Product SiteDocumentation Site

2. Зміни у Fedora для системних адміністраторів

2.1. Ядро

Fedora 17 постачається з ядром 3.3.4.

2.2. Встановлення

Зміни у завантаження безпосереднього ядра

У встановленні за допомогою завантаження безпосереднього ядра, зокрема PXE, сталися значні зміни. Звичайний спосіб встановлення за допомогою відповідного носія залишився незмінним.
Досвідчені користувачі можуть скористатися для встановлення системи за допомогою мережі будь-яким з багатьох способів. Загалом кажучи, такі способи передбачають налаштування певного мінімалістичного середовища з ядром для наступного встановлення. У виконанні цієї дії під час встановлення Fedora 17 відбулися значні зміни.
У F16 достатньо було вказати розташування ядра і initrd, щоб встановлення можна було виконати: kernel/initrd отримує stage1, а stage1 отримує stage2.
З noloader подібне вже неможливе: під час завантаження безпосереднього ядра слід вказати розташування stage2. Іншими словами, слід передати ядру параметр repo= або stage2= (або inst.repo=, або inst.stage2=, оскільки таким записам тепер слід надавати перевагу), який вказуватиме на сховище пакунків. Якщо образ stage2 зберігається на одному сервері, а пакунки на іншому сервері, слід використовувати stage2=. repo= слід користуватися, лише якщо на одному сервері зберігаються всі дані, потрібні для встановлення (образ stage2 та всі пакунки, які слід встановити). Зауважте, що stage2= потрібна ієрархія сховища, ви не можете просто передати шлях безпосередньо до файла squashfs.img (спосіб, у який працював stage2= у F15 та попередніх версіях).
Приклад:
label linux
kernel vmlinuz
append initrd=initrd.img
вже не можна користуватися. Слід вказати параметр repo:
label linux
kernel vmlinuz
append initrd=initrd.img repo=http://dl.fedoraproject.org/pub/fedora/linux/development/17/x86_64/os/
або stage2:
label linux
kernel vmlinuz
append initrd=initrd.img stage2=http://my.internal.server/17/x86_64/os/
(або будь-яке інше чинне дзеркало даних).

2.3. Безпека

2.3.1. Перевірка якості паролів

У новій версії Fedora передбачено єдину придатну до налаштовування бібліотеку, libpwquality, для перевірки якості нових паролів, використаних для доступу до облікових записів системи. Цією бібліотекою надаються загальносистемні можливості з перевірки якості паролів. Налаштувати перевірку можна за допомогою файла /etc/security/pwquality.conf.
Розробники, охочі до використання програмного інтерфейсу зі створених ними програм, можуть знайти опис цього інтерфейсу у файлі pwquality.h, який є частиною пакунка libpwquality-devel. Також надається обгортка мовою Python, python-pwquality.

2.3.2. SELinux Deny Ptrace

Додано новий булевий перемикач SELinux, deny_ptrace. Рекомендується вмикання цього перемикача для всіх користувачів, які не мають наміру зневаджувати програми. За допомогою цього перемикача можна запобігти читанню областей пам’яті програм сторонніми процесами або іншим спробам нападу за допомогою засобів для зневаджування, зокрема ptrace та gdb.
Перемикач запобігає вказаним спробам нападу, навіть якщо зловмисний процес запущено від імені адміністратора або якщо цей процес працює у одному контексті і з однією міткою SELinux з процесом-жертвою нападу. Щоб увімкнути захист, що надається deny_ptrace, віддайте таку команду від імені адміністратора:
# setsebool -P deny_ptrace 1
Щоб вимкнути захист, що надається deny_ptrace, на певний час, віддайте таку команду від імені адміністратора:
# setsebool deny_ptrace 0

