが非推奨になりました。このドライバーは、本製品の今後のメジャーリリースではサポートされない可能性が高く、新たに実装することは推奨されません。

dl2k、dnet、ethoc、および dlci ドライバーは非推奨になりました。

RHEL 8 では、dl2k、dnet、ethoc、および dlci ドライバーが非推奨になりました。このドライバーは、本製品の今後のメジャーリリースではサポートされない可能性が高く、新たに実装することは推奨されません。

rdma_rxe Soft-RoCE ドライバーが非推奨に

Remote Software Direct Memory Access over Converged Ethernet (Soft-RoCE) は RXE としても知られており、RDMA (Remote Direct Memory Access) をエミュレートする機能です。RHEL 8 では、Soft-RoCE 機能が、サポートされていないテクノロジープレビューとして利用できます。ただし、安定性の問題により、この機能は非推奨になり、RHEL 9 では削除されます。

elevator カーネルコマンドラインパラメーターが非推奨になりました。

カーネルコマンドラインパラメーターの elevator は、すべてのデバイスのディスクスケジューラーを設定するために、以前の RHEL リリースで使用されていました。RHEL 8 では、このパラメーターが非推奨になりました。

LVM mirror が非推奨化されました。

LVM mirror セグメントタイプが非推奨になりました。mirror のサポートは、RHEL の今後のメジャーリリースで削除されます。

peripety が非推奨になりました。

peripety パッケージは、RHEL 8.3 以降で非推奨になりました。

NFSv3 over UDP が無効になりました。

NFS サーバーは、デフォルトで UDP (User Datagram Protocol) ソケットを開いたり、リッスンしなくなりました。バージョン 4 では TCP (Transmission Control Protocol) が必要なため、この変更は NFS バージョン 3 にのみ影響を及ぼします。

cramfs が非推奨になりました。

ユーザーの不足により、cramfs カーネルモジュールが非推奨になりました。代替策として squashfs が推奨されます。

openssh-ldap が非推奨に

openssh-ldap サブパッケージは、Red Hat Enterprise Linux 8 で非推奨になり、RHEL 9 で削除されます。openssh-ldap サブパッケージはアップストリームでは維持されないため、Red Hat は SSSD と sss_ssh_authorizedkeys ヘルパーを使用することを推奨しています。これは、他の IdM ソリューションよりも適切に統合でき、安全です。

DES および 3DES 暗号化タイプが削除されました。

RHEL 7 以降、セキュリティー上の理由から、データ暗号化標準 (DES) アルゴリズムが非推奨になり、デフォルトで無効化になりました。Kerberos パッケージの最近のリベースで、RHEL 8 からシングル DES (DES) およびトリプル DES (3DES) の暗号化タイプが削除されました。

SMB1 プロトコルは Samba では非推奨に

Samba 4.11 以降、安全でない Server Message Block バージョン 1 (SMB1) プロトコルは非推奨となり、今後のリリースでは削除される予定です。

libgnome-keyring ライブラリーが非推奨になりました。

libgnome-keyring ライブラリーがアップストリームで維持されず、RHEL に必要な暗号化ポリシーに従っていないため、libsecret ライブラリーが libgnome-keyring ライブラリーを引き継ぎ、libgnome-keyring は非推奨となりました。新しい libsecret ライブラリーは、必要なセキュリティー標準に準拠する代替ライブラリーです。

AlternateTab 拡張が削除される

AlternateTab GNOME Shell 拡張機能を提供する gnome-shell-extension-alternate-tab パッケージが削除されました。

AGP グラフィックカードがサポートされなくなりました。

AGP (Accelerated Graphics Port) バスを使用するグラフィックカードは、Red Hat Enterprise Linux 8 ではサポートされていません。推奨される代替として、PCI-Express バスを備えたグラフィックスカードを使用してください。

Web コンソールは、不完全な翻訳への対応を終了しました。

RHEL Web コンソールは、コンソールの翻訳可能な文字列の翻訳率が 50 % 未満の言語に対する翻訳提供を廃止しました。ブラウザーがこのような言語に翻訳を要求すると、ユーザーインターフェイスは英語になります。

geoipupdate パッケージが非推奨に

geoipupdate パッケージにはサードパーティーのサブスクリプションが必要で、プロプライエタリーコンテンツもダウンロードします。したがって、geoipupdate パッケージは非推奨となり、次の RHEL メジャーバージョンで削除されます。

virt-manager が非推奨になりました。

Virtual Machine Manager アプリケーション (virt-manager) は非推奨になっています。RHEL 8 Web コンソール (Cockpit) は、後続のリリースで置き換えられる予定です。したがって、GUI で仮想化を管理する場合は、Web コンソールを使用することが推奨されます。ただし、virt-manager で利用可能な機能によっては、RHEL 8 Web コンソールが利用できない場合があります。

RHEL 8 では、仮想マシンのスナップショットへの対応が適切に行われていません。

仮想マシンスナップショットを作成する現在のメカニズムが適切に機能していないため、推奨されなくなりました。これにより、RHEL 8 では、仮想マシンのスナップショットを使用することが推奨されません。

Cirrus VGA 仮想 GPU タイプが非推奨に

Red Hat Enterprise Linux の将来のメジャー更新では、KVM 仮想マシンで Cirrus VGA GPU デバイスに対応しなくなります。したがって、Red Hat は、Cirrus VGA の代わりに stdvga デバイス、virtio-vga デバイス、または qxl デバイスを使用することを推奨します。

