UEK 8U2の新機能および変更点

UEK 8U2は、最初にバージョン6.12.0-200.74.27のカーネルでリリースされます。

新しいFIPS 140スタンドアロン・カーネル・モジュールは、スタンドアロンのfips140.koカーネル・モジュール内に安定したカーネル暗号化APIをカプセル化することで、FIPS 140-3暗号化モジュールの境界を再設計および縮小する作業の一環として利用できます。

この変更は、暗号化モジュールとカーネルの休止状態を分離するために役立つため、FIPS認定はカーネルによって使用される暗号化モジュールをターゲットにできます。この実装は、カーネルがコンパイルされるたびに暗号化モジュールの境界が変更されず、証明の信頼性が向上することを意味します。

新しい実装では、コンパイル後にfips140.koモジュールとHMACダイジェストがvmlinuxカーネル・イメージに埋め込まれます。HMACは、モジュールがfips140.ko自体内からHMACアルゴリズムを使用してロードされるときにチェックされます。FIPSモードが有効な場合、モジュールとそのダイジェストは、ブート・ローダーによってカーネルの休憩とともにメモリーにロードされます。これらの暗号化コンポーネントは、検証目的でカーネル・イメージから簡単に抽出できます。

XFSオンライン・ファイル・システムの修復は、UEK 8U2以降でサポートされています。このリリースでは、実験的タグがツールから削除されます。

この機能を使用すると、XFSファイル・システムがマウントされ完全に動作している間に、それらのファイル・システムを確認および修復できます。XFSのオンライン修復により、ダウンタイムが短縮され、ミッションクリティカルな大規模な導入のメンテナンス性が向上します。

XFSオンライン・ファイル・システムの修復は、xfs_scrubユーティリティを使用して行われます。このユーティリティを使用すると、アクティブなワークロードをアンマウントまたは中断することなく、メタデータの破損を検出して修正できます。xfs_scrubを実行して、iノード、ディレクトリ、割当てグループなどのファイル・システム・メタデータを体系的に検証できます。不整合が検出された場合、ツールはオンライン中にターゲットの修復を実行するオプションを提供します。

この機能を使用するには、システムがUEK 8以降および最新のXFSユーザー・スペース・ツールを実行していることを確認してください。

xfs_scrub(8)マニュアル・ページを参照してください。https://docs.kernel.org/filesystems/xfs/xfs-online-fsck-design.htmlも参照してください。

メモリー割当てプロファイリングは、UEK 8U2で使用できます。この機能では、メモリーの使用場所およびメモリー・リークの追跡時に役立つメモリー割当てを追跡します。この機能では、コード・タグ付けを使用して、メモリーが割り当てられた場所、割り当てられたメモリーが解放されたとき、割当ての数、および使用中のメモリーの量を追跡します。

このオプションはデフォルトで無効になっていますが、ブート時にブートパラメータを使用して有効にできます。

sysctl.vm.mem_profiling=1

メモリー割当てプロファイリングの実行時情報には、/proc/allocinfoでアクセスします。

詳細は、https://docs.kernel.org/mm/allocation-profiling.htmlを参照してください。メモリー割当てプロファイリング用の圧縮オプションは、UEK 8U2では使用できないことに注意してください。

このリリースでは、アクセス時にセグメンテーション・フォルト(SIGSEGV)をトリガーするように仮想メモリーのリージョンをマークする方法を提供する軽量ガード・ページが導入されています。この機能は、スレッドスタックおよびユーザーランドのメモリーアロケータにとって重要です。このメカニズムは、仮想メモリー領域(VMA)を作成または分割するのではなく、ガードマーカーを使用してメモリーオーバーヘッドを削除するように設計されています。

軽量ガード・ページより前は、mmap(.., PROT_NONE)を使用して同様の機能が実現され、メモリーのオーバーヘッドが発生していました。この方法を使用してプロセスおよびスレッドがスケール・アップすると、オーバーヘッドが増加します。また、この方法でマップされたメモリーは、ユーザー・プロセスへの割当てに使用できません。軽量ガード・ページを使用することで、オーバーヘッドが回避され、メモリーが大幅に向上します。

