Anaconda 被 rebase 到版本 33.16

在这个版本中，Anaconda 被 rebase 到版本 33.16。与上一个版本相比，这个版本提供以下显著改进。

RHEL 安装程序中的 GUI 更改

RHEL 安装程序现在在安装概述窗口中包括以下用户设置：

镜像构建器后端 osbuild-composer 替换 lorax-composer

osbuild-composer 后端替换 lorax-composer。新服务为镜像构建提供 REST API。因此，用户可从更可靠的后端及更可预测的输出镜像中受益。

镜像构建器 osbuild-composer 支持一组镜像类型

借助 osbuild-composer 后端替换，当前 osbuild-composer 支持的以下镜像类型组：

镜像构建器 现在支持通过 GUI 推送到云

在这个版本中，在创建镜像时，用户可以通过 GUI Image Builder 选择推送到 Azure 和 AWS 服务云的选项。因此，用户可更容易地进行上传及安装。

RHEL for Edge 镜像

在这个版本中，您可以为 Edge 服务器创建自定义 RHEL 镜像。

best dnf 配置选项地默认值从 True 该为 False

有了这个更新，默认配置文件中的 best dnf 配置选项的值被设置为 True，以保留原始的 dnf 行为。因此，对于使用默认配置文件的用户来说，行为不会改变。

dnf reposync 命令的新 --norepopath 选项 现在可用

在以前的版本中, reposync 命令默认为每个下载的仓库在 --download-path 目录下创建一个子目录。在这个版本中，引进了一个 --norepopath 选项，reposync 不会创建子目录。因此，仓库会直接下载到 --download-path 指定的目录中。YUM v3 中也有这个选项。

启用和禁用 libdnf 插件的能力

在以前的版本中，订阅检查被写死到 libdnf 插件的 RHEL 版本。有了这个更新，microdnf 工具可以启用和禁用 libdnf 插件，现在可以以与 DNF 相同的方式禁用订阅检查。要禁用订阅检查，请使用 --disableplugin=subscription-manager 命令。要禁用所有插件，请使用 --noplugins 命令。

ReaR 更新

RHEL 8.3 对 Relax-and-Recover (ReaR) 工具程序引入了大量的更新。主要变更包括：

smartmontools rebase 到版本 7.1

smartmontools 软件包已升级至版本 7.1，提供多个程序错误修复和增强。主要变更包括：

opencryptoki rebase 到版本 3.14.0

opencryptoki 软件包升级至 3.14.0 版本，提供多个程序错误修复和增强。主要变更包括：

gpgme 被 rebase 到版本 1.13.1。

gpgme 软件包已升级到上游版本 1.13.1。主要变更包括：

powertop rebase 到版本 2.12

powertop 软件包已升级到 2.12 版本。2.11 版本的显著变化包括：

tuned rebase 到版本 2.14.0

tuned 软件包已升级到上游版本 2.14.0。主要改进包括：

tcpdump rebase 到版本 4.9.3

tcpdump 工具已更新至版本 4.9.3 ，以修复常见漏洞和风险(CVE)。

libpcap rebase 到版本 1.9.1

libpcap 软件包已更新至版本 1.9.1 ，以修复常见漏洞和风险(CVE)。

iperf3 现在在客户端支持 sctp 选项

有了这个增强，用户可以在测试网络吞吐量的客户端使用流控制传输协议(SCTP)而不是传输控制协议(TCP)。

iperf3 现在支持 SSL

有了这个增强，用户可以在客户端和服务器之间使用 RSA 身份验证，将到服务器的连接限制为合法客户端。

bind rebase 到 9.11.20

bind 软件包已升级到版本 9.11.20，它提供了多个 bug 修复和增强。主要变更包括：

增加了一个新的 optimize-serial-console TuneD 配置集，通过降低 printk 值来减小到串口控制台的 I/O

在这个版本中，包括了一个新的 optimize-serial-console TuneD 配置集。在某些情况下，内核驱动程序可将大量 I/O 操作发送到串口控制台。在将 I/O 写入串口控制台时，这种行为可能会导致系统临时无响应。optimize-serial-console 配置集通过把 printk 的值从默认的 7 4 1 7 改为 4 4 1 7 来减少了这类 I/O具有串行控制台的用户如果希望在自己的系统中进行此更改，则可按如下方式检测其系统：

为基于 AMD 的平台添加新的 TuneD 配置集

在 RHEL 8.3 中, throughput-performance TuneD 配置集被更新为包括基于 AMD 的平台的性能优化。不需要手动更改任何参数，它会在 AMD 系统中自动应用调整。AMD Epyc Naples 和─ Rome 系统在默认的 throughput-performance 配置集中修改以下参数：

memcached rebase 到版本 1.5.22

memcached 软件包已升级至 1.5.22 版本。与以前版本相比的显著变化包括：

Cyrus SASL 现在支持使用 SASL/GSSAPI 和 SASL/GSS-SPNEGO 插件的通道绑定

在这个版本中增加了对 SASL/GSSAPI 和 SASL/GSS-SPNEGO 插件的通道绑定的支持。因此，当在 openldap 库中使用时，此功能使 Cyrus SASL 能够保持与 Microsoft Active Directory 和 Microsoft Windows 系统的兼容性和访问权限，它们为 LDAP 连接引入了强制通道绑定。

Libreswan rebase 到 3.32

在这个版本中，Libreswan 基于上游版本 3.32，其中包括几个新功能和程序错误修复。主要特性包括：

libssh 程序库已更新至 0.9.4 版本

使用 SSH 协议的 libssh 库已升级至 0.9.4 版本。

gnutls rebase 到 3.6.14

gnutls 软件包已更新至上游版本 3.6.14。这个版本提供很多程序错误的修正和增强，最重要的是：

gnutls FIPS DH 检查现在与 NIST SP 800-56A rev 一致。3

这个对 gnutls 软件包的更新提供了 NIST Special Publication 800-56A Revision 3，第 5.7.1.1 和 5.7.1.2 节，第 2 步所需的检查。对于将来的 FIPS 140-2 认证，需要进行修改。因此，在以 FIPS 模式操作时，在 Diffie-Hellman 密钥交换过程中，gnutls 现在只接受 2048 位或 来自 RFC 7919 和 RFC 3526 的更大的参数。

gnutls 现在根据 NIST SP 800-56A rev 3 执行验证

这个对 gnutls 软件包的更新添加了 NIST Special Publication 800-56A Revision 3，第 5.6.2.2.2 和 5.6.2.1.3 节，第 2 步所需的检查。这为将来的 FIPS 140-2 认证进行准备 gnutls。因此，在使用 FIPS 模式操作时，gnutls 在 Diffie-Hellman 密钥交换过程中为生成和接收的公钥执行额外的验证步骤。

update-crypto-policies 和 fips-mode-setup 移动到 crypto-policies-scripts 中

update-crypto-policies 和 fips-mode-setup 脚本以前包括在 crypto-policies 软件包中，现在它们被移到一个单独的 RPM 软件包 crypto-policies-scripts 中。软件包通过推荐对常规安装的依赖关系自动安装。这可让 ubi8/ubi-minimal 镜像避免出现 Python 语言解释器，从而减少镜像大小。

OpenSC rebase 到版本 0.20.0

opensc 软件包已更新为 0.20.0 版本，它解决了多个程序错误和安全问题。主要变更包括：

stunnel 被 rebase 到版本 5.56

在这个版本中, stunnel 加密打包程序更新到上游社区版本 5.56，其中包括几个新功能和程序错误修复。主要特性包括：

libkcapi rebased 到版本 1.2.0

libkcapi 软件包更新到上游版本 1.2.0，它包括了较小的修改。

setools rebase 到版本 4.3.0

setools 软件包是设计用于进行 SELinux 策略分析的工具集合，已升级到 4.3.0 版本。

单个 CephFS 文件和目录现在可以有 SELinux 标签

Ceph 文件系统(CephFS)最近启用了在文件的扩展属性中存储 SELinux 标签。在以前的版本中，CephFS 卷中的所有文件都有一个通用标签 system_u:object_r:cephfs_t:s0。在这个改进中，您可以更改单个文件的标签，SELinux 根据过渡规则定义新创建的文件标签。请注意，之前未标记的文件仍旧有 system_u:object_r:cephfs_t:s0 标签，直到显式更改为止。

OpenSCAP rebase 到版本 1.3.3

openscap 软件包已升级到上游版本 1.3.3，与之前的版本相比它提供了很多 bug 修复和增强，最重要的是：

SCAP 安全指南现在提供了一个与 CIS RHEL 8 Benchmark v1.0.0 一致的配置集。

在这个版本中, scap-security-guide 软件包提供了一个与 CIS Red Hat Enterprise Linux 8 Benchmark v1.0.0 一致的配置集。这个配置可让您使用互联网安全中心(CIS)提供的指南强化系统配置。因此，您可以使用 CIS Ansible Playbook 和 CIS SCAP 配置集配置并自动化 RHEL 8 系统与 CIS 的合规性。

scap-security-guide 现在提供了一个可以实现 HIPAA 的配置集

这个 scap-security-guide 软件包更新在 RHEL 8 安全合规内容中增加了 Health Insurance Portability and Accountability Act (HIPAA) 配置集。此配置集实施 HIPAA 隐私规则网站上的建议。

scap-security-guide rebase 到 0.1.50

scap-security-guide 软件包（包含 Linux 系统的最新安全策略集合）已升级至版本 0.1.50。

SCAP Workbench 现在可以根据定制的配置集生成基于结果的补救方法。

在这个版本中，您可以使用 SCAP Workbench 工具从定制的配置集生成基于结果的补救角色。

新的 Ansible 角色提供 Clevis 客户端的自动部署

这个 rhel-system-roles 软件包的更新引入了 nbde_client RHEL 系统角色。这个 Ansible 角色允许您自动部署多个 Clevis 客户端。

新的 Ansible 角色现在可以设置 Tang 服务器

在这个改进中，您可以使用新的 nbde_server 系统角色部署和管理 Tang 服务器作为自动磁盘加密解决方案的一部分。nbde_server Ansible 角色包含在 rhel-system-roles 软件包中，它支持以下功能：

clevis rebase 到版本 13

clevis 软件包升级至版本 13，提供多个程序错误修复和增强。主要变更包括：

Clevis luks edit 可让您编辑特定的 pin 配置

这个 clevis 软件包更新引进了新的 clevis luks edit 子命令，可让您编辑特定的 pin 配置。例如，您现在可以更改 Tang 服务器的 URL 地址和 TPM2 配置中的 pcr_ids 参数。您还可以添加和删除新 sss pin 并更改 sss pin 的阈值。

clevis luks bind -y 现在允许自动绑定

在这个版本中，Clevis 支持使用 -y 参数自动绑定。现在，可以将 -y 选项与 clevis luks bind 命令一同使用，该命令可使用 yes 自动回答后续提示。例如，在使用 Tang pin 时，您不再需要手动信任 Tang 密钥。

fapolicyd rebase 为版本 1.0

fapolicyd 软件包已改为版本 1.0,它提供多个程序错误修复和增强。主要变更包括：

fapolicyd 现在在 fapolicyd-selinux中提供自己的 SELinux 策略

在这个版本中，fapolicyd 框架提供了自己的 SELinux 安全策略。守护进程被限制在 fapolicyd_t 域下，并通过 fapolicyd-selinux 子软件包安装该策略。

USBGuard rebase 到版本 0.7.8

usbguard 软件包被更新到版本 0.7.8，它提供多个程序错误修复和增强。主要变更包括：

USBGuard 为企业桌面用户提供很多改进

这个对 USBGuard 项目的增加包含了增强和 bug 修复，以提高企业桌面用户的可用性。主要变更包括：

USBGuard 现在在 usbguard-selinux 中提供自己的 SELinux 策略

在这个版本中, USBGuard 框架提供了自己的 SELinux 安全策略。该守护进程限制在 usbguard_t 域下，并通过 usbguard-selinux 子软件包安装该策略。

libcap 现在支持不同的能力

在这个版本中，用户可以在登录时授予不固定的功能，并避免具有适当配置的进程的 root 访问权限。

libseccomp 库已更新到 2.4.3 版本

libseccomp 库为 seccomp 系统调用过滤机制提供了一个界面，它已升级到 2.4.3 版本。

omamqp1 模块现在被支持

有了这个版本更新，AMQP 1.0 协议支持将消息发送到总线上的目的地。在以前的版本中，Openstack 使用 AMQP1 协议作为通信标准，此协议现在可以在 AMQP 信息中记录信息。这个更新引进了 rsyslog-omamqp1 子软件包，来交付 omamqp1 输出模式，它会记录消息并将其发送到总线上的目的地。

OpenSCAP 压缩远程内容

有了这个更新，OpenSCAP 使用 gzip 压缩来传输远程内容。最常见的远程内容类型是基于文本的 CVE 提要，其大小随着时间的推移而增加，通常每次扫描都必须下载。gzip 压缩将带宽降至未压缩内容所需带宽的 10%。因此，这就降低了扫描系统和托管远程内容的服务器之间的整个链的带宽要求。

SCAP 安全指南现在提供了一个与 NIST-800-171 一致的配置集

有了这个更新，scap-security-guide 软件包提供了一个与 NIST-800-171 标准一致的配置文件。该配置文件使您能够根据非联邦信息系统中受控的未机密信息(CUI)的安全要求来强化系统配置。因此，您可以更轻松地配置系统，使其与 NIST-800-171 标准一致。

IPv4 和 IPv6 连接跟踪模块已合并到 nf_conntrack 模块

这个功能将 nf_conntrack_ipv4 和 nf_conntrack_ipv6 Netfilter 连接跟踪模块合并到 nf_conntrack 内核模块中。由于这个变化，将特定于地址系列的模块列入黑名单不再适用于 RHEL 8.3 ，您只能将 nf_conntrack 模块列入黑名单，以禁用对 IPv4 和 IPv6 协议的连接跟踪支持。

firewalld 升级到版本 0.8.2

firewalld 软件包已升级到上游版本 0.8.2，它修复了几个程序错误。详情请查看 firewalld 0.8.2 发行注记。

NetworkManager rebase 到版本 1.26.0

NetworkManager 软件包升级至上游版本 1.26.0，它提供了大量的改进和程序错误修复：

XDP 被有条件地支持

只有满足以下条件时，红帽才支持 eXpress Data Path（XDP）功能：

部分支持 xdp-tools

现在，AMD 和 Intel 64 位构架上支持 xdp-tools 软件包，其包含内核 eXpress Data Path(XDP)功能的用户空间支持工具。这包括 libxdp 库、用于加载 XDP 程序的 xdp-loader 工具，以及用于数据包过滤的 xdp-filter 示例程序。请注意，从启用了 XDP 的网络接口捕获数据包的 xdpdump 工具还是一个技术预览。(BZ#1820670)

dracut 工具默认在初始 RAM 磁盘中使用 NetworkManager

在以前的版本中，dracut 程序使用 shell 脚本管理初始 RAM 磁盘 initrd 中的网络功能。在某些情况下，这可能会造成问题。例如, NetworkManager 会发送另一个 DHCP 请求,即使 RAM 磁盘中的脚本已经请求了一个 IP 地址,这可能导致超时。

内核命令行中的网络配置已整合到 ip 参数下

在内核命令行中设置网络配置的 ipv6、netmask、gateway 和 hostname 参数已整合到 ip 参数下。ip 参数接受不同的格式，如下所示：

RHEL 8.3 中的内核版本

Red Hat Enterprise Linux 8.3 带有内核版本 4.18.0 240。

RHEL 8.3 的扩展 Berkeley Packet 过滤器

Extended Berkeley Packet Filter(eBPF) 是一个内核中的虚拟机,允许在可访问有限功能的受限沙箱环境中在内核空间中执行代码。虚拟机执行类特殊的装配代码。

Cornelis 网络 Omni-Path 架构(OPA)主机软件

Red Hat Enterprise Linux 8.3 完全支持 Omni-Path Architecture（OPA）主机软件。OPA 为在集群环境中的计算和 I/O 节点之间的高性能数据传输（高带宽、高消息率、低延迟）提供主机 Fabric Interface（HFI）硬件初始化和设置。

现在默认禁用 TSX

从 RHEL 8.3 开始，内核会默认禁用 Intel® Transactional Synchronization Extensions（TSX） 技术以提高 OS 的安全性。此更改适用于支持禁用 TSX 的 CPU，包括第二代 Intel® Xeon® Scalable Processors（以前被称为 Cascade Lake with Intel® C620 Series Chipsets）。