SPICE が非推奨になりました

RHEL 8.3 では、SPICE リモートディスプレイプロトコルが非推奨になりました。RHEL 8 では SPICE が引き続きサポートされていますが、Red Hat はリモートディスプレイストリーミングに代替ソリューションを使用することを推奨しています。

Podman varlink ベースの REST API V1 が非推奨に

Podman varlink ベースの REST API V1 がアップストリームで非推奨となり、新しい Podman REST API V2 が使用されるようになりました。この機能は、Red Hat Enterprise Linux 8 の今後のリリースで削除されます。

キックスタートコマンドの auth および authconfig で AppStream リポジトリーが必要になる

インストール中に、キックスタートコマンドの auth および authconfig で authselect-compat パッケージが必要になります。auth または authconfig を使用したときに、このパッケージがないとインストールに失敗します。ただし、設計上、 authselect-compat パッケージは AppStream リポジトリーでしか利用できません。

reboot --kexec コマンドおよび inst.kexec コマンドが、予測可能なシステム状態を提供しない

キックスタートコマンド reboot --kexec またはカーネル起動パラメーター inst.kexec で RHEL インストールを実行しても、システムの状態が完全な再起動と同じになるわけではありません。これにより、システムを再起動せずにインストール済みのシステムに切り替えると、予期しない結果が発生することがあります。

インストールプログラムでは、ネットワークアクセスがデフォルトで有効になっていません。

一部のインストール機能、たとえば、コンテンツ配信ネットワーク (CDN) を使用したシステムの登録、NTP サーバーサポート、およびネットワークインストールソースなどには、ネットワークアクセスが必要です。ただし、ネットワークアクセスはデフォルトでは有効になっていません。そのためこの機能は、ネットワークアクセスが有効になるまで使用できません。

新しい osbuild-composer バックエンドが、アップグレード時に lorax-composer から Blueprint 状態に複製されない。

lorax-composer バックエンドから新しい osbuild-composer バックエンドにアップグレードする Image Builder ユーザーは、Blueprint が消えてしまう可能性があります。その結果、アップグレードが完了すると、Blueprint が自動的に表示されなくなります。この問題を回避するには、以下の手順を実行します。

Kickstart インストールでは、自己署名 HTTPS サーバーを使用できません。

現在では、インストールソースが Kickstart ファイルで指定され、--noverifyssl オプションが指定されると、インストーラーは自己署名の https サーバーからのインストールに失敗します。

リポジトリーの更新が完了する前に CDN を使用した登録解除を試みると、GUI インストールが失敗することがあります。

RHEL 8.2 以降、システムを登録し、コンテンツ配信ネットワーク (CDN) を使用してサブスクリプションを割り当てると、GUI インストールプログラムにより、リポジトリーメタデータの更新が開始されます。更新プロセスは、登録およびサブスクリプションプロセスの一部ではないため、Red Hat への接続 ウィンドウで 登録解除 ボタンが有効になります。ネットワーク接続によっては、更新プロセスが完了するのに 1 分以上かかることがあります。更新プロセスが完了する前に 登録解除 ボタンをクリックすると、登録解除プロセスで、インストールプログラムが CDN との通信に必要とする証明書と CDN リポジトリーファイルが削除されるため、GUI インストールが失敗する可能性があります。

複数の組織に属するユーザーアカウントの登録に失敗していました

現在、複数の組織に属するユーザーアカウントでシステムを登録しようとすると、登録プロセスが失敗し、You must specifiy an organization for new units (新しいユニットの組織を指定する必要があります)。というメッセージが表示されます。

RHEL インストーラー起動オプションを使用して InfiniBand ネットワークインターフェイスを設定すると、RHEL インストーラーが起動しませんでした。

以前では、インストーラー起動オプション (PXE サーバーを使用したインストーラーイメージのダウンロードなど) を使用して RHEL インストールの初期段階で InfiniBand ネットワークインターフェイスを設定する場合、インストーラーはネットワークインターフェイスのアクティブ化に失敗します。

NVDIMM デバイス名前空間が devdax モードに設定されていると、Anaconda のインストールに失敗します。

GUI インストールの前に、NVDIMM デバイス名前空間が devdax モードに設定した状態で起動すると、Anaconda のインストールに失敗します。

サードパーティーのツールを使用して作成した USB からインストールを起動する際に、Local Media のインストールソースが検出されない

サードパーティーツールを使用して作成した USB から RHEL インストールを起動すると、インストーラーは Local Media インストールソースを検出できません ('Red Hat CDN' のみが検出されます)。

Anaconda で、テキストモードで ldl または未フォーマットの DASD ディスクダイアログを表示

以前は、テキストモードでのインストール時に、Anaconda は Linux ディスクレイアウト (ldl) またはフォーマットされていない DASD (Direct-Access Storage Device) ディスクのダイアログを表示できませんでした。そのため、ユーザーはインストールにこれらのディスクを使用できませんでした。

グラフィカルインストーラーの使用時に、Red Hat Insights クライアントがオペレーティングシステムの登録に失敗する

現在、Insights クライアントを示すエラーでインストールに失敗します。

syspurpose addons は subscription-manager attach --auto 出力に影響しません。

Red Hat Enterprise Linux 8 では、syspurpose コマンドラインツールの 4 つの属性 (role、usage、service_level_agreement、および addons) が追加されました。現在、role、usage、および service_level_agreement のみが、subscription-manager attach --auto コマンドの実行の出力に影響します。addons 引数に値を設定しても、自動登録されたサブスクリプションには影響がありません。

dnf update の実行時に libmaxminddb-devel-debuginfo.rpm が削除される

dnf update コマンドを実行すると、バイナリー mmdblookup ツールは libmaxminddb-devel サブパッケージからメインの libmaxmindb パッケージに移動します。これにより、libmaxminddb-devel-debuginfo.rpm が削除され、このパッケージに破損した更新パスが作成される可能性があります。この問題を回避するには、dnf update コマンドの実行前に libmaxminddb-devel-debuginfo を削除します。

