Product SiteDocumentation Site

2. Veranderingen in Fedora voor systeembeheerders

2.1. Kernel

Fedora 17 bevat de 3.3.4 kernel.

2.2. Installatie

Veranderingen aan Direct Kernel Boot

Er zijn significante veranderingen indien wordt geïnstalleerd via een direct kernel boot als PXE. De normale installatie via installatiemedia is niet veranderd.
Ervaren gebruikers kunnen verscheidene methodes van netwerkinstallaties uitvoeren, meestal met gebruikmaking van een bepaalde minimale kernelomgeving, waarbinnen de installatie wordt uitgevoerd. Deze manier van installeren heeft significante veranderingen ondergaan in Fedora 17.
In F16 is het over het algemeen alleen noodzakelijk dat de locatie van de kernel en initrd wordt opgegeven, waarna installatie werkt - kernel/initrd roept stage1, en stage1 roept stage2.
Zonder loader gaat dit niet meer op: bij uitvoeren van een 'direct kernel boot' moet de locatie van stage2 worden opgegeven. Met andere woorden: lever repo= of stage2= (of inst.repo= of inst.stage2=, waaraan thans de voorkeur wordt gegeven), verwijzend naar een repository. Indien het stage2-image zich op de ene server bevindt, maar de installatiepakketten op een andere server, moet stage2= worden gebruikt: repo= mag alleen worden gebruikt indien alles wat nodig is voor installatie zich op één server bevindt (zowel het stage2-image als ook alle installatiepakketten). Wees ervan bewust dat stage2= nog steeds een 'repository' tree wil zien, je kan niet het directe pad naar een squashfs.img-bestand opgeven (zoals stage2= werkte in F15 en eerder).
Bijvoorbeeld:
label linux
kernel vmlinuz
append initrd=initrd.img
is niet meer geldig. Het is noodzakelijk repo te specificeren:
label linux
kernel vmlinuz
append initrd=initrd.img repo=http://dl.fedoraproject.org/pub/fedora/linux/development/17/x86_64/os/
of stage2:
label linux
kernel vmlinuz
append initrd=initrd.img stage2=http://my.internal.server/17/x86_64/os/
(of elke andere geldige mirror).

2.3. Beveiliging

2.3.1. Kwaliteitscontrole Wachtwoord

Fedora heeft nu een enkele, configurabele bibliotheek, libpwquality, waarmee de kwaliteit van een nieuw wachtwoord voor systeemaccounts kan worden gecontroleerd. De systeemwijde kwaliteitscontrole voor wachtwoorden die door deze bibliotheek wordt geleverd kan worden ingesteld door het configuratiebestand /etc/security/pwquality.conf te bewerken.
Ontwikkelaars die deze API vanuit hun applicaties wensen aan te roepen kunnen de API-beschrijving vinden in het bestand pwquality.h van het pakket libpwquality-devel. Ook wordt een pyton-wrapper, python-pwquality, meegeleverd.

2.3.2. SELinux Deny Ptrace

Er is een nieuwe SELinux boolean, deny_ptrace toegevoegd. Gebruikers die niet van plan zijn applicaties op hun machine te debuggen worden aangeraden deze boolean aan te zetten. Deze boolean verhindert rogue-processen het geheugen van andere processen te lezen -of op een andere manier aan te vallen- met behulp van debugging tools waaronder dus ptrace en gdb.
Zulke aanvallen worden verhinderd, zelfs daar waar rogue-processen als root worden uitgevoerd of wanneer een proces wordt aangevallen in dezelfde SELinux-context en label. Om permanent door de deny_ptrace boolean te worden beschermd, voert u het volgende commando als root uit:
# setsebool -P deny_ptrace 1
Om de bescherming die de deny_ptrace boolean biedt tijdelijk uit te schakelen, kunt u het volgende commando als root uitvoeren:
# setsebool deny_ptrace 0