RHEL 8.3 现在支持页面所有者跟踪功能

在这个版本中，您可以使用页面所有者跟踪功能来观察内存在页面分配级别的使用情况。

现在支持 EDAC for AMD EPYC™ 7003 系列处理器

此增强为 AMD EPYC™ 7003 系列处理器提供了错误检测和修正(EDAC)设备支持。在以前的版本中，修正的(CE)和未修正(UE)内存错误不会在基于 AMD EPYC™ 7003 系列处理器的系统上报告。在这个版本中，会使用 EDAC 来报告这些错误。

Flamegraph 支持 perf 工具

在这个版本中，perf 命令行工具支持 flamegraphs 来生成系统性能的图形化表示。perf 数据被分组成带有类似堆栈后端的样本。因此，这些数据被转换为可视化表示，以便更容易地识别计算密集型代码区域。要使用 perf 工具生成 flamegraph，请执行以下命令：

/dev/random 和 /dev/urandom 现在由 Kernel Crypto API DRBG 有条件地开机

在 FIPS 模式中，/dev/random 和 /dev/urandom 伪随机数生成器由 Kernel Crypto API Deterministic Random Bit Generator(DRBG)提供支持。FIPS 模式中的应用程序使用上述设备作为 FIPS 兼容的 noise 源，因此设备必须使用 FIPS 批准的算法。为了达到这个目的，需要在 /dev/random 驱动中添加了必需的 hook。因此，hook 在 FIPS 模式中被启用，并导致 /dev/random 和 /dev/urandom 连接到 Kernel Crypto API DRBG。

libbpf 完全支持

现在，完全支持 libbpf 软件包，它对于 bpftrace 和 bpf/xdp 开发很重要。

lshw 工具现在提供额外的 CPU 信息

在这个改进中, List Hardware utility (lshw) 会显示更多 CPU 信息。CPU version 项现在以数字格式提供系统处理器的家族、模型和步骤，格式为version: <family>.<model>.<stepping>

kernel-rt 源树已更新至 RHEL 8.3 树

kernel-rt 源已更新为使用最新的 Red Hat Enterprise Linux 内核源树。实时补丁集也更新至最新的上游版本 v5.6.14-rt7。这两个更新都提供很多程序错误修正和增强。

tpm2-tools rebase 到版本 4.1.1

tpm2-tools 软件包已升级至版本 4.1.1 ，其提供了大量命令添加、更新和删除。如需了解更多详细信息，请参阅 在 RHEL8.3 中更新到 tpm2-tools 软件包 解决方案。

Mellanox ConnectX-6 Dx 网络适配器现已获得全面支持

在这个版本中，Mellanox ConnectX-6 Dx 网络适配器的 PCI ID 被添加到 mlx5_core 驱动中。在使用这个适配器的主机上，RHEL 会自动加载 mlx5_core 驱动程序。此功能以前作为技术预览提供，现在在 RHEL 8.3 中被完全支持。

mlxsw 驱动程序 rebase 到版本 5.7

mlxsw 驱动程序 升级至上游版本 5.7，包括以下新功能：

崩溃内核现在为 kdump 扩展内存保留

有了这个增强，crashkernel=auto 参数会在具有 4GB 内存到 64GB 内存容量的机器上保留更多的内存。在以前的版本中，由于内存保留的有限，随着内核空间和用户空间内存的扩展，崩溃内核无法捕获崩溃转储。因此，崩溃内核会出现内存不足(OOM)错误。这个更新有助于减少上述场景中 OOM 错误的发生，并为 kdump 相应地扩展内存容量。

LVM 现在可以管理 VDO 卷

LVM 现在支持 Virtual DataOptimizer(VDO)片段类型。现在，您可以使用 LVM 工具创建和管理 VDO 卷作为原生 LVM 逻辑卷。

SCSI 堆栈现在可以更好地用于高性能适配器

SCSI 堆栈的性能有所提高。因此，在 RHEL 上，下一代高性能主机总线适配器(HBA)能够带来更高的 IOPS（每秒 I/O）。

megaraid_sas 驱动已更新至最新版本

megaraid_sas 驱动已更新为版本 07.713.01.00-rc1。这个版本提供了几个与改进性能、支持 MegaRAID 适配器的稳定性以及更丰富的功能集相关的程序错误修复和增强。

stratis 现在根据错误列出池名称

当您试图在现有 Stratis 池已经使用的块设备中创建 Stratis 池时，stratis 程序现在会报告现有池的名称。在以前的版本中，实用程序只列出池的 UUID 标签。

FPIN ELS 框架通知支持

lpfc 光纤通道(FC)驱动程序现在支持关于链路完整性的光纤性能影响通知(FPIN)，这有助于识别链路级问题，允许交换机选择更可靠的路径。

用于 LVM on-disk 元数据故障排除的新命令

pvck 工具可在 lvm2 软件包中使用，它现在提供低级命令来调试或者救援物理卷中的 LVM on-disk 元数据

LVM RAID 支持 DM 完整性，以防止因为设备中的数据损坏而丢失数据

现在，可以将设备映射器(DM)完整性添加到 LVM RAID 配置中，以防止数据丢失。完整性层探测到设备中的数据崩溃，并警告 RAID 层以在 LVM RAID 中修复损坏的数据。

AWS、Azure 和 Aliyun 公有云上支持弹性存储(GFS2)

随着在三大公有云平台（Amazon(AWS)、Microsoft(Azure)和 Alibaba(Aliyun)）上支持共享块设备的引入，弹性存储(GFS2)现在在这些平台上得到了支持。因此，现在 GFS2 是一个真正的混合云集群文件系统，可选择在内部和公有云中使用。有关在 Microsoft Azure 和 AWS 上配置共享存储的详情，请参考在 Microsoft Azure 上部署 RHEL 8 和 在 Amazon Web Services 上部署 RHEL 8。有关在 Alibaba Cloud 中配置共享存储的详情，请参考在 Alibaba Cloud 上为 Red Hat High Availability Cluster 配置共享存储。

用户空间现在支持最新的 nfsdcld 守护进程

用户空间现在支持最新的 nfsdcld 守护进程，这是唯一的命名空间识别客户端跟踪方法。此增强可确保客户打开或锁定从容器化 knfsd 守护进程中的恢复，而不会造成任何数据崩溃。

nconnect 现在支持多个并发连接

在这个改进中，您可以使用 nconnect 功能创建到 NFS 服务器的多个并发连接，从而允许不同的负载均衡功能。使用 nconnect=X NFS 挂载选择（其中 X 是要使用的并行连接数）启用 nconnect 功能。当前限制为 16。

现在支持用于客户端信息跟踪的 nfsdcld 守护进程

有了这个增强，nfsdcld 守护进程是跟踪稳定存储上每个客户端信息的默认方法。因此，容器中运行的 NFS v4 允许客户端在服务器重启后回收打开或锁定。

pacemaker rebase 到版本 2.0.4

Pacemaker 集群资源管理器已升级到上游版本 2.0.4，它提供了大量的程序错误修复。

新的 priority-fencing-delay 集群属性

Pacemaker 现在支持新的 priority-fencing-delay 集群属性，它允许您配置一个双节点集群，以便在脑裂情况下，运行最少资源的节点是被隔离的节点。

管理多组资源和操作默认配置的新命令

现在可以创建、列出、更改和删除多个资源组和操作默认值。当您创建一组默认值时，您可以指定一个包含 esource 和 op 表达式的规则。例如，这允许您为特定类型的所有资源配置默认值。列出现有默认值的命令现在在输出中包含多个默认值集。

支持标记集群资源

现在可以使用 pcs tag 命令在 Pacemaker 集群中标记集群资源。这个功能允许您使用单个命令管理一组指定的资源。您还可以使用 pcs tag 命令删除或修改资源标签，并显示标签配置。

pacemaker 现在通过降级一个被提升的资源而不是完全停止它来支持恢复

现在，可以在 Pacemaker 集群中配置可升级的资源，这样在对资源执行升级或监控操作失败，或在其中运行资源的分区丢失仲裁时，该资源将被降级，但不会完全停止。

新的 SBD_SYNC_RESOURCE_STARTUP SBD 配置参数，以改进与 Pacemaker 的同步

为了更好地控制 SBD 和 Pacemaker 之间的同步，/etc/sysconfig/sbd 文件现在支持 SBD_SYNC_RESOURCE_STARTUP 参数。当安装了 RHEL 8.3 或更高版本的 Pacemaker 和 SBD 软件包，并使用 SBD_SYNC_RESOURCE_STARTUP=true 配置了 SBD 时，SBD 会联系 Pacemaker 守护进程以了解有关守护进程状态的信息。

新模块流： ruby:2.7

RHEL 8.3 在新的 ruby:2.7 模块流中引入了 Ruby 2.7.1。这个版本对 RHEL 8.1 提供的 Ruby 2.6 版本提供了很多性能改进、程序错误和安全性修复以及新的功能。

新模块流： nodejs:14

现在提供了一个新的模块流 nodejs:14。Node.js 14 包含在 RHEL 8.3 中，与 RHEL 8.1 中的 Node.js 12 相比，提供了大量新功能、错误和安全修复。

git rebase 到版本 2.27

git 软件包已升级到上游版本 2.27。之前发布的 2.18 版本的显著变化包括：

Python的更改

RHEL 8.3 对 python38:3.8 模块流包括以下更改：

新模块流： php:7.4

RHEL 8.3 引入了 PHP 7.4，它比版本 7.3 提供了很多程序错误修复和增强。

新模块流：nginx:1.18

nginx 1.18 网页和代理服务器，与版本 1.16 相比，提供多个程序错误修复、安全修复、新功能以及改进。主要变更包括：

新模块流： perl:5.30

RHEL 8.3 引进了 Perl 5.30，它比之前发布的 Perl 5.26 提供了很多 bug 修复和增强。新版本还会弃用或删除某些语言功能。显著影响变化包括：

新模块流： perl-libwww-perl:6.34

RHEL 8.3 引进了新的 perl-libwww-perl:6.34 模块流，它为 RHEL 8 中的所有 Perl 版本提供 perl-libwww-perl 软件包。从 RHEL 8.0 开始，非 modular perl-libwww-perl 软件包（它不能与 5.26 之间的其它 Perl 流一起使用）已被新的默认 perl-libwww-perl:6.34 stream 弃用。

新模块流： perl-IO-Socket-SSL:2.066

现在提供了一个新的 perl-IO-Socket-SSL:2.066 模块流。这个模块提供 perl-IO-Socket-SSL 和 perl-Net-SSLeay 软件包，并与 RHEL 8 中的所有 Perl 流兼容。

squid:4 模块流恢复到版本 4.11

Squid 代理服务器由 squid:4 模块流提供，已从版本 4.4 升级到 4.11。此发行版本提供多个程序错误和安全修复以及各种增强，如新的配置选项。

httpd:2.4 模块流中的更改

RHEL 8.3 对 Apache HTTP 服务器包括以下显著更改，这些更改可通过 httpd:2.4 模块流提供：

支持从 httpd 中的 CustomLog 指令登录到 journald

现在你可以使用 CustomLog 指令的新选项将 Apache HTTP 服务器的 journald 输出到 journald。

.NET 5 现在包括在 RHEL 中

.NET 5 在 Red Hat Enterprise Linux 7、Red Hat Enterprise Linux 8 和 OpenShift Container Platform 中提供。.NET 5 包括新的语言版本：C# 9 和 F#5.0。基本程序库的性能有显著提高。GC 和 JIT. .NET 5 有单一文件应用程序，用户可以使用一个可执行文件来发布 .NET 应用程序，所有的依赖程序都包括在这个文件中。Red Hat 容器 registry 提供了 .NET 5 的 UBI8 镜像，它们可用于 OpenShift。

新的 GCC 工具集 10

GCC 工具集 10 是提供开发工具最新版本的编译器工具组。它在 AppStream 存储库中以软件集合的形式作为应用程序流提供。

Rust Toolset 被 rebase 到版本 1.45.2

Rust Toolset 已更新至 1.452 版本。主要变更包括：

LLVM Toolset rebase 到版本 10.0.1

LLVM Toolset 升级至版本 10.0.1。在这个版本中，clang-libs 软件包不再包含各个组件库。因此，无法再连接针对它们的应用程序。要根据 clang 库链接应用程序，使用 libclang-cpp.so 软件包。

Go Toolset rebase 到版本 1.14.7

Go Toolset 已经升级至 1.14.7 版，新的变更包括：

SystemTap rebase 到版本 4.3

SystemTap 工具已更新至版本 4.3，提供多个程序错误修复和增强。主要变更包括：

Valgrind 被 rebase 到版本 3.16.0

Valgrind 可执行文件代码分析工具已更新至版本 3.16.0 ，与之前的版本相比，它提供了一些 bug 修复和增强：

elfutils rebase 到版本 0.180

elfutils 软件包更新至 0.180 版本，提供多个程序错误修复和增强。主要变更包括：

GDB 现在支持在 IBM z15 上的进程记录和重新进行

在这个版本中，GNU Debugger（GDB）支持进程记录，并使用 IBM z15 处理器的大部分新指令（以前称为 arch13）进行重播。请注意，当前不支持以下指令：SORTL（排序列表）、DFLTCC（删除转换调用）、KDSA（计算数字签名身份验证）。

在 papi中更新了 Marvell ThunderX2 性能监控事件

在这个版本中，很多特定于 ThunderX2 的性能事件（包括非核事件）已被更新。因此，开发人员可以更好地调查 Marvell ThunderX2 系统的系统性能。

glibc math 库现在为 IBM Z 进行了优化

在这个版本中，libm math 功能进行了优化，可以提高 IBM Z 机器的性能。主要变更包括：

现在提供了额外的特定于 libffi 的临时目录

之前在强化型系统中，系统范围内的临时目录可能没有适合 libffi 库的权限。

提高了 strstr() 和 strcasestr() 的性能

在这个版本中，在几个支持的构架中，strstr() 和 strcasestr() 函数的性能已改进。现在，所有使用字符串和内存操作程序的应用程序性能可以提高用户的性能。

glibc 现在可以正确加载被截断的区域归档

如果之前截断了系统本地的归档，在升级过程中出现断电或磁盘失败，进程可能会在加载归档时意外终止。这个改进为加载语言归档增加了一致性检查。现在，进程可以检测到归档中继并回退到非构架安装的区域或默认的 POSIX 区域。

GDB 现在支持 debuginfod

有了这个增强，GNU Debugger(GDB)现在可以使用 elfutils debuginfod 客户端库按需从集中式服务器下载调试信息软件包。

pcp rebase 到版本 5.1.1-3

pcp 软件包已升级至版本 5.1.1-3。主要变更包括：

grafana rebase 到版本 6.7.3

grafana 软件包已更新至 6.7.3 版本。主要变更包括：

grafana-pcp rebase 到版本 2.0.2

grafana-pcp 软件包已更新至版本 2.0.2。主要变更包括：

新的 rhel8/pcp 容器镜像

rhel8/pcp 容器镜像现在包括在 Red Hat Container Registry 中。镜像包含 Performance Co-Pilot(PCP)工具包，其中包括预安装的 pcp-zeroconf 软件包和 OpenMetrics PMDA。

新的 rhel8/grafana 容器镜像

rhel8/grafana 容器镜像现在包括在 Red Hat Container Registry 中。Grafana 是一个开源实用程序，它带有 metrics dashboard,以及 Graphite、Elasticsearch、OpenTSDB、Prometheus、InfluxDB 和 PCP 监控工具的图形编辑器。

IdM 备份工具现在检查所需的副本角色

ipa-backup 工具现在检查 IdM 集群中使用的所有服务，如证书颁发机构(CA)、域名系统(DNS)和密钥恢复代理(KRA)是否安装在您要运行备份的副本上。如果副本没有安装所有的服务，ipa-backup 程序会以警告方式退出，因为在该主机上进行的备份不足以完全恢复集群。

新的密码过期通知工具

由 ipa-client-epn 软件包提供的过期密码通知(EPN)是一个独立的工具，您可以用来构建密码即将过期的身份管理(IdM)用户的列表。

JSS 现在提供 FIPS 兼容 SSLContext

之前，Tomcat 使用来自 Java 加密架构(JCA)SSLContext 类的 SSLEngine 指令。默认的 SunJSSE 实现不符合联邦信息处理标准(FIPS)，因此 PKI 现在通过 JSS 提供符合 FIPS 的实现。

