在 web 控制台中添加了防火墙界面

RHEL 8 web 控制台中的 Networking 页面现在包含 Firewall 部分。在本节中，用户可以启用或禁用防火墙，以及添加、删除和修改防火墙规则。

Web 控制台现在默认可用

RHEL 8 web 控制台（也称为 Cockpit）的软件包现在是 Red Hat Enterprise Linux 默认软件仓库的一部分，因此可以立即在注册的 RHEL 8 系统中安装。

Web 控制台更好的 IdM 集成

如果您的系统在 Identity Management(IdM)域中注册，RHEL 8 web 控制台现在默认使用域的集中管理的 IdM 资源。这包括以下优点：

Web 控制台现在与移动浏览器兼容

有了这个更新，Web 控制台菜单和页面可以在移动浏览器变体上导航。这样就可以从移动设备使用 RHEL 8 web 控制台管理系统。

Web 控制台前端页面现在显示缺少的更新和订阅

如果由 RHEL 8 web 控制台管理的系统有过时的软件包或 lapsed 订阅，现在会在系统的 web 控制台前页中显示警告信息。

Web 控制台现在支持 PBD 注册

在这个版本中，您可以使用 RHEL 8 web 控制台界面将基于策略的 Decryption(PBD)规则应用到受管系统上的磁盘。这可使用 Clevis 解密客户端协助 web 控制台中的各种安全管理功能，如自动解锁 LUKS 加密的磁盘分区。

虚拟机现在可以使用 Web 控制台进行管理

Virtual Machines 页面现在可以添加到 RHEL 8 web 控制台界面中，用户可以创建和管理基于 libvirt 的虚拟机。

IBM Z 现在完全支持使用 SE 和 HMC 从 DVD 安装 RHEL

现在完全支持在 IBM Z 硬件上使用 Support Element(SE)和 硬件管理控制台(HMC) 从 DVD 安装 Red Hat Enterprise Linux 8。这个额外的功能简化了使用 SE 和 HMC 的 IBM Z 上的安装过程。

安装程序现在支持 LUKS2 磁盘加密格式

Red Hat Enterprise Linux 8 安装程序现在默认使用 LUKS2 格式，但您可以从 Anaconda 的 Custom Partitioning 窗口中选择 LUKS 版本，或使用 Kickstart 的 autopart、logvol、part 和 RAID 命令中的新选项。

Anaconda 支持 RHEL 8 中的系统目的

在以前的版本中，Anaconda 不会为 Subscription Manager 提供系统目的信息。在 Red Hat Enterprise Linux 8.0 中，您可以使用 Anaconda 的 System Purpose 窗口或 Kickstart 的 syspurpose 命令在安装过程中设置系统的预期目的。安装完成后，Subscription Manager 在订阅系统时使用系统用途信息。

pykickstart 支持 RHEL 8 中的系统目的

在以前的版本中，pykickstart 库无法为 Subscription Manager 提供系统目的信息。在 Red Hat Enterprise Linux 8.0 中，pykickstart 解析新的 syspurpose 命令，并记录系统在自动化和部分自动化安装过程中的预期用途。然后，该信息被传递给 Anaconda，保存在新安装的系统上，并在订阅系统时对 Subscription Manager 可用。

Anaconda 支持 RHEL 8 中的新内核引导参数

在以前的版本中，您只能从内核引导参数指定基本存储库。在 Red Hat Enterprise Linux 8 中，一个新的内核参数，inst.addrepo=<name>,<url> 允许您在安装过程中指定附加软件仓库。

Anaconda 支持 RHEL 8 中的统一 ISO

在 Red Hat Enterprise Linux 8.0 中，统一的 ISO 会自动加载 BaseOS 和 AppStream 安装源存储库。

Anaconda 可以在 Kickstart 脚本中安装模块化软件包

Anaconda 安装程序已扩展，以处理与应用程序流相关的所有功能：模块、流和配置集。Kickstart 脚本现在可以启用模块和流组合、安装模块配置集以及安装模块化软件包。如需更多信息，请参阅 执行高级 RHEL 安装。

现在，RHEL 8 安装选项中提供了 nosmt 引导选项

nosmt 引导选项包括在传递给新安装的 RHEL 8 系统的安装选项中。

RHEL 8 支持从本地硬盘中的软件仓库安装

在以前的版本中，从硬盘安装 RHEL 需要 ISO 镜像作为安装源。但是，RHEL 8 ISO 镜像对于某些文件系统来说可能太大，例如： FAT32 文件系统无法存储大于 4 GiB 的文件。

RHEL 8 中提供了使用 Image Builder 进行自定义系统镜像创建

Image Builder 工具可让用户创建自定义的 RHEL 镜像。镜像构建程序位于 AppStream 中的 lorax-composer 软件包中。

添加了新的 kickstart 命令： authselect 和 modules

在这个版本中，添加了以下 kickstart 命令：

RHEL 8.0 中的内核版本

Red Hat Enterprise Linux 8.0 带有内核版本 4.18.0-80。

ARM 52 位物理寻址现已可用

在这个版本中，支持 64 位 ARM 架构的 52 位物理寻址（PA）。这比之前的 48 位 PA 提供更大的地址空间。

IOMMU 代码支持 RHEL 8 中的 5 级页表

Linux 内核中的 I/O 内存管理单元(IOMMU)代码已更新，以支持 Red Hat Enterprise Linux 8 中的 5 级页表。

支持 5 级分页

在 Linux 内核中添加了新的 P4d_t 软件页表类型，以便在 Red Hat Enterprise Linux 8 中支持 5 级分页。

内存管理支持 5 级页表

使用 Red Hat Enterprise Linux 7 时，现有内存总线有 48/46 位虚拟/物理内存寻址能力，Linux 内核实施了 4 个级别的页表，以管理这些虚拟地址到物理地址。物理总线寻址行会使物理内存上限限制为 64TB。

kernel-signing-ca.cer 在 RHEL 8 中被移到 kernel-core

在所有 Red Hat Enterprise Linux 7 版本中，kernel-signing-ca.cer 公钥都位于 kernel-doc 包中。但是，在 Red Hat Enterprise Linux 8 中，kernel-signing-ca.cer 已重新定位到每个构架的 kernel-core 软件包中。

spectre V2 缓解默认从 IBRS 改为 Retpolines

具有第 6 代 Intel Core Processors 的系统及其衍生产品[1]的 Spectre V2 漏洞(CVE-2017-5715)的默认缓解方案已从 Indirect Branch Restricted Speculation(IBRS)改为 Red Hat Enterprise Linux 8 中的 Retpolines。红帽已根据 Intel 的建议进行了此更改，以与 Linux 社区中使用的默认值保持一致，以恢复丢失的性能。但请注意，在某些情况下使用 Retpolines 可能无法完全缓解 Spectre V2。Intel 的回复文档 [2] 描述了任何暴露情况。本文档还说明攻击的风险较低。

Intel® Omni-Path Architecture (OPA) 主机软件

Red Hat Enterprise Linux 8 完全支持 Intel Omni-Path 架构(OPA)主机软件。

NUMA 支持 RHEL 8 中的更多节点

在这个版本中，在具有 64 位 ARM 架构的系统中，非一致性内存访问(NUMA)节点数从 4 个 NUMA 节点增加到 Red Hat Enterprise Linux 8 中的 8 NUMA 节点。

现在，RHEL 8 中默认启用 IOMMU passthrough

默认情况下，启用了输入/输出内存管理单元(IOMMU)passthrough。这提高了 AMD 系统的性能，因为主机禁用 Direct Memory Access(DMA)重新映射。在这个版本中，Intel 系统也默认禁用了 DMA 重新映射的 Intel 系统的一致性。用户可以通过在内核命令行上，包括 hypervisor，指定 iommu.passthrough=off 或 iommu=nopt 参数来禁用此类行为（并启用 DMA 重新映射）。

RHEL8 内核现在支持 5 级页表

Red Hat Enterprise Linux 内核现在完全支持具有最多 5 级页表的未来 Intel 处理器。这可让处理器支持多达 4PB 的物理内存和 128PB 虚拟地址空间。使用大量内存的应用程序现在可以尽可能多地使用系统提供的内存，而不受 4 级页表的限制。

RHEL8 内核支持针对将来 Intel CPU 的增强 IBRS

Red Hat Enterprise Linux 内核现在支持使用增强的 Indirect Branch Restricted Speculation(IBRS)功能来缓解 Spectre V2 漏洞。启用后，IBRS 的性能将优于 Retpolines（默认）来缓解 Spectre V2，并且不会影响 Intel Control-flow Enforcement 技术。因此，在未来 Intel CPU 上启用 Spectre V2 的性能损失会较小。

bpftool 用于检查和操作基于 eBPF 的程序和映射

Linux 内核中添加了 bpftool 工具，用于根据扩展的 Berkeley Packet 过滤(eBPF)检查和简单操作程序和映射。bpftool 是内核源树的一部分，由 bpftool 软件包提供，该软件包作为 kernel 软件包的子软件包提供。

kernel-rt 源已更新

kernel-rt 源已更新为使用最新的 RHEL 内核源树。最新的内核源树现在使用上游 v4.18 实时补丁集，与之前的版本相比，它提供了很多程序错误修复和增强。

YUM 性能改进和支持模块化内容

在 Red Hat Enterprise Linux 8 中，安装软件是由新版本的 YUM 工具可保证的，它基于 DNF 技术(YUM v4)。

RHEL 8 中的主要 RPM 功能

Red Hat Enterprise Linux 8 使用 RPM 4.14。这个版本比 RPM 4.11 提供了很多改进，具体信息包括在 RHEL 7 中。最显著的功能包括：

RPM 现在会在开始安装前验证整个软件包内容

在 Red Hat Enterprise Linux 7 中，RPM 实用程序在解压缩时验证了单个文件的内容。然而，由于多个原因，这是不够的：

RHEL 8 中推荐的 Tuned 配置集的显著变化

在这个版本中，根据以下规则选择推荐的 Tuned 配置集（由 tuned-adm recommend 命令报告） - 匹配的第一个规则生效：

named 生成的文件可以在工作目录中写

在以前的版本中，命名 守护进程在工作目录中存储一些数据，这个目录在 Red Hat Enterprise Linux 中只读。在这个版本中，所选文件的路径已被更改到子目录中，允许写入。现在，默认目录 Unix 和 SELinux 权限允许写入目录。在该目录中分发的文件对 named 仍为只读文件。

Geolite Databases 已被 Geolite2 Databases 替代

Red Hat Enterprise Linux 7 中存在的 Geolite Databases 被 Red Hat Enterprise Linux 8 中的 Geolite2 Databases 替代。

CUPS 日志由 journald 处理

在 RHEL 8 中，CUPS 日志不再存储在 RHEL 7 中的 /var/log/cups 目录中的特定文件中。在 RHEL 8 中，所有类型的 CUPS 日志都与其他程序的日志一起集中记录在 systemd journald 守护进程中。若要访问 CUPS 日志，请使用 journalctl -u cups 命令。如需更多信息，请参阅 使用 CUPS 日志。

RHEL 8 中的主要 BIND 功能

RHEL 8 在包含 BIND（Berkeley Internet Name Domain）版本 9.11。与版本 9.10 相比，这个版本的 DNS 服务器引入了多个新功能和功能变化。

nobody 用户替换 nfsnobody

在 Red Hat Enterprise Linux 7 中，有：

RHEL 8 中的版本控制系统

RHEL 8 提供以下版本控制系统：

Subversion 1.10中的显著变化

Subversion 1.10 引入了一些自 RHEL 7 中发布的 1.7 版本以来的新功能，以及以下兼容性变化：

dstat中的显著变化

RHEL 8 提供了 dstat 工具的新版本。这个工具现在是 Performance Co-Pilot(PCP)工具包的一部分。/usr/bin/dstat 文件和 dstat 软件包的名称现在由 pcp-system-tools 软件包提供。

Python 3 是 RHEL 8 中默认的 Python 实现

Red Hat Enterprise Linux 8 与 Python 3.6 一起分发。但默认情况下可能不会安装该软件包。要安装 Python 3.6，请使用 yum install python3 命令。

在 RPM 构建时，Python 脚本必须在解释器指令中指定主版本

在 RHEL 8 中，可执行的 Python 脚本预期使用明确指定至少主 Python 版本的解释器指令(hashbangs)。

PHP中的显著变化

Red Hat Enterprise Linux 8 带有 PHP 7.2。这个版本在 RHEL 7 中与 PHP 5.4 相比包括以下主要变化：

Ruby中的显著变化

RHEL 8 提供了 Ruby 2.5，它比 RHEL 7 提供的 Ruby 2.0.0 提供了很多新功能和增强。主要变更包括：

Perl中的显著变化

RHEL 8 提供了 Perl 5.26，与 RHEL 7 中的版本相比有以下变化：

Node.js 包括在 RHEL 中

Node.js 是一个软件开发平台,用于使用 JavaScript 编程语言开发快速、可扩展的网络应用程序。它首次在 RHEL 中提供。之前，它只通过 Software Collection 提供。RHEL 8 提供 Node.js 10。

SWIG 中的显著变化

RHEL 8 包含简化的 wrapper 和 Interface Generator(SWIG)版本 3.0，它比 RHEL 7 中发布的版本 2.0 提供了大量新功能、增强和程序错误修复。最值得注意的是，实现了对 C++11 标准的支持。SWIG 现在也支持 Go 1.6、PHP 7、Octave 4.2 和 Python 3.5。

Apache httpd中的显著变化

RHEL 8 随 Apache HTTP 服务器 2.4.37 一起发布。此版本在 RHEL 7 中对 httpd 进行了以下更改：

RHEL 提供了新的 nginx web 服务器

RHEL 8 引入了 nginx 1.14，这是支持 HTTP 和其他协议的 Web 和代理服务器，其重点在于高并发性、性能和低内存用量。nginx 以前仅作为 Software Collection 提供。