2.3.3. Services Private /tmp

Een aantal services gemanaged door systemd zijn zo aangepast, dat zij gebruik kunnen maken van een eigen /tmp-map. Geprivilegeerde services die /tmp en /var/tmp gebruikten stonden vroeger open voor niet-geprivilegeerde gebruikers, mogelijk leidend tot privilege-escalatie. Door gebruik te maken van eigen /tmp-mappen voor services verhindert dit type exploit.
De aanwijzing die is toegevoegd aan systemd unitbestanden voor de aangepaste services is:
[Service]
PrivateTmp=true

2.3.4. Secure Containers

Een nieuwe gereedschap, sandbox, is in het leven geroepen om aanmaken van secure libvirt containers te stroomlijnen. Indien opgegeven met een uitvoerbaar bestand zal sandbox de aankoppelpunten en libvirt container informatie vaststellen. Deze informatie is nodig om de applicatie in een container te kunnen uitvoeren. De container wordt vervolgens gestart door libvirt met de juiste SELinux context. Dit zal voorkomen dat er interactie plaatsvindt met andere processen op het systeem, waaronder andere containers, terwijl het mogelijk blijft systeemdata te delen.
Dit stelt een beheerder in staat meerdere instanties van een service gelijktijdig te laten draaien zonder dat deze services de hostmachine beschadigen of processen op het systeem verstoren, zelfs als zij uitgevoerd worden als root. Om sandbox te gebruiken, installeert u het pakket libvirt-sandbox.
2.3.4.1. krb5-werkstation
Fedora 17 upgrade het Kerberos authenticatiesysteem naar versie 1.10. Toegevoegd is het veranderen van wachtwoorden over NAT en ondersteuning voor lokalisatie. Het kswitch-commando is toegevoegd om te kunnen wisselen tussen credential-caches. Meer cache-support is toegevoegd bij andere commando's. Credential-keuze kan worden aangestuurd via het bestand $HOME/.k5identity.

2.4. Bestandssystemen

2.4.1. Grote bestandssystemen

Fedora 17 zal in het standaard bestandssysteem (ext4) grotere bestandssystemen dan 16 terabytes ondersteunen. Met de laatste versie van e2fsprogs kunnen ext4 bestandssystemen nu een grootte hebben tot 100 TB.

2.4.2. Versleutelde bestandssystemen

Fedora 17 gebruikt versie 1.4.1 van het cryptsetup pakket, die verouderde API-aanroepen verwijdert. Daarnaast is ondersteuning toegevoegd voor het plaatsen van LUKS-headers op aparte apparaten en het aanmaken van gedeelde, niet-overlappende versleutelde segmenten op een enkel apparaat.

2.4.3. btrfs

btrfs is niet beschikbaar als een doelbestandssysteem tijdens de installatie. Dit is een tijdelijk probleem en zal opgelost worden in Fedora 18. btrfs is nog wel beschikbaar na de installatie.

2.5. Virtualisatie

2.5.1. QEMU

De QEMU open bron machine emulator is vernieuwd naar versie 1.0. Opmerkelijke eigenschappen zijn:
  • QEMU ondersteunt nu live migratie van draaiende gasten.
  • KVM gebruikers kunnen nu standaard performance profilerings-gereedschappen draaien binnen KVM gasten.
  • QEMU en libvirt ondersteunen nu image streaming. Image streaming laat een beheerder nieuwe virtuele machines gebaseerd op bestaande images sneller opstarten; virtual machines worden dan tijdens het draaien volledig op de achtergrond voorbereid
  • QEMU en KVM ondersteunen een nieuwe geavanceerde op SCSI gebaseerde opslag stack, virtio-scsi. Ondersteuning voor deze nieuwe opslag stack zal in een latere vrijgave toegevoegd worden aan libvirt.
De volledige lijst van veranderingen in deze vrijgave is upstream beschikbaar op http://wiki.qemu.org/ChangeLog/1.0.

2.5.2. libvirt

De libvirt gereedschapslist voor interactie met de virtualisatie mogelijkheden van verscheidene hosts is vernieuwd naar versie 0.9.10. De volledige lijst van veranderingen in deze vrijgave is upstream beschikbaar op http://libvirt.org/news.html.