2.3.3. Окремі каталоги служб у /tmp

До багатьох служб, керованих systemd, внесено зміни з метою уможливлення використання окремого каталогу /tmp служби. Виявилося, що привілейовані служби, що використовують /tmp та /var/tmp, у попередніх версіях були доступні для втручання користувачів без відповідних прав доступу, що потенційно могло призводити до небажаного розширення прав доступу. За допомогою окремих каталогів /tmp для служб можливість використання цієї вади усунено.
Команда, яку було додано до файлів модулів systemd змінених процесів, є такою:
[Service]
PrivateTmp=true

2.3.4. Безпечні контейнери

Створено новий інструмент, sandbox, призначений для спрощення створення безпечних контейнерів libvirt. Якщо sandbox буде передано назву виконуваного файла, програма визначити точки монтування та дані щодо контейнера libvirt, потрібні для запуску програми у межах контейнера. Після цього контейнер буде запущено засобами libvirt з контекстом SELinux, який запобігає взаємодії запущеної програми з іншими процесами у системі, зокрема з іншими контейнерами, але надає змогу обмінюватися даними з системою.
Таким чином, адміністратор може запускати декілька екземплярів служби одночасно так, щоб ці екземпляри не зашкодили роботі основної системи або роботі інших процесів системи, навіть якщо програму запущено від імені адміністратора. Щоб скористатися sandbox, встановіть пакунок libvirt-sandbox.
2.3.4.1. krb5-workstation
У Fedora 17 систему розпізнавання Kerberos оновлено до версії 1.10. У новій версії додано підтримку зміни паролів через NAT та підтримку локалізації. Додано команду kswitch, призначену для перемикання між кешами реєстраційних даних. Додано додаткові можливості з підтримки кешування у інші програми. Вибір реєстраційних даних керується за допомогою файла $HOME/.k5identity.

2.4. Файлові системи

2.4.1. Великі файлові системи

У Fedora 17 передбачено підтримку файлових систем з об’ємом понад 16 terabytes та типовою файловою системою (ext4). У найсвіжішій версії e2fsprogs передбачено підтримку файлових систем об’ємом аж до 100 ТБ.

2.4.2. Шифровані файлові системи

У Fedora 17 використовується версія 1.4.1 пакунка cryptsetup. У цій версії вилучено застарілі виклики програмного інтерфейсу. Крім того, передбачено підтримку розташовування заголовків LUKS на окремих пристроях і створення спільних зашифрованих сегментів, які не перекриваються, на одному пристрої.

2.4.3. btrfs

У новій версії ви не зможете скористатися btrfs як файловою системою призначення під час встановлення системи. Цю ваду буде усунуто у Fedora 18. btrfs у поточній версії можна буде скористатися після встановлення системи.

2.5. Віртуалізація

2.5.1. QEMU

Пакунок емулятора з відкритим кодом віртуальних машин QEMU оновлено до версії 1.0. Серед помітних користувачеві змін слід відзначити такі:
  • У новій версії QEMU передбачено підтримку перенесення гостьових системи без призупинення їх роботи.
  • Користувачі KVM нової версії зможуть запускати стандартні інструменти профілювання безпосередньо з гостьових систем KVM.
  • У нових версіях QEMU і libvirt передбачено передавання потоків образів. За допомогою передавання потоків образів адміністратори систем зможуть швидко запускати нові віртуальні машини на основі вже створених образів. Після запуску таким віртуальним машинам ресурси надаються повністю у фоновому режимі, відповідно до рівня їх роботи.
  • У QEMU і KVM нових версій передбачено підтримку розширеного стосу сховищ даних на основі SCSI, virtio-scsi. Підтримку цього нового стосу сховищ даних буде додано до libvirt у наступних випусках.
З повним списком змін у новому випуску можна ознайомитися на основній сторінці пакунка: http://wiki.qemu.org/ChangeLog/1.0.

2.5.2. libvirt

Пакунки libvirt, набору інструментів для взаємодії з можливостями з віртуалізації різноманітних основних систем, було оновлено до версії 0910. З повним списком змін у цьому випуску можна ознайомитися на основній сторінці проекту: http://libvirt.org/news.html.