RHEL 8 中的数据库服务器

RHEL 8 提供以下数据库服务器：

MySQL 8.0中的显著变化

RHEL 8 提供了 MySQL 8.0，它提供以下改进：

MariaDB 10.3的显著变化

与 RHEL 7 提供的版本 5.5 相比，MariaDB 10.3 提供了多个新功能，例如：

PostgreSQL中的显著变化

RHEL 8.0 提供了 PostgreSQL 数据库服务器的两个版本，在 postgresql 模块的两个流：PostgreSQL 10 （默认流）和 PostgreSQL 9.6 中分发。RHEL 7 包含 PostgreSQL 版本 9.2。

Squid中的显著变化

RHEL 8.0 提供了 Squid 4.4，它是一个用于 Web 客户端的高性能代理缓存服务器，它支持 FTP、Gopher 和 HTTP 数据对象。与 RHEL 7 提供的版本 3.5 相比，这个版本包括的新功能、改进和程序错误修复。

RHEL 提供了新的 Varnish Cache

RHEL 首次提供了Varnish Cache，它是一个高性能 HTTP 反向代理。之前，它只通过 Software Collection 提供。Varnish Cache 在内存中存储文件或碎片，以降低未来等效请求的响应时间和网络带宽消耗。RHEL 8.0 提供了 Varnish Cache 6.0。

GNOME Shell，RHEL 8 中的 3.28 版本

GNOME Shell 在 Red Hat Enterprise Linux(RHEL)8 中提供 3.28 版本。主要改进包括：

Wayland 是默认的显示服务器

在 Red Hat Enterprise Linux 8 中，GNOME 会话和 GNOME 显示管理器(GDM)使用 Wayland 作为其默认显示服务器，而不是 X.org 服务器，这些服务器与之前的 RHEL 主版本一起使用。

查找默认未启用的软件仓库中的 RPM 软件包

默认情况下不启用桌面的其他存储库。禁用通过对应的 .repo 文件中的 enabled=0 行来指示。如果您尝试使用 PackageKit 从此类存储库安装软件包，PackageKit 会显示错误消息，指出该应用不可用。要使软件包可用，请将之前在对应 .repo 文件中的 enabled=0 行替换为 enabled=1。

GNOME Sofware 用于软件包管理

在 Red Hat Enterprise Linux 7 上的图形环境中为软件包管理提供工具集合的 gnome-packagekit 软件包不再可用。在 Red Hat Enterprise Linux 8 中，GNOME Software 工具程序提供了类似的功能，它可让您安装和更新应用程序及 gnome-shell 扩展。GNOME 软件 在 gnome-software 软件包中分发。

Wayland 上的 GNOME Shell 提供部分扩展

在 GNOME Shell on Wayland 会话中，提供了部分扩展功能。该功能使得按部分扩展 GUI 成为可能，这可以提高特定显示器上扩展的 GUI 的外观。

使用 fwupd 进行固件更新可用

RHEL 8 支持固件更新，如 UEFI 胶囊、设备固件升级(DFU)等，使用 fwupd 守护进程。守护进程允许会话软件自动更新本地计算机上的设备固件。

完全支持 Optane DC Persistent Memory 技术的内存模式

Intel Optane DC 持久内存存储设备提供数据中心级别的持久内存技术，这可以显著提高事务吞吐量。

目录服务器中的新密码语法检查

此增强为目录服务器添加新密码语法检查。例如，管理员可以启用字典检查，允许或拒绝使用字符序列和像素组。因此，如果启用，Directory 服务器中的密码策略语法检查会强制执行更安全的密码。

目录服务器现在提供改进的内部操作日志记录支持

目录服务器中的几个操作由服务器和客户端发起，在后台执行其他操作。在以前的版本中，服务器仅记录 Internal 连接关键字的内部操作，操作 ID 始终设置 -1。在这个版本中，Directory 服务器会记录真正的连接和操作 ID。现在，您可以将内部操作跟踪到导致此操作的服务器或客户端操作。

tomcatjss 库支持使用 AIA 扩展中的响应器进行 OCSP 检查

有了这个增强，tomcatjss 库支持使用证书的授权信息访问(AIA)扩展的响应程序的在线证书状态协议(OCSP)检查。因此，红帽认证系统的管理员可以配置使用 AIA 扩展中的 URL 的 OCSP 检查。

pki subsystem-cert-find 和 pki subsystem-cert-show 命令现在显示证书的序列号

有了这个增强，证书系统中的 pki subsystem-cert-find 和 pki subsystem-cert-show 命令在其输出中显示证书的序列号。序列号是重要的信息，通常由多个其他命令要求。因此，现在更容易识别证书的序列号。

在证书系统中已弃用了 pki user 和 pki group 命令

有了这个更新，新的 pki < subsystem>-user 和 pki <subsystem>-group 命令替换了证书系统中的 pki user 和 pki group 命令。替换的命令仍有效，但它们显示命令已弃用并引用新命令的消息。

证书系统现在支持系统证书离线续订

在这个版本中，管理员可以使用脱机续订功能续订证书系统中配置的系统证书。当系统证书过期时，证书系统无法启动。因为这个改进，管理员不再需要临时解决方案来替换过期的系统证书。

证书系统现在可以为外部 CA 签名使用 SKI 扩展创建 CSR

在这个版本中，证书系统支持为外部证书颁发机构(CA)签名使用对象密钥标识符(SKI)扩展创建证书签名请求(CSR)。某些 CA 需要使用特定值或派生自 CA 公钥的扩展。因此，管理员现在可以在传递给 pkispawn 工具的配置文件中使用 pki_req_ski 参数来创建带有 SKI 扩展名的 CSR。

SSSD 不再使用 [nss] 部分中的 fallback_homedir 值作为 AD 域的回退

在 RHEL 7.7 之前，Active Directory(AD)供应商中的 SSSD fallback_homedir 参数没有默认值。如果没有设置 fallback_homedir，则使用 SSSD 代替 /etc/sssd/sssd.conf 文件中的 [nss] 部分中的同一参数的值。为提高安全性，RHEL 7.7 中的 SSSD 引入了 fallback_homedir 的默认值。因此，SSSD 不再回退到 [nss] 部分中设置的值。如果要使用与 AD 域中 fallback_homedir 参数的默认值不同的值，您必须在域的部分中手动设置它。

SSSD 现在允许您选择多个智能卡验证设备之一

默认情况下，系统安全服务后台程序(SSSD)会尝试自动检测智能卡身份验证的设备。如果连接了多个设备，SSSD 会选择它检测到的第一个设备。因此，您无法选择特定的设备，有时会导致失败。

本地用户由 SSSD 缓存并通过 nss_ss 模块提供服务

在 RHEL 8 中，系统安全服务守护进程(SSSD)默认为 /etc/passwd 和 /etc/groups 文件中的用户和组提供服务。sss nsswitch 模块先于 /etc/nsswitch.conf 中的文件。

KCM 替换 KEYRING 作为默认的凭证缓存存储

在 RHEL 8 中，默认凭证缓存存储是 Kerberos 凭证管理器(KCM)，它由 sssd-kcm deamon 支持。KCM 克服了之前使用的 KEYRING 的限制，例如难以在容器化环境中使用，因为它没有命名空间，也无法查看和管理配额。

Active Directory 用户现在可以管理身份管理

在这个版本中，RHEL 8 允许作为 Identity Management(IdM)组的成员为 Active Directory(AD)用户添加用户 ID 覆盖。ID 覆盖是指描述特定 AD 用户或组属性在特定 ID 视图中应如下所示的记录，本例中为默认信任视图。更新后，IdM LDAP 服务器可以为 AD 用户应用 IdM 组的访问控制规则。

sssctl 为 IdM 域打印 HBAC 规则报告

在这个版本中，System Security Services Daemon(SSSD)的 sssctl 实用程序可以打印 Identity Management(IdM)域的访问控制报告。此功能满足特定环境的需求，出于法规原因，查看可访问特定客户端计算机的用户和组列表。在 IdM 客户端上运行 sssctl access-report domain_name 会输出应用于客户端计算机的 IdM 域中的基于主机的访问控制(HBAC)规则的解析子集。

身份管理软件包作为模块提供

在 RHEL 8 中，安装 Identity Management(IdM)服务器和客户端所需的软件包作为一个模块提供。client 流是 idm 模块的默认流，您可以下载安装客户端所需的软件包，而无需启用流。

为 RHEL 8 添加了会话记录解决方案

在 Red Hat Enterprise Linux 8（RHEL 8）添加了记录会话记录解决方案。新的 tlog 软件包及其关联的 Web 控制台会话播放器启用，以记录和回放用户终端会话。可以通过 System Security Services Daemon（SSSD）服务针对每个用户或用户组配置记录。所有终端输入和输出都会捕获并存储在系统日志中基于文本的格式。出于安全原因，输入默认为不活动，因为安全原因不会截获原始密码和其他敏感信息。

authselect 简化了用户身份验证的配置

在这个版本中引进了 authselect 工具，它简化了 RHEL 8 主机的用户身份验证配置，替换了 authconfig 工具程序。authselect 提供了一种更安全的 PAM 堆栈管理方法，使系统管理员 PAM 配置更改变得更加简单。Authselect 可用于配置身份验证方法，如密码、证书、智能卡和指纹。请注意，authselect 不配置加入远程域所需的服务。此任务由特殊工具执行，比如 realmd 或 ipa-client-install。

SSSD 现在默认强制使用 AD GPOs

SSSD 选项 ad_gpo_access_control 的默认设置现在是 enforcing。在 RHEL 8 中，SSSD 默认根据活动目录组策略对象(GPO)强制实施访问控制规则。

将更新至版本 1.66

Boost C++ 库已更新至上游版本 1.66。Red Hat Enterprise Linux 7 中包含的 Boost 版本为 1.53。详情请查看上游变更日志: https://www.boost.org/users/history/

Unicode 11.0.0 支持

Red Hat Enterprise Linux 核心 C 库 glibc 已更新为支持 Unicode 标准版本 11.0.0。因此，所有宽度字符和多字节字符 API 包括字符集之间的转换和转换提供符合此标准的准确和正确的信息。

boost 软件包现在独立于 Python

在这个版本中，安装 boost 软件包不再安装 Boost.Python 库作为依赖项。要使用 Boost.Python，您需要显式安装 boost-python3 或 boost-python3-devel 软件包。

提供了新的 compat-libgfortran-48 软件包

为了与使用 Fortran 库的 Red Hat Enterprise Linux 6 和 7 应用程序兼容，现在提供了一个新的 compat-libgfortran-48 兼容性软件包，它提供 libgfortran.so.3 库。

GCC 中的 Retpoline 支持

在这个版本中，增加了对 GCC 的 retpoline 的支持。retpoline 是一个内核使用的软件结构，用于降低缓解 CVE-2017-5715 中描述的 Spectre 变体 2 攻击的开销。

增强了对工具链组件中的 64 位 ARM 架构的支持

工具链组件 GCC 和 binutils 现在为 64 位 ARM 架构提供扩展支持。例如：

IBM POWER 系统的 glibc 优化

这个版本提供了一个新版本的 glibc，它针对 IBM POWER 8 和 IBM POWER 9 架构进行了优化。因此，IBM POWER 8 和 IBM POWER 9 系统现在会在运行时自动切换到适当的优化 glibc 变体。

GNU C 库更新至 2.28 版本

Red Hat Enterprise Linux 8 包含 GNU C 库(glibc)的版本 2.28。主要改进包括：

RHEL 中可用的 CMake

在 Red Hat Enterprise Linux 8 中提供了 CMake 构建系统版本 3.11 作为 cmake 软件包。

make 版本 4.2.1

Red Hat Enterprise Linux 8 带有 make 构建工具版本 4.2.1。主要变更包括：

SystemTap 版本 4.0

Red Hat Enterprise Linux 8 使用 SystemTap 工具工具版本 4.0 进行发布。主要改进包括：

binutils 版本 2.30 中的改进

Red Hat Enterprise Linux 8 包含 binutils 软件包的版本 2.30。主要改进包括：

Performance Co-Pilot 版本 4.3.0

Red Hat Enterprise Linux 8 提供了 Performance Co-Pilot (PCP)版本 4.3.0。主要改进包括：

内存保护密钥

在这个版本中，启用了允许每个线程页面保护标志更改的硬件功能。已为 pkey_alloc（）、pkey_free（） 和 pkey_mprotect（） 函数添加了新的 glibc 系统调用包装器。另外，已添加了 pkey_set（） 和 pkey_get（） 函数，以允许访问每个线程的保护标记。

GCC 现在默认为 IBM Z 中的 z13

在这个版本中，IBM Z 架构代码中的默认 GCC 为 z13 处理器构建代码，并为 z14 处理器调整代码。这等同于使用 -march=z13 和 -mtune=z14 选项。用户可以通过使用目标架构和调整选项来显式覆盖此默认设置。

elfutils 更新至版本 0.174

在 Red Hat Enterprise Linux 8 中，selfutils 软件包包括在 0.174 版中。主要变更包括：

Valgrind 更新至 3.14 版本

Red Hat Enterprise Linux 8 使用 Valgrind 可执行代码分析工具 3.14。主要变更包括：

GDB 版本 8.2

Red Hat Enterprise Linux 8 带有 GDB debugger 版本 8.2 Notable 更改，其中包括：

RHEL 的 glibc 本地化在多个软件包中分发

在 RHEL 8 中，glibc 区域和翻译不再由单一 glibc-common 软件包提供。现在，本地化的内容和语言都位于 glibc-langpack-CODE 软件包中。另外，在大多数情形中，默认情况下不安装所有区域，仅安装安装程序中选择的区域。用户必须单独安装所需的所有更多区域设置软件包，或者如果用户希望安装 glibc-all-langpacks，以获取包含之前安装的所有 glibc 区域的区域归档。

