2. Veranderingen in Fedora voor systeembeheerders
Er zijn significante veranderingen indien wordt geïnstalleerd via een direct kernel boot als PXE. De normale installatie via installatiemedia is niet veranderd.
Ervaren gebruikers kunnen verscheidene methodes van netwerkinstallaties uitvoeren, meestal met gebruikmaking van een bepaalde minimale kernelomgeving, waarbinnen de installatie wordt uitgevoerd. Deze manier van installeren heeft significante veranderingen ondergaan in Fedora 17.
In F16 is het over het algemeen alleen noodzakelijk dat de locatie van de kernel en initrd wordt opgegeven, waarna installatie werkt - kernel/initrd
roept stage1
, en stage1
roept stage2
.
Zonder loader gaat dit niet meer op: bij uitvoeren van een 'direct kernel boot' moet de locatie van stage2
worden opgegeven. Met andere woorden: lever repo=
of stage2=
(of inst.repo=
of inst.stage2=
, waaraan thans de voorkeur wordt gegeven), verwijzend naar een repository. Indien het stage2
-image zich op de ene server bevindt, maar de installatiepakketten op een andere server, moet stage2=
worden gebruikt: repo=
mag alleen worden gebruikt indien alles wat nodig is voor installatie zich op één server bevindt (zowel het stage2
-image als ook alle installatiepakketten). Wees ervan bewust dat stage2=
nog steeds een 'repository' tree wil zien, je kan niet het directe pad naar een squashfs.img
-bestand opgeven (zoals stage2=
werkte in F15 en eerder).
Bijvoorbeeld:
label linux
kernel vmlinuz
append initrd=initrd.img
is niet meer geldig. Het is noodzakelijk
repo
te specificeren:
label linux
kernel vmlinuz
append initrd=initrd.img repo=http://dl.fedoraproject.org/pub/fedora/linux/development/17/x86_64/os/
of
stage2
:
label linux
kernel vmlinuz
append initrd=initrd.img stage2=http://my.internal.server/17/x86_64/os/
(of elke andere geldige mirror).
2.3.1. Kwaliteitscontrole Wachtwoord
Fedora heeft nu een enkele, configurabele bibliotheek,
libpwquality, waarmee de kwaliteit van een nieuw wachtwoord voor systeemaccounts kan worden gecontroleerd. De systeemwijde kwaliteitscontrole voor wachtwoorden die door deze bibliotheek wordt geleverd kan worden ingesteld door het configuratiebestand
/etc/security/pwquality.conf
te bewerken.
Ontwikkelaars die deze API vanuit hun applicaties wensen aan te roepen kunnen de API-beschrijving vinden in het bestand pwquality.h
van het pakket libpwquality-devel. Ook wordt een pyton-wrapper, python-pwquality, meegeleverd.
2.3.2. SELinux Deny Ptrace
Er is een nieuwe SELinux boolean, deny_ptrace
toegevoegd. Gebruikers die niet van plan zijn applicaties op hun machine te debuggen worden aangeraden deze boolean aan te zetten. Deze boolean verhindert rogue-processen het geheugen van andere processen te lezen -of op een andere manier aan te vallen- met behulp van debugging tools waaronder dus ptrace en gdb.
Zulke aanvallen worden verhinderd, zelfs daar waar rogue-processen als root worden uitgevoerd of wanneer een proces wordt aangevallen in dezelfde SELinux-context en label. Om permanent door de
deny_ptrace
boolean te worden beschermd, voert u het volgende commando als root uit:
# setsebool -P deny_ptrace 1
Om de bescherming die de deny_ptrace
boolean biedt tijdelijk uit te schakelen, kunt u het volgende commando als root uitvoeren:
# setsebool deny_ptrace 0
2.3.3. Services Private /tmp
Een aantal services gemanaged door systemd zijn zo aangepast, dat zij gebruik kunnen maken van een eigen /tmp
-map. Geprivilegeerde services die /tmp
en /var/tmp
gebruikten stonden vroeger open voor niet-geprivilegeerde gebruikers, mogelijk leidend tot privilege-escalatie. Door gebruik te maken van eigen /tmp
-mappen voor services verhindert dit type exploit.