现在可以使用检查您的公钥基础架构的整体健康状况

有了这个更新，公钥基础架构(PKI) Healthcheck 工具向 RHEL 8.1 中引入的身份管理(IdM) Healthcheck 工具报告 PKI 子系统的健康状况。执行 IdM Healthcheck 会调用 PKI Healthcheck，它会收集并返回 PKI 子系统的健康状况报告。

支持 RSA PSS

在这个版本中，PKI 支持 RSA PSS（安全签名方案）签名算法。

在服务启动时，目录服务器将私钥和证书导出到私有命名空间中

目录服务器使用 OpenLDAP 库进行外部连接，比如复制协议。由于这些库无法直接访问网络安全服务(NSS)数据库，目录服务器会从带有 TLS 加密支持的实例上的 NSS 数据库提取私钥和证书，使 OpenLDAP 库能够建立加密的连接。在以前的版本中，目录服务器将私钥和证书提取到 cn=config 条目（默认为 /etc/dirsrv/slapd-<instance_name>/）中 thensslapd-certdir 参数中设置的目录。因此，Directory 服务器将 Server-Cert-Key.pem 和 Server-Cert.pem 保存在这个目录中。在这个改进中，Directory 服务器提取私钥和证书给 systemd 挂载到 /tmp/ 目录中的专用命名空间。因此，增加了安全性。

如果达到磁盘监控阈值，则目录服务器现在可以将实例切换到只读模式

这个版本在 cn=config 条目中添加 nsslapd-disk-monitoring-readonly-on-threshold 参数。如果您启用这个设置，在启用了磁盘监控且可用磁盘空间低于您在 nsslapd-disk-monitoring-threshold 中配置的值时，Directory 服务器会将所有数据库切换成只读。如果将 nsslapd-disk-monitoring-readonly-on-threshold 设置为 on，则数据库无法修改，直到 Directory 服务器成功关闭该实例。这可以防止数据崩溃。

samba rebase 到版本 4.12.3

samba 软件包升级至上游版本 4.12.3，比之前的版本提供了很多程序错误修复和增强：

cockpit-session-recording rebase 到版本 4

cockpit-session-recording 模块更新到版本 4。此版本提供以下与上一个版本相比的显著变化：

krb5 rebase 到版本 1.18.2

krb5 软件包已升级到上游版本 1.18.2。重要的修复和增强包括：

IdM 现在支持新的 Ansible 管理模块

此更新引入了几个 ansible-freeipa 模块，用于使用 Ansible playbook 自动完成通用身份管理(IdM)任务：

IdM 现在支持新的 Ansible 系统角色来管理证书

身份管理(IdM)支持新的 Ansible 系统角色来自动化证书管理任务。新角色包括以下优点：

身份管理现在支持 FIPS

有了这个增强，您现在可以使用联邦信息处理标准(FIPS)批准的加密类型以及身份管理(IdM)中的验证机制。请注意 IdM 和 Active Directory 间的跨林信任不兼容 FIPS。

idm:DL1 中的 OpenDNSSEC 更新到版本 2.1

idm:DL1 模块流的 OpenDNSSEC 组件已升级至 2.1 版本，这是当前上游支持版本。OpenDNSSEC 是一个开源项目，推动采用域名系统安全扩展(DNSSEC)，以进一步增强互联网安全性。OpenDNSSEC 2.1 提供了一些程序错误修正和增强。如需更多信息，请参阅上游发行注记： https://www.opendnssec.org/archive/releases/

IdM 现在支持弃用的 RC4 密码套件，并使用新的系统范围的加密子策略

这个更新引进了新的 AD-SUPPORT 加密子策略，其启用了身份管理(IdM)中的 Rivest Cipher 4(RC4)密码套件。

根据新的 Microsoft LDAP 频道绑定和 LDAP 签名要求调整

有了最近的 Microsoft 更新，活动目录(AD)将标记不使用 LDAP 通道绑定和 LDAP 签名的默认的 Windows 设置的客户端。因此，使用系统安全服务守护进程(SSSD)直接或间接与 AD 集成的 RHEL 系统，在使用通用安全服务应用程序接口(GSSAPI)的简单认证和安全层(SASL)操作成功后，可能会在 AD 中触发错误事件 ID。

SSSD、adcli 和 realmd 现在支持弃用的 RC4 密码套件（带有新的系统范围加密子策略）

这个更新引进了新的 AD-SUPPORT 加密子策略，为以下工具启用了 Rivest Cipher 4(RC4)密码套件：

authselect 有一个新的 minimal 配置集

authselect 程序有一个新的 minimal 配置集。您可以使用这个配置集直接从系统文件中提供本地用户和组群，而不必使用其它验证供应商。因此，可以安全地删除 SSSD、winbind 和 fprintd，并可在需要最小安装的系统中使用这个配置集保存磁盘和内存空间。

SSSD 现在在轮转密码时更新 Samba 的 secret.tdb 文件

现在，在 RHEL 中提供了 sssd.conf 文件中的 ad_update_samba_machine_account_password 选项。在使用 Samba 时轮转机器的域密码时，您可以使用它设置 SSSD 来自动更新 Samba 的 secrets.tdb 文件。

SSSD 现在默认强制使用 AD GPOs

SSSD 选项 ad_gpo_access_control 的默认设置现在是 enforcing。在 RHEL 8 中，SSSD 默认根据活动目录组策略对象(GPO)强制实施访问控制规则。

目录服务器现在支持 the pwdReset 操作 属性

此增强为目录服务器增加了对 pwdReset 操作属性的支持。当管理员更改用户的密码时，目录服务器在用户的条目中将 pwdReset 设为 true。因此，应用可以使用此属性来识别管理员是否重置了用户的密码。

目录服务器现在在 RESULT 条目中记录工作和操作时间

有了这个更新，目录服务器现在在 '/var/log/dirsrv/slapd-<instance_name>/access 文件的 RESULT 的条目 中记录两个额外的时间值：

单应用程序会话现在可用

您现在可以在单一应用程序会话中启动 GNOME，也称 kiosk 模式。在这个会话中，GNOME 只显示一个您配置的应用程序的完整屏幕窗口。

tigervnc 被 rebase 到版本 1.10.1

tigervnc 套件已 rebase 到版本 1.10.1。该更新包含大量修复及改进。最值得注意的是：

支持新图形卡

现在完全支持以下图形卡：

使用 Nvidia Volta 和 Turing 进行硬件加速

nouveau 图形驱动程序现在支持使用 Nvidia Volta 和 Turing GPU 家族的硬件加速。因此，使用 3D 图形的桌面和应用程序现在可以在 GPU 上有效显示。另外，这可以为其他任务释放 CPU，并改进整个系统的响应。

减少 XWayland 的显示测试

XWayland 显示后端现在启用 XPresent 扩展。使用 XPresent，应用程序可以有效地更新其窗口内容，从而减少显示瓶颈。

现在支持 Intel Tiger Lake GPU

在这个版本中，增加了对 Intel Tiger Lake 系列 GPU 的支持。这包括带有以下 CPU 型号的 Intel UHD 图形和 Intel Xe GPU：https://ark.intel.com/content/www/us/en/ark/products/codename/88759/tiger-lake.html。

从 web 控制台会话中设置权限

在这个版本中，web 控制台提供了一个在管理访问和用户会话内部限制访问之间进行切换的选项。您可以在 web 控制台会话中点击 Administration access 或 Limited access 指示器来在模式间切换。

日志搜索改进

在这个版本中,Web 控制台引入了一个搜索框,支持用户在日志间搜索的一些新方法。搜索框支持日志消息中的正则表达式搜索,指定服务或使用特定日志字段搜索条目。

概述页面显示更详细的 Insights 报告

在这个版本中，当机器连接到 Red Hat Insights 时，Web 控制台的 Overview 页面中的 Health 卡会显示更多有关点击次数及其优先级的详细信息。

为 RHEL 系统角色添加Terminal log 角色

在这个版本中,rhel-system-roles 软件包附带的 RHEL 系统角色添加了一个新的 Terminal log (TLOG)角色。用户现在可以使用 tlog 角色通过 Ansible 来设置和配置会话记录。

RHEL Logging 系统角色现在可用于 Ansible

使用日志记录系统角色，您可以在本地和远程主机上部署各种日志记录配置。您可以将 RHEL 主机配置为服务器，以从多个客户端系统中收集日志。

rhel-system-roles-sap 完全支持

以前作为技术预览提供 rhel-system-roles-sap 软件包现已获得全面支持。它为 SAP 提供 Red Hat Enterprise Linux(RHEL)系统角色,可用于自动化 RHEL 系统配置以运行 SAP 工作负载。这些角色通过自动应用基于相关 SAP 备注中最佳实践的优化设置,大大减少了将系统配置为运行 SAP 工作负载的时间。访问只限制为 RHEL for SAP Solutions。如果需要帮助，请联络红帽客户支持团队。

现在，为 Ansible 提供了 metrics RHEL 系统角色。

使用 metrics RHEL 系统角色，您可以为本地和远程主机配置：

rhel-system-roles-sap 已升级

rhel-system-roles-sap 软件包已升级到上游版本 2.0.0，它提供多个程序错误修复和增强。主要变更包括：

存储 RHEL 系统角色现在支持文件系统管理

有了这个增强，管理员可以使用 存储 RHEL 系统角色来：

现在，将虚拟机迁移到不兼容 TSC 设置的主机会失败

在以前的版本中，将虚拟机迁移到带有不兼容时间戳计数器(TSC)设置的主机会在过程后期失败。在这个版本中，尝试这样的迁移会在迁移过程开始前产生一个错误。

对第二代 AMD EPYC 处理器的虚拟化支持

在这个版本中。RHEL 8 的虚拟化增加了对第二代 AMD EPYC 处理器的支持，也称 EPYC Rome。因此，在 RHEL 8 中托管的虚拟机现在可以使用 EPYC-Rome CPU 模型，并使用处理器提供的新功能。

新命令： virsh iothreadset

这个版本引进了 virsh iothreadset 命令，可用于配置动态 IOThread 轮询。这样就可以为 I/O 高负载设置虚拟机，从而减少 IOThread 消耗的 CPU 消耗。具体选项请查看 virsh man page。

目前 KVM 在第 10 代 Intel 核心处理器中支持 UMIP

有了这个更新，KVM 现在支持在第 10 代 Intel Core 处理器（也称为 Ice Lake Server）上运行的主机的用户模式指令预防(UMIP)功能。UMIP 功能会发布一个常规保护意外，当 Current Privilege Level（CPL）大于 0，特定指令，如 sgdt、sidt、sldt、smsw 和 str 是否会执行。因此，UMIP 通过防止未授权应用访问某些系统范围的设置来确保系统安全性，这些设置可用于发起特权升级攻击。

libvirt 库现在支持 Memory Bandwidth Allocation

libvirt 现在支持内存带宽分配(MBA)。使用 MBA,您可以使用 <cputune> 部分中的 <memorytune> 元素在 vCPU 线程中分配主机内存带宽的部分。

RHEL 6 虚拟机现在支持 Q35 机器类型

在 RHEL 8 上托管的使用 RHEL 6 作为客户机操作系统的虚拟机(VM)，现在可以使用 Q35，这是一个更加现代的基于 PCI Express 的机器类型。这为虚拟设备的特性和性能提供了各种改进,并确保更广泛的现代设备与 RHEL 6 虚拟机兼容。

所有日志记录的 QEMU 事件现在都有一个时间戳。因此，用户可以使用保存在 /var/log/libvirt/qemu/ 目录中的日志更轻松地对虚拟机进行故障排除。

QEMU 日志现在包含 spice-server 事件的时间戳

现在支持 bochs-display 设备

RHEL 8.3 及之后的版本引入了 Bochs 显示设备，其比当前使用的 stdvga 设备更安全。请注意，与 bochs-display 兼容的所有虚拟机(VM)都将默认使用它。这主要包括使用 UEFI 接口的虚拟机。

为虚拟机优化 MDS 保护

有了这个更新，RHEL 8 主机可以通知其虚拟机(VM)它们是否容易受到 Microarchitectural Data Sampling (MDS)的攻击。不易受攻击的虚拟机不使用 MDS 来提高性能。

现在支持在 RBD 中创建 QCOW2 磁盘镜像

在这个版本中，可以在 RADOS Block Device(RBD)存储中创建 QCOW2 磁盘镜像。因此，虚拟机可以使用 QCOW2 镜像来使用 RBD 服务器进行存储后端。

最大支持的 VFIO 设备增加到 64

在这个版本中，您可以将使用 VFIO 的 64 个 PCI 设备附加到 RHEL 8 主机上的单个虚拟机。RHEL 8.2 及之前的版本为 32。

现在 QEMU/KVM 支持discard 和 write-zeroes 命令

在这个版本中，QEMU/KVM 支持 virtio-blk 的 discard 和 write-zeroes 命令。因此，虚拟机可以使用 virtio-blk 设备丢弃 SSD 中未使用的扇区，并在空闲或者全部填充零扇区。这可用于提高 SSD 性能或确保驱动器安全清除。

RHEL 8 现在支持 IBM POWER 9 XIVE

这个版本引进了对 IBM POWER9 到 RHEL 8 的 External Interrupt Virtualization Engine（CRCE）功能的支持。因此，在 IBM POWER 9 系统中的 RHEL 8 管理程序中运行的虚拟机可以使用 XIVE，这会提高 I/O 密集型虚拟机的性能。

控制组 v2 虚拟机支持

在这个版本中，libvirt 套件支持控制组 v2。因此，在 RHEL 8 中托管的虚拟机可以利用控制组 v2 的资源控制功能。

现在 Windows 虚拟机支持半虚拟 IPI

有了这个更新，hv_ipi 标志已添加到支持的 Windows 虚拟机(VM)的管理程序亮点中。这允许通过超调用发送处理器间中断(IPI)。因此，在运行 Windows OS 的虚拟机上可以更快地执行 IPI。

现在可以使用启用磁盘缓存迁移虚拟机

在这个版本中，RHEL 8 KVM 管理程序与磁盘缓存实时迁移兼容。因此，现在可以在启用了磁盘缓存的情况下实时迁移虚拟机。

现在非特权会话中的虚拟机可以使用 macvtap 接口

现在，虚拟机(VM)可以使用之前由特权进程创建的 macvtap 接口。值得注意的是,这可让 libvirtd 非特权 user 会话启动的虚拟机使用 macvtap 界面。

虚拟机现在可以使用 Intel 核心处理器 10 代的功能

Icelake-Server 和 Icelake-Client CPU 模型名称现在可用于虚拟机（VM）。在有第 10 代 Intel Core 处理器的主机上,使用 Icelake-Server 或 Icelake-Client 作为虚拟机 XML 配置中的 CPU 类，,生成这些 CPU 的新功能，可向虚拟机公开。

QEMU 现在支持 LUKS 加密

在这个版本中，可以使用 Linux Unified Key Setup(LUKS)加密来创建虚拟磁盘。在创建存储卷时，您可以通过在虚拟机（VM）XML 配置中包含 <encryption> 字段来加密磁盘。您还可以通过在 XML 配置文件中的磁盘域定义中包含 <encryption> 字段，让 LUKS 加密的虚拟磁盘对虚拟机完全透明。

改进了 nbdkit的日志

nbdkit 服务日志记录已被修改为减少冗长。因此，nbdkit 只记录潜在的重要信息，virt-v2v 转换过程中创建的日志会比较短且更容易解析。

提高了虚拟机 SELinux 安全标签和权限的一致性

在这个版本中，libvirt 服务可以记录和文件的 SELinux 安全标签和权限，并在修改文件后恢复标签。例如，使用 libguestfs 工具修改特定用户拥有的虚拟机（VM）磁盘镜像不再将镜像所有者更改为 root。

QEMU 现在在 XTS 密码中使用 gcrypt 程序库

在这个版本中，QEMU 模拟器已被修改为使用 gcrypt 库提供的 XTS 密码模式实现。这提高了主机存储使用 QEMU 的原生 luks 加密驱动程序的虚拟机的 I/O 性能。

Windows Virtio 驱动程序现在可以使用 Windows 更新来更新

在这个版本中，QEMU 启动时会默认启动一个新的标准 SMBIOS 字符串。SMBIOS 字段提供的参数可生成虚拟机上运行的虚拟硬件 ID。因此，Windows Update 可以识别虚拟硬件和 RHEL hypervisor 机器类型，并更新运行 Windows 10+、Windows Server 2016 和 Windows Server 2019+ 的虚拟机上的 Virtio 驱动程序。