更新では、次の新しいmadvise()コマンドを使用します。

• MADV_GUARD_INSTALLは、ガード・マーカーをインストールし、範囲内の既存のマッピングを削除します。インストールは匿名メモリーのみに適用され、特殊なVMA、巨大VMA、またはロックされた(モックされた) VMAではインストールは許可されません。
• MADV_GUARD_REMOVEは、ガード・マーカーのみを削除し、通常のマッピングは変更されません。

ガードされた範囲はMADV_DONTNEEDまたはMADV_FREE (削除されるまで保護を保証)を介して保持されますが、プロセスの分解または明示的なマッピング解除によってクリアされます。

AMD Secure Encrypted Virtualization (SEV)およびAMD Secure Encrypted Virtualization-Secure Nested Paging (SEV-SNP)は、AMDの機密コンピューティング・テクノロジの主要コンポーネントです。SEVは、AMD EPYCプロセッサで実行されている仮想マシンのメモリーを暗号化し、ハイパーバイザ・ホストが侵害された場合でも、ハイパーバイザ・ホストによる不正アクセスからVMのデータを保護するハードウェアベースの機能です。SEVは、プロセッサによって管理されるVMごとに専用の暗号化キーを使用します。SEVが機能するには、ゲストOSとKVMハイパーバイザ・ホストの両方で有効になっている必要があります。

Oracle Linux 9およびOracle Linux 10では、UEK 8U2にSEV-SNPのゲストおよびハイパーバイザ・サポートが含まれており、これは、データ・リプレイやメモリー再マッピングなどの悪意のあるハイパーバイザベースの攻撃を、サイド・チャネル攻撃などの他のベクターで防止するのに役立ちます。SEV-SNPは、AMD E4ベースのサーバーまたはそれ以降(ミラン)で使用できます。この機能には、最新のedk2-ovmfおよびqemuパッケージ・バージョンが必要です。

Intel Trust Domain Extensions (TDX)は、Trusted Execution Environmentsを提供するために使用される Intelの機密コンピューティングテクノロジです。TDXは、信頼ドメイン(TD)に仮想ワークロードをデプロイして、TD内のCPU状態の整合性と機密性を維持するためにメモリーを管理および暗号化することでハードウェアベースの分離を提供するために使用されます。

Oracle Linux 9およびOracle Linux 10では、UEK 8U2にTDXのゲストおよびハイパーバイザ・サポートが含まれています。

詳細は、https://www.intel.com/content/www/us/en/developer/tools/trust-domain-extensions/overview.htmlを参照してください。

Common Internet File System (CIFS)クライアントは、Server Message Block (SMB)、Network File System (NFS)およびWindows Subsystem for Linux (WSL)で認識されるシンボリック・リンク、シンボリック・リンクを作成できます。symlink=default|none|native|unix|mfsymlinks|sfu|nfs|wslマウントオプションを使用して、シンボリックリンクの作成を禁止したり、クライアントが作成するシンボリックリンクのタイプを選択したりします。

クライアントは、文字デバイス、ブロックデバイス、パイプ、ソケットなど、ほかの特殊ファイルも作成できます。これらのファイルは、reparse=default|none|nfs|wslマウントオプションを使用してNFSまたはWSLの再解析ポイントとして作成されます。NTFSで Windowsアプリケーションで使用されるネイティブ Windowsソケットを作成するには、nativesocketマウントオプションを使用します。

UEK 8U2に含まれるデバイス・ドライバは、アップストリーム・メインラインLinux 6.12カーネルのドライバと連携しています。ドライバに、以降のアップストリームカーネルバージョンで使用可能な機能または修正が含まれるいくつかの重要な更新が含まれています。

多くのドライバモジュールはバージョン情報を追跡しなくなりました。Oracleはベンダーと連携して、UEK 8U2に含まれるデバイス・ドライバをアップストリーム・カーネル・バージョンで使用可能なコードに連携させます。

次の表に、重要なドライバ更新を示します。

UEK 8では、次の機能が非推奨、削除またはサポートされなくなりました。