GCC 版本 8.2

在 Red Hat Enterprise Linux 8 中，GCC 工具链基于 GCC 8.2 版本系列。主要变更包括：

Go 加密库 FIPS 模式现在遵循系统设置

在以前的版本中，Go 标准加密库总是使用其 FIPS 模式，除非在使用库构建应用程序时明确禁用它。因此，基于 Go 的应用程序的用户无法控制是否使用 FIPS 模式。在这个版本中，当系统没有以 FIPS 模式配置时，库不会被默认为 FIPS 模式。因此，RHEL 系统中基于 Go 的应用程序的用户对 Go 加密库的 FIPS 模式的使用具有更多控制。

strace 更新至版本 4.24

Red Hat Enterprise Linux 8 带有 strace 工具版本 4.24。主要变更包括：

RHEL 8 中的编译器工具集

RHEL 8.0 提供了以下编译器工具集作为 Application Streams：

RHEL 8 中的 Java 实现和 Java 工具

RHEL 8 AppStream 软件仓库包括：

std::string 和 std::list 中 C++ ABI 的更改

libstdc++ 库中的 std::string 和 std::list 类的应用二进制接口(ABI)在 RHEL 7 (GCC 4.8)和 RHEL 8(GCC 8)之间的更改符合 C++11 标准。libstdc++ 库支持新旧 ABI，但其他一些 C++ 系统库则不支持。因此，需要重建针对这些库动态链接的应用程序。这会影响所有 C++ 标准模式，包括 C++98。它还影响了使用红帽开发人员工具集编译器构建的适用于 RHEL 7 的应用程序，该编译器保留旧 ABI，以保持与系统库的兼容性。

支持 Data Integrity Field/Data Integrity Extension（DIF/DIX）

只有在硬件厂商已验证，并完全支持在 RHEL 中的特定主机总线适配器（HBA）和存储阵列，则支持 DIF/DIX。

XFS 现在支持共享的 copy-on-write 数据扩展

XFS 支持共享的 copy-on-write 数据扩展功能这个功能可让两个或者多个文件共享一组通用的数据块。当任何一个共享通用块更改的文件时, XFS 会破坏到通用块的链接并创建新文件。这与其他文件系统中找到的 copy-on-write（COW）功能类似。

最大 XFS 文件系统大小为 1024 TiB

XFS 文件系统最多支持的大小从 500 TiB 增加到 1024 TiB。

ext4 文件系统现在支持 元数据校验和

有了这个更新，ext4 元数据被 checksums保护。这可让文件系统识别损坏的元数据，从而避免损坏并增加文件系统的弹性。

VDO 现在支持所有构架

Virtual Data Optimizer(VDO)现在包括在 RHEL 8 支持的所有构架中。

BOOM 引导管理器简化了创建引导条目的过程

BOOM 是 Linux 系统的引导管理器，使用引导装载程序支持 BootLoader 规范用于引导条目配置。它启用了灵活的引导配置，并简化了新引导条目或修改的引导条目的创建：例如，为使用 LVM 创建的系统引导快照镜像。

LUKS2 现在是加密卷的默认格式

在 RHEL 8 中，LUKS 版本2 (LUKS2) 格式替换了传统的 LUKS(LUKS1)格式。dm-crypt 子系统和 cryptsetup 工具现在使用 LUKS2 作为加密卷的默认格式。LUKS2 在出现部分元数据崩溃事件时，为加密卷提供元数据冗余和自动恢复功能。

Broadcom Emulex 和 Marvell Qlogic Fibre Channel 适配器完全支持 NVMe/FC

现在，当与 Broadcom Emulex 和 Marvell Qlogic Fibre Channel 32Gbit 适配器支持时，Initiator 模式中完全支持 NVMe over Fibre Channel 32Gbit 传输类型。

新的 scan_lvs 配置设置

添加了一个新的 lvm.conf 配置文件设置 scan_lvs，默认设置为 0。新的默认行为阻止 LVM 查找 LV 上可能存在的 PV；也就是说，它不会扫描活动 LV 以获得更多 PV。默认设置还可阻止 LVM 在 LV 之上创建 PV。

新的 DM 多路径配置文件中的 overrides 部分

/etc/multipath.conf 文件现在包含一个 overrides 部分，允许您为所有设备设置配置值。这些属性可由 DM 多路径为所有设备使用，除非被 /etc/multipath.conf 文件的 multipaths 部分中指定的属性覆盖，用于包含该设备的路径。此功能替换了 配置文件的 devices 部分的 all_devs 参数，该参数不再被支持。

现在支持使用 NVDIMM 设备安装和引导

在更新之前，安装程序会忽略任何模式中的 Nonvolatile Dual Inline Memory Module(NVDIMM)设备。

改进了在 DM 多路径中发现的边缘路径

multipathd 服务现在支持改进的路径检测。这有助于多路径设备避免可能重复失败的路径，并提高性能。边缘路径（Marginal paths）是带有持久性但可能会出现 I/O 错误的路径。

块设备的多队列调度

块设备现在在 Red Hat Enterprise Linux 8 中使用多队列调度。这可让块层性能针对使用快速固态驱动器（SSD）和多核系统进行正常扩展。

新的 pcs 命令列出可用的 watchdog 设备并测试 watchdog 设备

要使用 Pacemaker 配置 SBD，需要一个正常工作的 watchdog 设备。此发行版本支持 pcs stonith sbd watchdog list 命令，来列出本地节点上的可用 watchdog 设备，支持 pcs stonith sbd watchdog test 命令来测试 watchdog 设备。有关 sbd 命令行工具的详情请参考 sbd(8)man page。

pcs 命令现在支持按操作及其间隔过滤资源故障

Pacemaker 现在会根据资源名称和节点的每个资源操作跟踪资源故障。pcs resource failcount show 命令现在允许按资源、节点、操作和间隔过滤故障。它提供了一个选项，可以显示每个资源和节点聚合的故障，或按资源、节点、操作及其间隔详细显示。另外，pcs resource cleanup 命令现在允许按资源、节点、操作和间隔过滤失败。

corosync 日志中启用的时间戳

corosync 日志以前不包含时间戳，因此很难将它与其他节点和守护进程的日志关联。有了此版本，时间戳存在于 corosync 日志中。

pcs cluster setup、pcs cluster node add 和 pcs cluster node remove 命令有新格式

在 Red Hat Enterprise Linux 8 中，pcs 完全支持 Corosync 3、knet 和节点名称。现在，节点名称是必需的，并替换节点标识符角色中的节点地址。节点地址现在是可选的。

新 pcs 命令

Red Hat Enterprise Linux 8 包括以下新命令。

RHEL 8 中的 Pacemaker 2.0.0

pacemaker 软件包已升级到 Pacemaker 2.0.0 的上游版本，与之前的版本相比，它提供了一些程序错误修复和增强：

重命名为可升级克隆资源的 master 资源

Red Hat Enterprise Linux (RHEL) 8 支持 Pacemaker 2.0，其中的 master/slave 资源不再是一个独立的资源类型，而是带有 promotable meta-attribute 设置为 true 的标准克隆资源。实施以下更改后，支持此次更新：

用于验证集群中的节点的新命令

Red Hat Enterprise Linux(RHEL)8 对用来验证集群中节点的命令进行了以下更改。

pcs 命令现在支持隔离历史记录的显示、清理和同步

Pacemaker 的隔离守护进程跟踪所有执行的隔离操作（待处理、成功和失败）。有了此版本，pcs 命令允许用户通过以下方式访问隔离历史记录：

nftables 取代 iptables 作为默认的网络数据包过滤框架

nftables 框架提供数据包分类工具,它是 iptables、ip6tables、arptables 和 ebtables 工具的指定后台。与之前的数据包过滤工具相比，它在方便、特性和性能方面提供了大量改进，最重要的是：

RHEL 8 中的主要 TCP 特性

Red Hat Enterprise Linux 8 提供了 TCP 网络堆栈版本 4.18，它提供更高的性能、更好的可伸缩性和稳定性。性能会提高，特别是对于入站连接率高的忙碌的 TCP 服务器的性能。

firewalld 默认使用 nftables

有了此更新，过滤子系统的 nftables 是 firewalld 守护进程默认的防火墙后端。要更改后端，请使用 /etc/firewalld/firewalld.conf 文件中的 FirewallBackend 选项。

RHEL 8 中的 wpa_supplicant 的显著变化

在 Red Hat Enterprise Linux(RHEL)8 中，wpa_supplicant 软件包是启用了 CONFIG_DEBUG_SYSLOG 构建的。这允许使用 journalctl 实用程序读取 wpa_supplicant 日志，而不必检查 /var/log/wpa_supplicant.log 文件的内容。

NetworkManager 现在支持 SR-IOV 虚拟功能

在 Red Hat Enterprise Linux 8.0 中，NetworkManager 允许为支持单根 I/O 虚拟化(SR-IOV)的接口配置虚拟功能(VF)的数量。另外，NetworkManager 允许配置 VF 的一些属性，如 MAC 地址、VLAN、欺骗检查设置以及允许的字节速率。请注意，与 SR-IOV 相关的所有属性都位于 sriov 连接设置中。详情请查看 nm-settings(5)手册 页。

IPVLAN 虚拟网络驱动程序现在被支持

在 Red Hat Enterprise Linux 8.0 中,内核包含对 IPVLAN 虚拟网络驱动程序的支持。在这个版本中，IPVLAN 虚拟网络接口卡(NIC)为本地网络公开单个 MAC 地址的多个容器启用网络连接。这使得单个主机可以克服对同级网络设备支持的 MAC 地址数量可能存在的限制。

NetworkManager 支持连接的通配符接口名称匹配

在以前的版本中，只能使用接口名的完全匹配来限制到给定接口的连接。在这个版本中，连接具有支持通配符的新 match.interface-name 属性。在这个版本中，用户可以使用通配符模式以更灵活的方式选择连接的接口。

网络堆栈 4.18 的改进

Red Hat Enterprise Linux 8.0 包括了升级到上游版本 4.18 的网络堆栈，它提供了几个程序错误修复和增强。主要变更包括：

将 iptables 转换为 nftables的新工具

此更新添加了iptables-translate 和 ip6tables-translate 工具，来将现有的 iptables 或 ip6tables 规则转换为 nftables 的对等规则。请注意，一些扩展可能缺少响应的转换支持。如果存在这样的扩展，工具会输出带有 # 符号前缀的未转换的规则。例如：

使用 NetworkManager添加到 VPN 的新功能

在 Red Hat Enterprise Linux 8.0 中，NetworkManager 为 VPN 提供以下新功能：

新数据块类型 I-DATA，添加到 SCTP

在这个版本中，在流控制传输协议(SCTP)中添加了一个新的数据块类型、I-DATA 和流调度程序。在以前的版本中，SCTP 会按照用户发送的顺序发送用户消息。因此，一个大型 SCTP 用户消息会阻止任何流中的所有其他信息，直到完全发送为止。使用 I-DATA 块时，传输序列号(TSN)字段不会被过载。因此，SCTP 现在可以以不同的方式调度流，I-DATA 允许用户消息交集(RFC 8260)。请注意，两个同级都必须支持 I-DATA 块类型。

NetworkManager 支持配置 ethtool offload 功能

在这个版本中，NetworkManager 支持配置 ethtool offload 功能，用户不再需要使用 init 脚本或 NetworkManager 分配程序脚本。现在,用户可以使用以下方法之一将下载功能配置为连接配置集的一部分：

RHEL 8 中的 TCP BBR 支持

现在，Red Hat Enterprise Linux(RHEL)8 支持一个新的 TCP 拥塞控制算法，即 Bottleneck Bandwidth 和 round-trip 时间(BBR)。BBR 尝试确定电压链路的带宽和往返用时(RTT)。大多数拥塞算法基于数据包丢失（包括 CUBIC，默认的 Linux TCP 拥塞控制算法），它们在高吞吐量链路上有问题。BBR 不直接响应丢失事件，它会调整 TCP 架构率使其与可用带宽匹配。TCP BBR 的用户应该在所有相关接口上切换到 fq 队列设置。

lksctp-tools，RHEL 8 中的 1.0.18 版本

lksctp-tools 软件包版本 3.28 包括在 Red Hat Enterprise Linux(RHEL)8 中。主要改进和程序错误修复包括：

在 RHEL 8 中默认将 SCTP 模块列入黑名单

为提高安全性，已将一组内核模块移到 kernel-modules-extra 软件包中。默认情况下不安装它们。因此，非 root 用户无法加载这些组件，因为它们会被默认列入黑名单。要使用其中一个内核模块，系统管理员必须安装 kernel-modules-extra 并明确删除模块黑名单。因此，非 root 用户将自动加载软件组件。

driverctl 0.101 中的显著变化

Red Hat Enterprise Linux 8.0 提供了 driverctl 0.101。此版本包括以下程序错误修复：

为 firewalld 添加了富规则优先级

priority 选项已添加到富规则中。这使得用户可以在规则执行期间定义所需的优先级顺序，并提供对富规则的更多高级控制。

RHEL 8 支持 NVMe over RDMA

在 Red Hat Enterprise Linux(RHEL)8 中，通过远程直接内存访问(RDMA)的 Nonvolatile Memory Express(NVMe)只支持 Infiniband、RoCEv2 和 iWARP（发起端模式）。

nf_tables 后端不支持使用 dmesg进行调试

Red Hat Enterprise Linux 8.0 将 thenf_tables 后端用于防火墙，这些防火墙不支持使用 dmesg 实用程序来调试防火墙。要调试防火墙规则，请使用 xtables-monitor -t 或 nft monitor trace 命令解码规则评估事件。

Red Hat Enterprise Linux 支持 VRF

RHEL 8.0 中的内核支持虚拟路由和转发(VRF)。VRF 设备以及使用 ip 实用程序设置的规则可让管理员在 Linux 网络堆栈中创建 VRF 域。这些域隔离第 3 层的流量，因此管理员可以创建不同的路由表，并在一个主机上的不同 VRF 域内重复使用相同的 IP 地址。

iproute, RHEL 8 版本 4.18

iproute 软件包附带了 Red Hat Enterprise Linux(RHEL)8 中的 4.18 版本。最显著的变化是标记为 ethX:Y 的接口别名不再被支持，如 eth0:1。要临时解决这个问题，用户应删除别名后缀，该后缀是冒号，在输入 ip link show 之前是以下编号：