2.5.3. Virtuele machine beheerder (virt-manager)

De Virtuele machine beheerder is vernieuwd naar versie 0.9.1. Naast een groot aantal foutreparaties voegt deze vrijgave ook het volgende toe:
  • Ondersteuning voor het toevoegen van USB redirectie apparaten.
  • Een optie om de USB controller te veranderen om USB 2.0 te ondersteunen.
  • Een optie voor het specificeren van het machine type voor niet-x86 gasten.
De volledige lijst van veranderingen in deze vrijgave is upstream beschikbaar op http://virt-manager.org/download.html.

2.6. Cloud

2.6.1. CloudStack

Fedora 17 zal het CloudStack pakket bevatten, welke een volwassen infrastructuur biedt voor een Service (IaaS) platform.

2.6.2. OpenNebula

Ook nieuw voor Fedora 17 is OpenNebula. OpenNebula biedt een IaaS platform toegespitst op datacenter virtualisatie. Het beheer van de omgeving kan via de commando-regel of grafische interfaces gebeuren. Compatibiliteit met Amazon EC2 de Open Cloud Computing Interface (OCCI) is toegevoegd.

2.6.3. OpenStack

Fedora 17 bevat de nieuwste versie van de OpenStack suite, met de code naam "Essex". Aan de nieuwe vrijgave zijn de nieuwste versies van de web beheersinterface ("Horizon") en virtueel netwerken ("Quantum") toegevoegd. Het gebruik van Qpid als een alternatief voor RabbitMQ voor het AQMP backend is nieuw in Fedora 17. Daarnaast zal de beschikbaarheid van libguestfs om meerdere virtuele schijfformaten te ondersteunen de OpenStack aanbieding van Fedora flexibeler maken.

2.6.4. Open vSwitch

Fedora 17 bevat Open vSwitch, een op software gebaseerde netwerk switch die gebruikt wordt om netwerk services te bieden voor virtuele machines. Open vSwitch ondersteunt OpenFlow voor beheers gemak.

2.7. Database servers

2.7.1. mysql

Fedora 17 bevat mysql 5.5.20, vernieuwt vergeleken met 5.5.14 in Fedora 16.

2.7.2. postgresql

postgresql is vernieuwd naar 9.1.2

Potentieel incompatibele verandering

Als je op de information_schema.referential_constraints view vertrouwt, of als je kolommen hebt van het type citext, moet je misschien speciale actie ondernemen. Refereer naar http://www.postgresql.org/docs/9.1/static/release-9-1-2.html.
Dit is voornamelijk een foutreparatie vrijgave.