ユーザーは、ロックされたユーザーとして sudo コマンドを実行できます。

ALL キーワードで sudoers パーミッションが定義されているシステムでは、パーミッションを持つ sudo ユーザーは、アカウントがロックされているユーザーとして sudo コマンドを実行できます。そのため、ロックされたアカウントと期限切れのアカウントを使用して、コマンドを実行し続けることができます。

GnuTLS が NSS サーバーとの現行セッションを再開できません。

TLS (Transport Layer Security) 1.3 セッションを再開するとき、GnuTLS クライアントは 60 ミリ秒に加えて、サーバーがセッション再開データを送信するために推定されるラウンドトリップタイムの分だけ待機します。サーバーがこの時間内に再開データを送信しないと、クライアントは現行セッションを再開せずに新しいセッションを作成します。これは、通常のセッションネゴシエーションのパフォーマンスに若干影響することを除いて、深刻な悪影響を与えることはありません。

libselinux-python は、そのモジュールからのみ利用可能

libselinux-python パッケージには、SELinux アプリケーション開発用の Python 2 バインディングのみが含まれ、後方互換性に使用されます。このため、libselinux-python コマンドを使用して、デフォルトの RHEL 8 リポジトリーで dnf install libselinux-python コマンドが利用できなくなりました。

udica は、--env container=podman で開始したときにのみ UBI 8 コンテナーを処理します。

Red Hat Universal Base Image 8 (UBI 8) コンテナーは、podman の値ではなく、コンテナー 環境変数を oci 値に設定します。これにより、udica ツールがコンテナー JavaScript Object Notation (JSON) ファイルを分析しなくなります。

デフォルトのロギング設定がパフォーマンスに与える悪影響

デフォルトのログ環境設定は、メモリーを 4 GB 以上使用する可能性があり、rsyslog で systemd-journald を実行している場合は、速度制限値の調整が複雑になります。

/etc/passwd- のファイル権限が CIS RHEL 8 Benchmark 1.0.0 と合致しない

CIS Benchmark の問題により、/etc/passwd- バックアップファイルの権限を保証する SCAP ルールの修正によって、権限が 0644 に設定されます。ただし、CIS Red Hat Enterprise Linux 8 Benchmark 1.0.0 では、そのファイルに対するファイルパーミッション 0600 が必要です。そのため、修正後、/etc/passwd- のファイル権限はベンチマークに合うように設定されません。

/etc/selinux/config の SELINUX=disabled が正常に動作しません。

/etc/selinux/config で SELINUX=disabled オプションを使用して SELinux を無効にすると、カーネルが SELinux を有効にして起動し、その後のブートプロセスで無効化モードに切り替わります。これにより、メモリーリークが生じる可能性があります。

ssh-keyscan が、FIPS モードでサーバーの RSA 鍵を取得できません。

FIPS モードで RSA 署名の SHA-1 アルゴリズムが無効になっています。これにより、ssh-keyscan ユーティリティーがそのモードで稼働しているサーバーの RSA 鍵を取得できなくなります。

OpenSSL が、生の RSA または RSA-PSS の署名に対応していない PKCS #11 トークンを誤って処理します。

OpenSSL ライブラリーは、PKCS #11 トークンの鍵関連の機能を検出しません。したがって、生の RSA または RSA-PSS の署名に対応しないトークンで署名が作成されると、TLS 接続の確立に失敗します。

FIPS モードの OpenSSL が、特定の D-H パラメーターのみを受け入れます。

FIPS モードでは、OpenSSL を使用するトランスポートレイヤーセキュリティー (TLS) クライアントが bad dh value エラーを返し、手動で生成されたパラメーターを使用したサーバーへの TLS 接続を中止します。これは、FIPS 140-2 に準拠するよう設定されている場合、OpenSSL が NIST SP 800-56A rev3 付録 D (RFC 3526 で定義されたグループ 14、15、16、17、18、および RFC 7919 で定義されたグループ) に準拠した D-H パラメーターでのみ機能するためです。また、OpenSSL を使用するサーバーは、その他のパラメーターをすべて無視し、代わりに同様のサイズの既知のパラメーターを選択します。この問題を回避するには、準拠するグループのみを使用します。

rpm-plugin-selinux パッケージを削除すると、システムからすべての selinux-policy パッケージが削除されます。

rpm-plugin-selinux パッケージを削除すると、マシン上で SELinux が無効になります。また、システムからすべての selinux-policy パッケージも削除されます。rpm-plugin-selinux パッケージを繰り返しインストールしてから、selinux-policy-targeted ポリシーが以前に存在していても、selinux-policy-minimum SELinux ポリシーをインストールします。ただし、繰り返しインストールしても、ポリシーの変更のために SELinux 設定ファイルが更新されることはありません。このため、rpm-plugin-selinux パッケージを再インストールしても、SELinux が無効になります。

systemd サービスが任意のパスからコマンドを実行できない

SELinux ポリシーパッケージにはこのようなルールが含まれていないため、systemd サービスは /home/user/bin の任意のパスからコマンドを実行できません。そのため、システム以外のパスで実行されるカスタムサービスは失敗し、SELinux がアクセスを拒否すると、AVC (アクセスベクターキャッシュ) 監査メッセージをログに記録します。この問題を回避するには、以下のいずれかを実行します。

