Amazon Web Services va obrir el 3 de setembre de 2026 la vista prèvia pública d’Amazon Linux 2027 (AL2027), la següent generació de la seva distribució per a EC2 i contenidors. La primera build es diu 2027.0.20260903 i AWS ho repeteix a cada pàgina de la documentació: és per avaluar i provar, no per a càrregues de producció. Hi ha AMI a totes les regions comercials, per a x86-64 i ARM64, i imatges base de contenidor a ECR Public.
El titular és el kernel Linux 7.1, però per a qui administra màquines la feina de debò és en una altra banda: SELinux passa de permissive a enforcing, DNF5 substitueix DNF4, RPM salta a la branca 6, systemd puja a la 260 i desapareixen peces de les quals depenen scripts vells. Si tens flotes en Amazon Linux 2023, la vista prèvia serveix justament per descobrir-ho ara i no quan arribi la versió final.
Què canvia respecte a AL2023
La documentació d’AWS publica la comparació peça per peça. Aquesta és la part que importa:
| Component | Amazon Linux 2023 | Amazon Linux 2027 (preview) |
|---|---|---|
| Kernel per defecte | 6.1 (amb 6.12 i 6.18 opcionals) | 7.1 (paquet kernel7.1) |
| SELinux | Permissive | Enforcing |
| DNF | 4.14 | DNF5 5.4 |
| RPM | 4.16 | 6.0 (signatures amb rpm-sequoia) |
| systemd | 252 | 260, sense scripts System V |
| GCC | 11.5 | 16.1 |
| glibc | 2.34 | 2.44 |
| binutils | 2.41 | 2.46 |
| LLVM/Clang | 15, 18 i 19 | 22 (un sol SRPM) |
| Python per defecte | 3.9 | 3.14 |
| zlib | 1.2.11 | zlib-ng 2.3 |
| PCRE | PCRE 8.x i PCRE2 | Només PCRE2 |
Els paquets de kernel porten la versió al nom, com ja passava a AL2023, i AWS anirà afegint kernels més nous amb el temps. Segons Phoronix, a més, els paquets de x86-64 es compilen ara per al nivell x86-64-v3 (dona per fet AVX i AVX2) i amb LTO activat, així que no comptis amb arrencar AL2027 en maquinari x86 molt antic.
AL2027 es basa en part en Fedora 44 i 45, però AWS insisteix que no és un derivat ni una reconstrucció d’una Fedora concreta, i que el kernel es tria directament de kernel.org sense mirar què porta Fedora. Tampoc busca compatibilitat binària amb RHEL, que és el terreny de Rocky i AlmaLinux.
SELinux en enforcing és el primer que cal provar
A AL2023 SELinux venia en permissive: registrava el que hauria bloquejat, però no bloquejava res. A AL2027 el valor per defecte és enforcing, i les aplicacions principals de la distribució arriben amb política preconfigurada.
Això vol dir que una aplicació interna que fa anys que funciona, un servei que escriu en un directori poc habitual, un muntatge NFS o un procés que llegeix fitxers amb el context equivocat es trobaran amb una denegació real on abans només hi havia una línia al log. És un canvi bo per a l’enduriment del sistema, però exigeix passar-hi abans de migrar res.
El més raonable és mirar avui, a les màquines AL2023 que ja tens, què està deixant SELinux als registres:
sestatus
ausearch -m AVC,USER_AVC -ts recentTot el que hi aparegui com a avís serà un bloqueig a AL2027. Passar el sistema sencer a permissive perquè una aplicació arrenqui tapa el problema i llença la protecció que AWS vol donar amb aquest canvi; el que toca és ajustar contextos o polítiques cas per cas.
DNF5, RPM 6 i systemd 260: revisa el que tens automatitzat
Les ordres dnf i yum continuen existint i executen DNF5 per sota, així que per administrar a mà no canvia gaire. El problema és en el que fa servir DNF des de Python: l’API python3-dnf de DNF4 no hi és a AL2027 i cal passar a python3-libdnf5. Qualsevol script propi, col·lecció d’Ansible o procés de creació d’imatges que la toqui fallarà.
RPM 6.0 verifica les signatures OpenPGP amb la implementació rpm-sequoia. Si mantens fitxers spec propis o repositoris interns, prova que es construeixen i se signen igual.
