2. Зміни у Fedora для системних адміністраторів
У встановленні за допомогою завантаження безпосереднього ядра, зокрема PXE, сталися значні зміни. Звичайний спосіб встановлення за допомогою відповідного носія залишився незмінним.
Досвідчені користувачі можуть скористатися для встановлення системи за допомогою мережі будь-яким з багатьох способів. Загалом кажучи, такі способи передбачають налаштування певного мінімалістичного середовища з ядром для наступного встановлення. У виконанні цієї дії під час встановлення Fedora 17 відбулися значні зміни.
У F16 достатньо було вказати розташування ядра і initrd, щоб встановлення можна було виконати: kernel/initrd
отримує stage1
, а stage1
отримує stage2
.
З noloader подібне вже неможливе: під час завантаження безпосереднього ядра слід вказати розташування stage2
. Іншими словами, слід передати ядру параметр repo=
або stage2=
(або inst.repo=
, або inst.stage2=
, оскільки таким записам тепер слід надавати перевагу), який вказуватиме на сховище пакунків. Якщо образ stage2
зберігається на одному сервері, а пакунки на іншому сервері, слід використовувати stage2=
. repo=
слід користуватися, лише якщо на одному сервері зберігаються всі дані, потрібні для встановлення (образ stage2
та всі пакунки, які слід встановити). Зауважте, що stage2=
потрібна ієрархія сховища, ви не можете просто передати шлях безпосередньо до файла squashfs.img
(спосіб, у який працював stage2=
у F15 та попередніх версіях).
Приклад:
label linux
kernel vmlinuz
append initrd=initrd.img
вже не можна користуватися. Слід вказати параметр
repo
:
label linux
kernel vmlinuz
append initrd=initrd.img repo=http://dl.fedoraproject.org/pub/fedora/linux/development/17/x86_64/os/
або
stage2
:
label linux
kernel vmlinuz
append initrd=initrd.img stage2=http://my.internal.server/17/x86_64/os/
(або будь-яке інше чинне дзеркало даних).
2.3.1. Перевірка якості паролів
У новій версії Fedora передбачено єдину придатну до налаштовування бібліотеку,
libpwquality, для перевірки якості нових паролів, використаних для доступу до облікових записів системи. Цією бібліотекою надаються загальносистемні можливості з перевірки якості паролів. Налаштувати перевірку можна за допомогою файла
/etc/security/pwquality.conf
.
Розробники, охочі до використання програмного інтерфейсу зі створених ними програм, можуть знайти опис цього інтерфейсу у файлі pwquality.h
, який є частиною пакунка libpwquality-devel. Також надається обгортка мовою Python, python-pwquality.
2.3.2. SELinux Deny Ptrace
Додано новий булевий перемикач SELinux, deny_ptrace
. Рекомендується вмикання цього перемикача для всіх користувачів, які не мають наміру зневаджувати програми. За допомогою цього перемикача можна запобігти читанню областей пам’яті програм сторонніми процесами або іншим спробам нападу за допомогою засобів для зневаджування, зокрема ptrace та gdb.
Перемикач запобігає вказаним спробам нападу, навіть якщо зловмисний процес запущено від імені адміністратора або якщо цей процес працює у одному контексті і з однією міткою SELinux з процесом-жертвою нападу. Щоб увімкнути захист, що надається
deny_ptrace
, віддайте таку команду від імені адміністратора:
# setsebool -P deny_ptrace 1
Щоб вимкнути захист, що надається deny_ptrace
, на певний час, віддайте таку команду від імені адміністратора:
# setsebool deny_ptrace 0
2.3.3. Окремі каталоги служб у /tmp
До багатьох служб, керованих systemd, внесено зміни з метою уможливлення використання окремого каталогу /tmp
служби. Виявилося, що привілейовані служби, що використовують /tmp
та /var/tmp
, у попередніх версіях були доступні для втручання користувачів без відповідних прав доступу, що потенційно могло призводити до небажаного розширення прав доступу. За допомогою окремих каталогів /tmp
для служб можливість використання цієї вади усунено.