De aanwijzing die is toegevoegd aan
systemd unitbestanden voor de aangepaste services is:
[Service]
PrivateTmp=true
Een nieuwe gereedschap, sandbox, is in het leven geroepen om aanmaken van secure libvirt containers te stroomlijnen. Indien opgegeven met een uitvoerbaar bestand zal sandbox de aankoppelpunten en libvirt container informatie vaststellen. Deze informatie is nodig om de applicatie in een container te kunnen uitvoeren. De container wordt vervolgens gestart door libvirt met de juiste SELinux context. Dit zal voorkomen dat er interactie plaatsvindt met andere processen op het systeem, waaronder andere containers, terwijl het mogelijk blijft systeemdata te delen.
Dit stelt een beheerder in staat meerdere instanties van een service gelijktijdig te laten draaien zonder dat deze services de hostmachine beschadigen of processen op het systeem verstoren, zelfs als zij uitgevoerd worden als root. Om sandbox te gebruiken, installeert u het pakket libvirt-sandbox.
2.3.4.1. krb5-werkstation
Fedora 17 upgrade het Kerberos authenticatiesysteem naar versie 1.10. Toegevoegd is het veranderen van wachtwoorden over NAT en ondersteuning voor lokalisatie. Het kswitch
-commando is toegevoegd om te kunnen wisselen tussen credential-caches. Meer cache-support is toegevoegd bij andere commando's. Credential-keuze kan worden aangestuurd via het bestand $HOME/.k5identity
.
2.4.1. Grote bestandssystemen
Fedora 17 zal in het standaard bestandssysteem (ext4) grotere bestandssystemen dan 16 terabytes ondersteunen. Met de laatste versie van e2fsprogs kunnen ext4 bestandssystemen nu een grootte hebben tot 100 TB.
2.4.2. Versleutelde bestandssystemen
Fedora 17 gebruikt versie 1.4.1 van het cryptsetup pakket, die verouderde API-aanroepen verwijdert. Daarnaast is ondersteuning toegevoegd voor het plaatsen van LUKS-headers op aparte apparaten en het aanmaken van gedeelde, niet-overlappende versleutelde segmenten op een enkel apparaat.
btrfs is niet beschikbaar als een doelbestandssysteem tijdens de installatie. Dit is een tijdelijk probleem en zal opgelost worden in Fedora 18. btrfs is nog wel beschikbaar na de installatie.
Fedora 17 zal het CloudStack pakket bevatten, welke een volwassen infrastructuur biedt voor een Service (IaaS) platform.
Ook nieuw voor Fedora 17 is OpenNebula. OpenNebula biedt een IaaS platform toegespitst op datacenter virtualisatie. Het beheer van de omgeving kan via de commando-regel of grafische interfaces gebeuren. Compatibiliteit met Amazon EC2 de Open Cloud Computing Interface (OCCI) is toegevoegd.
Fedora 17 bevat de nieuwste versie van de OpenStack suite, met de code naam "Essex". Aan de nieuwe vrijgave zijn de nieuwste versies van de web beheersinterface ("Horizon") en virtueel netwerken ("Quantum") toegevoegd. Het gebruik van Qpid als een alternatief voor RabbitMQ voor het AQMP backend is nieuw in Fedora 17. Daarnaast zal de beschikbaarheid van libguestfs om meerdere virtuele schijfformaten te ondersteunen de OpenStack aanbieding van Fedora flexibeler maken.
Fedora 17 bevat Open vSwitch, een op software gebaseerde netwerk switch die gebruikt wordt om netwerk services te bieden voor virtuele machines. Open vSwitch ondersteunt OpenFlow voor beheers gemak.
Fedora 17 bevat mysql 5.5.20, vernieuwt vergeleken met 5.5.14 in Fedora 16.
postgresql is vernieuwd naar 9.1.2
Dit is voornamelijk een foutreparatie vrijgave.
sqlite is vernieuwd naar 3.7.9
Als een zoek token (op de rechter zijde van de MATCH
operator) in FTS4 begint met "^" dan moet dat token de eerste zijn in zijn veld van het document.
Er zijn vele veranderingen en verbeteringen:
Ordes van grootte performance verbetering voor CREATE INDEX
op heel grote tabellen.
De venster VFS zijn verbeterd voor een betere verdediging tegen interferentie van anti-virus software.
Verbeterde query plan optimalisatie als het DISTINCT
sleutelwoord aanwezig is.
Toestaan dat meer systeem aanroepen overschreven worden in de unix VFS - voor het bieden van een betere ondersteuning van chromium sandboxes.