CIS プロファイルで rpm_verify_permissions が失敗する

rpm_verify_permissions ルールでは、ファイルパーミッションがパッケージのデフォルトパーミッションと比較されます。ただし、scap-security-guide パッケージで提供される Center for Internet Security (CIS) プロファイルでは、一部のファイルパーミッションがデフォルトよりも厳格なものに変更されます。その結果、rpm_verify_permissions を使用した特定ファイルの検証が失敗します。

RHEL 8 のキックスタートが、com_redhat_oscap の代わりに org_fedora_oscap を使用

キックスタートは、com_redhat_oscap ではなく、org_fedora_oscap として Open Security Content Automation Protocol (OSCAP) Anaconda アドオンを参照します。これが、混乱を招く可能性があります。これは、Red Hat Enterprise Linux 7 との後方互換性を維持するために行われます。

SSG における相互依存ルールの特定のセットが失敗する可能性があります。

ルールとその依存関係の順序付けを定義しないため、ベンチマークの SCAP Security Guide (SSG) ルールの修正が失敗する可能性があります。たとえば、特定の順番で複数のルールを実行する必要がある場合、あるルールがコンポーネントをインストールし、別のルールが同じコンポーネントを設定した場合すると、それらは正しくない順序で実行される可能性があり、修正によってエラーが報告されます。この問題を回避するには、修正を回実行して、番目の実行で依存ルールを修正します。

OSCAP Anaconda Addon がすべてのパッケージをテキストモードでインストールしません。

OSCAP Anaconda Addon プラグインは、インストールがテキストモードで実行している場合、システムインストーラーによってインストールに選択されているパッケージのリストを変更することはできません。これにより、キックスタートを使用してセキュリティーポリシープロファイルが指定され、インストールがテキストモードで実行している場合に、インストール中にセキュリティーポリシーに必要な追加パッケージがインストールされません。

oscap Anaconda Addon がカスタムプロファイルを正しく処理しません。

OSCAP Anaconda Addon プラグインは、個別のファイルでカスタマイズを使用したセキュリティープロファイルを適切に処理しません。これにより、対応する Kickstart セクションで適切に指定しても、RHEL グラフィカルインストールでカスタマイズしたプロファイルは利用できません。

OSPP ベースのプロファイルに、GUI パッケージグループとの互換性がありません。

Server with GUI パッケージグループでインストールされる GNOME パッケージには、Operating System Protection Profile (OSPP) に準拠しない nfs-utils パッケージが必要です。これにより、OSPP または OSPP ベースのプロファイル (Security Technical Implementation Guide (STIG) など) を使用したシステムのインストール時に Server with GUI パッケージグループを選択すると、OpenSCAP により選択したパッケージグループがセキュリティーポリシーと互換性がありませんといった警告が表示されます。OSPP ベースのプロファイルがインストール後に適用される場合、システムは起動できません。この問題を回避するには、Server with GUIパッケージグループや、または OSPP プロファイルと OSPP ベースのプロファイルを使用する際に GUI をインストールするその他のグループをインストールしないでください。代わりにServerまたはMinimal Installパッケージグループを使用すると、システムは問題なくインストールされ、正常に機能します。

Server with GUI または Workstation ソフトウェアの選択と CIS セキュリティープロファイルを使用したインストールはできません。

CIS セキュリティープロファイルは、Server with GUI および Workstation ソフトウェアの選択と互換性がありません。そのため、Server with GUI ソフトウェアの選択と CIS プロファイルを使用した RHEL 8 のインストールはできません。CIS プロファイルと、これらのソフトウェアの選択のいずれかを使用したインストール試行では、エラーメッセージが生成されます。

キックスタートインストール時のサービス関連のルールの修正が失敗する場合があります。

キックスタートのインストール時に、OpenSCAP ユーティリティーで、サービス enable または disable 状態の修正が必要でないことが誤って表示されることがあります。これにより、OpenSCAP が、インストール済みシステムのサービスを非準拠状態に設定する可能性があります。回避策として、キックスタートインストール後にシステムをスキャンして修復できます。これにより、サービス関連の問題が修正されます。

特定の rsyslog 優先度の文字列が正常に動作しません。

imtcp に GnuTLS 優先度文字列を設定して、完成していない暗号化をきめ細かく制御できるようになりました。したがって、rsyslog では、以下の優先文字列が正常に動作しません。

crypto-policies が Camellia 暗号を誤って許可する。

RHEL 8 システム全体の暗号化ポリシーでは、製品ドキュメントで説明されているように、すべてのポリシーレベルで Camellia 暗号を無効にする必要があります。ただし、Kerberos プロトコルでは、デフォルトでこの Camellia 暗号が有効になります。

iptables ユーティリティーは、NLM_F_CREATE フラグに関係なく、チェーンを更新するコマンドに対してモジュールの読み込みを要求するようになりました。

以前では、チェーンのポリシーを設定する際に、iptables-nft ユーティリティーは NEWCHAIN メッセージを生成しましたが、NLM_F_CREATE フラグを設定しませんでした。これにより、RHEL 8 カーネルはモジュールを読み込みず、関連付けられたカーネルモジュールが手動で読み込まれなかった場合に、生成される更新チェーンコマンドに失敗していました。今回の更新で、iptables-nft ユーティリティーは、チェーンを更新するすべてのコマンドに対してモジュールの読み込みを要求するようになり、関連するモジュールを手動で読み込むことなく、iptables-nft ユーティリティーを使用してチェーンのポリシーを設定できるようになりました。