RHEL 8.0 发行版本的 SWID 标签

要使用 ISO/IEC 19770-2:2015 机制启用 RHEL 8.0 安装的识别，软件识别(SWID)标签被安装在 /usr/lib/swidtag/redhat.com/com.redhat.com/com.redhat.RHEL-8-<architecture>.swidtag 和 /usr/lib/swidtag/redhat.com/com.redhat.RHEL-8.0-<architecture>.wid.tag中。这些标签的父目录也可以通过 /etc/swid/swidtags.d/redhat.com 符号链接找到。

默认应用系统范围的加密策略

crypto-policies 是 Red Hat Enterprise Linux 8 中的一个组件，它配置核心加密子系统，包括 TLS、IPsec、DNSSEC、Kerberos 和 SSH 协议。它提供一组小的策略，管理员可以使用 update-crypto-policies 命令选择这些策略。

openssh rebase 到版本 7.8p1

openssh 软件包已升级到上游版本 7.8p1。主要变更包括：

OpenSSH 服务器密钥生成现在由sshd-keygen@.service 处理

如果缺少 RSA、ECDSA 和 ED25519 服务器主机密钥，OpenSSH 会自动创建它们。要在 RHEL 8 中配置主机密钥创建，使用 sshd-keygen@.service 实例化服务。

ECDSA 密钥支持 SSH 身份验证

此 OpenSSH 套件发行版本引进了对保存在 PKCS #11 智能卡中的 ECDSA 密钥的支持。现在，用户可以同时使用 RSA 和 ECDSA 密钥进行 SSH 身份验证。

libssh 实现 SSH 用于核心加密组件

在 Red Hat Enterprise Linux 8 中使用 libssh 作为核心加密组件。libssh 库实施 Secure Shell(SSH)协议。

加密库中的 TLS 1.3 支持

在这个版本中，在所有主要后端加密库中默认启用传输层安全(TLS)1.3。这通过利用新的算法（如 RSA-PSS 或 X25519）实现了跨操作系统通信层的低延迟并增强应用程序的隐私和安全。

NSS 现在默认使用 SQL

网络安全服务(NSS)库现在默认使用 SQL 文件格式作为信任数据库。DBM 文件格式用作之前版本中的默认数据库格式，它不支持多个进程同时访问同一数据库，它在上游中已被弃用。因此，使用 NSS 信任数据库存储密钥、证书和撤销信息的应用程序现在默认使用 SQL 格式创建数据库。尝试使用旧的 DBM 格式创建数据库会失败。现有 DBM 数据库以只读模式打开，它们会自动转换为 SQL 格式。请注意，自 Red Hat Enterprise Linux 6 之后，NSS 支持 SQL 文件格式。

PKCS #11 对智能卡和 HSM 的支持在系统中一致

在这个版本中，使用智能卡和带有 PKCS #11 加密令牌接口的硬件安全模块(HSM)会变得一致。这意味着用户和管理员可以对系统中所有相关工具使用相同的语法。主要改进包括：

Firefox 现在可用于系统范围内注册的 PKCS #11 驱动程序

Firefox Web 浏览器会自动加载 p11-kit-proxy 模块，并且通过 pkcs11.conf 文件在 p11-kit 中注册的每个智能卡会自动检测到。要使用 TLS 客户端身份验证，不需要额外的设置，当服务器请求智能卡的密钥时，会自动使用它们。

OpenSC现在支持 RSA-PSS

在这个版本中，在 OpenSC 智能卡驱动程序中添加了对 RSA-PSS 加密签名方案的支持。新方案启用客户端软件中支持 TLS 1.3 所需的安全加密算法。

RHEL 8 中 Libreswan 的显著变化

libreswan 软件包已升级到上游版本 3.27，它提供很多程序错误修复和增强。最显著的变化包括：

系统范围的加密策略将 Libreswan 中的默认 IKE 版本改为 IKEv2

Libreswan IPsec 实现中的默认 IKE 版本已从 IKEv1(RFC 2409)改为 IKEv2(RFC 7296)。用于 IPsec 的默认 IKE 和 ESP/AH 算法已更新，以符合系统范围的加密策略、RFC 8221 和 RFC 8247。现在，加密密钥大小为 256 位，优先于 128 位的密钥大小。

Libreswan 中的 IKE 版本相关更改

在这个版本中，Libreswan 以不同的方式处理互联网密钥交换(IKE)设置：

RHEL 8 中的 OpenSCAP 的新功能

OpenSCAP 套件已升级到上游版本 1.3.0，它引进了许多与之前版本相比的改进。最显著的功能包括：

SCAP 安全指南 现在支持系统范围的加密策略

scap-security-guide 软件包已被更新，使用预定义的系统范围的加密策略来配置核心加密子系统。与系统范围的加密策略冲突或覆盖的安全内容已被删除。

改进了 OpenSCAP 命令行界面

现在，所有 oscap 模块和子模块中都提供了详细模式。工具输出改进了格式。

SCAP 安全指南 PCI-DSS 配置集与版本 3.2.1 一致

scap-security-guide 软件包为 Red Hat Enterprise Linux 8 提供 PCI-DSS（支付卡行业数据安全标准）配置文件，此配置文件已更新，以与最新的 PCI-DSS 版本 - 3.2.1 保持一致。

SCAP 安全指南支持 OSPP 4.2

scap-security-guide 软件包为 Red Hat Enterprise Linux 8 提供 OSPP（常规目的操作系统保护配置文件）配置文件版本 4.2 的一个草案。这个配置集反映了在 NIAP 配置中识别到 General Purpose Operating Systems（Protection Profile 版本 4.2）的保护配置集中指定的强制配置控制。SCAP 安全指南提供自动检查和脚本，帮助用户满足 OSPP 中定义的要求。

RHEL 8 中 rsyslog 的显著变化

rsyslog 软件包已升级到上游版本 8.37.0，它提供很多程序错误修复和增强。最显著的变化包括：

新 rsyslog 模块： omkafka

要启用 kafka 集中式数据存储场景，您现在可以使用新的 omkafka 模块将日志转发到 kafka 基础架构。

rsyslog imfile 现在支持符号链接

有了这个更新，rsyslog imfile 模块提供了更好的性能和更多配置选项。这可让您将模块用于更复杂的文件监控用例。例如，您现在可以在配置的路径的任何位置使用带有 glob 模式的文件监视器，并使用提高数据吞吐量来轮转符号链接目标。

现在，默认的 rsyslog 配置文件格式为非传统的

rsyslog 软件包中的配置文件现在默认使用非传统的格式。旧格式仍可使用，但混合当前和旧版配置语句具有多个限制。需要检查来自以前的 RHEL 版本的配置。详情请查看 rsyslog.conf(5) 手册页。

Audit 3.0 使用 auditd 替换 audispd

在这个版本中，audispd 的功能已移到 auditd。因此，audispd 配置选项现在是 auditd.conf 的一部分。另外，plugins.d 目录已移到 /etc/audit 下。auditd 和它的插件的当前状态通过运行 service auditd state 命令检查。

tangd_port_t 允许更改 Tang 的默认端口

在这个版本中引进了 tangd_port_t SELinux 类型，允许 tangd 服务作为 SELinux 强制模式限制运行。这一更改有助于简化将 Tang 服务器配置为侦听用户定义的端口，同时还会将 SELinux 提供的安全级别保持在 enforcing 模式。

新 SELinux 布尔值

这个 SELinux 系统策略更新引进了以下布尔值：

SELinux 现在支持 systemd No new Privileges

此更新引进了 nnp_nosuid_transition 策略功能，它可在 No New Privileges (NNP)或 nosuid 下启用 SELinux 域转换，如果在旧上下文和新上下文之间允许 nnp_nosuid_transition。selinux-policy 软件包现在包含使用 NNP 安全功能的 systemd 服务的策略。

支持 mmap syscall 中的新映射权限检查

添加了 SELinux map 权限，以控制对文件、目录、套接字等的内存映射访问。这允许 SELinux 策略阻止直接访问各种文件系统对象，并确保每个此类访问都已重新验证。

SELinux 现在支持 process 类中的 getrlimit 权限

此更新引入了一个新的 SELinux 访问控制检查，process:getrlimit ，并为 prlimit（） 函数进行了添加。这使得 SELinux 策略开发人员能够控制一个进程何时尝试读取，然后使用 process:setrlimit 权限修改另一个进程的资源限制。请注意，SELinux 不会限制通过 prlimit（） 操作自己资源限制的进程。如需更多信息，请参阅 prlimit(2) 和 getrlimit(2) man page。

selinux-policy 现在支持 VxFS 标签

这个版本引进了对 Veritas 文件系统(VxFS)安全扩展属性(xattrs)的支持。这允许在文件系统中为对象存储正确的 SELinux 标签，而不是通用 vxfs_t 类型。因此，完全支持 SELinux 的 VxFS 系统更安全。

编译时安全强化标志会以更一致的方式应用

在 RHEL 8 分发中的 RPM 软件包中，编译时安全强化标记会更加一致，redhat-rpm-config 软件包现在会自动提供安全强化标记。应用编译时间标志还有助于满足通用标准(CC)要求。应用以下安全强化标记：

RHEL 8 中的 qemu-kvm 2.12

Red Hat Enterprise Linux 8 与 qemu-kvm 2.12 一起分发。这个版本修复了多个程序错误，并在 Red Hat Enterprise Linux 7 中提供 1.5.3 版本中添加了许多改进。

虚拟化现在支持 Q35 机器类型

Red Hat Enterprise Linux 8 引入了对 Q35 的支持，它是一种基于更现代 PCI Express 的机器类型。这在虚拟设备的特性和性能方面提供了各种改进，并确保更广泛的现代设备与虚拟化兼容。另外，Red Hat Enterprise Linux 8 中创建的虚拟机被设置为默认使用 Q35。

复制后虚拟机迁移

RHEL 8 使执行 KVM 虚拟机(VM)的复制后迁移成为可能。使用时，复制后迁移会暂停在源主机上迁移虚拟机的 vCPU，仅传输最小的内存页，激活目标主机上虚拟机的 vCPU，并在虚拟机在目标上运行时传输剩余的内存页。

KVM 虚拟化现在支持 virtio-gpu

已为 KVM 虚拟机引进了 virtio-gpu 显示设备。virtio-gpu 提高了虚拟机图形性能，并可以实现虚拟 GPU 设备的各种增强功能。

KVM 在 RHEL 8 中支持 UMIP

KVM 虚拟化现在支持用户模型讲师(UMIP)功能，这有助于防止用户空间应用程序访问系统范围设置。这减少了权限升级攻击的潜在向量，因此 KVM 管理程序及其客户机机器更安全。

KVM 客户机崩溃报告中的其他信息

如果客户机意外终止或变得无响应，则 KVM 管理程序生成的崩溃信息已扩展。这使得诊断和修复 KVM 虚拟化部署中的问题变得更加简单。

NVIDIA vGPU 现在与 VNC 控制台兼容

使用 NVIDIA 虚拟 GPU(vGPU)功能时，现在可以使用 VNC 控制台来显示客户机的视觉输出。

Ceph 由虚拟化支持

在这个版本中，Red Hat 支持的所有 CPU 架构上的 KVM 虚拟化均支持 Ceph 存储。

IBM Z 中 KVM 虚拟机的交互式引导装载程序

在 IBM Z 主机上引导 KVM 虚拟机时，QEMU 引导装载程序固件现在可以显示客户机操作系统的互动控制台界面。这样便可在不访问主机环境的情况下对 guest OS 引导问题进行故障排除。

虚拟机支持 IBM z14 ZR1

KVM 系统管理程序现在支持 IBM z14 ZR1 服务器的 CPU 模型。这可在 IBM Z 系统上运行的 KVM 虚拟机中使用此 CPU 的功能。

KVM 支持 IBM Z 上的 Telnet 3270

当将 RHEL 8 用作 IBM Z 系统中的主机时，现在可以使用 Telnet 3270 客户端连接到主机上的虚拟机。

添加了 QEMU 沙盒

在 Red Hat Enterprise Linux 8 中，QEMU 模拟器引入了沙盒功能。QEMU 沙盒为调用 QEMU 可以执行的系统提供可配置的限制，从而使虚拟机更安全。请注意，这个功能会被默认启用和配置。

PV TLB Flush Hyper-V enlightenment

RHEL 8 添加 PV TLB Flush Hyper-V Enlightenment 功能。这提高了在 KVM hypervisor 上过度承诺环境中运行的 Windows 虚拟机(VM)的性能。

IBM POWER 中 KVM 虚拟机的新机器类型

为 IBM POWER 8 和 IBM POWER 9 系统上运行的 KVM 系统管理程序启用了多个新的 rhel-pseries 机器类型。这使得在 IBM POWER 系统的 RHEL 8 中托管的虚拟机(VM)可以正确使用这些机器类型的 CPU 功能。此外，这还允许将 IBM POWER 上的虚拟机迁移到最新版本的 KVM 系统管理程序。

为 Intel Xeon SnowRidge 启用 GFNI 和 CLDEMOT 指令集

在 Intel Xeon SnowRidge 系统上的 RHEL 8 主机上运行的虚拟机(VM)现在可以使用 GFNI 和 CLDEMOT 指令集。在某些情况下，这可能会显著提高此类虚拟机的性能。

为 OVMF 启用 IPv6

现在，Open Virtual Machine Firmware(OVMF)上启用了 IPv6 协议。这使得使用 OVMF 的虚拟机可以利用 IPv6 提供的各种网络引导改进。

