第 4 章 新功能

本章记录了 Red Hat Enterprise Linux 7 中的新功能及主要改进。

4.1. 常规更新

现在，使用 ActivClient 驱动程序的 Windows 客户端支持智能卡共享

在这个版本中，增加了对使用 Windows 客户机操作系统和 ActivClient 驱动程序的虚拟机中的智能卡共享的支持。这为使用这些虚拟机上模拟或共享智能卡的用户登录启用智能卡验证。

(BZ#917867)

4.2. 认证和互操作性

ipa-client-automount 工具现在支持设置与 IdM 域不同的 NFS 域

在这个版本中，在 ipa-client-automount 工具中添加了 --idmap-domain 选项。在以前的版本中，ipa-client-automount 假设 NFS 域与 Identity Management（IdM）域相同，但情况并非始终如此。现在，您可以指定一个与 IdM 域不同的 NFS 域。

ipa-client-automount 工具现在可以正常工作：

  • 如果没有设置 --idmap-domain 选项，ipa-client-automount 使用 IdM 域作为 NIS 域。
  • 如果传递给 --idmap-domain 的域被设置为 DNS，ipa-client-automount 会删除 /etc/idmapd.conf 文件中的 Domain 参数中指定的值，而 idmapd 服务会自动探测域。
  • 如果传递给 --idmap-domain 的域与 DNS 域不匹配，ipa-client-automount 在 /etc/idmapd.conf 文件中的 Domain 参数中设置指定的值。

(BZ#1733209)

samba rebase 到版本 4.10.4

samba 软件包升级至上游版本 4.10.4，它提供了大量的程序错误修复和增强：

  • Samba 4.10 完全支持 Python 3。请注意，将来的 Samba 版本将不支持 Python 2。
  • JavaScript Object Notation（JSON）日志记录功能现在记录 Windows 事件 ID 和日志记录类型用于验证消息。
  • 当 Samba 访问 GlusterFS 卷时,用户空间(FUSE)模块中的新的 vfs_glusterfs_fuse 文件系统会提高性能。要启用这个模块，请在 /etc/samba/smb.conf 文件中共享的 vfs_objects 参数中添加 glusterfs_fuse。请注意，vfs_glusterfs_fuse 没有替换现有的 vfs_glusterfs 模块。
  • 服务器消息块（SMB）客户端 Python 绑定现已弃用，并将在以后的 Samba 发行版本中删除。这只会影响使用 Samba Python 绑定来编写其自身工具的用户。

当 smbd、nmbd 或 winbind 服务启动时，Samba 会自动更新它的 tdb 数据库文件。在启动 Samba 前备份数据库文件。请注意，红帽不支持降级 tdb 数据库文件。

如需了解更多与显著变化相关的信息，请在更新前阅读上游发行注记： https://www.samba.org/samba/history/samba-4.10.0.html

(BZ#1724991)

4.3. 集群

Pacemaker concurrent-fencing 集群属性的默认值现在设置为 true

Pacemaker 现在将 concurrent-fencing 集群属性默认设置为 true。如果需要同时隔离多个节点，且它们使用不同的配置的隔离设备，Pacemaker 会同时执行隔离，而不是像以前一样顺序进行。当必须隔离多个节点时，这可以大大加快大型集群中的恢复速度。

(BZ#1710422)

Pacemaker 支持配置资源,以便在清理节点关闭时保持停止

当集群节点关闭时，Pacemaker 的默认响应是停止在该节点上运行的所有资源，并在其它位置恢复这些资源。有些用户希望只在失败时具有高可用性，并希望将清理关闭视为调度的中断。要解决这个问题，Pacemaker 现在支持 shutdown-lock 和 shutdown-lock-limit 集群属性，指定在关闭时活跃的资源应保持停止直到节点下次重新加入为止。现在，用户可以根据调度的中断使用干净的关闭，而无需手动干预。有关在干净节点关闭时配置资源以保持停止的详情，请参考在 Clean 节点 Shutdown 中配置资源为重置。

(BZ#1781820)

4.4. 编译器和工具

在 IBM PowerPC 系统中优化 SHA-2 操作的实现

在这个版本中，在 IBM PowerPC 系统中增加了对 SHA-2 操作的编译代码实施，这可以显著提高性能。

(BZ#1498932)