2.5.3. Керування віртуальними машинами (virt-manager)

Інструмент керування віртуальними машинами було оновлено до версії 0.9.1. Окрім численних виправлень вад, у цьому випуску ви зможете скористатися такими перевагами:
  • Підтримкою додавання пристроїв переспрямовування USB.
  • Можливістю змінити версії підтримки контролером USB стандарту до USB 2.0.
  • Можливістю вказати тип машини для гостьових систем, що не є x86-сумісними.
З повним списком змін у новому випуску можна ознайомитися на основній сторінці пакунка: http://virt-manager.org/download.html.

2.6. Хмарні обчислення

2.6.1. CloudStack

До складу Fedora 17 включено пакунок CloudStack, у якому реалізовано зрілу платформу Infrastructure as a Service (IaaS або «інфраструктура як послуга»).

2.6.2. OpenNebula

Крім того, новим у Fedora 17 є пакунок OpenNebula. OpenNebula є пакунком платформи IaaS зорієнтованим на віртуалізацію центру обробки даних. Керування середовищем можна здійснювати за допомогою командного рядка або графічних інтерфейсів. Реалізовано сумісність з Open Cloud Computing Interface (OCCI) Amazon EC2.

2.6.3. OpenStack

До складу Fedora 17 включено найсвіжішу версію комплексу програм OpenStack з кодовою назвою «Essex». До цього нового випуску включено найсвіжіші версії інтерфейсу інтернет-керування («Horizon») та роботи у віртуальній мережі («Quantum»). Використання Qpid замість RabbitMQ як програми обробки AQMP є новим у Fedora 17. Крім того, доступність libguestfs з підтримкою багатьох форматів віртуальних дисків робить комплекс OpenStack у Fedora ще гнучкішим.

2.6.4. Open vSwitch

До складу Fedora 17 включено Open vSwitch, програмний комутатор мережі, призначений для забезпечення надання доступу до служб мережі віртуальним машинам. У Open vSwitch передбачено підтримку OpenFlow для полегшення керування системою.

2.7. Сервери баз даних

2.7.1. mysql

До складу Fedora 17 включено пакунок mysql 5.5.20, оновлений з версії 5.5.14 у Fedora 16.

2.7.2. postgresql

Пакунок postgresql оновлено до версії 9.1.2.

Зміни, що потенційно можуть порушити сумісність

Якщо вам потрібне перегляд information_schema.referential_constraints або стовпчики типу citext, вам варто виконати певні додаткові дії. Докладний опис можна знайти тут: http://www.postgresql.org/docs/9.1/static/release-9-1-2.html.
Це, в основному, випуск, спрямований на виправлення вад.

2.7.3. sqlite

Пакунок sqlite було оновлено до версії 3.7.9.

Зміни, що потенційно можуть порушити сумісність

Якщо ключ пошуку (права частина оператора MATCH) у FTS4 починається з «^», цей ключ має бути першим у його полі документа.
Було внесено багато змін та покращено роботу:
  • Покращення швидкодії CREATE INDEX у великих таблицях на порядок.
  • Покращено VFS для windows з метою запобігти конфліктам з антивірусним програмним забезпеченням.
  • Покращена оптимізація планування запиту у разі використання ключового слова DISTINCT.
  • Можливість перевизначення більшої кількості системних викликів у віртуальній файловій системі unix з метою кращої підтримки пісочниць chromium.
  • Збільшення типового розміру рядка випереджального пошуку зі 100 до 128 байтів.
  • Покращення у модулі test_quota.c з метою стеження за попередньо створеними файлами.
  • До інтерфейсу sqlite3_db_status() додано параметри SQLITE_DBSTATUS_CACHE_HIT та SQLITE_DBSTATUS_CACHE_MISS.
  • Вилучено підтримку SQLITE_ENABLE_STAT2. Замінено покращеним варіантом, SQLITE_ENABLE_STAT3.
  • Покращення у допоміжній програмі sqlite3_analyzer, зокрема додавання параметрів --pageinfo і --stats та підтримка баз даних з ущільненням.
  • Покращення інтерфейсу sqlite3_data_count(). Тепер цим інтерфейсом можна скористатися для визначення, якщо SQLITE_DONE було видимим у приготованій команді.
  • Додано параметр керування файлами SQLITE_FCNTL_OVERWRITE, за допомогою якого ядро SQLite повідомляє віртуальній файловій системі про те, що у результаті поточної дії буде перезаписано весь файл бази даних.
  • Збільшено типовий об’єм отримання пам’яті для асоціативних пошуків зі 100 до 128 байтів.
  • Покращення у плануванні запитів. Тепер вхідні і вихідні значення для виразів OR у WHERE може бути розкладено на складові з метою виявлення кращих індексів.
  • Додано параметр збирання SQLITE_DIRECT_OVERFLOW_READ, за допомогою якого базі даних можна наказати читати дані безпосередньо з файла бази даних, без використання кешу сторінок.
  • Вилучено обмеження на величину значень точності і ширини у визначеннях форматів процедур обробки рядків сімейства sqlite3_mprintf().