添加了 NVMe 设备的基于 VFIO 的块驱动程序

QEMU 模拟器为 Non-volatile Memory Express(NVMe)设备引入了基于虚拟功能 I/O(VFIO)的驱动程序。驱动程序直接与附加到虚拟机(VM)的 NVMe 设备通信，并避免使用内核系统层及其 NVMe 驱动程序。因此，这会提高虚拟机中 NVMe 设备的性能。

支持 Hyper-V Generic UIO 驱动程序

RHEL 8 现在支持 Hyper-V Generic 用户空间 I/O(UIO)驱动程序的多频道功能。这使得在 Hyper-V 管理程序上运行的 RHEL 8 虚拟机可以使用 Data Plane Development Kit(DPDK)Netvsc Poll Mode 驱动程序(PMD)，它可增强这些虚拟机的网络功能。

改进了巨页支持

当使用 RHEL 8 作为虚拟化主机时，用户可以将虚拟机(VM)的内存页大小修改为 CPU 支持的任何大小。这可以显著提高虚拟机的性能。

POWER 9 主机上的虚拟机可以使用 THP

在 IBM POWER 9 架构上运行的 RHEL 8 主机中，虚拟机(VM)功能得益于透明大内存页(THP)功能。THP 可让主机内核动态为进程分配大内存页面，从而提高具有大量内存的虚拟机性能。

sosreport 可以报告基于 eBPF 的程序和映射

sosreport 工具已被改进来报告 Red Hat Enterprise Linux 8 载入的扩展 Berkeley Packet Filtering(eBPF)程序和映射。

PackageKit 现在可在 rpm 软件包上运行

在这个版本中，在 rpm 软件包上操作的支持已添加到 PackageKit 中。

QEMU 无法正确处理 8 字节 ggtt 条目

QEMU 有时会将一个 8 字节的 ggtt 条目写入到两个连续的 4 字节写入操作中。这些部分写入各自可能会触发单独的主机 ggtt 写入。有时，两个 ggtt 写被错误地合并。因此，转换到机器地址会失败，并会出现错误日志。

企业安全客户端使用 opensc 库进行令牌检测

Red Hat Enterprise Linux 8.0 仅支持用于智能卡的 opensc 库。有了此更新，企业安全客户端(ESC)使用 opensc 而不是删除的 coolkey 库进行令牌检测。因此，应用程序可以正确地检测到支持的令牌。

证书系统现在支持轮转调试日志

在以前的版本中，证书系统使用自定义日志记录框架，它不支持日志轮转。因此，调试日志（如 /var/log/pki/instance_name/ca/debug ）无限增长。在这个版本中，证书系统使用 java.logging.util 框架，它支持日志轮转。因此，您可以在 /var/lib/pki/instance_name/conf/logging.properties 文件中配置日志轮转。

证书系统不再记录服务启动时 SetAllPropertiesRule 操作警告

在以前的版本中，当服务启动时，证书系统会在 /var/log/messages 日志文件中记录 SetAllPropertiesRule 操作的警告信息。这个问题已被解决，上面提到的警告不再被记录。

证书系统 KRA 客户端正确地解析 Key Request 响应

在以前的版本中，证书系统切换到新的 JSON 库。因此，某些对象的序列化会有所不同，Python 密钥恢复颁发机构(KRA)客户端无法解析 Key Request 响应。客户端已被修改，以支持使用旧和新的 JSON 库的响应。因此，Python KRA 客户端会正确解析 密钥请求 响应。

GCC 不再针对出站访问产生假的正警告

在以前的版本中，当使用 -O3 优化级别选项编译时，GNU Compiler Collection(GCC)偶尔会返回有关出站访问的假警告，即使编译的代码没有包含它。这个优化已被修复，GCC 不再显示假的正警告。

ltrace 可正确显示大型结构

在以前的版本中，ltrace 工具无法正确打印函数返回的大型结构。ltrace 中大型结构的处理已得到改进，它们现在可以正确打印。

GCC 内置功能 __builtin_clz 在 IBM Z 上返回正确的值

在以前的版本中，GCC 编译器错误地折叠 IBM Z 架构的 FLOGR 指令。因此，使用这个指令的 __builtin_clz 功能可能会在使用 -funroll-loops GCC 选项编译代码时返回错误的结果。这个程序错误已被解决，这个功能现在提供了正确的结果。

GDB 在批处理模式中的最后一个命令失败时提供非零退出状态

在以前的版本中，在以批处理模式运行时，GDB 始终以状态 0 退出，无论命令中出现什么错误。因此，无法确定命令是否成功。这个行为已被更改，GDB 现在会在上一命令发生错误时退出状态 1。这样可保持与之前执行所有命令的行为的兼容性。因此，现在可以确定 GDB 批处理模式是否成功执行。

更高的打印级别不再导致 iscsiadm 意外终止

在以前的版本中，当用户使用 --print 或 -P 选项指定大于 0 的打印级别时，iscsiadm 程序会意外终止。这个问题已被解决，所有打印级别现在都可以正常工作。

当 multipathd 无法获取路径的 WWID 时，它不再禁用该路径

在以前的版本中，multipathd 服务会把一个路径的 WWID 视为获得空 WWID 的失败尝试。如果 multipathd 无法获取路径的 WWID，有时会禁用该路径。

新的 /etc/sysconfig/pcsd 选项拒绝客户端发起的 SSL/TLS 重新协商

当在服务器上启用 TLS 重新协商时，客户端可以发送重新协商请求，该请求将启动新的握手。握手的计算要求在服务器上高于客户端。这使得服务器易受 DoS 攻击。在这个版本中，/etc/sysconfig/pcsd 配置文件中设置 PCSD_SSL_OPTIONS 会接受 OP_NO_RENEGOTIATION 选项来拒绝重新协商。请注意，客户端仍然可以打开多个与在所有服务器中执行握手的服务器的连接。

删除的集群节点不再显示在集群状态中

在以前的版本中，当使用 pcs cluster node remove 命令删除一个节点时，删除的节点会在 pcs status 显示的输出中保持可见。在这个版本中，删除的节点不再显示在集群状态中。

现在可以使用更新的首选参数名称或已弃用的参数名称来配置隔离代理

大量隔离代理参数已被重命名，而旧参数名称仍被支持为已弃用。在以前的版本中，pcs 无法设置新参数，除非与 --force 选项一同使用。在这个版本中，pc s 现在支持重命名的隔离代理参数，同时保持对已弃用参数的支持。

pcs 命令现在可以正确地读取集群的 XML 状态。

pcs 命令以 XML 格式运行 crm_mon 实用程序来获取群集的状态。crm_mon 实用程序将 XML 打印到标准输出，并将警告打印到标准错误输出。以前，pcs 将 XML 和警告混合到一个流中，无法将其作为 XML 解析。在这个版本中，标准和错误输出在 pcs 中分离，并读取集群的 XML 状态可以正常工作。

在从现有集群创建新集群时，用户不再建议销毁集群

在以前的版本中，当用户在运行 pcs cluster setup 命令时指定现有集群中的节点或者使用 pcsd Web UI 创建集群时，pcs 将其报告为一个错误，并建议用户销毁节点上的集群。因此，用户会销毁节点上的集群，破坏节点所属的集群节点，因为剩余的节点仍会将销毁的节点视为集群的一部分。在这个版本中，建议用户从其集群中删除节点，从而更好地通知他们如何在不中断集群的情况下解决问题。

pcs 命令不再以交互方式请求凭证

当非 root 用户运行需要 root 权限的 pcs 命令时，pcs 会连接到本地运行的 pcsd 守护进程，并将命令传给它，因为 pcsd 守护进程使用 root 权限来运行，所以可以运行该命令。在以前的版本中，如果用户没有认证到本地 pcsd 守护进程，则 pcs 会要求输入用户名和密码。这给用户造成混淆，要求在运行 pcs 的脚本中进行特殊处理。在这个版本中，如果用户未通过身份验证，则 pcs 退出并显示应执行的操作： 无论是以 root 身份运行 pcs，还是使用新的 pcs client local-auth 命令进行身份验证。因此，pcs 命令不会以互动方式询问凭证，改进用户体验。

现在，当 crypto-policies 被设置为 FUTURE 时，pcsd 守护进程会使用其默认自生成的 SSL 证书启动。

FUTURE 的 crypto-policies 设置需要 SSL 证书中的 RSA 密钥至少为 3072b 长。在以前的版本中，当设置了此策略时，pcsd 守护进程不会启动，因为它使用 2048b 密钥生成 SSL 证书。有了这个更新，pcsd 自生成的 SSL 证书的密钥大小已增加到 3072b，并且 pcsd 现在使用其默认自生成的 SSL 证书启动。

pcsd 服务现在在网络就绪时启动

在以前的版本中，当用户配置了 pcsd 来绑定到特定 IP 地址，且当 pcsd 试图启动时，地址在启动过程中未准备好，则 pcsd 无法启动，需要手动干预来启动 pcsd。有了此修复，pcsd.service 依赖于 network-online.target。因此，当网络就绪且可绑定到 IP 地址时，pcsd 可以启动。

glib-networking不再允许弱 TLS 算法

在以前的版本中，glib-networking 软件包与 RHEL 8 系统范围的 Crypto 策略不兼容。因此，使用 glib 库进行联网的应用程序可能会允许使用较弱算法的传输层安全(TLS)连接。有了此更新，会应用系统范围的加密策略，现在为网络使用 glib 的应用程序只允许按照策略可接受的 TLS 连接。

SELinux 策略现在允许 iscsiuio 进程连接到发现门户

在以前的版本中，对于 iscsiuio 进程，SELinux 策略的限制太强，这些进程无法使用 mmap 系统调用访问 /dev/uio* 设备。因此，到发现门户的连接会失败。此更新在 SELinux 策略中添加了缺少的规则，在上述场景中，iscsiuio 进程可以按预期正常工作。

dnf 和 yum 现在无论 subscription-manager 值都可以访问存储库

在以前的版本中，dnf 或 yum 命令会忽略 subscription-manager 服务添加的 URL 中的 https:// 前缀。更新的 dnf 或 yum 命令不会忽略无效的 https:// URL。因此，dnf 和 yum 无法访问存储库。为解决这个问题，新的配置变量 proxy_scheme 已添加到 /etc/rhsm/rhsm.conf 文件中，其值可以设置为 http 或 https。如果没有指定值，subscription-manager 会使用更常用的默认值设置 http。

在 Azure 上挂载临时磁盘现在可以更可靠

在以前的版本中，如果虚拟机"停止（取消分配）"，然后启动，在 Microsoft Azure 平台上运行的虚拟机(VM)中挂载临时磁盘会失败。在这个版本中，在上述情况下可以正确处理磁盘重新连接，这可防止问题的发生。

eBPF 作为技术预览

扩展的 Berkeley 数据包过滤(eBPF) 功能作为一个技术预览用于网络和追踪。eBPF 可让用户空间将自定义程序附加到多个点（套接字、追踪点、数据包接收）上，从而接收和处理数据。该功能包括一个新的系统调用 bpf（），它支持创建各种映射类型，并将各种类型的程序插入到内核中。请注意，只有具有 CAP_SYS_ADMIN 能力的用户（如一个 root 用户）才可以成功使用 bpf() syscall。更多信息，请参阅 bpf(2) man page。

BCC 作为技术预览提供

BPF Compiler Collection(BCC) 是一个用户空间工具工具包，用于创建高效的内核跟踪和操作程序，在 Red Hat Enterprise Linux 8 中作为技术预览提供。BCC 提供用于使用 扩展 Berkeley Packet 过滤(eBPF) 的 Linux 操作系统的 I/O 分析、网络和监控工具。

Control Group v2 在 RHEL 8 中作为技术预览提供

控制组 v2 机制是统一的层次结构控制组。控制组 v2 以分层方式组织进程，并以受控和可配置的方式在层次结构中分发系统资源。

在 Red Hat Enterprise Linux 8 中，早期 kdump 作为技术预览提供

早期 kdump 功能允许崩溃内核和 initramfs 加载足够早的负载，以便在早期崩溃时捕获 vmcore 信息。有关 early-kdump 的详情，请查看 /usr/share/doc/kexec-tools/early-kdump-howto.txt 文件。

ibmvnic 设备驱动程序作为技术预览提供

使用 Red Hat Enterprise Linux 8.0 ，IBM POWER 架构的 IBM Virtual Network Interface Controller(vNIC)驱动程序 ibmvnic 作为技术预览提供。vNIC 是一个提供企业功能并简化网络管理的 PowerVM 虚拟网络技术。当与 SR-IOV NIC 结合，在虚拟 NIC 级别提供带宽控制服务质量(QoS)功能时，它是一种高性能、有效的技术。vNIC 可以显著减少虚拟化开销，从而降低延迟，减少服务器资源，包括网络虚拟化所需的 CPU 和内存。

soft-RoCE 作为技术预览提供

通过融合以太网的远程直接内存访问(RDMA)是一种网络协议，其通过以太网实现 RDMA。soft-RoCE 是 RoCE 的软件实施，它支持两种协议版本：RoCE v1 和 RoCE v2。在 RHEL 8 中，Soft-RoCE 驱动程序 rdma_rxe 作为不受支持的技术预览提供。

VNC 远程控制台作为 64 位 ARM 架构的一个技术预览提供

在 64 位 ARM 架构中,虚拟网络计算(VNC)远程控制台可作为技术预览使用。请注意,在 64 位 ARM 架构中,目前图形堆栈的其它部分没有被验证。

集群感知的 MD RAID1 作为技术预览提供。

默认情况下，在内核空间中不启用 RAID1 集群。如果要尝试使用 RAID1 集群，首先需要构建将 RAID1 集群作为模块的内核，使用以下步骤：

DNSSEC 在 IdM 中作为技术预览提供

带有集成 DNS 的身份管理（IdM）服务器现在支持 DNS 安全扩展（DNSSEC），这是一组增强 DNS 协议安全性的 DNS 扩展。托管在 IdM 服务器上的 DNS 区可以使用 DNSSEC 自动签名。加密密钥是自动生成和轮转的。