Команда, яку було додано до файлів модулів
systemd змінених процесів, є такою:
[Service]
PrivateTmp=true
2.3.4. Безпечні контейнери
Створено новий інструмент, sandbox, призначений для спрощення створення безпечних контейнерів libvirt. Якщо sandbox буде передано назву виконуваного файла, програма визначити точки монтування та дані щодо контейнера libvirt, потрібні для запуску програми у межах контейнера. Після цього контейнер буде запущено засобами libvirt з контекстом SELinux, який запобігає взаємодії запущеної програми з іншими процесами у системі, зокрема з іншими контейнерами, але надає змогу обмінюватися даними з системою.
Таким чином, адміністратор може запускати декілька екземплярів служби одночасно так, щоб ці екземпляри не зашкодили роботі основної системи або роботі інших процесів системи, навіть якщо програму запущено від імені адміністратора. Щоб скористатися sandbox, встановіть пакунок libvirt-sandbox.
2.3.4.1. krb5-workstation
У Fedora 17 систему розпізнавання Kerberos оновлено до версії 1.10. У новій версії додано підтримку зміни паролів через NAT та підтримку локалізації. Додано команду kswitch
, призначену для перемикання між кешами реєстраційних даних. Додано додаткові можливості з підтримки кешування у інші програми. Вибір реєстраційних даних керується за допомогою файла $HOME/.k5identity
.
2.4.1. Великі файлові системи
У Fedora 17 передбачено підтримку файлових систем з об’ємом понад 16 terabytes та типовою файловою системою (ext4). У найсвіжішій версії e2fsprogs передбачено підтримку файлових систем об’ємом аж до 100 ТБ.
2.4.2. Шифровані файлові системи
У Fedora 17 використовується версія 1.4.1 пакунка cryptsetup. У цій версії вилучено застарілі виклики програмного інтерфейсу. Крім того, передбачено підтримку розташовування заголовків LUKS на окремих пристроях і створення спільних зашифрованих сегментів, які не перекриваються, на одному пристрої.
У новій версії ви не зможете скористатися btrfs як файловою системою призначення під час встановлення системи. Цю ваду буде усунуто у Fedora 18. btrfs у поточній версії можна буде скористатися після встановлення системи.
До складу Fedora 17 включено пакунок CloudStack, у якому реалізовано зрілу платформу Infrastructure as a Service (IaaS або «інфраструктура як послуга»).
Крім того, новим у Fedora 17 є пакунок OpenNebula. OpenNebula є пакунком платформи IaaS зорієнтованим на віртуалізацію центру обробки даних. Керування середовищем можна здійснювати за допомогою командного рядка або графічних інтерфейсів. Реалізовано сумісність з Open Cloud Computing Interface (OCCI) Amazon EC2.
До складу Fedora 17 включено найсвіжішу версію комплексу програм OpenStack з кодовою назвою «Essex». До цього нового випуску включено найсвіжіші версії інтерфейсу інтернет-керування («Horizon») та роботи у віртуальній мережі («Quantum»). Використання Qpid замість RabbitMQ як програми обробки AQMP є новим у Fedora 17. Крім того, доступність libguestfs з підтримкою багатьох форматів віртуальних дисків робить комплекс OpenStack у Fedora ще гнучкішим.
До складу Fedora 17 включено Open vSwitch, програмний комутатор мережі, призначений для забезпечення надання доступу до служб мережі віртуальним машинам. У Open vSwitch передбачено підтримку OpenFlow для полегшення керування системою.
До складу Fedora 17 включено пакунок mysql 5.5.20, оновлений з версії 5.5.14 у Fedora 16.
Пакунок postgresql оновлено до версії 9.1.2.
Це, в основному, випуск, спрямований на виправлення вад.
Пакунок sqlite було оновлено до версії 3.7.9.
Якщо ключ пошуку (права частина оператора MATCH
) у FTS4 починається з «^», цей ключ має бути першим у його полі документа.
Було внесено багато змін та покращено роботу:
Покращення швидкодії CREATE INDEX
у великих таблицях на порядок.
Покращено VFS для windows з метою запобігти конфліктам з антивірусним програмним забезпеченням.
Покращена оптимізація планування запиту у разі використання ключового слова DISTINCT
.
Можливість перевизначення більшої кількості системних викликів у віртуальній файловій системі unix з метою кращої підтримки пісочниць chromium.
Збільшення типового розміру рядка випереджального пошуку зі 100 до 128 байтів.
Покращення у модулі test_quota.c
з метою стеження за попередньо створеними файлами.