2.8. Фонові служби системи

2.8.1. pciutils

Пакунок pciutils, який містить інструменти для перевірки та налаштовування пристроїв PCI, у Fedora 17 оновлено до версії 3.1.9. У цій версії передбачено підтримку роботи зі швидкістю читання даних та полів стану зв’язку для обладнання PCI Express версії стандарту 3.

2.8.2. brltty

До складу Fedora 17 включено версію 4.3 brltty, фонової служби «показу» даних у системі Брайля. У версії 4.3 передбачено нові можливості ведення журналу та параметри налаштування, а також розширеншу пристроїв.

2.9. Xorg

2.9.1. Програмна обробка для GNOME Shell

GNOME Shell тепер можна скористатися на будь-якому обладнанні, зокрема у системах, де використовується лише програмна обробка зображення. Користувачі, які надають перевагу запасному режиму роботи GNOME, можуть увімкнути цей режим вручну за допомогою аплету панелі керування Інформація про систему. Достатньо вибрати пункт Графіка і встановити для пункту Примусовий запасний режим значення .

2.9.2. Підтримка роботи з кратним натисканням

У графічному сервері та бібліотеках Fedora 17 передбачено підтримку версії 2.2 розширення XInput, зокрема підтримку кратного дотику до сенсорної панелі. Програми, у яких реалізовано відповідні можливості, у новій версії Fedora зможуть використовувати кратний дотик.

2.9.3. Підтримка плавного гортання

У оновленому графічному серверів також передбачено підтримку плавного гортання для драйверів та пристроїв, які здатні використовувати гортання. Дані гортання тепер експортуються у форматі значень координат за вісями, окрім застарілих даних щодо подій натискання кнопок. Таким чином, програми зможуть використовувати дані щодо швидкості руху позиції дотику та забезпечувати плавнішу роботу під час гортання. Подібно до можливості використання кратного дотику, щоб скористатися підтримкою плавного гортання, ви маєте використовувати програмне забезпечення, у якому реалізовано використання відповідних даних від драйвера.

2.9.4. Драйвери DRI2

Підтримки драйверів DRI i810, mga, r128, savage, sis, tdfx та unichrome більше не передбачено, оскільки ці драйвери не включено до нової версії Mesa. Ось перелік обладнання, якого це стосується:
  • Набори мікросхем на материнських платах Intel i810 та i815
  • Картки Matrox MGA G200, G400, G450 та G550
  • Картки ATI Rage 128
  • Картки S3 Savage 3D та Savage 4
  • Набори мікросхем SiS 300, 540, 630 та 730
  • Картки 3dfx Voodoo 3, Voodoo 4 та Voodoo 5
  • Набори мікросхем VIA Unichrome та Unichrome Pro
Підтримка цього обладнання відтепер здійснюватиметься за допомогою програмного драйвера llvmpipe, який, на відміну від застарілих драйверів DRI, здатен реалізовувати можливості OpenGL 2.x.