2.7.3. sqlite

sqlite is vernieuwd naar 3.7.9

Potentieel incompatibele verandering

Als een zoek token (op de rechter zijde van de MATCH operator) in FTS4 begint met "^" dan moet dat token de eerste zijn in zijn veld van het document.
Er zijn vele veranderingen en verbeteringen:
  • Ordes van grootte performance verbetering voor CREATE INDEX op heel grote tabellen.
  • De venster VFS zijn verbeterd voor een betere verdediging tegen interferentie van anti-virus software.
  • Verbeterde query plan optimalisatie als het DISTINCT sleutelwoord aanwezig is.
  • Toestaan dat meer systeem aanroepen overschreven worden in de unix VFS - voor het bieden van een betere ondersteuning van chromium sandboxes.
  • Verhogen van de standaard grootte van een lookahead cache regel van 100 naar 128 bytes.
  • Verbeteringen in de test_quota.c module zodat het reeds bestaande bestanden kan tracken.
  • Opties SQLITE_DBSTATUS_CACHE_HIT en SQLITE_DBSTATUS_CACHE_MISS toegevoegd aan de sqlite3_db_status() interface.
  • Ondersteuning verwijdert voor SQLITE_ENABLE_STAT2, en vervangen door de veel krachtiger SQLITE_ENABLE_STAT3 optie.
  • Verbeteringen in het sqlite3_analyzer hulpprogramma, inclusief de --pageinfo en --stats opties en ondersteuning voor multiplex databases.
  • Het verbeteren van de sqlite3_data_count() interface zodat het gebruikt kan worden om te bepalen of SQLITE_DONE ontdekt is on het aangemaakte statement.
  • De SQLITE_FCNTL_OVERWRITE bestandscontrole toegevoegd waarmee de SQLite kern aangeeft van het VFS dat de huidige transactie het gehele database bestand zal overschrijven.
  • Verhogen van de standaard lookaside geheugen allocator toewijzingsgrootte van 100 naar 128 bytes.
  • Verbeteren van de query planner zodat het termen kan ontbinden in factoren in en buiten OR expressies in de WHERE clausule in een poging om betere indices te vinden.
  • Toevoegen van de SQLITE_DIRECT_OVERFLOW_READ compileer-tijd optie, waardoor overflow pagina's direct van het database bestand gelezen kunnen worden met voorbijgaan van de pagina cache.
  • Het verwijderen van limieten op de grootte van precisie en breedte waardes in de formaat specificatie van de sqlite3_mprintf() familie van string render routines.

2.8. Systeem daemons

2.8.1. pciutils

Het pciutils pakket, welke gereedschappen biedt voor het inspecteren en configureren van PCI apparaten, is in Fedora 17 vernieuwd naar versie 3.1.9. Deze versie voegt ondersteuning toe voor de leessnelheid en link status velden voor PCI Express Generation 3 hardware.

2.8.2. brltty

Fedora 17 bevat versie 4.3 van brltty, het Braille display daemon. Versie 4.3 bevat nieuwe log en configuratie opties naast ondersteuning voor extra apparaten.

2.9. Xorg

2.9.1. Software Rendering voor GNOME Shell

De GNOME shell ervaring is nu beschikbaar op alle hardware, inclusief hardware dat software-rendering gebruikt. Gebruikers die GNOME's fallback-modus willen blijven gebruiken kunnen dit handmatig inschakelen. Ga naar het Systeem Info controlepaneelapplet, selecteer Grafisch, en zet de 'Forceer Fallback Mode'-optie op AAN.

2.9.2. Multi-touch Support

De X server en bibliotheken in Fedora 17 ondersteunen versie 2.2 van de XInput-extensie, dit is inclusief multi-touch-ondersteuning. Applicaties die daarvoor kiezen kunnen nu gebruikmaken van multi-touch-ondersteuning op Fedora.

2.9.3. Smooth Scrolling Support

De geupdate X server levert ook 'smooth scrolling' voor stuurprogramma's en apparaten die dat ondersteunen. Gescrollde data wordt nu geëxporteerd als axis-waarden als toevoeging op vroegere 'button press events' -indrukken van knoppen-. Net als bij multi-touch geldt dat 'smooth scrolling'-ondersteuning moet zijn ingeprogrammeerd in de clientapplicaties zelf.

2.9.4. DRI2 Stuurprogramma's

De i810, mga, r128, savage, sis, tdfx, and unichrome DRI stuurprogramma's worden niet meer aangeboden, omdat zij niet meer door Mesa worden meegeleverd. Onder de getroffen hardware vallen onder meer varianten van de volgende apparaten:
  • Intel i810 en i815 moederbord chipsets
  • Matrox MGA G200, G400, G450 en G550 kaarten
  • ATI Rage 128 kaarten
  • S3 Savage 3D en Savage 4 kaarten
  • SiS 300, 540, 630, en 730 chipsets
  • 3dfx Voodoo 3, Voodoo 4, en Voodoo 5 kaarten
  • VIA Unichrome en Unichrome Pro chipsets
Deze hardware wordt nu ondersteund door het llvmpipe software 3D stuurprogramma. Dit stuurprogramma maakt -in tegenstelling tot de oudere DRI-stuurptogramma's- OpenGL 2.x functionaliteit mogelijk.