カーネルでの packet/byte カウンターの更新に対するサポートが、RHEL 7 と RHEL 8 の間で誤って変更されました。

iptables ルールからの有効なカウンターを持つ ipset コマンドを参照する場合、一致する ipset エントリーに追加の制約を指定する場合には 、ipset カウンターはすべて追加の制約が一致する場合にのみ更新されます。--packets-gt または --bytes-gt の制約でも問題があります。

nfp ドライバーを使用する Netronome ネットワークカードで XDP プログラムのアンロードに失敗する

Netronome ネットワークカードの nfp ドライバーにはバグがあります。したがって、このようなカードを使用し、XDP_FLAGS_REPLACE フラグとともに IFLA_XDP_EXPECTED_FD 機能を使用して XDP プログラムを読み込むと、eXpress Data Path (XDP ) プログラムのアンロードに失敗します。たとえば、このバグは、libxdp ライブラリーを使用して読み込まれた XDP プログラムに影響します。現在、この問題に対する回避策はありません。

ip 起動オプションで DHCP を使用する場合に Anaconda にネットワークアクセスがない

初期 RAM ディスク (initrd) は、NetworkManager を使用してネットワークを管理します。RHEL 8.3 ISO ファイルが提供する dracut NetworkManager モジュールは誤って、Anaconda 起動オプションの ip オプションの最初のフィールドが常に設定されていると仮定していました。そのため、DHCP を使用して ip=::::<host_name>::dhcp を設定すると、NetworkManager は IP アドレスを取得せず、Anaconda でネットワークを利用できませんでした。

tboot-1.9.12-2 ユーティリティーを使用すると、RHEL 8 でシステムが起動できない

バージョン 1.9.12-2 の tboot ユーティリティーにより、TPM(Trusted Platform Module)2.0 の一部のシステムがレガシーモードでの起動に失敗します。これにより、tboot Grand Unified Bootloader(GRUB) エントリーから起動を試みると、システムは停止します。この問題を回避するには、バージョン 1.9.10 の tboot にダウングレードします。

カーネルが IBM Z システムで誤検出の警告を返す

RHEL 8 では、IBM Z システムで ZONE_DMA メモリーゾーンのホワイトリストエントリーが含まれており、ユーザーアクセスが許可されます。したがって、カーネルは以下のような誤検出の警告を返します。

rngd サービスのビジー待機により、FIPS モードで CPU が完全に消費される

バージョン 4.18.0-193.10 で始まるカーネル用に、FIPS モードの新しいカーネルエントロピーソースが追加されました。その結果、FIPS モードでは、rngd サービスのビジー状態が /dev/random デバイスの poll() システムコールを待つため、CPU 時間が 100% 消費していました。この問題を回避するには、以下を実行して rngd を停止して無効にします。

softirq の変更により、負荷が大きい場合に localhost インターフェイスが UDP パケットをドロップできるようになります

Linux カーネルのソフトウェア割り込み (softirq) 処理の変更を行い、サービス拒否 (DOS) の影響を軽減します。その結果、これにより、localhost インターフェイスが負荷が大きいときに localhost インターフェイスが UDP (User Datagram Protocol) パケットをドロップする状況が生じます。

vmcore キャプチャーはメモリーのホットプラグまたはアンプラグの操作を実行した後に失敗します。

メモリーのホットプラグまたはホットアンプラグ操作の実行後に、メモリーのレイアウト情報を含むデバイスツリーを更新するとイベントが発生します。これにより、makedumpfile ユーティリティーは存在しない物理アドレスにアクセスしようとします。以下の条件を満たすと問題が発生します。

irqpoll を使用すると vmcore の生成に失敗します。

Amazon Web Services (AWS) クラウドプラットフォームで実行している 64 ビット ARM アーキテクチャー上には nvme ドライバーの既存の問題があります。この問題により、最初のカーネルに irqpoll カーネルコマンドラインパラメーターを指定すると vmcore の生成に失敗します。したがって、カーネルクラッシュ後に vmcore が /var/crash/ ディレクトリーにダンプされません。この問題を回避するには、以下を実行します。

RHEL 8 で、デバッグカーネルがクラッシュキャプチャー環境で起動に失敗します。

デバッグカーネルのメモリー要求の性質により、デバッグカーネルが使用中で、カーネルパニックが発生すると、問題が発生します。その結果、デバッグカーネルはキャプチャーカーネルとして起動できず、代わりにスタックトレースが生成されます。この問題を回避するには、クラッシュカーネルメモリーを適宜増やします。これにより、デバッグカーネルが、クラッシュキャプチャー環境で正常に起動します。

zlib は、一部の圧縮機能で vmcore キャプチャーの速度を低下させる可能性があります。

kdump 設定ファイルはデフォルトで、lzo 圧縮形式 (makedumpfile -l) を使用します。zlib 圧縮形式 (makedumpfile -c) を使用して設定ファイルを変更すると、vmcore のキャプチャープロセスの速度を低下させる代わりに、圧縮の因子が改善される可能性が高くなっています。これにより、lzo と比較して、kdump が zlib で vmcore をキャプチャーするのに最大 4 倍の時間がかかります。