身份管理 JSON-RPC API 作为技术预览

一个 API 可用于 Identity Management(IdM)。要查看 API，IdM 还提供了一个 API 浏览器作为技术预览。

Aero 适配器作为技术预览提供

以下 Aero 适配器作为技术预览提供：

Stratis 现在可用

Stratis 是一个新的本地存储管理器。它在存储池的上面为用户提供额外的功能。

OverlayFS

OverlayFS 是一种联合文件系统。它允许您在另一个文件系统上覆盖一个文件系统。更改记录在上面的文件系统中，而较小的文件系统则未修改。这允许多个用户共享文件系统镜像，如容器或 DVD-ROM，基础镜像使用只读介质。详情请查看 Linux 内核文档：https://www.kernel.org/doc/Documentation/filesystems/overlayfs.txt。

现在 ext4 和 XFS 作为技术预览提供文件系统 DAX

在 Red Hat Enterprise Linux 8.0 中，文件系统 DAX 作为技术预览提供。DAX 提供了将持久内存直接映射到其地址空间的方法。要使用 DAX，系统必须有某种可用的持久内存，通常使用一个或多个非线内存模块(NVDIMM)，且必须在 NVDIMM 上创建支持 DAX 的文件系统。另外，该文件系统必须使用 dax 挂载选项挂载。然后，在 dax 挂载的文件系统中的一个文件 mmap 会把存储直接映射到应用程序的地址空间中。

pacemaker podman bundles 作为技术预览

pacemaker 容器捆绑包现在在 podman 容器平台上运行，容器捆绑包功能作为一个技术预览可用。其中一个功能例外于技术预览：红帽完全支持在 Red Hat Openstack 中使用 Pacemaker 捆绑包。

XDP 作为技术预览提供

eXpress Data Path（XDP）功能作为技术预览提供。它提供了在内核入口数据路径早期为高性能数据包处理附加扩展 Berkeley Packet Filter（eBPF）程序的方法，从而可以进行高效的可编程数据包分析、过滤和操作。

用于 tc 的 eBPF 作为技术预览

作为技术预览，流量控制(tc)内核子系统和 tc 工具附加扩展 Berkeley Packet 过滤(eBPF)程序作为数据包分类器，以及用于入口和出站队列规则的操作。这可实现内核网络数据路径内的可编程数据包处理。

AF_XDP 作为技术预览

Address Family eXpress Data Path (AF_XDP) 是设计用于处理高性能数据包。它包含 XDP，并允许通过编程方式将选定的数据包高效地重定向到用户空间应用，以便进一步处理。

KTLS 作为技术预览提供

在 Red Hat Enterprise Linux 8 中，KTLS 是作为技术预览提供的。KTLS 使用内核中的对称加密或者解密算法为 AES-GCM 密码处理 TLS 记录。KTLS 还提供将 TLS 记录加密卸载到支持此功能的网络接口控制器(NIC)的接口。

TIPC 作为技术预览提供

Transparent Inter Process Communication(TIPC)是一种专门为松散配对节点集群内的高效通信而设计的协议。它可作为内核模块使用，并在 iproute2 软件包中提供了一个 tipc 工具，以便设计人员能够快速并可靠地创建与其它应用程序通信的应用程序，而无论它们在集群中的位置。此功能作为技术预览提供。

systemd-resolved 服务现在作为技术预览提供

systemd-resolved 服务为本地应用程序提供名字解析。该服务实现了缓存和验证 DNS stub 解析器、链接本地多播名称解析（LLMNR）以及多播 DNS 解析器和响应程序。

RHEL 系统角色的 postfix 角色作为技术预览

Red Hat Enterprise Linux 系统角色为 Red Hat Enterprise Linux 子系统提供了一个配置界面，这有助于通过包含 Ansible 角色来简化系统配置。这个界面支持在多个 Red Hat Enterprise Linux 版本间管理系统配置，并使用新的主发行版本。

用于 KVM 虚拟机的 AMD SEV

作为技术预览，RHEL 8 为使用 KVM 管理程序的 AMD EPYC 主机引入了安全加密虚拟化(SEV)功能。如果在虚拟机(VM)上启用，SEV 会加密虚拟机内存，因此主机不能访问虚拟机上的数据。如果主机被恶意软件成功损坏，这可以提高虚拟机的安全性。

Intel vGPU

作为技术预览，现在可以将物理 Intel GPU 设备划分为多个虚拟设备（称为 mediated devices）。然后可将这些 mediated devices 分配给多个虚拟机(VM)作为虚拟 GPU。因此,这些虚拟机共享单个物理 Intel GPU 的性能。

IBM POWER 9 上现在可用的嵌套虚拟化

作为技术预览，现在可以使用在 IBM POWER 9 系统上运行的 RHEL 8 主机机器上的嵌套虚拟化功能。嵌套虚拟化使得 KVM 虚拟机(VM)充当虚拟机监控程序，允许在虚拟机内运行虚拟机。

KVM 虚拟化可用于 RHEL 8 Hyper-V 虚拟机

作为技术预览，现在可将嵌套的 KVM 虚拟化用于 Microsoft Hyper-V hypervisor。因此，您可以在运行在 Hyper-V 主机的 RHEL 8 虚拟机中创建虚拟机。

podman-machine 命令不被支持

用于管理虚拟机的 podman-machine 命令仅作为技术预览提供。相反，请直接从命令行运行 Podman。

ignoredisk Kickstart 命令的 --interactive 选项已被弃用

在以后的 Red Hat Enterprise Linux 版本中使用 --interactive 选项会导致严重安装错误。建议您修改 Kickstart 文件删除该选项。

弃用了一些 Kickstart 命令和选项

使用 RHEL 8 Kickstart 文件中的以下命令和选项会在日志中显示警告信息。

禁用了 NFSv3 over UDP

默认情况下，NFS 服务器不再默认在 User Datagram Protocol(UDP)套接字上打开或监听。这个变化只影响 NFS 版本 3，因为版本 4 需要传输控制协议(TCP)。

elevator 内核命令行参数已弃用

在之前的 RHEL 版本中使用 elevator 内核命令行参数为所有设备设置磁盘调度程序。在 RHEL 8 中，该参数已弃用。

VDO 软件包中的 VDO Ansible 模块

VDO Ansible 模块目前由 vdo RPM 软件包提供。在以后的发行版本中，VDO Ansible 模块将移到 Ansible RPM 软件包中。

在 RHEL 8 中已弃用网络脚本

网络脚本在 Red Hat Enterprise Linux 8 中已弃用，且不再默认提供。基本安装提供了 ifup 和 ifdown 脚本的新版本，它们通过 nmcli 工具调用 NetworkManager 服务。在 Red Hat Enterprise Linux 8 中，要运行 ifup 和 ifdown 脚本，NetworkManager 必须正在运行。

rdma_rxe Soft-RoCE 驱动程序已被弃用

软件直接内存通过融合以太网(Soft-RoCE)（也称为 RXE）是模拟远程直接内存访问(RDMA)的功能。在 RHEL 8 中，Soft-RoCE 功能作为一个不受支持的技术预览提供。但是，由于稳定性问题，此功能已被弃用，并将在 RHEL 9 中删除。

在 RHEL 8 中弃用 DSA

数字签名算法(DSA)在 Red Hat Enterprise Linux 8 中被视为已弃用。依赖于 DSA 密钥的身份验证机制在默认配置中不起作用。请注意，即使使用系统范围的LEGACY加密策略级别中，OpenSSH客户端都不接受 DSA 主机密钥。

在 NSS中弃用了SSL2 Client Hello

传输层安全(TLS)协议版本 1.2 及更早版本允许以向后兼容安全套接字层(SSL)协议版本 2 的方式与 客户端 Hello 消息进行协商。网络安全服务(NSS)库中对这个功能的支持已被弃用，默认是禁用的。

TLS 1.0 和 TLS 1.1 已弃用

TLS 1.0 和 TLS 1.1 协议在 DEFAULT 系统范围的加密策略级别被禁用。如果需要使用启用的协议，如 Firefox 网页浏览器中的视频检查程序，把系统范围的加密策略切换到 LEGACY 级别：

RHEL 8 不支持虚拟机快照

当前创建虚拟机(VM)快照的机制已经被弃用，因为它无法可靠工作。因此，建议在 RHEL 8 中使用虚拟机快照。

Cirrus VGA 虚拟 GPU 类型已弃用

随着 Red Hat Enterprise Linux 的主要更新，Cirrus VGA GPU 设备将在 KVM 虚拟机中不再被支持。因此,，红帽建议您使用 stdvga、virtio-vga 或者 qxl 设备而不是 Cirrus VGA。

virt-manager 已被弃用

虚拟机管理器（也称 virt-manager） 已弃用。RHEL 8 web 控制台（也称 Cockpit ）旨在在以后的版本中成为它替换。因此，建议您使用 web 控制台使用 GUI 管理虚拟化。但是，在 Red Hat Enterprise Linux 8.0 中，一些功能只能从 virt-manager 或命令行访问。

无法使用 session_recording shell 登录到 RHEL web 控制台

目前，对于启用了 tlog 记录的用户，RHEL web 控制台登录会失败。RHEL web 控制台要求用户的 shell 存在于 /etc/shells 目录中，以允许成功登录。但是，如果将 tlog-rec-session 添加到 /etc/shells 中，则记录的用户可以通过使用 "chsh" 工具将 shell 从 tlog-rec-session 改为 /etc/shells 中的另一个 shell 来禁用记录。因此，红帽不推荐将 tlog-rec-session 添加到 /etc/shells 中。

auth 和 authconfig Kickstart 命令需要 AppStream 软件仓库

auth 和 authconfig Kickstart 命令在安装过程中需要 authselect-compat 软件包。如果没有这个软件包，如果使用了 auth 或 authconfig，则安装会失败。但根据设计，authselect-compat 软件包只包括在 AppStream 仓库中。

xorg-x11-drv-fbdev,xorg-x11-drv-vesa 和 xorg-x11-drv-vmware 视频驱动程序不会被默认安装

带有特定类型 NVIDIA 图形卡和带有特定 AMD 加速处理单元的工作站不会在 RHEL 8.0 服务器安装后显示图形登录窗口。

使用 reboot --kexec 命令安装失败

当使用包含 reboot --kexec 命令的 Kickstart 文件时，RHEL 8 安装会失败。要避免这个问题，请在 Kickstart 文件中使用 reboot 命令而不是 reboot --kexec。

将 Binary DVD.iso 文件的内容复制到分区会省略 .treeinfo 和 .discinfo 文件

在本地安装过程中，当将 RHEL 8 Binary DVD.iso 镜像文件的内容复制到分区时，cp <path>/\* <mounted 分区>/dir 命令中的 * 无法复制 .treeinfo 和 .discinfo 文件。成功安装时需要这些文件。因此，BaseOS 和 AppStream 软件仓库不会被加载，在 anaconda.log 文件中与 debug 相关的日志消息是问题的唯一记录。

Anaconda 安装包括最小资源设置要求的低限制

Anaconda 以最少的资源设置在系统中启动安装，并且不要提供有关成功执行安装所需的资源的先前消息警告。因此，安装可能会失败，输出错误不会为可能的调试和恢复提供清晰的信息。要临时解决这个问题，请确保系统具有安装所需的最少资源设置：2GB 内存在 PPC64(LE)和 1GB on x86_64 上。因此，应该可以成功执行安装。

reboot --kexec 和 inst.kexec 命令不提供可预测的系统状态

使用 reboot --kexec Kickstart 命令或 inst.kexec 内核引导参数执行 RHEL 安装不会提供与完全重启相同的可预期系统状态。因此，在不重启的情况下切换安装的系统可能会导致无法预计的结果。

i40iw 模块不会在引导时自动载入

由于许多 i40e NIC 不支持 iWarp，并且 i40iw 模块没有全面支持 suspend/resume，因此此模块默认不会自动加载，以确保暂停/恢复正常工作。要临时解决这个问题，请手动编辑 /lib/udev/rules.d/90-rdma-hw-modules.rules 文件，以启用 i40iw 的自动负载。

当很多设备被连接时，系统有时会变得无响应

当 Red Hat Enterprise Linux 8 配置大量设备时，系统控制台中会出现大量控制台信息。例如，当存在大量逻辑单元号(LUN)时，每个 LUN 都有多个路径。除了内核正在执行的其他工作外，控制台消息的激增可能会导致内核监视功能强制出现内核 panic，因为内核似乎处于挂起状态。

KSM 有时会忽略 NUMA 内存策略

当内核共享内存(KSM)功能通过 merge_across_nodes=1 参数启用时，KSM 会忽略 mbind（）函数设置的内存策略，并且可能会将某些内存区域的页面合并到与策略不匹配的非一致性内存访问(NUMA)节点。

qede 驱动程序挂起 NIC 并使其不可用

由于一个错误，41000 和 45000 QLogic 系列 NIC 的 qede 驱动程序可能会导致固件升级和调试数据收集操作失败，并使 NIC 不可用或处于挂起状态，直到主机重新引导（PCI 重置）使 NIC 再次正常运行。

radix 树符号被添加到 kernel-abi-whitelists

在 Red Hat Enterprise Linux 8 中的 kernel-abi-whitelists 软件包中添加了以下 radix 树符号：

Podman 无法检查 RHEL 8 中的容器

Checkpoint 和 Restore in Userspace(CRIU)软件包的版本在 Red Hat Enterprise Linux 8 中已经过时。因此，CRIU 不支持容器检查点和恢复功能，podman 实用程序无法检查点容器。在运行 podman container checkpoint 命令时，会显示以下出错信息：'checkpointing a container requires at least CRIU 31100'