OpenJDK 现在也支持 secp256k1

在以前的版本中，OpenJDK（OpenJDK）只能使用 NSS 库中的 curves。因此，对于椭圆曲线加密（ECC），OpenJDK 只提供了 secp256r1、secp384r1 和 secp521r1 curves。在这个版本中，OpenJDK 使用内部 ECC 实现，并支持 secp256k1 curve。

(BZ#1746874)

4.5. Desktop

修改了 GNOME Classic 中的工作空间交换器

GNOME Classic 环境中的工作空间交换器已被修改。交换器现在位于底部栏的右侧，它被设计为一个横向的缩略图。

点击相关的缩略图标可以在不同工作区间切换。另外，您还可以使用 [Ctrl + Alt + ↑] 和 [Ctrl + Alt + ↓] 快捷键组合在不同工作区间进行切换。正在使用的工作区的内容在底部条的左侧以窗口列表的形式显示。

当按 [Super] 键时，您可以看到 window picker，其中包括在这个工作区中打开的所有窗口。但是，之前的 RHEL 版本中可用的以下元素将不会在窗口选择器中显示：

  • dock （屏幕左侧的垂直栏）
  • workspace switcher（屏幕右侧的垂直栏）
  • 搜索条目

对于之前由这些项完成的特定任务，请采用以下方法：

  • 现在，您可以通过以下方式启动应用程序，而不使用 dock：

    • 使用顶部栏中的 Applications 菜单
    • 按 [Alt + F2] 组合键显示 Enter a Command 屏幕，并在此屏幕中输入可执行文件的名称。
  • 要在工作区间进行切换，使用右侧底层栏中的 workspace switcher 而不是使用垂直栏的 workspace switcher。
  • 如果您需要使用 search entry 或垂直栏的 workspace switcher，使用 GNOME Standard 环境而不是 GNOME Classic。

（BZ#1720286）

当出现一个 root 图形登录时，GNOME 现在会发出一个警告

在这个版本中，如果以 root 用户身份以图形方式进行登录时，GNOME 会显示警告通知。

以根用户身份登录到图形会话可能会导致严重和意外的安全问题，这与 Unix 原则不同。

(BZ#1539772)

4.6. 硬件启用

现在完全支持 Aero 适配器

以下 Aero 适配器（之前作为技术预览提供）现已获得全面支持：

  • PCI ID 0x1000:0x00e2 和 0x1000:0x00e6，由 mpt3sas 驱动程序控制
  • PCI ID 0x1000:Ox10e5 和 0x1000:0x10e6，由 megaraid_sas 驱动程序控制

(BZ#1660791, BZ#1660289)

4.7. 安装和引导

RHEL 7.8 现在支持蓝图定制

在这个版本中，在使用 CLI 时，RHEL 7.8 支持蓝图中的一组镜像自定义。要使用这些自定义,您必须在蓝图中配置它们,并将它们导入(push)到 Image Builder。因此，您可以为您的系统添加规格。

(BZ#1718473)

4.8. 内核

RHEL 7.8 中的内核版本

Red Hat Enterprise Linux 7.8 带有内核版本 3.10.0-1127。

(BZ#1801759)

FUSE 文件系统可以在用户命名空间中使用

RHEL 7 现在允许用户在用户命名空间中将文件系统挂载到基于 Userspace(FUSE)的文件系统中。因此,用户可以在使用 Buildah 或 Podman 程序创建的无根容器内使用 fuse-overlayfs 命令。

(BZ#1713642)

ipcmin_extend 增加了唯一 System V IPC 标识符的数量

一个新的内核命令行参数 ipcmin_extend 将唯一 System V Interprocess Communication (IPC) 标识符从 32,768 增加到 16,777,216。因此，带有唯一 System V IPC 标识符超过 32,768 的应用程序的用户，可以将 ipcmin_extend 添加到 RHEL，而无需进行重大的重新设计。

(BZ#1373519)

Intel® Omni-Path Architecture (OPA) 主机软件

Red Hat Enterprise Linux 7.8 完全支持 Intel® Omni-Path 架构(OPA)主机软件。Intel OPA 为在集群环境中的计算和 I/O 节点之间的高性能数据传输（高带宽、高消息率、低延迟）提供主机 Fabric Interface（HFI）硬件初始化和设置。

有关安装 Intel Omni-Path 架构文档的步骤，请参考： https://cdrdv2.intel.com/v1/dl/getContent/620007