新命令： virsh guestinfo

在 RHEL 8.3 中引进了 virsh guestinfo 命令。这样便可报告有关虚拟机(VM)的以下信息：

KVM 支持用于 BFLOAT16 输入的 VNNI

有了这个更新，支持 BFLOAT16 输入（也称为 AVX512_BF16 指令）的 Vector Neural Network Instructions(VNNI)现在也被运行在第 3 代 Intel Xeon 可扩展处理器（也称为 Cooper Lake）上的主机的 KVM 所支持。因此，客户机软件现在可以使用虚拟机内的 AVX512_BF16 指令，方法是在虚拟 CPU 配置中启用它。

新命令： virsh pool-capabilities

RHEL 8.3 引进了 virsh pool-capabilities 命令选项。此命令显示主机上可用于创建存储池以及每个池中的存储卷的信息。这包括：

支持带有 Intel Xeon Platinum 9200 系列处理器的虚拟机中的 CPUID.1F

在这个版本中，在 RHEL 8 中托管的虚拟机可以使用多层的虚拟 CPU 拓扑进行配置，该拓扑使用 Extended Topology Enumeration leaf feature（CPUID.1F）。Intel Xeon Platinum 9200 系列处理器（以前称为 Cascade Lake）支持这个功能。现在,在使用 Intel Xeon Platinum 9200 系列处理器的主机上，可以创建一个带有主机物理 CPU 拓扑的 vCPU 拓扑。

虚拟机现在可以使用 Intel Xeon 可扩展处理器三代功能

Cooperlake CPU 模型名称现在可用于虚拟机(VM)。使用 Cooperlake 作为虚拟机的 XML 配置中的 CPU 类型，使第三代 Intel Xeon 可扩展处理器的新功能可提供给虚拟机（如果主机使用此 CPU）。

KVM 现在支持 Intel Optane 持久性内存

在这个版本中，在 RHEL 8 中托管的虚拟机可从 Intel Optane 持久内存技术（之前称为 Intel Crystal Ridge）中受益。Intel Optane 持久内存存储设备提供数据中心级别的持久内存技术，这可以显著提高事务吞吐量。

虚拟机现在可以使用 Intel 处理器 Trace

在这个版本中，在 RHEL 8 中托管的虚拟机（VM）可以使用 Intel Processor Trace（PT）功能。当您的主机使用支持 Intel PT 的 CPU 时，您可以使用指定的 Intel 软件来收集有关虚拟机 CPU 性能的各种指标。请注意，这还需要在虚拟机 XML 配置中启用 intel-pt 功能。

DASD 设备现在可以分配给 IBM Z 中的虚拟机

直接访问的存储设备(DASD)提供很多特定的存储功能。使用 vfio-ccw 功能，您可以将 DASD 作为中介设备分配给 IBM Z 主机上的虚拟机(VM)。例如，这可以使虚拟机访问 z/OS 数据集，或者与 z/OS 机器共享分配的 DASD。

IBM Z 支持 IBM Secure Execution

当使用 IBM Z 硬件来运行 RHEL 8 主机时，您可以通过为虚拟机配置 IBM Secure Execution 来提高虚拟机（VM）的安全性。IBM Secure Execution（也称 Protected Virtualization）可防止主机系统访问虚拟机的状态和内存内容。

cloud-utils-growpart rebase 为 0.31

cloud-utils-growpart 软件包已更新至版本 0.31，它提供多个程序错误修复和增强。主要变更包括：

skopeo 容器镜像现已正式发布

registry.redhat.io/rhel8/skopeo 容器镜像是 skopeo 软件包的容器化实施。skopeo 工具是一个命令行工具，可以对容器镜像和镜像存储库执行各种操作。此容器镜像允许您检查 registry 中的容器镜像，从 registry 中移除容器镜像，并将容器镜像从一个未经身份验证的容器 registry 复制到另一个。要拉取 registry.redhat.io/rhel8/skopeo 容器镜像，您需要有效的 Red Hat Enterprise Linux 订阅。

buildah 容器镜像现在可用

registry.redhat.io/rhel8/buildah 容器镜像是 buildah 软件包的容器化实施。buildah 工具可促进构建 OCI 容器镜像。此容器镜像允许您构建容器镜像，而无需在系统中安装 buildah 软件包。使用案例不包括在无根模式下作为非 root 用户运行此镜像。要拉取 registry.redhat.io/rhel8/buildah 容器镜像，您需要有效的 Red Hat Enterprise Linux 订阅。

podman v2.0 RESTful API 现已正式发布

新的基于 Podman 2.0 API 的 REST 会根据 varlink 库替换旧的远程 API。新的 API 可在根和无根环境中工作，并提供 docker 兼容层。

安装 Podman 不需要 container-selinux

在这个版本中，在容器构建过程中安装 container-selinux 软件包是可选的。因此，Podman 对其它软件包的依赖性更少。

RHEL 8 初始设置现在可以通过 SSH 正常工作

在以前的版本中，当使用 SSH 登录到系统时，RHEL 8 初始设置接口不会显示。因此，无法在通过 SSH 管理的 RHEL 8 机器上执行初始设置。这个问题已被解决，在通过 SSH 进行时，RHEL 8 初始设置现在可以正常工作。

使用 reboot --kexec 命令安装失败

在以前的版本中，当使用包含 reboot --kexec 命令的 Kickstart 文件时，RHEL 8 安装会失败。

America/New York 时区现在可以正确设置

在以前的版本中，交互式 Anaconda 安装过程不允许用户在使用 kickstart 文件设置 America/New York 时区。在这个版本中，如果在 kickstart 文件中没有指定时区，用户现在可以将 America/New York 设定为互动安装程序的首选时区。

现在正确设置了 SELinux 环境

在以前的版本中，当 SELinux 处于 enforcing 模式时，某些文件夹和文件中的 SELinux 上下文不正确，从而导致在安装后试图访问这些文件时出现意外的 AVC 拒绝。

自动分区现在创建有效的 /boot 分区

在以前的版本中，当使用自动分区或使用带有预配置分区的 kickstart 文件的系统中安装 RHEL 时，安装程序会创建一个可能包含无效的 /boot 分区的分区方案。因此，因为分区方案验证失败，自动安装过程被提前失败。在这个版本中，Anaconda 会创建一个包含有效 /boot 分区的分区方案。因此，自动安装可以如预期完成。

使用 Binary DVD ISO 镜像的 GUI 安装现在可以成功完成，无需 CDN 注册

在以前的版本中，当使用 Binary DVD ISO 镜像文件执行 GUI 安装时，安装程序的一个竞争条件会阻止安装，直到您使用连接到红帽功能注册系统为止。

在 Kickstart 中创建并在 ignoredisk --only-use 命令中使用的 iSCSI 或者 FCoE 设备不再停止安装进程

在以前的版本中，当 ignoredisk --only-use 命令中使用在 Kickstart 中创建的 iSCSI 或 FCoE 设备时，安装程序会失败，并显示与 Disk "disk/by-id/scsi-360a9800042566643352b476d674a774a" given in ignoredisk command does not exist 类似的错误。这会停止安装进程。

使用 CDN 的系统注册失败并显示错误 Name or service not known

当您尝试使用内容交付网络(CDN)注册系统时，注册过程会失败，并显示错误消息 Name or service not known。

dnf-automatic 现在只更新正确 GPG 签名的软件包

在以前的版本中，在执行更新前，dnf-automatic 配置文件不会检查下载的软件包的 GPG 签名。因此，非导入密钥的未签名更新或更新可能会被 dnf-automatic 安装，即使存储库配置需要 GPG 签名检查(gpgcheck=1)。在这个版本中，这个问题已被解决，dnf-auto 在执行更新前会检查下载的软件包的 GPG 签名。因此，只有使用正确 GPG 签名的更新才可以从需要 GPG 签名检查的库中安装。

逗号不再导致在 append 类型选项中删除条目

在以前的版本中，在 append 类型选项（如 exclude、excludepkgs、includepkgs）中添加结尾的逗号（在列表末尾的一个空条目）会导致删除选项中的所有条目。另外，添加两个逗号（一个空条目）会导致仅在逗号后的条目被使用。

ReaR 磁盘布局不再包含 Rancher 2 Longhorn iSCSI 设备和文件系统的条目

这个版本从 ReaR 创建的磁盘布局中删除 Rancher 2 Longhorn iSCSI 设备以及文件系统条目。

现在在 IBM POWER, little endian 上启用一个大于 4 GB 文件的救援镜像创建

在以前的版本中，ReaR 工具无法创建包含在 IBM POWER, little endian 架构中大于 4GB 的救援镜像。在这个版本中，这个问题已被解决，现在可以在 IBM POWER, little endian 上创建一个大于 4 GB 的文件。

SELinux 不再阻止 systemd-journal-gatewayd 在 /dev/shm/ corosync中使用 newfstatat() 调用

在以前的版本中，SELinux 策略不包含一个允许 systemd-journal-gatewayd 守护进程访问由 corosync 服务创建的文件的规则。结果是 SELinux 会拒绝 systemd-journal-gatewayd 调用在由 corosync 创建的共享内存文件中调用 newfstatat() 功能。在这个版本中，SELinux 不再阻止 systemd-journal-gatewayd 在 corosync 创建的共享内存文件中调用 newfstatat()。

libreswan 现在在所有配置上与 seccomp=enabled 一起工作

在这个更新之前，Libreswan SECCOMP 支持实现中允许的一组系统调用与 RHEL 库的新用法不匹配。因此，当 ipsec.conf 文件中启用了 SECCOMP，syscall 会过滤拒绝的事件 syscalls，而 pluto 守护进程需要它；守护进程会被终止，ipsec 服务被重启。在这个版本中，所有新必需的 syscalls 都被允许， Libreswan 现在可以和 seccomp=enabled 选项一起正常工作。

SELinux 不再阻止 auditd 停止或者关闭系统

在以前的版本中，SELinux 策略不包含一个允许 Audit 守护进程启动 power_unit_file_t systemd 单元的规则。因此，在日志磁盘分区没有剩余空间的情况下，auditd 也无法停止或关闭系统。

IPTABLES_SAVE_ON_STOP 现在可以正常工作

在以前的版本中，iptables 服务的 IPTABLES_SAVE_ON_STOP 功能无法正常工作，因为保存的 IP 表内容的文件接收到不正确的 SELinux 上下文。这导致 iptables 脚本无法更改权限，因此该脚本无法保存更改。这个版本为 iptables.save 和 ip6tables.save 文件定义了正确的上下文，并创建了文件名转换规则。因此, iptables 服务的 IPTABLES_SAVE_ON_STOP 功能可以正常工作。

NSCD 数据库现在可以使用不同的模式

nsswitch_domain 属性中的域被允许访问 Name Service Cache Daemon(NSCD)服务。每个 NSCD 数据库都在 nscd.conf 文件中配置，且 shared 属性决定数据库是使用 Shared memory 还是 Socket 模式。在以前的版本中，所有 NSCD 数据库都必须使用相同的访问模式，这取决于 nscd_use_shm 布尔值。现在，总是允许使用 Unix 流套接字，因此不同的 NSCD 数据库可以使用不同的模式。

当使用 --sudo 扫描远程系统时，oscap-ssh 工具现在可以正常工作

在使用带有 --sudo 选项的 oscap-ssh 工具对远程系统执行安全内容自动化协议(SCAP)扫描时，远程系统上的 oscap 工具以 root 用户的身份将扫描结果和报告文件保存到一个临时目录中。在以前的版本中，如果远程机器中的 umask 设置被改变，oscap-ssh 可能会无法访问这些文件。在这个版本中解决了这个问题，oscap 以目标用户身份保存文件，而 oscap-ssh 会正常访问这些文件。

OpenSCAP 现在正确处理远程文件系统

在以前的版本中，如果挂载规范没有以两个斜杠开头，OpenSCAP 将无法可靠地检测远程文件系统。因此，OpenSCAP 将一些基于网络的文件系统作为本地文件系统进行处理。有了这个更新，OpenSCAP 使用文件系统类型而不是挂载规范来识别文件系统。因此，OpenSCAP 现在可以正确处理远程文件系统。

openscap 不再从 YAML 多行字符串中删除空白行

在以前的版本中，OpenSCAP 会从数据流生成的 Ansible 修复中删除 YAML 多行字符串中的空白行。这会影响 Ansible 修复，并导致 openscap 工具未能通过响应的开放漏洞和评估语言(OVAL)检查，从而产生假阳性结果。这个问题现已解决，因此 openscap 不再从 YAML 多行字符串中删除空白行。

OpenSCAP 现在可以在没有内存不足的情况下扫描含有大量文件的系统

在以前的版本中，当扫描内存较低和大量文件的系统时，OpenSCAP 扫描程序有时会导致系统内存不足。在这个版本中，OpenSCAP 扫描程序内存管理有所改进。因此，扫描程序在扫描大量文件时，如，软件包组 Server with GUI 和 Workstation ，在 RAM 较少的系统上不会再耗尽内存。

config.enabled 现在可以正确地控制语句

在以前的版本中，rsyslog 在语句的配置处理过程中错误地评估了 config.enabled 指令。因此，对于除了 include() 外的每一个语句，都会显示 parameter not known 错误。在这个版本中，所有语句都会相等地处理。现在，config.enabled 可以正确地禁用或启用语句而无需显示任何错误。

fapolicyd 不再阻止 RHEL 更新

当更新替换了正在运行的应用程序的二进制文件时，内核会通过附加 " (deleted)" 后缀来修改内存中的应用程序二进制路径。在以前的版本中，fapolicyd 文件访问策略守护进程将此类应用程序视为不受信任的应用程序，并阻止它们打开和执行任何其他文件。因此，在应用更新后系统有时无法启动。

e8 配置文件现在可以用来修复带有 Server with GUI 的 RHEL 8 系统

使用 OpenSCAP Anaconda 附加组件强化带有配置文件的 Server with GUI 软件包组上的系统，该配置文件从 Verify Integrity with RPM 组中选择规则，不再需要系统上大量的 RAM。造成此问题的原因是 OpenSCAP 扫描程序。如需了解更多详细信息，请参阅扫描大量使用 OpenSCAP 的文件会导致系统内存不足。因此，使用 RHEL 8 Essential Eight(e8)配置文件强化系统现在也可以使用 Server with GUI 。

nft_compat 模块自动加载 iptables 扩展模块不再挂起

在以前的版本中，当 nft_compat 模块加载一个扩展模块，而网络命名空间(netns)操作并行发生时，如果该扩展在初始化过程中注册了一个 pernet 子系统，则会发生锁冲突。因此，内核调用的 modprobe 命令会挂起。这也可能是由其它还执行 iptables 命令的服务（比如 libvirtd ）造成。这个问题已被解决。因此，由 nft_compat 模块载入 iptables 扩展模块不再挂起。

现在，firewalld 服务在服务停止时删除 ipset

在以前的版本中，停止 firewalld 服务不会删除 ipset。在这个版本中解决了这个问题。因此，firewalld 停止后 ipset 不再会留在系统中。

firewalld 在关闭后不再保留 ipset 条目

在以前的版本中，关闭 firewalld 不会删除 ipset 条目。因此，ipset 条目即使在停止 firewalld 服务后仍保留在内核中。在这个版本中，关闭 firewalld 会如预期删除 ipset 条目。

firewalld 现在在重新载入后恢复 ipset 条目

在以前的版本中, firewalld 在重新载入后无法保留运行时 ipset 条目。因此，用户需要手动添加缺少的条目。在这个版本中，firewalld 已被修改来在重新加载后恢复 ipset 条目。

nftables 和 firewalld 服务现在是相互排斥的

在以前的版本中，您可以同时启用 nftables 和 firewalld 服务。因此，nftables 会覆盖 firewalld 规则集。在这个版本中，nftables 和 firewalld 服务是相互排斥的，因此无法同时启用它们。

huge_page_setup_helper.py 脚本现在可以正常工作

更新 Python 3 的 huge_page_setup_helper.py 脚本的补丁被意外删除。因此，在执行 huge_page_setup_helper.py 后会出现以下错误信息：