До інтерфейсу sqlite3_db_status()
додано параметри SQLITE_DBSTATUS_CACHE_HIT
та SQLITE_DBSTATUS_CACHE_MISS
.
Вилучено підтримку SQLITE_ENABLE_STAT2
. Замінено покращеним варіантом, SQLITE_ENABLE_STAT3
.
Покращення у допоміжній програмі sqlite3_analyzer, зокрема додавання параметрів --pageinfo
і --stats
та підтримка баз даних з ущільненням.
Покращення інтерфейсу sqlite3_data_count()
. Тепер цим інтерфейсом можна скористатися для визначення, якщо SQLITE_DONE
було видимим у приготованій команді.
Додано параметр керування файлами SQLITE_FCNTL_OVERWRITE
, за допомогою якого ядро SQLite повідомляє віртуальній файловій системі про те, що у результаті поточної дії буде перезаписано весь файл бази даних.
Збільшено типовий об’єм отримання пам’яті для асоціативних пошуків зі 100 до 128 байтів.
Покращення у плануванні запитів. Тепер вхідні і вихідні значення для виразів OR
у WHERE
може бути розкладено на складові з метою виявлення кращих індексів.
Додано параметр збирання SQLITE_DIRECT_OVERFLOW_READ
, за допомогою якого базі даних можна наказати читати дані безпосередньо з файла бази даних, без використання кешу сторінок.
Вилучено обмеження на величину значень точності і ширини у визначеннях форматів процедур обробки рядків сімейства sqlite3_mprintf()
.
2.8. Фонові служби системи
Пакунок pciutils, який містить інструменти для перевірки та налаштовування пристроїв PCI, у Fedora 17 оновлено до версії 3.1.9. У цій версії передбачено підтримку роботи зі швидкістю читання даних та полів стану зв’язку для обладнання PCI Express версії стандарту 3.
До складу Fedora 17 включено версію 4.3 brltty, фонової служби «показу» даних у системі Брайля. У версії 4.3 передбачено нові можливості ведення журналу та параметри налаштування, а також розширеншу пристроїв.
2.9.1. Програмна обробка для GNOME Shell
GNOME Shell тепер можна скористатися на будь-якому обладнанні, зокрема у системах, де використовується лише програмна обробка зображення. Користувачі, які надають перевагу запасному режиму роботи GNOME, можуть увімкнути цей режим вручну за допомогою аплету панелі керування Інформація про систему. Достатньо вибрати пункт Графіка і встановити для пункту Примусовий запасний режим значення ❙.
2.9.2. Підтримка роботи з кратним натисканням
У графічному сервері та бібліотеках Fedora 17 передбачено підтримку версії 2.2 розширення XInput, зокрема підтримку кратного дотику до сенсорної панелі. Програми, у яких реалізовано відповідні можливості, у новій версії Fedora зможуть використовувати кратний дотик.
2.9.3. Підтримка плавного гортання
У оновленому графічному серверів також передбачено підтримку плавного гортання для драйверів та пристроїв, які здатні використовувати гортання. Дані гортання тепер експортуються у форматі значень координат за вісями, окрім застарілих даних щодо подій натискання кнопок. Таким чином, програми зможуть використовувати дані щодо швидкості руху позиції дотику та забезпечувати плавнішу роботу під час гортання. Подібно до можливості використання кратного дотику, щоб скористатися підтримкою плавного гортання, ви маєте використовувати програмне забезпечення, у якому реалізовано використання відповідних даних від драйвера.
Підтримки драйверів DRI i810, mga, r128, savage, sis, tdfx та unichrome більше не передбачено, оскільки ці драйвери не включено до нової версії Mesa. Ось перелік обладнання, якого це стосується:
Набори мікросхем на материнських платах Intel i810 та i815
Картки Matrox MGA G200, G400, G450 та G550
Картки ATI Rage 128
Картки S3 Savage 3D та Savage 4
Набори мікросхем SiS 300, 540, 630 та 730
Картки 3dfx Voodoo 3, Voodoo 4 та Voodoo 5
Набори мікросхем VIA Unichrome та Unichrome Pro
Підтримка цього обладнання відтепер здійснюватиметься за допомогою програмного драйвера llvmpipe, який, на відміну від застарілих драйверів DRI, здатен реалізовувати можливості OpenGL 2.x.