(BZ#1808458)

4.9. 实时内核

kernel-rt 源树现在与最新的 RHEL 7 树匹配

kernel-rt 源已升级到最新的 Red Hat Enterprise Linux 内核源树，它提供了大量的程序错误修复和增强。

(BZ#1708718)

4.10. Red Hat Enterprise Linux 系统角色

为 RHEL 系统角色添加了新的 storage 角色

storage 角色已添加到 rhel-system-roles 软件包提供的 RHEL 系统角色中，该角色可在 RHEL 7 Extras 软件仓库中找到。

storage 角色可用于使用 Ansible 管理本地存储。目前，storage 角色支持以下类型的任务：

  • 在整个磁盘中管理文件系统
  • 管理 LVM 卷组
  • 管理逻辑卷及其文件系统

如需更多信息，请参阅有关 RHEL 系统角色的知识库文章。

(BZ#1410996)

4.11. 安全性

SCAP Security Guide 现在提供 OSPP 4.2.1 和 NCP 配置集

OSPP（通用操作系统检测配置集）配置集已更新，现在它符合 OSPP 4.2.1 基准。带有 ospp42 ID 的配置集已合并到 OSPP 配置集中。管理员应该使用 ospp42 配置集切换到 ospp，因为 ospp42 不再是一个有效的 ID。

另外,还引进了带有 ncp ID 的 NCP(NIST US Checklist Program Security Guide)配置集。NCP 配置集符合 OSPP 4.2.1 并实现附加策略的配置要求。特别是 CNSSI 1253、NIST 800-171、NIST 800-53、USGCB 和 OS SRG。

(BZ#1691336)

SCAP 安全指南现在支持 ACSC Esential Eight

scap-security-guide 软件包现在提供所需 Cyber Security 工具程序(ACSC)Essential Eight 合规配置集,以及对应的 Kickstart 文件。在这个改进中，用户可以安装一个符合这个安全基点的系统。另外,您可以使用 ACSC 定义的最低安全控制规格使用 OpenSCAP 套件来检查安全合规和补救。

(BZ#1755192)

SCAP Security Guide 现在可以正确地禁用服务

在这个版本中，SCAP Security Guide （SSG）配置集可以正确地禁用并屏蔽不应该启动的服务。这可保证，禁用的服务不会意外地作为另一个服务的依赖项启动。在此更改前，SSG 配置集，如 U.S.Government Commercial Cloud Services（C2S）配置集会禁用服务。因此，除非您已取消了服务屏蔽，否则无法启动被 SSG 配置集禁用的服务。

(BZ#1791583)

SCAP Security Guide rebase 到版本 0.1.46

SCAP Security Guide (SSG)软件包已升级到 0.1.46 版本,提供与之前的版本相比的改进和程序错误修复,最重要的是：

  • SSG 现在提供符合 SCAP 1.3 标准的内容。1.3 数据流与 OpenSCAP 兼容并被默认使用。

请注意，如果您需要使用 SCAP 1.2 数据流，仍然可以使用带有 -1.2 后缀的内容，因为这个数据移至 "/usr/share/xml/scap/ssg/content/ssg-rhel7-ds-1.2.xml" 路径。新的 1.3 数据流位于正常的路径中。

(BZ#1726698)

SCAP 安全指南现在支持从 RHEL 7 中扫描 RHEL 8 系统

scap-security-guide 软件包现在包含 RHEL 8 的 SCAP 内容和 Ansible playbook。这可让您从 RHEL 7 环境中扫描 RHEL 8 系统和容器。

(BZ#1777862)

selinux-policy 现在允许 tomcat 进程连接到 redis 数据库

这个 selinux-policy 软件包的更新引入了规则，在启用了 tomcat_can_network_connect_db SELinux 布尔值时，tomcat_t 域可以连接到标记为 redis_port_t 的端口。现在，您可以使用这个布尔值来允许 tomcat_t 访问多个数据库，它之前不支持 redis 进程。

(BZ#1687497)

sysadm_u 用户现在可以登录到图形会话

在以前的版本中，映射到 sysadm_u SELinux 用户的 Linux 用户无法登录到图形会话。SELinux 策略已被更新，允许这些用户在符合 DISA STIG 要求的情况下使用图形会话。如果启用了 xdm_sysadm_login 布尔值,现在 sysadm_u 用户可以从 GNOME 显示管理器成功登录到 X 窗口系统会话。