有大量持久内存的系统启动更快，且不会超时

有大量持久内存的系统需要很长时间才能启动，因为初始源代码只允许每个节点有一个初始化线程。例如，对于 4 节点系统，有 4 个内存初始化线程。因此，如果 /etc/fstab 文件中列出了持久内存文件系统，则系统在等待设备可用时可能会超时。有了这个更新，这个问题已被解决，因为源代码现在允许单个节点中有多个内存初始化线程。因此，系统启动会更快，在上述场景中没有出现超时。

bcc 脚本现在可以成功编译 BPF 模块

在编译脚本代码以创建 Berkeley Packet Filter(BPF)模块期间，bcc 工具包对数据类型定义使用内核头文件。有些内核标头需要定义 KBUILD_MODNAME 宏。因此，那些没有添加 KBUILD_MODNAME 的 bcc 脚本可能无法在不同的 CPU 构架中编译 BPF 模块。以下 bcc 脚本会受到影响：

bcc-tools 和 bpftrace 可以在 IBM Z 上正常工作。

在以前的版本中，包括一个 ARCH_HAS_NON_OVERLAPPING_ADDRESS_SPACE 内核选项。然而,IBM Z 构架的 bcc-tools 软件包和 bpftrace 追踪语言没有对这个选项的适当支持。因此, bpf() 系统调用失败,并显示 Invalid 参数 异常, bpftrace 失败,并在尝试载入 BPF 程序时给出 Error loading program 程序错误。在这个版本中, ARCH_HAS_NON_OVERLAPPING_ADDRESS_SPACE 选项被删除。因此,这个问题不再出现在上述场景中。

不再会因为缺少熵导致引导过程失败

在以前的版本中，会因为缺少熵引导过程失败。现在,使用一种更好的机制来允许内核在引导过程早期收集熵,这不依赖于任何特定的硬件中断。在这个版本中,确保有足够的熵来保证早期引导时随机生成安全,从而解决了这个问题。在这个版本中,可以防止 kickstart 超时或者引导速度慢,引导过程可以正常工作。

使用 kexec 重复重启现在如预期正常工作

在以前的版本中，内核在 Amazon EC2 Nitro 平台上重启过程中，在内核执行路径的 shutdown（） 调用过程中不会调用删除模块(rmmod)。因此，使用 kexec 系统调用重复内核重启会导致失败。有了这个更新，问题已通过添加允许安全内核执行的 PCI shutdown（） 处理程序解决了。因此,在 Amazon EC2 Nitro 平台上重复使用 kexec 重启不再会失败。

使用 vPMEM 内存重启作为转储目标现在可以正常工作

在以前的版本中，使用虚拟持久内存(vPMEM)命名空间作为 kdump 或 fadump 的转储目标导致了 papr_scm 模块取消和重新映射由 vPMEM 支持的内存，并将内存重新添加到其线性映射中。

尝试将 ICE 驱动程序 NIC 端口添加到模式 5 bonding master 接口不再失败

在以前的版本中,试图将 ICE 驱动程序 NIC 端口添加到模式 5(balance-tlb)绑定 master 接口会导致一个错误 Master 'bond0',Slave 'ens1f0': Error: Enslave failed。因此，会出现将 NIC 端口添加到绑定 master 接口中断失败的问题。在这个版本中解决了这个问题，添加接口不会失败。

cxgb4 驱动程序不再导致 kdump 内核崩溃

在以前的版本中，在尝试在 vmcore 文件中保存信息的过程中，kdump 内核会崩溃。因此，cxgb4 驱动程序会阻止 kdump 内核保存为以后进行分析的内核。要临时解决这个问题，在 kdump 内核命令行中添加 novmcoredd 参数以允许保存内核文件。

当在 Filesystem 代理中使用 GFS2 文件系统时, fast_stop 选项现在默认为 no

在以前的版本中，当与 Filesystem 代理一起使用 GFS2 文件系统时，fast_stop 选项默认为 yes。这个值可能会导致不必要的保护事件，因为 GFS2 文件系统可以需要较长时间卸载。在这个版本中，这个选项被默认为 no。对于所有其他文件系统，默认为 yes。

fence_compute 和 fence_evacuate 代理现在以更标准的方式解释 insecure 选项

在以前的版本中, fence_compute 和 fence_evacuate 代理可以正常工作,就像默认指定 --insecure 一样。在这个版本中，没有为 compute 或 evacuate 服务使用有效证书时，需要设置 insecure=true，并在通过 CLI 手动运行时使用 --insecure 选项。这与所有其他代理的行为一致。

通过 libdb 优化 CPU 的使用

在以前的版本中对 libdb 数据库的更新会过度消耗 CPU。在这个版本中，CPU 的使用已被优化。

did_you_mean Ruby gem 不会包括一个带有非商用许可证的文件。

在以前的版本中，did_you_mean gem 包括在带有非商用可许证文件的 ruby:2.5 模块流中。在这个版本中，删除了受影响的文件。

nginx 现在可以通过 PKCS#11 URI 从硬件安全令牌加载服务器证书

nginx web 服务器的 ssl_certificate 指令支持直接从 PKCS#11 模块的硬件安全令牌加载 TLS 服务器证书。在以前的版本中,无法通过 PKCS#11 URI 从硬件安全令牌加载服务器证书。

当加载使用 DT_FILTER 并有一个构造器的共享库时，glibc 动态加载程序不再会失败

在这个更新之前，作为过滤器的共享对象的动态加载程序实现中的一个缺陷导致了动态加载程序在加载使用过滤器并有一个构造器的共享库时失败。有了这个版本，过滤器的动态加载程序实现(DT_FILTER)已被修复，能够正确处理此类共享库。因此，在上面提到的场景中，这个动态装载程序可以正常工作。

glibc 现在可以从 getmntent () 列表中删除伪挂载

内核在向用户空间公开的表格中包括 automount 伪条目。因此，使用 getmntent() API 的程序会在列表中看到常规挂载和这些伪挂载。pseudo-mounts 与实际装载不对应,也不包含有效信息。

movv1qi 模式不再会在 IBM Z 的自动验证代码中造成错误。

在以前的版本中，movv1qi 模式给出错误的加载指令。因此，当自动vectorization 生效时，可能会在 IBM Z 系统中出现错误。在这个版本中解决了 movv1qi 模式的问题，因此代码可以被编译并正常运行。

PAPI_event_name_to_code() 现在可以在多个线程中正常工作

在以前的版本中，PAPI 内部代码无法正确处理线程协调。因此,当多个线程使用 PAPI_event_name_to_code() 操作时，竞争条件发生，操作会失败。这个版本改进了对 PAPI 内部代码中多个线程的处理。因此，使用 PAPI_event_name_to_code() 操作的多线程代码现在可以正常工作。

提高了 IBM Power 系统上的 glibc 数学功能的性能

在以前的版本中，glibc 数学函数在 IBM Power Systems 上执行不必要的浮点状态更新和系统调用，这对性能造成了负面影响。这个版本删除了不必要的浮动点状态更新,并改进了以下的实现 ceil(), ceilf(), fegetmode(), fesetmode(), fesetenv(), fegetexcept(), feenableexcept(), fedisablexcept(), fegetround() and fesetround()。因此, math 库的性能在 IBM Power Systems 上都有改进。

现在 IBM Power 支持内存保护密钥

在 IBM Power 系统上，内存保护密钥接口 pkey_set 和 pkey_get 之前是 stub 功能，因此会失败。这个更新实现了接口，因此，GNU C 库(glibc)现在在 IBM Power 系统上支持内存保护密钥。

Papi-testsuite 和 papi-devel 现在安装所需的 papi-libs 软件包

在以前的版本中，papi-testsuite 和 papi-devel RPM 软件包没有声明依赖匹配的 papi-libs 软件包。因此，测试无法运行，开发人员没有为其应用程序提供的 papi 共享库所需的版本。

为多个构架安装 lldb 软件包不再会导致文件冲突

之前，lldb 软件包在架构独立位置安装与构架相关的文件。因此，在 32 位和 64 位版本中安装软件包会导致文件冲突。这个更新会将文件打包成正确的体系独立位置。因此，在以上场景中安装 lldb 可以成功完成。

getaddrinfo 现在可以正确地处理内存分配失败

之前，在内存分配失败后，GNU C 库 glibc 的 getaddrinfo 功能不会释放内部解析器上下文。因此，getaddrinfo 无法在调用线程的剩余生命周期内重新载入 /etc/resolv.conf 文件，从而导致内存泄漏。

glibc 避免了 IFUNC 解析顺序导致的某些故障

之前，GNU C 库 glibc 的 librt 和 libpthread 库的实现包含以下功能的间接功能(IFUNC)解析程序： clock_gettime, clock_getcpuclockid、clock_nanosleep、clock_settime、vfork。在某些情况下，IFUNC 解析器可以在 librt 和 libpthread 库被重新定位前执行。因此，在早期程序启动时，应用程序会在 glibc 动态加载程序中失败。

在 pthread_create 过程中不再发生伪装失败

在以前的版本中，glibc 动态加载程序不会回滚对内部线程本地存储(TLS)模块 ID 计数器的更改。因此，dlopen 功能在某些方面失败后，pthread_create 函数中的错误可能会发生。在这个版本中, glibc 动态加载程序会在特定故障无法再发生时更新 TLS 模块 ID 计数器。因此，不会再出现问题。

glibc 现在使用 nss_db为 32 位应用程序安装正确的依赖软件包

在以前的版本中, nss_db.x86_64 软件包没有声明依赖 nss_db.i686 软件包。因此，自动安装不会在系统中安装 nss_db.i686，尽管安装了 32 位环境 glibc.i686。因此，使用 nss_db 的 32 位应用程序无法执行准确的用户数据库查找，而同时设置的 64 位应用程序可以正常工作。

使用 Odia 语言更新的glibc 语言信息

以前称为 Orissa 的印度州已改为 Odisha，其官方语言的名称已从 Oriya 改为 Odia。在这个版本中, glibc 区域信息会显示语言的新名称。

LLVM 子软件包现在在与架构相关的位置安装 arch-dependent 文件

在以前的版本中，LLVM 子软件包在 arch 独立位置安装 arch-dependent 文件。这会导致在安装 32 和 64 位 LLVM 版本时出现冲突。在这个版本中，软件包文件可以被正确地安装在与架构相关的位置，从而避免了版本冲突。

密码和组查找在 glibc中不再失败

在以前的版本中，在处理密码和组条目时，glibc 库的 nss_compat 模块会用错误的代码覆盖 errno 状态。因此，应用程序不会按预期调整缓冲区的大小，从而导致密码和组查找失败。这个更新解决了这个问题，现在查找可以按预期完成。

SSSD 不再默认下载带有通配符字符的每个规则

在以前的版本中，默认情况下 ldap_sudo_include_regexp 选项被错误地设定为 true。当 SSSD 运行或者更新 SSSD 规则后，SSSD 会下载 sudoHost 属性中包含通配符字符(*)的所有规则。这个更新解决了 bug ，ldap_sudo_include_regexp 选项默认会被正确设置为 false。因此，上面描述的问题不再发生。

krb5 现在是唯一需要的加密类型

在以前的版本中，如果没有设置 default_tgs_enctypes 或 default_tkt_enctypes 属性，在 /etc/krb5.conf 文件中的 permitted_enctypes 变量指定的允许的加密类型不会应用到默认的加密类型。因此，Kerberos 客户端可以请求已弃用的密码套件，如 RC4 ，这可能会导致其他进程失败。有了这个更新，permitted_enctypes 变量中指定的加密类型也会应用到默认的加密类型，并且只请求允许的加密类型。

KDC 现在从 LDAP 后端正确强制使用密码生命周期策略

在以前的版本中，非 IPA Kerberos 分发中心(KDC)无法确保最大密码生存期，因为 Kerberos LDAP 后端错误地强制执行密码策略。在这个版本中，Kerberos LDAP 后端已被修复，密码生命周期可以正常工作。

使用 SSSD 发送到 AD 客户端的密码过期通知

在以前的版本中，使用 SSSD 的 Active Directory 客户端（非 IdM）不会发送密码过期通知，因为 SSSD 界面最近更改了获取 Kerberos 凭证。

使用间接 COS 定义时目录服务器不再泄漏内存

在以前的版本中,在处理一个间接 Class Of Service (COS) 定义后， Directory Server 会在每个使用间接 COS 定义的搜索操作中泄漏内存。在这个版本中, Directory 服务器会在处理后释放所有与数据库条目关联的内部 COS 结构。因此，当使用间接 COS 定义时，服务器不会再泄漏内存。

现在添加 AD 用户的 ID 覆盖可以在 IdM Web UI 中正常工作

在以前的版本中，当使用 IdM Web UI 时，为了对管理角色授予访问权限，将活动目录(AD)用户的 ID 覆盖添加到默认信任视图中的身份管理(IdM)组中会失败。在这个版本中，这个程序错误已被解决。现在，在这种情况下，您可以使用 Web UI 和 IdM 命令行界面(CLI)。

在软件包安装过程， FreeRADIUS 不再生成证书

在以前的版本中，FreeRADIUS 会在软件包安装过程中生成证书，这会产生以下问题：

FreeRADIUS 现在生成与 FIPS 兼容的 Diffie-Hellman 参数

由于新的 FIPS 要求不允许 openssl 通过 dhparam 生成 Diffie-Hellman(dh) 参数,所以从 FreeRADIUS bootstrap 脚本和文件中删除了 dh 参数生成, RFC3526-group-18-8192.dhparam 包含在所有系统的 FreeRADIUS 软件包中,从而在 FIPS 模式下启用 FreeRADIUS。

更新 Healthcheck 现在可以正确地更新 ipa-healthcheck-core 和 ipa-healthcheck

在以前的版本中，输入 yum update healthcheck 不会更新 ipa-healthcheck 软件包，而是使用 ipa-healthcheck-core 软件包替换。因此，ipa-healthcheck 命令在更新后无法正常工作。

带有混合 Nvidia GPU 的笔记本电脑现在可以成功恢复挂起

在以前的版本中, nouveau 图形驱动程序有时无法在某些笔记本电脑中使用节电模式的混合 Nvidia GPU。因此，笔记本电脑无法恢复挂起。

使用默认 CPU 模式迁移虚拟机现在可以更可靠

在以前的版本中，如果创建虚拟机(VM)时没有指定 CPU 型号,QEMU 会使用 libvirt 服务无法看到的默认型号。因此，可以将虚拟机迁移到不支持虚拟机的默认 CPU 模型的主机上，这有时会导致迁移后客户端操作系统中的崩溃和错误行为。

关于 Podman 支持 FIPS 的备注

联邦信息处理标准(FIPS)要求使用经过认证的模块。在以前的版本中，Podman 通过在启动时启用正确的标记，来在容器中正确地安装经过认证的模块。但是，在此发行版本中，Podman 没有正确设置系统以 FIPS 系统范围加密形式提供的附加应用程序助手。尽管经过认证的模块不需要设置系统范围的加密策略，但它确实提高了应用程序以兼容方式使用加密模块的能力。要临时解决这个问题，请在任何其他应用程序代码被执行前，更改容器以运行 update-crypto-policies --set FIPS 命令。在这个版本中不再需要 update-crypto-policies --set FIPS 命令。

启用 xt_u32 Netfilter 模块

xt_u32 Netfilter 模块现在包括在 kernel-modules-extra rpm 中。此模块帮助基于不能访问其他基于协议的数据包过滤器的数据进行数据包转发，从而简化手动迁移到 nftables。但是，红帽不支持 xt_u32 Netfilter 模块。

nmstate 作为技术预览提供

nmstate 是主机的网络 API。nmstate 软件包作为技术预览提供库和 nmstatectl 命令行实用程序以声明性方式管理主机网络设置。网络状态由预定义的 schema 描述。报告当前状态以及对所需状态的更改都符合 schema。

AF_XDP 作为技术预览

Address Family eXpress Data Path (AF_XDP) 是设计用于处理高性能数据包。它伴随 XDP，并将编程选择的数据包的高效重定向授予给用户空间应用程序，以便做进一步处理。

XDP 作为技术预览提供

eXpress Data Path（XDP）功能作为技术预览提供。它提供了在内核入口数据路径早期为高性能数据包处理附加扩展 Berkeley Packet Filter（eBPF）程序的方法，从而可以进行高效的可编程数据包分析、过滤和操作。

KTLS 作为技术预览提供

在 Red Hat Enterprise Linux 8 中，KTLS 是作为技术预览提供的。KTLS 使用内核中的对称加密或者解密算法为 AES-GCM 密码处理 TLS 记录。KTLS 还提供将 TLS 记录加密卸载到支持此功能的网络接口控制器(NIC)的接口。