HP NMI ウォッチドッグが常にクラッシュダンプを生成しない

特定に場合において、HP NMI ウォッチドッグの hpwdt ドライバーは、マスク不可割り込み (NMI) が perfmon ドライバーにより使用されたため、HPE ウォッチドッグタイマーが生成した NMI を要求できません。

tuned-adm profile powersave コマンドを使用すると、システムが応答しなくなります。

tuned-adm profile powersave コマンドを実行すると、古い Thunderx (CN88xx) プロセッサーを持つ Penguin Valkyrie 2000 2 ソケットシステムが応答しなくなります。これにより、作業を再開するためシステムを再起動することになります。この問題を回避するには、システムが上記の仕様と一致する場合には powersave プロファイルの使用を避けてください。

デフォルトの 7 4 1 7 printk 値により、一時的なシステムが応答しなくなることがあります。

デフォルトの 7 4 1 7 printk 値を使用することで、カーネルアクティビティーのデバッグを改善できます。ただし、シリアルコンソールと組み合わせると、この printk 設定により、RHEL システムが一時的に応答しなくなるような激しい I/O がバーストする可能性があります。この問題を回避するには、新しい optimize-serial-console TuneD プロファイルを追加し、デフォルトの printk 値を 4 4 1 7 に減らします。ユーザーは、以下のようにシステムをインストルメント化できます。

カーネル ACPI ドライバーは、PCIe ECAM メモリーリージョンにアクセスできないことを報告します。

ファームウェアが提供する Advanced Configuration and Power Interface (ACPI) テーブルは、PCI バスデバイスの現在のリソース設定 (_CRS) メソッドにおいて PCI バス上のメモリーリージョンを定義しません。したがって、システムの起動時に以下の警告メッセージが表示されます。

OPEN MPI ライブラリーは、デフォルトの PML でランタイムが失敗する可能性があります。

OPEN Message Passing Interface (OPEN MPI) 実装 4.0.x シリーズでは、UCX (Unified Communication X) がデフォルトの PPL (ポイントツーポイント) です。OPEN MPI 4.0.x シリーズの新しいバージョンでは、openib Byte Transfer Layer (BTL) が非推奨になりました。

/boot ファイルシステムを LVM に配置することができません。

/boot ファイルシステムを LVM 論理ボリュームに配置することはできません。この制限は、以下の理由により存在します。

LVM で、複数のブロックサイズを持つボリュームグループが作成できない

vgcreate または vgextend などの LVM ユーティリティーでは、物理ボリューム (PV) の論理ブロックサイズが異なるボリュームグループ (VG) を作成できなくなりました。別のブロックサイズの PV で基礎となる論理ボリューム (LV) を拡張するとファイルシステムがマウントに失敗するため、LVM はこの変更を採用しました。

LVM writecache の制限

writecache LVM キャッシュメソッドには以下の制限がありますが、cache メソッドには存在しません。

LUKS ボリュームを格納する LVM mirror デバイスが応答しなくなることがあります。

セグメントタイプが mirror のミラーリング LVM デバイスで LUKS ボリュームを格納すると、特定の条件下で応答しなくなる可能性があります。デバイスが応答しなくなると、すべての I/O 操作を拒否します。

NFS 4.0 パッチにより、オープンな高ワークロードでパフォーマンスが低下する可能性があります。

以前、場合によっては NFS のオープン操作で、サーバー上のファイルが削除されたり、名前が変更されたりするという事実を見落とすというバグが修正されています。ただし、この修正により、多くのオープンな操作が必要とるするワークロードのパフォーマンスが遅くなる可能性があります。この問題を回避するには、NFS バージョン 4.1 以降を使用します。これは、多くの場合においてクライアントに委譲を付与するように改善されています。このため、クライアントがローカルに素早く安全にオープン操作を実行できます。

32 ビットアプリケーションで呼び出されると getpwnam() が失敗する場合がある

NIS のユーザーが getpwnam() 関数を呼び出す 32 ビットアプリケーションを使用する場合は、nss_nis.i686 パッケージがないと呼び出しに失敗します。この問題を回避するには、yum install nss_nis.i686 コマンドを使用して、不足しているパッケージを手動でインストールします。

OpenLDAP ライブラリー間のシンボルの競合により、httpd でクラッシュが発生することがある

OpenLDAP が提供する libldap ライブラリーと libldap_r ライブラリーの両方が、単一のプロセス内にロードされ、使用されると、これらのライブラリー間でシンボルの競合が発生する可能性があります。そのため、httpd 設定によって mod_security または mod_auth_openidc モジュールもロードされると、PHP ldap 拡張機能を使用する Apache httpd 子プロセスが突然終了する可能性があります。

MariaDB で PAM プラグインが機能しない

MariaDB 10.3 は、PAM (Pluggable Authentication Modules) プラグインバージョン 1.0 を提供します。RHEL 8 では、MariaDB PAM プラグインバージョン 1.0 は機能しません。この問題を回避するには、mariadb:10.5 モジュールストリームによって提供される PAM プラグインバージョン 2.0 を使用します。これは、RHEL 8.4 で利用できます。

すべての KRA メンバーが非表示レプリカの場合は、KRA のインストールに失敗します。

最初の KRA インスタンスが非表示レプリカにインストールされている場合、Key Recovery Authority (KRA) がすでに存在するクラスターでは ipa-kra-install ユーティリティーで問題が発生します。そのため、これ以上、追加の KRA インスタンスをクラスターに追加することはできません。