Verhogen van de standaard grootte van een lookahead cache regel van 100 naar 128 bytes.
Verbeteringen in de test_quota.c
module zodat het reeds bestaande bestanden kan tracken.
Opties SQLITE_DBSTATUS_CACHE_HIT
en SQLITE_DBSTATUS_CACHE_MISS
toegevoegd aan de sqlite3_db_status()
interface.
Ondersteuning verwijdert voor SQLITE_ENABLE_STAT2
, en vervangen door de veel krachtiger SQLITE_ENABLE_STAT3
optie.
Verbeteringen in het sqlite3_analyzer hulpprogramma, inclusief de --pageinfo
en --stats
opties en ondersteuning voor multiplex databases.
Het verbeteren van de sqlite3_data_count()
interface zodat het gebruikt kan worden om te bepalen of SQLITE_DONE
ontdekt is on het aangemaakte statement.
De SQLITE_FCNTL_OVERWRITE
bestandscontrole toegevoegd waarmee de SQLite kern aangeeft van het VFS dat de huidige transactie het gehele database bestand zal overschrijven.
Verhogen van de standaard lookaside geheugen allocator toewijzingsgrootte van 100 naar 128 bytes.
Verbeteren van de query planner zodat het termen kan ontbinden in factoren in en buiten OR
expressies in de WHERE
clausule in een poging om betere indices te vinden.
Toevoegen van de SQLITE_DIRECT_OVERFLOW_READ
compileer-tijd optie, waardoor overflow pagina's direct van het database bestand gelezen kunnen worden met voorbijgaan van de pagina cache.
Het verwijderen van limieten op de grootte van precisie en breedte waardes in de formaat specificatie van de sqlite3_mprintf()
familie van string render routines.
Het pciutils pakket, welke gereedschappen biedt voor het inspecteren en configureren van PCI apparaten, is in Fedora 17 vernieuwd naar versie 3.1.9. Deze versie voegt ondersteuning toe voor de leessnelheid en link status velden voor PCI Express Generation 3 hardware.
Fedora 17 bevat versie 4.3 van brltty, het Braille display daemon. Versie 4.3 bevat nieuwe log en configuratie opties naast ondersteuning voor extra apparaten.
2.9.1. Software Rendering voor GNOME Shell
De GNOME shell ervaring is nu beschikbaar op alle hardware, inclusief hardware dat software-rendering gebruikt. Gebruikers die GNOME's fallback-modus willen blijven gebruiken kunnen dit handmatig inschakelen. Ga naar het Systeem Info controlepaneelapplet, selecteer Grafisch, en zet de 'Forceer Fallback Mode'-optie op AAN.
2.9.2. Multi-touch Support
De X server en bibliotheken in Fedora 17 ondersteunen versie 2.2 van de XInput-extensie, dit is inclusief multi-touch-ondersteuning. Applicaties die daarvoor kiezen kunnen nu gebruikmaken van multi-touch-ondersteuning op Fedora.
2.9.3. Smooth Scrolling Support
De geupdate X server levert ook 'smooth scrolling' voor stuurprogramma's en apparaten die dat ondersteunen. Gescrollde data wordt nu geëxporteerd als axis-waarden als toevoeging op vroegere 'button press events' -indrukken van knoppen-. Net als bij multi-touch geldt dat 'smooth scrolling'-ondersteuning moet zijn ingeprogrammeerd in de clientapplicaties zelf.
2.9.4. DRI2 Stuurprogramma's
De i810, mga, r128, savage, sis, tdfx, and unichrome DRI stuurprogramma's worden niet meer aangeboden, omdat zij niet meer door Mesa worden meegeleverd. Onder de getroffen hardware vallen onder meer varianten van de volgende apparaten:
Intel i810 en i815 moederbord chipsets
Matrox MGA G200, G400, G450 en G550 kaarten
ATI Rage 128 kaarten
S3 Savage 3D en Savage 4 kaarten
SiS 300, 540, 630, en 730 chipsets
3dfx Voodoo 3, Voodoo 4, en Voodoo 5 kaarten
VIA Unichrome en Unichrome Pro chipsets
Deze hardware wordt nu ondersteund door het llvmpipe software 3D stuurprogramma. Dit stuurprogramma maakt -in tegenstelling tot de oudere DRI-stuurptogramma's- OpenGL 2.x functionaliteit mogelijk.