可作为技术预览的 XDP 功能

红帽提供了以下 eXpress Data Path(XDP)功能作为不受支持的技术预览：

act_mpls 模块作为技术预览提供

act_mpls 模块现在作为技术预览在 kernel-modules-extra rpm 中找到。该模块允许使用流量控制（TC）过滤器进行多协议标签交换（MPLS）操作，例如：通过 TC 过滤器推送和弹出 MPLS 标签堆栈条目。模块还允许独立设置 Label、Traffic Class、Stack 的 Bottom 和 Time to Live 字段。

多路径 TCP 现在作为技术预览提供

多路径 TCP(MPTCP)现在作为技术预览提供。MPTCP 改进了网络中的资源使用量以及网络故障的恢复能力。例如：在 RHEL 服务器中使用多路径 TCP，启用了 MPTCP v1 的智能手机可以连接到服务器上运行的应用程序，并在 Wi-Fi 和手机网络间切换，而不会中断到服务器的连接。

systemd-resolved 服务现在作为技术预览提供

systemd-resolved 为本地应用程序提供名字解析。该服务实现了缓存和验证 DNS stub 解析器、链接本地多播名称解析（LLMNR）以及多播 DNS 解析器和响应程序。

kexec fast reboot 功能可作为技术预览使用

kexec fast reboot 特性仍作为一个技术预览提供。kexec fast reboot 通过允许内核直接引导到第二个内核，而无需首先通过基本输入/输出系统(BIOS)，从而显著加快了启动过程。要使用这个功能：

eBPF 作为技术预览

Extended Berkeley Packet Filter(eBPF) 是一个内核中的虚拟机,允许在可访问有限功能的受限沙箱环境中在内核空间中执行代码。

igc 驱动程序作为 RHEL 8 的一个技术预览

igc Intel 2.5G 以太网 Linux 有线 LAN 驱动程序现在可在 RHEL 8 的所有架构中作为技术预览使用。ethtool 还支持 igc 有线 LAN。

Soft-RoCE 作为一个技术预览提供

通过融合以太网的远程直接内存访问(RDMA)是一个网络协议，其通过以太网实现 RDMA。Soft-RoCE 是 RoCE 的软件实现，它支持两种协议版本，RoCE v1 和 RoCE v2。在 RHEL 8 中，Soft-RoCE 驱动程序 rdma_rxe 作为不受支持的技术预览提供。

NVMe/TCP 作为技术预览提供

通过 TCP/IP 网络(NVMe/TCP)访问和共享 Nonvolatile Memory Express(NVMe/TCP)存储及其对应的 nvme-tcp.ko 和 nvmet-tcp.ko 内核模块已被添加为技术预览。

现在 ext4 和 XFS 作为技术预览提供文件系统 DAX

在 Red Hat Enterprise Linux 8 中，文件系统 DAX 作为技术预览提供。DAX 提供了将持久内存直接映射到其地址空间的方法。要使用 DAX，系统必须有某种可用的持久内存，通常使用一个或多个非线内存模块(NVDIMM)，且必须在 NVDIMM 上创建支持 DAX 的文件系统。另外，该文件系统必须使用 dax 挂载选项挂载。然后，在 dax 挂载的文件系统中的一个文件 mmap 会把存储直接映射到应用程序的地址空间中。

OverlayFS

OverlayFS 是一种联合文件系统。它允许您在另一个文件系统上覆盖一个文件系统。更改记录在上面的文件系统中，而较小的文件系统则未修改。这允许多个用户共享文件系统镜像，如容器或 DVD-ROM，基础镜像使用只读介质。

Stratis 现在作为技术预览提供

Stratis 是一个新的本地存储管理器。它在存储池的上面为用户提供额外的功能。

IdM 现在支持在 IdM 域成员中将 Samba 服务器设置为技术预览

在这个版本中，您可以在 Identity Management(IdM)域成员中设置 Samba 服务器。由同名软件包提供的新 ipa-client-samba 程序为 IdM 添加了特定于 Samba 的 Kerberos 服务主体并准备 IdM 客户端。例如，实用程序使用 sss ID 映射后端的 ID 映射配置创建 /etc/samba/smb.conf。现在，管理员可以在 IdM 域成员中设置 Samba。

pcs cluster setup 命令的本地模式版本，可作为技术预览使用

默认情况下, pcs cluster setup 命令会自动将所有配置文件与集群节点同步。在 Red Hat Enterprise Linux 8.3 中, pcs cluster setup 命令作为技术预览提供 --corosync-conf 选项。指定这个选项可将命令切换到 本地 模式。在这个模式中, pcs 会创建一个 corosync.conf 文件，并将其只保存到本地节点的指定文件中，而不与其它节点沟通。这可让您在脚本中创建 corosync.conf 文件，并使用脚本处理该文件。

pacemaker podman bundles 作为技术预览

pacemaker 容器捆绑包现在在 podman 容器平台上运行，容器捆绑包功能作为一个技术预览可用。其中一个功能例外于技术预览：红帽完全支持在 Red Hat Openstack 中使用 Pacemaker 捆绑包。

作为技术预览的 corosync-qdevice 中的 Heuristics

Heuristics是一组在启动、集群成员资格更改、成功连接到 corosync-qnetd 时本地执行的命令，以及可选的定期执行的命令。当所有命令及时成功完成（返回的错误代码为零），代表 heuristics 通过，否则代表失败。Heuristics 结果发送到 corosync-qnetd，在计算中用来决定哪个分区应该是 quorate。

新的 fence-agents-heuristics-ping 保护代理

作为技术预览，Pacemaker 现在支持 fence_heuristics_ping 代理。这个代理旨在打开一组实验性保护代理，它们本身没有实际隔离，而是以新的方式利用隔离级别。

身份管理 JSON-RPC API 作为技术预览

一个 API 可用于 Identity Management(IdM)。要查看 API，IdM 还提供了一个 API 浏览器作为技术预览。

DNSSEC 在 IdM 中作为技术预览提供

带有集成 DNS 的身份管理（IdM）服务器现在支持 DNS 安全扩展（DNSSEC），这是一组增强 DNS 协议安全性的 DNS 扩展。托管在 IdM 服务器上的 DNS 区可以使用 DNSSEC 自动签名。加密密钥是自动生成和轮转的。

GNOME 用于 64 位 ARM 架构，作为一个技术预览

GNOME 桌面环境现在可作为技术预览用于 64 位 ARM 架构。这可让管理员使用 VNC 会话从图形用户界面(GUI)远程配置和管理服务器。

IBM Z 上的 GNOME 桌面作为技术预览提供

GNOME 桌面，包括 Firefox 网页浏览器,现在在 IBM Z 构架中作为技术预览提供。现在，您可以使用 VNC 连接到运行 GNOME 的远程图形会话来配置和管理您的 IBM Z 服务器。

VNC 远程控制台作为 64 位 ARM 架构的一个技术预览提供

在 64 位 ARM 架构中,虚拟网络计算(VNC)远程控制台可作为技术预览使用。请注意,在 64 位 ARM 架构中,目前图形堆栈的其它部分没有被验证。

Intel Tiger Lake 图形作为技术预览提供

Intel Tiger Lake UP3 和 UP4 Xe 图形现在作为技术预览提供。

RHEL 系统角色的 postfix 角色作为技术预览

Red Hat Enterprise Linux 系统角色为 Red Hat Enterprise Linux 子系统提供了一个配置界面，这有助于通过包含 Ansible 角色来简化系统配置。这个界面支持在多个 Red Hat Enterprise Linux 版本间管理系统配置，并使用新的主发行版本。

KVM 虚拟化可用于 RHEL 8 Hyper-V 虚拟机

作为技术预览，现在可将嵌套的 KVM 虚拟化用于 Microsoft Hyper-V hypervisor。因此，您可以在运行在 Hyper-V 主机的 RHEL 8 虚拟机中创建虚拟机。

用于 KVM 虚拟机的 AMD SEV

作为技术预览，RHEL 8 为使用 KVM hypervisor的 AMD EPYC 主机引入了安全加密虚拟化(SEV)特性。如果在虚拟机(VM)上启用，SEV 会加密虚拟机内存，因此主机不能访问虚拟机上的数据。如果主机被恶意软件成功损坏，这可以提高虚拟机的安全性。

Intel vGPU

作为技术预览，现在可以将物理 Intel GPU 设备划分为多个虚拟设备（称为 mediated devices）。然后可将这些 mediated devices 分配给多个虚拟机(VM)作为虚拟 GPU。因此,这些虚拟机共享单个物理 Intel GPU 的性能。

创建嵌套虚拟机

对于在 AMD64 和使用 RHEL 8 的 IBM Z 系统主机上运行的 KVM 虚拟机(VM),嵌套的 KVM 虚拟化是作为技术预览提供的。使用此功能,在物理 RHEL 8 主机上运行的 RHEL 7 或 RHEL 8 虚拟机可作为虚拟机监控程序,并托管自己的虚拟机。

选择 Intel 网络适配器现在支持 Hyper-V 的 RHEL 客户端中的 SR-IOV

作为技术预览,在 Hyper-V hypervisor 中运行的 Red Hat Enterprise Linux 客户机操作系统现在可以为 ixgbevf 和 iavf 驱动程序支持的 Intel 网络适配器使用单根 I/O 虚拟化(SR-IOV)功能。此功能在满足以下条件时启用：

podman 容器镜像作为技术预览提供

registry.redhat.io/rhel8/podman 容器镜像是 podman 软件包的一个容器化实施。podman 工具用于管理容器和镜像、挂载到这些容器的卷以及从容器组生成的 Pod。Podman 基于 libpod 库来管理容器生命周期。libpod 库提供用于管理容器、Pod、容器镜像和卷的 API。此容器镜像允许创建、修改并运行容器镜像，而无需在您的系统上安装 podman 软件包。使用案例不包括在无根模式下作为非 root 用户运行此镜像。要拉取 registry.redhat.io/rhel8/podman 容器镜像，您需要有效的 Red Hat Enterprise Linux 订阅。

crun 作为一个技术预览提供

crun OCI 运行时被添加到 container-rools:rhl8 模块中。crun 提供使用 cgoupsV2 运行的权限。crun 支持一个注解，它允许容器访问无根用户额外组。这对在用户只能访问的目录中或者在该目录中设定目录时很有用。

podman-machine 命令不受支持

用于管理虚拟机的 podman-machine 命令仅作为技术预览提供。相反，请直接从命令行运行 Podman。

弃用了一些 Kickstart 命令和选项

使用 RHEL 8 Kickstart 文件中的以下命令和选项会在日志中显示警告信息。

ignoredisk Kickstart 命令的 --interactive 选项已被弃用

在以后的 Red Hat Enterprise Linux 版本中使用 --interactive 选项会导致严重安装错误。建议您修改 Kickstart 文件删除该选项。

Image Builder 的 lorax-composer 后端在 RHEL 8 中已弃用

以前的 Image Builder 的后端 lorax-composer 被视为已弃用。它只会为 Red Hat Enterprise Linux 8 生命周期的其余部分获得特定的修复程序，并将在以后的主发行版本中被删除。  红帽建议您卸载 lorax-composer ，改为安装 osbuild-composer 后端。

rpmbuild --sign 已弃用

在这个版本中，rpmbuild --sign 命令已过时。在以后的 Red Hat Enterprise Linux 版本中使用这个命令可能会导致错误。建议您使用 rpmsign 命令替代。

对 curl 的 metalink 支持已禁用。

在 curl 功能中发现了一个缺陷，它处理凭证和文件哈希的方式与处理使用 Metalink 下载的内容不匹配。此缺陷允许控制托管服务器的恶意参与者：

mailman 已弃用

有了这个更新，mailman 软件包已被标记为弃用，并将在以后的 Red Hat Enterprise Linux 主要版本中不提供。

NSS SEED 密码已弃用

Mozilla Network Security Services (NSS) 库将不支持在以后的版本中使用 SEED 密码的 TLS 密码组合。为确保在 NSS 取消支持时依赖 SEED 密码的部署平稳过渡，红帽推荐对其它密码套件的支持。

TLS 1.0 和 TLS 1.1 已弃用

TLS 1.0 和 TLS 1.1 协议在 DEFAULT 系统范围的加密策略级别被禁用。如果需要使用启用的协议，如 Firefox 网页浏览器中的视频检查程序，把系统范围的加密策略切换到 LEGACY 级别：

在 RHEL 8 中弃用 DSA

数字签名算法(DSA)在 Red Hat Enterprise Linux 8 中被视为已弃用。依赖于 DSA 密钥的身份验证机制在默认配置中不起作用。请注意，即使使用系统范围的 LEGACY 加密策略级别中，OpenSSH 客户端都不接受 DSA 主机密钥。

SSL2 Client Hello 在 NSS 中已弃用

传输层安全性(TLS)协议版本 1.2 和更早版本允许以与安全套接字层(SSL)协议版本 2 向后兼容方式与 Client Hello 消息开始协商。网络安全服务(NSS)库中对这个功能的支持已被弃用，默认是禁用的。

TPM 1.2 已被弃用

Trusted Platform Module (TPM) 安全加密处理器标准版本在 2016 年更新至 2.0 版本。TPM 2.0 比 TPM 1.2 提供了很多改进，它和之前的版本不向后兼容。在 RHEL 8 中弃用了 TPM 1.2，它可能会在下一个主发行版本中删除。

在 RHEL 8 中已弃用网络脚本

网络脚本在 Red Hat Enterprise Linux 8 中已弃用，且不再默认提供。基本安装提供了 ifup 和 ifdown 脚本的新版本，它们通过 nmcli 工具调用 NetworkManager 服务。在 Red Hat Enterprise Linux 8 中，要运行 ifup 和 ifdown 脚本，NetworkManager 必须正在运行。

使用无磁盘引导为 Real Time 8 安装 RHEL 现已弃用

无磁盘引导允许多个系统通过网络共享一个 root 文件系统。无盘引导是方便的，它在实时工作负载中容易引入网络延迟。在以后的 RHEL for Real Time 8 的更新中，无盘引导功能将不再被支持。

qla3xxx 驱动程序已弃用

在 RHEL 8 中已弃用 qla3xxx 驱动程序。本产品的将来主发行版本可能不支持该驱动程序，因此不建议在新的部署中使用该驱动程序。

dl2k、dnet、ethoc 和 dlci 驱动程序已弃用

在 RHEL 8 中弃用了 dl2k、dnet、ethoc 和 dlci 驱动程序。在以后的主要发行本中，这些驱动程序可能不被支持，因此不建议在新的部署中使用这些驱动程序。

rdma_rxe Soft-RoCE 驱动程序已弃用

通过融合以太网(Soft-RoCE)的软件远程直接内存（也称为 RXE）是模拟远程直接内存访问(RDMA)的一个特性。在 RHEL 8 中，Soft-RoCE 特性作为一个不受支持的技术预览提供。但是，由于稳定性问题，此特性已被弃用，并将在 RHEL 9 中删除。

elevator 内核命令行参数已弃用

在之前的 RHEL 版本中使用 elevator 内核命令行参数为所有设备设置磁盘调度程序。在 RHEL 8 中，该参数已弃用。

LVM mirror 已弃用

LVM mirror segment 类型已弃用。以后的 RHEL 主发行版本中会删除对 mirror 的支持。

peripety 已被弃用

从 RHEL 8.3 开始，pipety 软件包已弃用。

禁用了 NFSv3 over UDP

默认情况下，NFS 服务器不再默认在 User Datagram Protocol(UDP)套接字上打开或监听。这个变化只影响 NFS 版本 3，因为版本 4 需要传输控制协议(TCP)。

cramfs 已被弃用

由于缺少用户，cramfs 内核模块已被弃用。建议将 squashfs 作为一个替代解决方案。

openssh-ldap 已被弃用

在 Red Hat Enterprise Linux 8 中弃用 openssh-ldap 子软件包，并将在 RHEL 9 中删除。因为 openssh-ldap 子软件包没有被上游维护，红帽建议您使用 SSSD 和 sss_ssh_authorizedkeys 帮助程序，它们与其他 IdM 解决方案更好地集成且更安全。

已经删除了 DES 和 3DES 加密类型

由于安全考虑，自 RHEL 7 开始，数据加密标准(DES)算法已被弃用并默认禁用。通过最近重新构建 Kerberos 软件包，已从 RHEL 8 中删除了 single-DES(DES)和 triple-DES（3DES） 加密类型。

SMB1 协议在 Samba 中被弃用

从 Samba 4.11 开始，不安全的服务器消息块版本 1 (SMB1)协议已弃用，并将在以后的发行版本中删除。

libgnome-keyring 库已弃用

libgnome-keyring 库已弃用，现在使用 libsecret 库，因为 libgnome-keyring 没有被上游维护，且不会遵循 RHEL 所需的加密策略。新的 libsecret 库是符合所需安全标准的替换。