--agent-uid pkidbuser オプションを指定して cert-fix ユーティリティーを使用すると、証明書システムが破損します。

--agent-uid pkidbuser オプションを指定して cert-fix ユーティリティーを使用すると、証明書システムの LDAP 設定が破損します。したがって、証明書システムは不安定になり、システムの復元に手動の操作が必要になる可能性があります。

PKI CA に接続する PKI ACME Responder が発行する証明書により、OCSP の検証が失敗する可能性があります。

PKI CA が提供するデフォルトの ACME 証明書プロファイルには、実際の OCSP サービスを参照しないサンプル OCSP URL が含まれています。これにより、PKI ACME Responder が PKI CA 発行者を使用するように設定されている場合、レスポンダーが発行する証明書は OCSP 検証に失敗する可能性があります。

FreeRADIUS が 249 文字を超える Tunnel-Passwords を断りなく切り捨てます。

Tunnel-Password が 249 文字を超える場合、FreeRADIUS サービスはそのパスワードを断りなく切り捨てます。これにより、他のシステムと矛盾する想定外のパスワードになる可能性があります。

IdM ホストの /var/log/lastlog 分析ファイルが、パフォーマンスの問題を引き起こす可能性があります。

IdM のインストール時に、利用できる合計 10,000 の範囲からの 200,000 の UID の範囲が無作為に選択され、割り当てられます。このようにランダムな範囲を選択すると、今後別の 2 つの IdM ドメインを統合する場合に、ID の競合が発生する可能性を大幅に削減できます。

ldap_id_use_start_tls オプションのデフォルト値を使用する場合の潜在的なリスク

ID ルックアップに TLS を使用せずに ldap:// を使用すると、攻撃ベクトルのリスクが生じる可能性があります。特に、中間者 (MITM) 攻撃は、攻撃者が、たとえば、LDAP 検索で返されたオブジェクトの UID または GID を変更することによってユーザーになりすますことを可能にする可能性があります。

ソフトウェアリポジトリーからの flatpak リポジトリーの無効化ができません。

現時点で、GNOME Software ユーティリティーの Software Repositories ツールで flatpak リポジトリーを無効化または削除することはできません。

ドラッグアンドドロップが、デスクトップとアプリケーション間で機能しません。

gnome-shell-extensions パッケージのバグにより、ドラッグアンドドロップ機能は現在、デスクトップとアプリケーションの間では機能しません。この機能のサポートは、今後のリリースで追加される予定です。

Generation 2 の RHEL 8 仮想マシンが Hyper-V Server 2016 ホストで起動できない場合があります。

Microsoft Hyper-V Server 2016 ホストで実行している仮想マシンで RHEL 8 をゲストオペレーティングシステムとして使用すると、仮想マシンが起動しなくなり、GRUB ブートメニューに戻る場合があります。さらに、以下のエラーが Hyper-V イベントログに記録されます。

radeon がハードウェアを適切なハードウェアリセットに失敗します。

現在、radeon カーネルドライバーは、kexec コンテキストでハードウェアを正しくリセットしません。代わりに radeon がフェイルオーバーします。これにより、kdump サービスの残りの部分が失敗します。

1 つの MST トポロジーで複数の HDR ディスプレイを使用すると、電源が入らないことがあります。

nouveau ドライバーの NVIDIA Turing GPUs を使用するシステムで、DisplayPort ハブ (ラップトップのドックなど) を使用して HDR プラグインのサポートがあるモニターを複数接続すると、電源が入らないことがあります。これは、全ディスプレイをサポートする帯域幅がハブ上にないと、システムが誤って判断してしまうことが原因で発生します。

sudo コマンドを使用してグラフィカルアプリケーションを実行できません。

権限が昇格されたユーザーで、グラフィカルアプリケーションを実行しようとすると、エラーメッセージが表示され、アプリケーションを開くことができません。この障害は、 Xauthority ファイルで、通常ユーザーの認証情報を使用して認証するように、Xwayland に制限が加えられているため発生します。

VNC Viewer が、IBM Z で 16 ビットのカラーデプスで誤った色を表示

VNC Viewer アプリケーションは、16 ビットのカラーデプスで IBM Z サーバーの VNC セッションに接続すると、誤った色を表示します。

ARM でハードウェアアクセラレーションがサポートされない

組み込みグラフィックドライバーは、64 ビット ARM アーキテクチャー上のハードウェアアクセラレーションまたは Vulkan API に対応していません。

NVIDIA Ampere で RHEL インストーラーが応答しなくなる

RHEL 8.3.0 は NVIDIA Ampere GPU に対応していません。NVIDIA Ampere GPU を持つシステムで RHEL インストールを開始すると、インストーラーが応答しなくなります。したがって、インストールは正常に完了できません。

非特権ユーザーがサブスクリプションページにアクセスできます。

管理者以外のユーザーが Web コンソールの サブスクリプションページ に移動すると、Web コンソールでは、Cockpit had an unexpected internal error (Cockpit に予期しない内部エラーが発生しました) という一般的なエラーメッセージが表示されます。

システムロールロギングでは、oVirt 入力および elasticsearch 出力機能に対応していません。

システムロールロギングでは、oVirt 入力と elasticsearch の出力はサポートされていませんが、README ファイルで説明されています。現在利用できる回避策はありません。