Amb systemd 260 s’acaba la compatibilitat amb els scripts de servei System V. Un servidor muntat fa poc no els fa servir, però una aplicació empresarial instal·lada fa anys pot amagar encara algun init.d que ningú recorda, i això és millor trobar-ho en una AMI de laboratori.
Python 3.14, GCC 16 i el que compiles tu
L’intèrpret python3 del sistema passa de 3.9 a 3.14. AWS diu que el que s’ha compilat a AL2023 en general funciona a AL2027, però recompilar és una altra història: GCC 16 té valors per defecte més estrictes i un projecte que feia anys que compilava net pot començar a treure avisos i errors. El mateix amb el que està enllaçat contra PCRE1, que ja no existeix, o contra la zlib clàssica, que ara és zlib-ng a través del paquet zlib-ng-compat.
Per al programari propi en Python, la recomanació de sempre val més que mai: no depenguis de l’intèrpret del sistema i fes servir un entorn virtual.
python3 -m venv /opt/lamevaapp/venv
source /opt/lamevaapp/venv/bin/activateHi ha un detall nou que afecta els desplegaments: AL2027 activa per defecte el període de refredament de dependències per a npm i pip. Retarda la instal·lació de paquets acabats de publicar per donar temps a detectar els maliciosos abans que arribin a les teves màquines. A AL2023 existia des de finals de 2023, però calia configurar-ho a mà.
AWS-LC al costat d’OpenSSL
AL2027 afegeix AWS-LC, la llibreria criptogràfica d’AWS derivada de BoringSSL i OpenSSL, amb parts verificades formalment i criptografia validada FIPS 140. No substitueix OpenSSL: OpenSSL 3.5 continua sent la llibreria del sistema i la majoria de paquets enllacen contra ella. Però a la vista prèvia ja hi ha una llista que creixerà de paquets compilats contra AWS-LC en lloc seu, entre ells httpd, haproxy, rsync, socat, wget1, libpq, python3.14, python-cryptography i les eines TPM2. Per a nginx hi ha un paquet a part, nginx-awslc.
Les dues llibreries no cobreixen exactament el mateix en totes dues direccions, així que si tens programari que es recolza en funcions concretes d’OpenSSL, mira en quin paquet acaba enllaçat.
Dates i què fer amb AL2023
AWS diu que AL2027 tindrà suport fins al 2032, amb el mateix model que AL2023: una fase estàndard amb versions menors trimestrals i una de manteniment només amb seguretat i correccions crítiques. Durant la vista prèvia, dnf supportinfo només mostra dates fins al final del període de proves; les reals arribaran amb la disponibilitat general.
No hi ha pressa per l’altra banda. Segons les dades de la fitxa d’Amazon Linux, AL2023 continua amb suport fins al 2029. Qui encara tingui instàncies en Amazon Linux 2, en canvi, ja va tard: el seu cicle va acabar el 30 de juny de 2026.
El que sí té sentit fer ara, amb una AMI de prova, és una llista curta: arrencada de serveis, denegacions de SELinux, scripts lligats a Python 3.9 o a l’API de DNF4, paquets RPM propis, programari enllaçat contra glibc o PCRE antics, agents de monitoratge i de còpies, mòduls externs de kernel, cloud-init i els pipelines que generen les teves AMI. I comprovar amb cada fabricant de programari de tercers si certificarà AL2027, perquè que funcioni no vol dir que sigui dins de la seva matriu de suport.
Si la teva infraestructura no viu a AWS, aquesta versió t’importa poc. Amazon Linux està dissenyada al voltant d’EC2, Graviton, ECR i companyia, i el seu avantatge és justament aquesta integració (inclosos els drivers d’AWS Neuron per a Trainium i Inferentia). Per a un servidor generalista o per treballar amb diversos proveïdors, Debian, Ubuntu LTS o la família RHEL continuen donant una plataforma més semblant a qualsevol lloc.
Fonts: anunci de la vista prèvia d’Amazon Linux 2027, comparativa AL2023 / AL2027, cadència de versions i relació amb Fedora a la documentació d’AWS; repositori amazon-linux-2027 a GitHub; Amazon Linux 2027 Now in Preview, a Phoronix; Amazon Linux 2027 llega con kernel 7.1: qué cambia para los administradores, a Administración de Sistemas.