(BZ#1727379)

4.12. 服务器和服务

一个 rsyslog 用来为 imudp 和 imtcp 保留 FROMHOST 的选项

这个 rsyslog 服务的更新引进了选项，用来管理 imudp 和 imtcp 模块的 FROMHOST 属性的字母大小写保留。将 preservecase 值设置为 on 意味着 FROMHOST 属性以区分大小写的方式处理。为了避免破坏现有配置，preservecase 的默认值为 on（对于 imtcp）和 off（对于 imudp）

(BZ#1309698)

4.13. 存储

支持 Data Integrity Field/Data Integrity Extension（DIF/DIX）

只有在硬件厂商已验证，并完全支持在 RHEL 中的特定主机总线适配器（HBA）和存储阵列，则支持 DIF/DIX。

在以下配置中不支持 DIF/DIX：

  • 不支持在引导设备中使用。
  • 在虚拟客户机中不支持。
  • 当启用了 DIF/DIX 时，红帽不支持使用 Automatic Storage Management 库（ASMLib）。

在涉及应用程序之前（包括应用程序）的不同层的存储设备上启用或禁用 DIF/DIX。在存储设备中激活 DIF 的方法取决于设备。

有关 DIF/DIX 功能的详情，请参考 什么是 DIF/DIX。

(BZ#1649493)

现在,Qlogic HBA 完全支持 NVMe/FC

Qlogic Fibre Channel(FC)主机总线适配器(HBA),现在完全支持 NVMe over Fibre Channel(NVMe/FC)传输类型,它使用 qla2xxx 驱动程序。

NVMe/FC 是 Nonvolatile Memory Express(NVMe)协议的附加光纤传输类型,它之前在 Red Hat Enterprise Linux 中引进了 Remote Direct Memory Access(RDMA)协议。

NVMe/FC 为现有的 FC 基础架构提供了一个更高的性能较低延迟的 I/O 协议。这对固态存储阵列尤其重要,因为它允许通过光纤传输传递 NVMe 存储的性能优势,而不必在不同的协议 SCSI 中封装。

请注意，自 Red Hat Enterprise Linux 7.6 开始，使用 lpfc 驱动程序 Broadcom Emulex Fibre Channel 32Gbit 适配器也完全支持 NVMe/FC。

(BZ#1642968)

4.14. Atomic Host 和容器

Red Hat Enterprise Linux Atomic Host 是一个安全、轻量级和低消耗的操作系统，为运行 Linux 容器进行了优化。有关最新功能、已知问题和技术预览，请参阅 Atomic Host 和 Containers 发行注记。

4.15. Red Hat Software Collections

Red Hat Software Collections 是一个红帽内容集，它提供一组动态编程语言、数据库服务器和相关软件包，您可以在 AMD64 和 Intel 64 架构、64 位 ARM 架构、IBM Z 和 IBM POWER, little endian 的所有支持的 Red Hat Enterprise Linux 7 版本上安装和使用。某些组件也可用于 AMD64 和 Intel 64 架构中所有支持的 Red Hat Enterprise Linux 6 版本。

Red Hat Developer Toolset 是为在 Red Hat Enterprise Linux 平台上工作的开发人员设计的。它提供了 GNU Compiler Collection、GNU Debugger 和其他开发、调试和性能监控工具的当前版本。Red Hat Developer Toolset 作为一个单独的 Software Collection 提供。

Red Hat Software Collections 提供的动态语言、数据库服务器和其他工具不会取代 Red Hat Enterprise Linux 提供的默认系统工具，也不首选使用这些工具。Red Hat Software Collections 使用基于 scl 工具的替代打包机制来提供一组并行的软件包。这个集合启用了 Red Hat Enterprise Linux 中使用的软件包的替代版本。通过使用 scl 实用程序，用户可以随时选择运行哪个软件包版本。

重要

Red Hat Software Collections 的生命周期及支持期限比 Red Hat Enterprise Linux 要短。如需更多信息，请参阅 Red Hat Software Collections 产品生命周期。

有关 Red Hat Software Collections 中包含的组件、系统要求、已知问题、使用量以及单个 Software Collections 的具体内容，请参阅 Red Hat Software Collections 文档。

有关本 Software Collection、安装、使用、已知问题等组件的更多信息，请参阅 Red Hat Developer Toolset 文档。