AlternateTab 扩展已被删除

提供 AlternateTab GNOME Shell 扩展的 gnome-shell-extension-alternate-tab 软件包已被删除。

不再支持 AGP 图形卡

Red Hat Enterprise Linux 8 不支持使用图形端口(AGP)总线的图形卡。推荐使用 PCI-Express bus 图形卡替换。

Web 控制台不再支持不完整翻译

RHEL web 控制台不再提供翻译少于 50% 的语言支持。如果浏览器要求转换成这种语言，用户界面将为英语。

geoipupdate 软件包已弃用

geoipupdate 软件包需要第三方订阅，同时下载专有内容。因此，geoipupdate 软件包已被弃用，并将在下一个主要 RHEL 版本中删除。

virt-manager 已被弃用

虚拟机管理器（也称 virt-manager） 已弃用。RHEL 8 web 控制台（也称 Cockpit ）旨在在以后的版本中成为它替换。因此，建议您使用 web 控制台使用 GUI 管理虚拟化。但请注意，virt-manager 中的一些功能可能还不能使用 RHEL 8 web 控制台。

RHEL 8 不支持虚拟机快照

当前创建虚拟机(VM)快照的机制已经被弃用，因为它无法可靠工作。因此，建议在 RHEL 8 中使用虚拟机快照。

Cirrus VGA 虚拟 GPU 类型已弃用

随着 Red Hat Enterprise Linux 的主要更新，Cirrus VGA GPU 设备将在 KVM 虚拟机中不再被支持。因此,，红帽建议您使用 stdvga、virtio-vga 或者 qxl 设备而不是 Cirrus VGA。

SPICE 已被弃用

在 RHEL 8.3 中，SPICE 远程显示协议已弃用。请注意，RHEL 8 中仍支持 SPICE，但红帽建议您为远程显示流使用备选解决方案：

基于 podman varlink 的 REST API V1 已被弃用

基于 Podman varlink 的 REST API V1 已被上游弃用，以新的 Podman REST API V2 替代。这个功能将在以后的 Red Hat Enterprise Linux 8 发行版本中删除。

auth 和 authconfig Kickstart 命令需要 AppStream 软件仓库

auth 和 authconfig Kickstart 命令在安装过程中需要 authselect-compat 软件包。如果没有这个软件包，如果使用了 auth 或 authconfig，则安装会失败。但根据设计，authselect-compat 软件包只包括在 AppStream 仓库中。

reboot --kexec 和 inst.kexec 命令不提供可预测的系统状态

使用 reboot --kexec Kickstart 命令或 inst.kexec 内核引导参数执行 RHEL 安装不会提供与完全重启相同的可预期系统状态。因此，在不重启的情况下切换安装的系统可能会导致无法预计的结果。

在安装程序中不默认启用网络访问

几个安装功能需要网络访问，例如：使用 Content Delivery Network(CDN)、NTP 服务器支持和网络安装源注册系统。但默认情况下不启用网络访问，因此在启用网络访问前无法使用这些功能。

新的 osbuild-composer 后端不会在升级时从 lorax-composer 复制蓝图状态

对于从 lorax-composer 后端升级到新 osbuild-composer 后端的 Image Builder 用户，蓝图可能会消失。因此，升级完成后，蓝图不会自动显示。要临时解决这个问题，请执行以下步骤。

Kickstart 安装无法使用自签名 HTTPS 服务器

目前，当在 kickstart 文件中指定安装源并使用 --noverifyssl 选项时，安装程序无法从自签名的 https 服务器安装：

如果在仓库刷新完成前尝试使用 CDN 取消注册，则 GUI 安装可能会失败

从 RHEL 8.2 开始，当使用 Content Delivery Network(CDN)注册您的系统并附加订阅时，GUI 安装程序会启动对仓库元数据的刷新。刷新过程不是注册和订阅过程的一部分，因此在 Connect to Red Hat 窗口中启用了 Unregister 按钮。根据网络连接，刷新过程可能需要一分钟以上的时间完成。如果您在刷新过程完成前点 Unregister 按钮，则 GUI 安装可能会失败，因为未注册过程会删除 CDN 仓库文件和安装程序与 CDN 通信所需的证书。

属于多个机构的用户帐户注册失败

目前，当试图使用属于多个机构的用户帐户注册系统时，注册过程会失败并显示出错信息, You must specify an organization for new units。

当使用安装程序引导选项配置 InfiniBand 网络接口时，RHEL 安装程序无法启动

当您使用安装程序引导选项（例如：使用 PXE 服务器下载安装程序镜像）在 RHEL 安装的早期配置 InfiniBand 网络接口时，安装程序无法激活网络接口。

当 NVDIMM 设备命名空间设为 devdax 模式时，Anaconda 安装会失败。

在 GUI 安装前，Anaconda 安装在 NVDIMM 设备命名空间设为 devdax 模式引导后会失败，并带有 trackback 信息。

当使用使用第三方工具创建的 USB 引导安装时，不会检测 本地介质 安装源

当从使用第三方工具创建的 USB 引导 RHEL 安装时，安装程序无法检测 本地介质 安装源（只检测 '红帽 CDN'）。

Anaconda 现在在文本模式中显示 ldl 或未格式化的 DASD 磁盘对话框

在以前的版本中，在文本模式的安装过程中，Anaconda 无法显示 Linux 磁盘布局(ldl)或未格式化的直接访问存储设备(DASD)磁盘的对话框。因此，用户无法将这些磁盘用于安装。

使用图形安装程序时，Red Hat Insights 客户端无法注册操作系统

目前，安装会失败，并显示结尾时指向 Insights 客户端的错误。

syspurpose addons 对 subscription-manager attach --auto 输出没有影响。

在 Red Hat Enterprise Linux 8 中，添加了 syspurpose 命令行工具的四个属性：role、usage、service_level_agreement 和 addons目前，只有 role、usage 和 service_level_agreement 会影响到运行 subscription-manager attach --auto 命令的输出。试图为 addons 参数设置值的用户不会观察到对自动附加的订阅有任何影响。

运行 dnf update 时会删除 libmaxminddb-devel-debuginfo.rpm

当执行 dnf update 命令时，二进制 mmdblookup 工具会从 libmaxminddb-devel 子软件包移到主 libmaxmindb 软件包中。因此，libmaxminddb-devel-debuginfo.rpm 被删除，这可能会为这个软件包创建错误的更新路径。要临时解决这个问题，请在执行 dnf update 命令前删除 libmaxminddb-devel-debuginfo。

锁定的用户可以运行 sudo

在使用 ALL 关键字定义的 sudoers 权限的系统中，拥有权限的 sudo 用户可以以帐户被锁定的用户的身份运行 sudo 命令。因此，仍然可以使用锁定的和过期的帐号来执行命令。

gnutls 无法恢复使用 NSS 服务器的当前会话

当恢复 TLS（传输层安全）1.3 会话时，GnuTLS 客户端会等待 60 毫秒，加上服务器发送会话恢复数据的预计往返时间。如果服务器没有在此时间内发送恢复数据，客户端会创建一个新的会话，而不是恢复当前会话。这不会造成严重的负面影响，只会对常规会话协商的性能有小的影响。

libselinux-python 只能通过其模块提供

libselinux-python 软件包只包含用于开发 SELinux 应用程序的 Python 2 绑定，它用于向后兼容。因此，通过 dnf install libselinux-python 命令，默认的 RHEL 8 软件仓库不再提供 libselinux-python。

UDICA 仅在使用 --env container=podman 启动时才会处理 UBI 8 容器

Red Hat Universal Base Image 8(UBI 8)容器将 container 环境变量设置为 oci 值，而不是 podman 值。这可以防止 udica 工具分析容器 JavaScript 对象表示法(JSON)文件。

默认日志设置在性能上的负面影响

默认日志环境设置可能会消耗 4 GB 内存甚至更多，当 systemd-journald 使用 rsyslog 运行时，速率限制值的调整会很复杂。

/etc/passwd- 的文件权限与 CIS RHEL 8 基准 1.0.0 不一致

由于 CIS Benchmark 存在问题，修正 SCAP 规则可以确保 /etc/passwd- backup 文件中的权限被配置为 0644。但是 CIS Red Hat Enterprise Linux 8 Benchmark 1.0.0 需要该文件的文件权限 0600。因此，在修复后, /etc/passwd- 的文件权限与基准数据不一致。

/etc/selinux/config 中的SELINUX=disabled 无法正常工作

在 /etc/selinux/config 中使用 SELINUX=disabled 选项禁用 SELinux 会导致一个进程，在这个进程中，内核启动时启用了 SELinux，并在稍后的启动过程中切换到禁用模式。这可能导致内存泄漏。

ssh-keyscan 无法在 FIPS 模式中检索服务器的 RSA 密钥

在 FIPS 模式中的 RSA 签名禁用了 SHA-1 算法，这样可防止 ssh-keyscan 工具程序获取在那个模式下运行的服务器的 RSA 密钥。

OpenSSL 错误处理 PKCS #11 tokens 不支持原始 RSA 或 RSA-PSS 签名

OpenSSL 库不会检测到 PKCS #11 令牌的与键相关的功能。因此，当使用不支持原始 RSA 或 RSA-PSS 签名的令牌创建签名时，建立 TLS 连接会失败。

FIPS 模式中的 openssl 只接受特定的 D-H 参数

在 FIPS 模式中，使用 OpenSSL 的传输安全性层(TLS)客户端返回一个 bad dh value 错误，并在使用手动生成的参数的服务器中保存 TLS 连接。这是因为 OpenSSL 当配置为符合 FIPS 140-2 时，只可用于符合 NIST SP 800-56A rev3 附件 D（RFC 3526 中定义的组 14、15、16、17 和 18,以及 RFC 7919）中定义的组。另，,使用 OpenSSL 的服务器会忽略所有其他参数，并选择类似大小的已知参数。要临时解决这个问题，请只使用兼容的组。

删除 rpm-plugin-selinux 软件包会导致从系统中删除所有 selinux-policy 软件包

删除 rpm-plugin-selinux 软件包会禁用机器中的 SELinux。它还会从系统中删除所有 selinux-policy 软件包。重复安装 rpm-plugin-selinux 软件包后会安装 selinux-policy-minimum SELinux 策略，即使之前系统中存在 selinux-policy-targeted 策略。但是，重复安装不会更新 SELinux 配置文件来考虑策略的改变。因此，即使重新安装 rpm-plugin-selinux 软件包也会禁用 SELinux。

systemd 服务无法从任意路径执行命令

systemd 服务无法从 /home/user/bin 任意路径执行命令，因为 SELinux 策略软件包不包括任何这样的规则。因此，在非系统路径中执行的自定义服务会失败，并最终会在 SELinux 拒绝访问时记录 Access Vector Cache(AVC)拒绝审核信息。要临时解决这个问题，请执行以下操作之一：

rpm_verify_permissions 在 CIS 配置集中失败

rpm_verify_permissions 规则将文件权限与软件包默认权限进行比较。但是，由 scap-security-guide 软件包提供的互联网安全中心(CIS)配置将某些文件权限更改为比默认权限更严格。因此，使用 rpm_verify_permissions 验证某些文件会失败。

Kickstart 在 RHEL 8 中使用 org_fedora_oscap 而不是 com_redhat_oscap

Kickstart 引用开放安全内容自动化协议(OSCAP)Anaconda 附加组件作为 org_fedora_oscap ，而不是 com_redhat_oscap ，这可能会导致混淆。这样做可以保持与 Red Hat Enterprise Linux 7 的向后兼容性。

某些 SSG 中的规则组可能会失败

由于未定义规则及其依赖项的顺序，基准中 SCAP 安全指南(SSG)规则的修复可能会失败。如果需要以特定顺序执行两个或多个规则，例如，当一条规则安装组件和另一个规则配置同一组件时，它们可按错误的顺序运行，并报告错误。要临时解决这个问题，请执行补救两次，第二次运行会修复依赖规则。

OSCAP Anaconda Addon 不会在文本模式中安装所有软件包

如果安装运行在文本模式下，则 OSCAP Anaconda Addon 插件无法修改系统安装程序为安装所选择的软件包列表。因此，当使用 Kickstart 指定安全策略配置集且安装以文本模式运行时，安全策略所需的附加软件包不会在安装过程中安装。

OSCAP Anaconda Addon 组件无法正确处理自定义配置集

OSCAP Anaconda Addon 插件无法以独立文件中自定义的方式正确处理安全配置集。因此，即使您在对应的 Kickstart 部分正确指定了自定义配置集，RHEL 图形安装中也不会提供自定义配置集。

基于 OSPP 的配置集与 GUI 软件包组不兼容。

服务器安装的 GUI 软件包组的GNOME 软件包需要 nfs-utils 软件包，该软件包与操作系统保护配置集(OSPP)不兼容。因此，在安装带有基于 OSPP 或 OSPP 配置文件（例如安全技术实现指南(STIG)的系统的过程中，选择 Server with GUI 软件包组，OpenSCAP 会显示一条警告信息，表示所选的软件包组与安全策略不兼容。如果在安装后应用了基于 OSPP 的配置集，则系统将无法引导。要临时解决这个问题,请不要在使用 OSPP 配置集和基于 OSPP 的配置集时使用 Server with GUI 或者其它安装 GUI 的组。在使用 Server 或 Minimal Install 软件包组时，系统不会有任何问题并可正常工作。

无法使用 Server with GUI 或 Workstation 软件选择和 CIS 安全配置集进行安装

CIS 安全配置集与 Server with GUI 和 Workstation 不兼容。因此，无法使用 Server with GUI 软件选择和 CIS 配置集进行 RHEL 8 安装。使用 CIS 配置集进行尝试安装，且这两种软件选择之一都会生成出错信息：

在 kickstart 安装过程中修复与服务相关的规则可能会失败

在 kickstart 安装过程中，OpenSCAP 工具有时会错误地显示服务的 启用 或 禁用 状态修正不需要。因此，OpenSCAP 可能会将安装的系统上的服务设置为不合规的状态。作为临时解决方案，您可以在 kickstart 安装后扫描并修复该系统。这可以解决与服务相关的问题。

某些 rsyslog 优先级字符串不能正常工作

对于允许对加密进行细粒度控制的 imtcp 的 GnuTLS 优先级字符串的支持尚未完成。因此，以下优先级字符串无法在 rsyslog 中正常工作：

crypto-policies 错误地允许 Camellia 密码

RHEL 8 系统范围的加密策略应该在所有策略级别禁用 Camellia 密码，如产品文档中所述。但是 Kerberos 协议默认启用密码。

iptables 程序现在为更新链的命令要求载入模块，而不会考虑 NLM_F_CREATE 标签

在以前的版本中，当设定链策略时，iptables-nft 程序会生成 NEWCHAIN 信息，但没有设置 NLM_F_CREATE 标志。因此,如果内核模块没有被手动加载,RHEL 8 内核不会加载任何模块,所得到的 update chain 命令会失败。有了这个更新，iptables-nft 工具现在为所有更新链的命令请求模块加载，用户可以使用 iptables-nft 工具设置链策略，而无需手动加载相关的模块。

对更新内核中的 数据包/字节 计数器的支持，在 RHEL 7 和 RHEL 8 之间被错误地更改了

当使用启用了 iptables 规则的计数器（即指定匹配 ipset 条目的额外约束）的 ipset 命令时，只有在所有附加约束匹配时才更新 ipset 计数器。在 --packets-gt 或 --bytes-gt 约束中存在问题。

在使用 nfp 驱动程序的 Netronome 网卡中卸载 XDP 程序失败

Netronome 网卡的 nfp 驱动程序存在 bug。因此，如果您使用这些卡，并使用带有 XDP_FLAGS_REPLACE 标志的 IFLA_XDP_EXPECTED_FD 特性加载 XDP 程序时，卸载 eXpress Data Path(XDP)程序会失败。例如，这个程序错误会影响使用 libxdp 库载入的 XDP 程序。目前，这个问题还没有可用的临时解决方案。