如果在 dracut.conf中使用 add_dracutmodules+=earlykdump 选项，则 early-kdump 和标准的 kdump 会失败

目前，在为 early-kdump 安装的内核版本和为其生成的内核版本 initramfs 之间会发生不一致。因此，启用了 early-kdump 的引导会失败，early-kdump 会失败。另外，如果 early-kdump 检测到它包含在标准 kdump initramfs 镜像中，它会强制退出。因此，如果将 early-kdump 作为默认的 dracut 模块添加，则标准的 kdump 服务在尝试重建 kdump 时也会失败。因此，early-kdump 和标准 kdump 都会失败。要临时解决这个问题，请不要在 dracut.conf 文件中添加 add_dracutmodules+=earlykdump 或任何等同的配置。因此，dracut 默认不包含 early-kdump，这可以防止问题的发生。但是，如果需要 early-kdump 镜像，则必须手动创建它。

Debug 内核无法在 RHEL 8 的崩溃捕获环境中引导

由于 debug 内核的内存需求特性，会在使用 debug 内核并触发内核 panic 时出现问题。因此，调试内核无法作为捕获内核引导，而是生成一个堆栈追踪。要临时解决这个问题，相应地增大崩溃内核内存。因此，debug 内核可以在崩溃捕获环境中成功引导。

当使用 fadump 时，网络接口被重命名为 kdump-<interface-name>

当固件辅助转储(fadump)用来捕获 vmcore ，并使用 SSH 或 NFS 协议将其保存到远程机器时，如果 <interface-name> 是通用的，则网络接口被重命名为 kdump-<interface-name>。这是因为初始 RAM 磁盘(initrd)中的 vmcore 捕获脚本在网络接口名称中添加 kdump- 前缀来保护持久性命名。同一 initrd 也用于常规引导，因此生产内核的接口名称也会更改。

在非 root 用户下运行 yum list 会导致 YUM 崩溃

当在 libdnf 软件包已更新后在非 root 用户下运行 yum list 命令时，YUM 可能会意外终止。如果您碰到这个 bug，请在 root 下运行 yum list 来解决此问题。因此，在非 root 用户下后续尝试运行 yum list 不再会导致 YUM 崩溃。

默认情况下，YUM v4 跳过不可用的软件仓库

YUM v4 默认为所有存储库的"skip_if_unavailable=True"设置。因此，如果所需的存储库不可用，则不会在安装、搜索或更新操作中考虑存储库中的软件包。因此，即使不存在存储库，某些 yum 命令和基于 yum 的脚本也会成功使用退出代码 0。

nslookup 和 host 实用程序会忽略递归不可用的名称服务器的回复

如果配置了名称服务器，且递归不能用于名称服务器，则 nslookup 和 host 工具会忽略来自此类名称服务器的回复，除非它是最后配置的那个。如果是上次配置的名称服务器，即使没有 递归可用 标志，也会接受答案。但是，如果最后配置的域名服务器无法响应或者无法访问，名字解析会失败。

绑定了 net-snmp 软件包的 Python 不可用

Net-SNMP 工具套件不为 Python 3 提供绑定，这是 RHEL 8 中默认的 Python 实现。因此,RHEL 8 不提供 python-net-snmp、python2-net-snmp 或 python3-net-snmp 软件包。

调试模式中的 systemd 生成不必要的日志消息

调试模式中的 systemd 系统和服务管理器会生成不必要的日志消息，其开头如下：

带有 KEYBD 陷阱字节字符的 ksh

当启用 KEYBD 陷阱时，Korn Shell(KSH)无法正确处理多字节字符。因此，当用户输入日语字符时，ksh 显示一个不正确的字符串。要临时解决这个问题，注释掉以下行，在 /etc/kshrc 文件中禁用 KEYBD 陷阱：

数据库服务器无法并行安装

由于 RPM 软件包冲突，RHEL 8.0 中无法并行安装 mariadb 和 mysql 模块。

mod_cgid 日志记录中的问题

如果在线程多处理模块(MPM)下使用 mod_cgid Apache httpd 模块（这是 RHEL 8 中的默认情况），则会出现以下日志问题：

IO::Socket::SSL Perl 模块不支持 TLS 1.3

TLS 1.3 协议的新功能（如会话恢复或后握验证）是在 RHEL 8 OpenSSL 库中实现的，但未在 Net::SSLeay Perl 模块中实现，因此在 IO::Socket::SSL Perl 模块中不可用。因此，客户端证书身份验证可能会失败，重新建立会话可能比 TLS 1.2 协议慢。

生成的 Scala 文档不可读取

使用 scaladoc 命令生成文档时，因为缺少 JavaScript 资源，生成的 HTML 页面将无法使用。

QXL 无法在基于 Wayland 的虚拟机上工作

qxl 驱动程序无法在特定系统管理程序上提供内核模式设置功能。因此，使用 qxl 的虚拟机(VM)不支持基于 Wayland 协议的图形，基于 Wayland 的登录屏幕也不会启动。

运行 systemctl isolate multi-user.target时不会显示控制台提示符

当在 GNOME 桌面会话中运行 systemctl isolate multi-user.target 命令时，只会显示光标，而不是控制台提示符。要临时解决这个问题，请按 Ctrl+Alt+F2 键。因此，会出现控制台提示符。

X.Org 上运行的桌面在更改为低屏幕分辨率时挂起

将 GNOME 桌面与 X.Org 显示服务器搭配使用时，如果您尝试将屏幕分辨率更改为低值，桌面将变得无响应。要临时解决这个问题，请不要将屏幕分辨率设置为小于 800 x 600 像素的值。

radeon 无法正确重置硬件

radeon 内核驱动程序目前没有在 kexec 上下文中正确重置硬件。相反，radeon 无法工作，从而导致剩余的 kdump 服务失败。

使用 ARP 链接监控器时备份从 MII 状态不起作用

默认情况下，由 i40e 驱动程序管理的设备进行源修剪，这会丢弃具有源 Media Access Control(MAC)地址与其中一个接收过滤器匹配的数据包。因此，在通道绑定中使用地址解析协议(ARP)监控时，备份介质独立接口(MII)状态将无法正常工作。要临时解决这个问题，请使用以下命令禁用源修剪：

在某些情况下，HP NMI watchdog 不会生成崩溃转储

HP NMI watchdog 的 hpwdt 驱动程序有时无法声明由 HPE watchdog 计时器生成的不可屏蔽中断(NMI)，因为 NMI 被 perfmon 驱动程序使用。

KCM 凭证缓存不适用于单个凭证缓存中的大量凭证

Kerberos 凭据管理器(KCM)可以处理最多 64 kB 的 ccache 大小。如果它包含太多凭证，Kerberos 操作（如 kinit ）会失败，因为用于在 sssd-kcm 组件和底层数据库间传输数据的缓冲区存在硬编码限制。

更改 /etc/nsswitch.conf 需要手动重启系统

对 /etc/nsswitch.conf 文件的任何更改（例如运行 authselect select profile_id 命令）都需要重启系统，以便所有相关进程使用更新版本的 /etc/nsswitch.conf 文件。如果无法重新启动系统，请重新启动将您的系统加入 Active Directory 的服务，即 系统安全服务后台程序 (SSSD)或 winbind。

冲突的超时值阻止 SSSD 连接到服务器

与 System Security Services Daemon(SSSD)使用的故障转移操作相关的一些默认超时值相互冲突。因此，为 SSSD 与单个服务器进行通信的超时值会阻止 SSSD 在连接操作超时前尝试其他服务器。要临时解决这个问题，请设置 ldap_opt_timeout 超时参数的值，高于 dns_resolver_timeout 参数的值，并设置 dns_resolver_timeout 参数的值高于 dns_resolver_op_timeout 参数的值。

SSSD 只能查找 ID 覆盖中的唯一证书

当多个 ID 覆盖包含同一证书时，系统安全服务守护进程(SSSD)将无法解析与证书匹配的用户的查询。尝试查找这些用户不会返回任何用户。请注意，通过使用用户名或 UID 查找用户可以正常工作。

SSSD 无法正确处理具有相同优先级的多个证书匹配规则

如果给定证书与多个具有相同优先级的证书匹配规则匹配，系统安全服务守护进程(SSSD)只使用其中一个规则。作为临时解决方案，请使用单个证书匹配规则，该规则 LDAP 过滤器由与 | （或）运算符串联的单独规则的过滤器组成。有关证书匹配规则的示例，请参阅 sss-certamp(5)man page。

SSSD 为本地用户返回不正确的 LDAP 组成员资格

如果系统安全服务守护进程(SSSD)从本地文件为用户提供服务，则文件提供商不包含来自其他域的组成员资格。因此，如果本地用户是 LDAP 组的成员，id local_user 命令不会返回用户的 LDAP 组成员资格。要临时解决这个问题，可以恢复系统在 /etc/nsswitch.conf 文件中查找用户的组成员资格的数据库的顺序，将 sss files 替换为 files sss，或隐式禁用 files 域，方法是添加

如果 sudo 规则引用组名称，则 sudo 规则可能无法用于 id_provider=ad

在 initgroups 操作过程中，系统安全服务守护进程(SSSD)不会解析 Active Directory 组名称，因为使用缓存优化了 AD 和 SSSD 之间的通信。缓存条目仅包含安全标识符(SID)，在按名称或 ID 请求组之前，不包含组名称。因此，sudo 规则与 AD 组不匹配，除非在运行 sudo 之前完全解析了这些组。

RHEL 8 中已更改了 systemd-user 的默认 PAM 设置，这可能会影响 SSSD 行为

Red Hat Enterprise Linux 8 中更改了可插拔验证模块(PAM)堆栈。例如，systemd 用户会话现在使用 systemd -user PAM 服务启动 PAM 对话。此服务现在递归包含 system-auth PAM 服务，其中可能包括 pam_sss.so 接口。这意味着始终调用 SSSD 访问控制。

IdM 服务器在 FIPS 中无法工作

由于 Tomcat 的 SSL 连接器实现不完整，装有证书服务器的身份管理(IdM)服务器在启用了 FIPS 模式的机器上无法正常工作。

使用 sss ID 映射插件时，Samba 拒绝访问

要将 Samba 用作加入 Active Directory(AD)域的 RHEL 主机上的文件服务器，必须运行 Samba Winbind 服务，即使 SSSD 用于管理 AD 中的用户和组。如果您使用 realm join --client-software=sssd 命令加入域，或者在此命令中未指定 --client-software 参数，则 realm 仅创建 /etc/sssd/sssd.conf 文件。当您使用此配置在域成员上运行 Samba 并添加使用 sss ID 映射后端到 /etc/samba/smb.conf 文件以共享目录的配置时，ID 映射后端的更改可能会导致错误。因此，Samba 在某些情况下拒绝访问文件，即使存在用户或组且 SSSD 已知的。

nuxwdog 服务在 HSM 环境中失败，且需要在非 HSM 环境中安装 keyutils 软件包

nuxwdog watchdog 服务已集成到证书系统中。因此，nuxwdog 不再作为单独的软件包提供。要使用 watchdog 服务，请安装 pki-server 软件包。

仅可在 IdM CLI 中添加 AD 用户的 ID 覆盖

目前，将 Active Directory(AD)用户的 ID 覆盖添加到 Identity Management(IdM)组中，以便在 IdM Web UI 中授予对管理角色的访问权限。要临时解决这个问题，请使用 IdM 命令行界面(CLI)。

在 IdM 中启用 AD 信任时，没有显示有关所需 DNS 记录的信息

当通过外部 DNS 管理启用对 Red Hat Enterprise Linux Identity Management(IdM)安装中的 Active Directory(AD)信任时，不会显示有关所需 DNS 记录的信息。只有添加所需的 DNS 记录后，林信任才会成功。要临时解决这个问题，请运行 'ipa dns-update-system-records --dry-run' 命令，以获取 IdM 所需的所有 DNS 记录列表。当 IdM 域的外部 DNS 定义所需的 DNS 记录时，有可能建立对 AD 的林信任。

对 ldap_id_use_start_tls 选项使用默认值时的潜在风险

当使用没有 TLS 的 ldap:// 进行身份查找时，可能会对攻击向量构成风险。特别是中间人(MITM)攻击，例如，攻击者可以通过更改 LDAP 搜索中返回的对象的 UID 或 GID 来冒充用户。

GCC confuse SystemTap 生成的复合功能

GCC 优化可以为其他函数的部分内嵌副本生成复合函数。SystemTap 和 GDB 等工具无法区分这些复合函数和实际功能。因此，SystemTap 可以在复合和真实功能入口点上放置探测，从而为单个实际函数调用注册多个探测命中。

ltrace 工具不报告函数调用

由于改进了应用于所有 RHEL 组件的二进制强化，ltrace 工具无法再检测 RHEL 组件的二进制文件中的功能调用。因此，ltrace 输出为空，因为在用于此类二进制文件时，其不报告任何检测到的调用。目前还没有可用的临时解决方案。

无法使用 iscsiuio 软件包发现 iSCSI 目标

Red Hat Enterprise Linux 8 不允许并发访问 PCI 寄存器区域。因此，无法设置主机 net 参数(err 29)错误，到发现门户的连接会失败。要临时解决这个问题，请在内核命令行中设置 iSCSI 卸载的内核参数 iomem=relaxed。这专门涉及使用 bnx2i 驱动程序进行卸载。因此，到发现门户的连接现在是成功的，iscsiuio 软件包现在可以正常工作。

迁移到不同的终端平台后，VDO 卷会丢失重复数据删除建议

Virtual Data Optimizer(VDO)以您的平台原生的 endian 格式写入通用重复数据删除服务(UDS)索引标头。如果您将 VDO 卷移至使用其他 endian 的平台，VDO 会考虑 UDS 索引损坏，并使用新的空白索引覆盖它。