QXL で、Wayland を使用する仮想マシンの複数のモニターを表示できません。

remote-viewer ユーティリティーを使用して、Wayland ディスプレイサーバーを使用している仮想マシンのモニターを複数表示すると、仮想マシンが応答しなくなり、Waiting for display というステータスメッセージが永久に表示されます。

virsh iface-\* コマンドが一貫して動作しません。

現在、virsh iface-* コマンド (virsh iface-start、virsh iface-destroy など) は、設定の依存関係が原因で頻繁に失敗します。したがって、ホストネットワーク接続の設定および管理には virsh iface-\* コマンドを使用しないことが推奨されます。代わりに、NetworkManager プログラムとその関連管理アプリケーションを使用します。

多数の virtio-blk ディスクを使用すると、仮想マシンが起動しないことがあります。

多数の virtio-blk デバイスを仮想マシンに追加すると、プラットフォームで利用可能な割り込みベクトルの数が使い切られる可能性があります。これが発生すると、仮想マシンのゲスト OS は起動できず、dracut-initqueue[392]: Warning: Could not boot エラーが表示されます。

virtio-blk を使用して仮想マシンに LUN デバイスを割り当てると機能しません。

q35 マシンタイプは、移行用の virtio 1.0 デバイスをサポートしないため、RHEL 8 では virtio 1.0 で非推奨となった機能はサポートされません。特に、RHEL 8 ホストで virtio-blk デバイスから SCSI コマンドを送信することはできません。したがって、virtio-blk コントローラーを使用する場合は、物理ディスクを LUN デバイスとして仮想マシンに割り当てると失敗します。

ホストで TSX が無効になっていると、Cooperlake を使用する仮想マシンを起動できません。

現在、ホストで TSX CPU フラグが無効化されている場合、Cooperlake CPU モデルを使用する仮想マシンは起動に失敗します。代わりに、ホストに以下のエラーメッセージが表示されます。

仮想マシンが、Witherspoon ホストで起動できないことがあります。

仮想マシン (VM) で pseries -rhel7.6.0-sxxm マシンタイプを使用すると、DD 2.2 または DD2.3 CPU を使用する Power9 S922LC for HPC ホストで起動できない場合があります。

Azure NV6 インスタンスの GPU の問題

Microsoft Azure NV6 インスタンスで RHEL 8 をゲストオペレーティングシステムとして実行すると、仮想マシンの休止から仮想マシンを再開したときに、仮想マシンの GPU が不適切に動作することがあります。これが発生すると、カーネルは以下のメッセージをログに記録します。

Azure および Hyper-V で kdump が起動しないことがあります。

Microsoft Azure または Hyper-V ハイパーバイザーでホストされている RHEL 8 ゲストオペレーティングシステムでは、実行後通知が有効な場合に kdump カーネルの起動が失敗することがあります。

VMWare ホストの RHEL 8 仮想マシンで静的 IP を設定できませんでした。

現在、VMWare ホストで RHEL 8 を仮想マシンのゲストオペレーティングシステムとして使用すると、DatasourceOVF 機能は正しく機能しません。これにより、cloud-init ユーティリティーを使用して、仮想マシンのネットワークを静的 IP に設定し、仮想マシンを再起動すると、仮想マシンのネットワークが DHCP に変更されます。

特定の NIC を搭載した RHEL 8 仮想マシンの Azure のリモートマシンへのコアダンプには、予想よりも長い時間がかかっていました。

現在、kdump ユーティリティーを使用した、Microsoft Azure ハイパーバイザー上の RHEL 8 仮想マシンのコアダンプファイルのリモートマシンへの保存は、仮想マシンがネットワークアクセラレーションを有効化して NIC を使用している場合は適切に動作しません。これにより、ダンプファイルは即座にではなく、約 200 秒後に保存されます。さらに、ダンプファイルを保存する前に、以下のエラーメッセージがコンソールに記録されます。

仮想マシンが休止状態から再開した後 TX/RX パケットカウンターが増加しない

TX/RX パケットカウンターは、CX4 VF NIC を使用して RHEL 8 仮想マシン (VM) が Microsoft Azure のハイバネートから再開したときに、カウントを停止します。カウンターの動作を維持するには、仮想マシンを再起動します。これを実行すると、カウンターがリセットされることに注意してください。

RHEL 8 仮想マシンが Azure のハイバネートから再開できない

SR-IOV が有効になっている RHEL 8 仮想マシンが Microsoft Azure でハイバネートし、割り当て解除すると、Virtual Function (VF)、vmbus デバイスの GUID が変更になります。その結果、仮想マシンが再起動すると、再開とクラッシュに失敗します。回避策として、Azure シリアルコンソールを使用して仮想マシンのハードリセットを実行します。

RHEL 7-ALT ホストから RHEL 8 への POWER9 ゲストの移行に失敗する

現在のリリースでは、RHEL 7-ALT ホストシステムから RHEL 8 に POWER9 仮想マシンを移行すると、Migration status: active のステータスで応答がなくなります。

redhat-support-tool が FUTURE 暗号化ポリシーを使用すると機能しません。

カスタマーポータル API の証明書が使用する暗号化キーは FUTURE のシステム全体の暗号化ポリシーが定義する要件を満たさないので、現時点で redhat-support-tool ユーティリティーは、このポリシーレベルでは機能しません。

UDICA が 1.0 の安定したストリームと連携するように想定されていません。

UDICA (コンテナーの SELinux ポリシーを生成するツール ) は、container-tools:1.0 モジュールストリームの podman 1.0.x で実行されるコンテナーで機能するように想定されていません。

podman system connection add がデフォルトの接続を自動的に設定しない

podman system connection add コマンドは、最初の接続をデフォルト接続に自動的に設定しません。デフォルトの接続を設定するには、podman system connection default <connection_name> コマンドを手動で実行する必要があります。