在 ip 引导选项中使用 DHCP 时，Anaconda 没有网络访问权限

初始 RAM 磁盘(initrd)使用 NetworkManager 来管理网络。RHEL 8.3 ISO 文件提供的 dracut NetworkManager 模块错误地假设始终设置了 Anaconda 引导选项中 ip 选项的第一个字段。因此，如果您使用 DHCP 并设置 ip=::::<host_name>::dhcp，NetworkManager 将不会检索 IP 地址，并且网络在 Anaconda 中不可用。

tboot-1.9.12-2 工具在 RHEL 8 中会导致引导失败

版本 1.9.12-2 的 tboot 工具会导致某些带有受信任的平台模块(TPM)2.0 的系统无法在旧模式下引导。因此，当系统尝试从 tboot Grand Unified Bootloader(GRUB)条目引导后会停止。要临时解决这个问题，请降级到 1.9.10 版本的 tboot。

内核在 IBM Z 系统中返回假的警告

在 RHEL 8 中，IBM Z 系统缺少 ZONE_DMA 内存区的白名单条目来允许用户访问。因此，内核会返回假的警告，例如：

rngd 服务忙等待会导致在 FIPS 模式下消耗掉所有 CPU

从版本 4.18.0-193.10 开始，内核添加了 FIPS 模式的新内核熵源。因此，当使用 FIPS 模式时，rngd 服务忙等待会等待对 /dev/random 设备的 poll() 系统调用，从而导致消耗掉 100% 的 CPU 时间。要临时解决这个问题，运行以下命令停止和禁用 rngd：

softirq 更改会导致 localhost 接口在负载过重时丢弃 UDP 数据包

完成了对 Linux 内核的软件中断(softirq) 处理的更改，以减少拒绝服务(DOS)的影响。因此，这导致了这样的情况，即 localhost 接口在负载过重时丢弃用户数据报协议(UDP)数据包。

在内存热插拔或拔出操作后，vmcore 捕获失败

执行内存 hot-plug 或 hot-unplug 操作后，会更新包含内存布局信息的设备树。因此，makedumpfile 实用程序会尝试访问不存在的物理地址。如果以下条件都满足，就会出现问题：

使用 irqpoll 会导致 vmcore 生成失败

由于在 Amazon Web Services(AWS)云平台上运行的 64 位 ARM 架构中的 nvme 驱动程序存在问题，在第一个内核提供了 irqpoll 内核命令行参数时 vmcore 生成会失败。因此，在内核崩溃后，/var/crash/ 目录中不会转储 vmcore 文件。要临时解决这个问题：

Debug 内核无法在 RHEL 8 的崩溃捕获环境中引导

由于 debug 内核的内存需求特性，会在使用 debug 内核并触发内核 panic 时出现问题。因此，调试内核无法作为捕获内核引导，而是生成一个堆栈追踪。要临时解决这个问题，相应地增大崩溃内核内存。因此，debug 内核可以在崩溃捕获环境中成功引导。

zlib 可能会在某些压缩功能中减慢 vmcore 捕获速度

kdump 配置文件默认使用 lzo 压缩格式（makedumpfile -l）。当您修改使用 zlib 压缩格式（makedumpfile -c）的配置文件时，可能会带来更好的压缩效果，但会牺牲 vmcore 捕获过程的速度。因此，与 lzo 相比，捕获有 zlib 的 vmcore 文件所需的时间最多可能比使用 kdump 要长四倍。

HP NMI 监视器并不总是生成崩溃转储

在某些情况下，HP NMI watchdog 的 hpwdt 驱动无法声明一个由 HPE watchdog timer 生成的不可屏蔽中断（NMI），因为 NMI 被 perfmon 驱动所消耗。

tuned-adm profile powerave 命令会导致系统变得无响应

执行 tuned-adm profile powersave 命令会导致具有旧的 Thunderx(CN88x)处理器的 Penguin Valkyrie 2000 2-socket 系统的无响应状态。因此，需要重启系统以便恢复工作。要临时解决这个问题，如果您的系统符合上述说明，请避免使用 powersave 配置集。

默认的 7 4 1 7 printk 值有时会导致临时系统无响应

默认的 7 4 1 7 printk 值可以更好地调试内核的活动。但是，当与串口控制台搭配使用时，这个 printk 设置可能会导致大量 I/O，从而导致 RHEL 系统暂时变得不响应。为了解决这个问题，添加了一个新的 optimize-serial-console TuneD 配置集，它把默认的 printk 值减为 4 4 1 7。用户可以按照以下方法追踪其系统：

内核 ACPI 驱动程序报告无法访问 PCIe ECAM 内存区域

固件提供的高级配置和电源接口（ACPI）表没有在 PCI 总线设备中定义内存区域。因此，在系统引导时会出现以下警告信息：

OPEN MPI 库可能会使用默认 PML 的触发程序运行时失败

在 OPEN 消息密码界面（OPEN MPI）实现 4.0.x 系列中，Unified communicating X（UCX）是默认的点到点通信器（PML）。OPEN MPI 4.0.x 系列之后的版本弃用了 openib Byte Transfer Layer(BTL)。

无法将 /boot 文件系统放在 LVM 中

您不能将 /boot 文件系统放在 LVM 逻辑卷中。这种限制的原因如下：

LVM 不再允许使用混合块大小创建卷组

LVM 工具（如 vgcreate 或 vgextend）不再允许您创建有不同逻辑块大小的物理卷（PV）的卷组(VG)。LVM 启用了这个更改，因为如果您使用不同块大小的 PV 扩展了基本逻辑卷（LV），文件系统将无法挂载。

LVM writecache 的限制

writecache LVM 缓存方法有以下限制，这些限制不会出现在 cache 方法中：

保存一个 LUKS 卷的 LVM mirror 设备有时将变为无响应

在某些情况下，保存 LUKS 卷的片段类型的 mirror LVM 设备可能会变得无响应。无响应设备会拒绝所有 I/O 操作。

NFS 4.0 补丁可能会导致 open-heavy 工作负载性能降低。

在以前的版本中，存在一个程序错误，在某些情况下，可能会导致 NFS 打开操作覆盖文件已被删除或重命名在服务器中的事实。但是，这个修复可能会在需要很多打开操作的工作负载中造成性能下降。要临时解决这个问题，您可能需要使用 NFS 版本 4.1 或更高版本，这些版本已被改进为客户端在本地、快速和安全地执行开放操作。

当有 32 位应用程序调用 getpwnam() 时，可能会失败

当 NIS 用户使用32 位应用程序调用 getpwnam() 函数时，如果没有 nss_nis.i686 软件包，则调用会失败。要临时解决这个问题，使用 yum install nss_nis.i686 手动安装缺少的软件包。

OpenLDAP 库之间的符号冲突可能会导致 httpd 中的崩溃

当 OpenLDAP 提供的 libldap 和 libldap_r 库被加载，并在单个进程中使用时，这些库之间可能会出现符号冲突。因此，如果 mod_security 或mod_auth_openidc 模块也是由 httpd 配置加载的，则使用 PHP ldap 扩展的 Apache httpd 子进程可能会意外终止。

PAM 插件无法在 MariaDB中工作

MariaDB 10.3 提供了可插拔验证模块(PAM)插件版本 1.0。MariaDB PAM 插件版本 1.0 不能在 RHEL 8 中工作。要临时解决这个问题，请使用 mariadb:10.5 模块流提供的 PAM 插件版本 2.0， 该模块流由 RHEL 8.4 提供。

如果所有 KRA 成员都是隐藏的副本，则安装 KRA 会失败

如果在隐藏的副本中安装第一个 KRA 实例，ipa-kra-install 程序会在有密钥恢复授权(KRA)的集群中失败。因此，您无法向集群添加更多 KRA 实例。

将 cert-fix 程序与 --agent-uid pkidbuser 选项一同使用会破坏证书系统

使用带有 --agent-uid pkidbuser 选项的 cert-fix 工具可破坏证书系统的 LDAP 配置。因此,，证系统可能会变得不稳定，需要手动步骤才能恢复该系统。

由连接到 PKI CA 的 PKI ACME Responder 发布的证书可能无法通过 OCSP 验证

PKI CA 提供的默认 ACME 证书配置文件包含一个示例 OCSP URL，其不指向实际的 OCSP 服务。因此，如果将 PKI ACME Responder 配置为使用 PKI CA 签发者，则响应者发布的证书可能会失败 OCSP 验证。

FreeRADIUS 会默默地截断大于 249 个字符的 Tunnel-Password

如果 Tunnel-Password 大于 249 个字符，则 FreeRADIUS 服务会默默地截断它。这可能导致无法预期的，与其它系统不兼容的密码。

IdM 主机上的 /var/log/lastlog 稀疏文件可能会导致性能问题

在 IdM 安装过程中，从总计 10,000 个可能范围内会随机选择并分配一个 200,000 UID 范围。当您决定以后合并两个独立的 IdM 域时，以这种方法选择一个随机范围可显著降低冲突 ID 的可能性。

对 ldap_id_use_start_tls 选项使用默认值时的潜在风险

在使用没有 TLS 的 ldap:// 进行身份查找时，可能会带来攻击向量的风险。特别是中间人(MITM)攻击，其允许攻击者，例如更改 LDAP 搜索中返回的对象的 UID 或 GID 来冒充用户。

无法从软件仓库中禁用 flatpak 程序库

目前，在 GNOME 软件工具中的软件程序库工具中无法禁用或删除 flatpak 程序库。

在桌面和应用程序间进行拖放操作无法正常工作

由于 gnome-shell-extensions 软件包中的一个 bug，drag-and-drop 功能目前在桌面和应用程序间无法正常工作。以后的发行版本中将重新添加对这个功能的支持。

第二代 RHEL 8 虚拟机有时无法在 Hyper-V Server 2016 主机上引导

当使用 RHEL 8 作为在 Microsoft Hyper-V Server 2016 主机上运行的虚拟机(VM)中的客户机操作系统时，虚拟机在某些情况下无法引导，并返回到 GRUB 引导菜单。另外，会在 Hyper-V 事件日志中记录以下错误：

radeon 无法正确重置硬件

radeon 内核驱动程序目前没有在 kexec 上下文中正确重置硬件。相反，radeon 无法工作，从而导致剩余的 kdump 服务失败。

多个 HDR 显示在单个 MST 拓扑上可能无法打开

在使用带有 nouveau 驱动程序的 NVIDIA 图灵 GPU 的系统上，使用一个有支持 HDR 的多个显示器插入其中的 DisplayPort 集线器（如笔记本电脑底座），可能会导致打开失败。这是因为系统错误地认为 hub 中没有足够的带宽来支持所有显示器。

无法使用 sudo 命令运行图形应用程序

当试图以具有更高权限的用户运行图形应用程序时，应用程序无法打开并带有一个出错信息。发生故障的原因是 Xwayland 被 Xauthority 文件限制，为使用常规用户凭证进行验证。

VNC Viewer 显示在 IBM Z 中带有 16 位颜色深度的错误颜色

当您连接到带有 16 位色彩深度的 IBM Z 服务器上的 VNC 会话时，VNC Viewer 应用程序会显示错误的颜色。

ARM 不支持硬件加速

内置图形驱动程序不支持 64 位 ARM 架构中的硬件加速或 Vulkan API。

RHEL 安装程序对 NVIDIA Ampere 没有响应

RHEL 8.3.0 不支持 NVIDIA Ampere GPU。如果您在具有 NVIDIA Ampere GPU 的系统上启动 RHEL 安装，则安装程序将没有响应。因此，安装无法成功完成。

非特权用户可以访问订阅页面

如果非管理员访问 web 控制台的 Subscriptions 页面，Web 控制台会显示一个通用错误消息 Cockpit had an unexpected internal error。

System Roles Logging 不支持 ovirt 输入和 elasticsearch 输出功能

系统角色日志中不支持 oVirt 输入和 elasticsearch 输出，虽然 README 文件中已提到它们。目前还没有可用的临时解决方案。

无法通过 QXL 显示多个使用 Wayland 的虚拟机的监控器

使用 remote-viewer 工具来显示使用 Wayland 显示服务器的虚拟机(VM)的多个显示器，会导致 VM 变得无响应，并永久显示 Waiting for display 状态信息。

virsh iface-\* 命令无法一致性地工作

因为配置的依赖关系，目前virsh iface-* 命令（如 virsh iface-start 和 virsh iface-destroy 会经常失败。因此，建议您不要使用 virsh iface-\* 命令配置和管理主机网络连接。反之，使用 NetworkManager 程序及其相关管理程序。

当使用很多 virtio-blk 磁盘时，虚拟机有时无法启动

在虚拟机(VM)中添加大量 virtio-blk 设备可能会耗尽平台中可用的中断向量。如果发生了这种情况，VM 的客户机操作系统无法引导，并显示 dracut-initqueue[392]: Warning: Could not boot 错误。

使用 virtio-blk 将 LUN 设备附加到虚拟机中无法正常工作

q35 机器类型不支持 virtio 1.0 设备，因此 RHEL 8 不支持 virtio 1.0 中弃用的功能。特别是，RHEL 8 主机无法从 virtio-blk 设备发送 SCSI 命令。因此，使用 virtio-blk 控制器时，将物理磁盘作为 LUN 设备附加到虚拟机会失败。

当主机上禁用 TSX 时，使用 Cooperlake 的虚拟机无法引导

使用 Cooperlake CPU 模型的虚拟机（VM）目前在主机上禁用 TSX CPU 标签时无法引导。相反，主机会显示以下出错信息：

虚拟机有时无法在 Witherspoon 主机上引导

在某些情况下，使用 pseries-rhel7.6.0-sxxm 机器类型的虚拟机(VM)不能在使用 DD2.2 或 DD2.3 CPU 的 Power9 S922LC for HPC 主机上启动。

Azure NV6 实例上的 GPU 问题

当在 Microsoft Azure NV6 实例上运行 RHEL 8 作为客户机操作系统时，从休眠状态恢复虚拟机（VM）有时会导致虚拟机的 GPU 工作不正确。当发生这种情况时，内核会记录以下信息：

kdump 有时不会在 Azure 和 Hyper-V 上启动

在托管在 Microsoft Azure 或 Hyper-V hypervisor 上的 RHEL 8 客户机操作系统中，启动 kdump 内核在某些情况下会在启用执行后通知程序时失败。

在 VMWare 主机的 RHEL 8 虚拟机中设置静态 IP 无法正常工作

目前，当在 VMWare 主机中使用 RHEL 8 作为虚拟机（VM）的客户机操作系统时，DatasourceOVF 功能无法正常工作。因此，如果您使用 cloud-init 程序将虚拟机的网络设置为静态 IP，然后重启虚拟机，则虚拟机的网络将变为 DHCP。

内核转储带有特定 NIC 的 RHEL 8 虚拟机到 Azure 的远程机器所需的时间比预期的时间要长

目前，虚拟机使用启用了加速网络的 NIC 时，用 kdump 实用程序将 RHEL 8 虚拟机(VM)的内核转储保存到远程机器上无法正常工作。因此，转储文件会在大约 200 秒后保存，而不是立即保存。另外，在保存转储文件前会在控制台中记录以下出错信息。

在虚拟机从休眠中恢复后，TX/RX 数据包计数器不会增加

在 Microsoft Azure 上恢复休眠时，当 RHEL 8 虚拟机(VM)使用 CX4 VF NIC 时, TX/RX 数据包计数器会停止增长,。要让计数器保持工作正常，重启虚拟机。请注意，这样做会重置计数器。

RHEL 8 虚拟机无法从 Azure 的休眠状态恢复

当启用 SR-IOV 的 RHEL 8 虚拟机(VM)已休眠并在 Microsoft Azure 上被取消分配，则虚拟功能(VF)（vmbus 设备）的 GUID 会改变。因此，当虚拟机被重启时，它无法恢复并崩溃。作为临时解决方案，使用 Azure 串口控制台硬重置虚拟机。

将 POWER9 客户端从 RHEL 7-ALT 主机迁移到 RHEL 8 会失败

目前，将 POWER9 虚拟机从 RHEL 7-ALT 主机系统迁移到 RHEL 8 会变得无响应，状态为 "Migration status: active"。

redhat-support-tool 无法用于 FUTURE 加密策略

因为客户门户网站 API 中的证书使用的加密密钥不满足 FUTURE 系统范围的加密策略的要求，所以 redhat-support-tool 程序目前无法使用这个策略级别。

UDICA 无法与 1.0 稳定流工作

UDICA，为容器生成 SELinux 策略的工具，不能与通过 container-tools:1.0 模块流中的 podman 1.0.x 运行的容器一起使用。

podman system connection add 不会自动设置默认连接

podman system connection add 命令不会自动将第一个连接设置为默认连接。要设置默认连接，您必须手动运行命令 podman system connection default <connection_name>。