XFS DAX 挂载选项与共享写时复制数据扩展不兼容

使用共享写时复制数据扩展功能格式化的 XFS 文件系统与 -o dax 挂载选项不兼容。因此，使用 -o dax 挂载这样的文件系统会失败。

某些 SCSI 驱动程序有时可能会使用过多的内存

某些 SCSI 驱动程序使用的内存比 RHEL 7 中的内存更大。在某些情况下，比如在光纤通道主机总线适配器(HBA)上创建 vPort，内存用量可能会过大，具体取决于系统配置。

nftables 不支持多组 IP 设置类型

nftables 数据包过滤框架不支持设置具有串联和间隔的类型。因此，您无法使用带有 nftables 的多维 IP 设置类型，如 hash:net,port。

iptables-extensions(8)man page 中的 TRACE 目标不参考 the nf_tables 变体

iptables-extensions(8) 手册页中 TRACE 目标的描述只指向 compat 变体，但 Red Hat Enterprise Linux(RHEL)8.0 使用 nf_tables 变体。RHEL 中的基于 nftables的 iptables 实用程序在内部使用 meta nftrace 表达式。因此，内核不会在内核日志中打印 TRACE 事件，而是将它们发送到用户空间。但是，man page 不引用 xtables-monitor 命令行实用程序来显示这些事件。

RHEL 8 在交换机在长时间不可用后显示 802.3ad 绑定的状态为"Churned"

目前，当您配置 802.3ad 网络绑定并且交换机长时间停机时，Red Hat Enterprise Linux 会正确地将绑定的状态显示为"Churned"，即使连接返回到工作状态后也是如此。但是，这是预期的行为，因为"Churned"状态旨在告知管理员发生了重大链接中断。要清除此状态，请重新启动网络绑定或重新引导主机。

ebtables 命令不支持 broute 表

Red Hat Enterprise Linux 8.0 中的 nftables-based ebtables 命令不支持 broute 表。因此，用户无法使用这个功能。

当禁用 GRO 时，IPsec 网络流量在 IPsec 卸载过程中失败

当在该设备中禁用通用接收 Offload（GRO）时，IPsec 卸载将不会正常工作。如果在一个网络接口中配置了 IPsec 卸载，且在该设备中禁用 GRO，IPsec 网络流量会失败。

NetworkManager 现在默认使用 内部 DHCP 插件

NetworkManager 支持 internal 和 dhclient DHCP 插件。默认情况下, Red Hat Enterprise Linux(RHEL)7 中的 NetworkManager 使用 dhclient，RHEL 8 使用 internal 插件。在某些情况下，插件的行为不同。例如： dhclient 可以使用在 /etc/dhcp/ 目录里指定的附加设置。

不能使用 gnome-control-center更改 基于 IPsec 的 VPN 高级选项

当使用 gnome-control-center 应用程序配置 基于 IPsec 的 VPN 连接时，高级 对话框将仅显示配置，但不允许进行任何更改。因此，用户无法更改任何高级 IPsec 选项。要临时解决这个问题，请使用 nm-connection-editor 或 nmcli 工具来执行高级属性的配置。

/etc/hosts.allow 和 /etc/hosts.deny 文件包含不准确的信息

在 Red Hat Enterprise Linux(RHEL)8 中删除 tcp_wrappers 软件包，但不删除其文件 /etc/hosts.allow 和 /etc/hosts.deny。因此，这些文件包含过时的信息，不适用于 RHEL 8。

在网络流量过载下，IP 碎片整理无法持续

在 Red Hat Enterprise Linux 8 中，垃圾回收内核线程已被删除，IP 片段仅在超时后过期。因此，在 Denial of Service(DoS)下的 CPU 使用率低得多，且最大可持续发展片段丢弃率会受到为 IP 回配单元配置的内存量的限制。使用默认设置工作负载需要存在数据包丢弃的碎片流量时，数据包重新排序或多个并发碎片流可能会发生相关的性能回归。

RHEL 8 中的网络接口名称更改

在 Red Hat Enterprise Linux 8 中，默认使用与 RHEL 7 相同的一致的网络设备命名方案。但是，有些内核驱动程序，如 e1000e、nfp、qede、sfc、tg3 和 bnxt_en 在 RHEL 8 的新安装中更改了它们的一致性名称。但是，名称会在从 RHEL 7 升级时保留。

libselinux-python 只能通过其模块提供

libselinux-python 软件包只包含用于开发 SELinux 应用程序的 Python 2 绑定，它用于向后兼容。因此，通过 dnf install libselinux-python 命令，默认的 RHEL 8 软件仓库不再提供 libselinux-python。

libssh 不遵循系统范围的加密策略

libssh 库不遵循系统范围的加密策略设置。因此，当管理员使用 update-crypto-policies 命令更改 crypto 策略级别时，支持的算法集合不会被改变。

某些 rsyslog 优先级字符串无法正常工作

对于允许对加密进行精细控制的 imtcp 的 GnuTLS 优先级字符串的支持并不完整。因此，以下优先级字符串无法在 rsyslog 中正常工作：

默认日志设置在性能上的负面影响

默认日志环境设置可能会消耗 4 GB 内存甚至更多，当 systemd-journald 使用 rsyslog 运行时，速率限制值的调整会很复杂。

OpenSCAP rpmverifypackage 无法正常工作

rpmverifypackage 探测调用 chdir 和 chroot 系统调用两次。因此，在使用自定义 Open Vulnerability 和评估语言(OVAL)内容的 OpenSCAP 扫描中使用探测时会出现错误。

SCAP Workbench 无法从定制的配置集生成基于结果的补救方法

当尝试使用 SCAP Workbench 工具从自定义配置文件生成基于结果的补救角色时，会发生以下错误：

Kickstart 在 RHEL 8 中使用 org_fedora_oscap 而不是 com_redhat_oscap

Kickstart 将 Open Security Content Automation Protocol(OSCAP)Anaconda 附加组件引用为 org_fedora_oscap 而不是 com_redhat_oscap，这可能会导致混乱。这样做可以保持与 Red Hat Enterprise Linux 7 的向后兼容性。

OpenSCAP rpmverifyfile 无法正常工作

OpenSCAP 扫描程序无法以脱机模式正确更改当前工作目录，并且不使用 OpenSCAP rpmverifyfile 探测中的正确参数调用 fchdir 功能。因此，如果在 SCAP 内容中使用 rpmverifyfile_test，则使用一个 oscap-chroot 命令扫描任意文件系统会失败。因此，在上述场景中，oscap-chroot 中止。

OpenSCAP 不提供虚拟机和容器的离线扫描

重构 OpenSCAP 代码库会导致某些 RPM 探测无法在离线模式下扫描虚拟机和容器文件系统。因此，以下工具已从 openscap-utils 软件包中删除： oscap-vm 和 oscap-chroot。另外，opens cap-containers 软件包已被完全删除。

不提供容器安全和合规性扫描的实用程序

在 Red Hat Enterprise Linux 7 中，oscap-docker 工具可用于根据原子技术扫描 Docker 容器。在 Red Hat Enterprise Linux 8 中，Docker 和 Atomic 相关的 OpenSCAP 命令不可用。因此，RHEL 8 当前无法使用, oscap-docker 或等同的工具用于容器的安全性和合规性扫描。

OpenSSL TLS 库不会检测到 PKCS#11 令牌是否支持创建原始 RSA 或 RSA-PSS 签名

TLS-1.3 协议需要支持 RSA-PSS 签名。如果 PKCS#11 令牌不支持 raw RSA 或 RSA-PSS 签名，使用 OpenSSL TLS 库的服务器应用程序将无法使用 RSA 密钥（如果 PKCS#11 令牌持有）。因此，TLS 通信将失败。

如果 Apache httpd 使用存储在 PKCS#11 设备和 RSA-PSS 证书中的 RSA 私钥，则无法启动

PKCS#11 标准不会区分 RSA 和 RSA-PSS 密钥对象，并为这两者使用 CKK_RSA 类型。但是，OpenSSL 将不同类型的用于 RSA 和 RSA-PSS 密钥。因此，openssl-pkcs11 引擎无法决定为 OpenSSL 提供 PKCS#11 RSA 密钥对象的类型。目前，引擎会将所有 PKCS#11 CKK_RSA 对象的密钥类型设置为 RSA 密钥。当 OpenSSL 将从证书获得的 RSA-PSS 公钥的类型与引擎提供的 RSA 私钥对象中包含的类型进行比较时，则得出不同类型的结果。因此，证书和私钥不匹配。X509_check_private_key（） OpenSSL 函数中执行的检查在此场景中返回一个错误。httpd Web 服务器在其启动过程中调用此功能，以检查提供的证书和密钥是否匹配。由于对包含 RSA-PSS 公钥和 PKCS#11 模块中存储的 RSA-PSS 公钥和 RSA 私钥的证书进行这个检查总会失败，所以 httpd 无法开始使用此配置。这个问题没有可用的临时解决方案。

如果 httpd 使用 ECDSA 私钥，且未存储在 PKCS#11 设备中的对应公钥，则 httpd 无法启动

与 RSA 密钥不同，ECDSA 私钥不一定包含公钥信息。在这种情况下，您无法从 ECDSA 私钥获取公钥。因此，PKCS#11 设备将公钥信息存储在单独的对象中，无论是公钥对象还是证书对象。OpenSSL 期望引擎提供的 EVP_PKEY 结构用于存放公钥信息的私钥。填写要提供给 OpenSSL 的 EVP_PKEY 结构时，openssl-pkcs11 软件包中的引擎会尝试仅从匹配的公钥对象获取公钥信息，并忽略当前的证书对象。

OpenSSH 无法正确处理不匹配标签的密钥的 PKCS #11 URI

OpenSSH 套件可以通过标签识别密钥对。该标签可能会在保存在智能卡中的私钥和公钥上有所不同。因此，使用对象部分（密钥标签）指定 PKCS #11 URI 可以阻止 OpenSSH 在 PKCS #11 中查找适当的对象。

iptables-ebtables 输出不与 ebtables 100% 兼容

在 RHEL 8 中，ebtables 命令由 iptables-ebtables 软件包提供，该软件包包含一个基于 nftables 的工具的重新实现。此工具具有不同的代码库，其输出在诸多方面有偏差，这些代码可忽略或谨慎设计选择。

OpenSSH 中默认不支持 curve25519-sha256

OpenSSH 客户端和服务器的系统范围的加密策略配置中缺少 curve25519-sha256 SSH 密钥交换算法，即使它符合默认的策略级别。因此，如果客户端或服务器使用 curve25519-sha256 且主机不支持这个算法，则连接可能会失败。

OpenSSL 错误处理 PKCS #11 tokens 不支持原始 RSA 或 RSA-PSS 签名

OpenSSL 库不会检测到 PKCS #11 令牌的与键相关的功能。因此，当使用不支持原始 RSA 或 RSA-PSS 签名的令牌创建签名时，建立 TLS 连接会失败。

与 VMware 托管系统的 SSH 连接无法正常工作

OpenSSH 套件的当前版本在 SSH 数据包中引入了对默认 IP 服务质量(IPQoS)标记的更改，这是 VMware 虚拟化平台无法正确处理的。因此，无法与 VMware 上的系统建立 SSH 连接。

没有打印成功设置和取消设置 服务级别的消息

当 candlepin 服务没有"syspurpose"功能时，订阅管理器会使用不同的代码路径来设置 service-level 参数。这个代码路径不会打印操作的结果。因此，当订阅管理器设置了服务级别时，不会显示任何信息。当 service-level 集有拼写错误或不可用时，这尤其成问题。

syspurpose addons 对 subscription-manager attach --auto 输出没有影响。

在 Red Hat Enterprise Linux 8 中，添加了 syspurpose 命令行工具的四个属性：role、usage、service_level_agreement 和 addons目前，只有 role、usage 和 service_level_agreement 会影响到运行 subscription-manager attach --auto 命令的输出。试图为 addons 参数设置值的用户不会观察到对自动附加的订阅有任何影响。

ESXi 虚拟机使用 cloud-init 自定义并克隆的启动非常慢

目前，如果 cloud-init 服务用于修改在 VMware ESXi 管理程序上运行的虚拟机(VM)，以使用静态 IP，然后克隆虚拟机，则新的克隆虚拟机在某些情况下需要很长时间才能重新引导。这是因为 cloud-init 将虚拟机的静态 IP 重写为 DHCP，然后搜索可用的数据源。

启用嵌套虚拟化阻止实时迁移

目前，嵌套虚拟化功能与实时迁移不兼容。因此，在 RHEL 8 主机上启用嵌套虚拟化会阻止从主机迁移任何虚拟机(VM)，并保存虚拟机状态快照到磁盘。

使用 cloud-init 在 Microsoft Azure 上置备虚拟机会失败

目前，无法使用 cloud-init 工具在 Microsoft Azure 平台上置备 RHEL 8 虚拟机(VM)。要临时解决这个问题，请使用以下方法之一：

第二代 RHEL 8 虚拟机有时无法在 Hyper-V Server 2016 主机上引导

当使用 RHEL 8 作为在 Microsoft Hyper-V Server 2016 主机上运行的虚拟机(VM)中的客户机操作系统时，虚拟机在某些情况下无法引导，并返回到 GRUB 引导菜单。另外，会在 Hyper-V 事件日志中记录以下错误：

virsh iface-\* 命令无法一致性地工作

因为配置的依赖关系，目前virsh iface-* 命令（如 virsh iface-start 和 virsh iface-destroy 会经常失败。因此，建议您不要使用 virsh iface-\* 命令配置和管理主机网络连接。反之，使用 NetworkManager 程序及其相关管理程序。

Azure 的 Linux 虚拟机扩展有时无法正常工作

默认情况下，RHEL 8 不包含 python2 软件包。因此，在某些情况下，在 RHEL 8 虚拟机上为 Azure 运行 Linux 虚拟机扩展（也称为 azure-linux-extensions ）会失败。

redhat-support-tool 不从 opencase中自动收集 sosreport

redhat-support-tool 命令无法创建 sosreport 归档。要临时解决这个问题，请单独运行 sosreport 命令，然后输入 redhat-support-tool addattachment -c 命令以上传归档或在客户门户网站中使用 Web UI。因此，会创建一个问题单并上传 sosreport。