Fedora 45がリリース、RPM 6.1が署名のないパッケージを拒否

Fedora Linux 45は2026年11月3日にリリースされました。そのパッケージツールは、検証済みの署名がないものをインストールしなくなりました。自分でRPMファイルを作る人や、ベンダーのサイトからRPMをダウンロードする人に関係する変更です。Fedora 44で動いたコマンドが、今はエラーで止まります。

Fedora Magazineの発表は「洗練されたデスクトップの改良、強力な新しいインストーラー機能、更新されたツールチェーン」をうたっています。Linux Compatibleによると、リリースは当初の目標だった10月20日から2回延期されました。どちらの延期も「no-go」の判定によるものです。テスト担当者が、リリースを妨げる問題を見つけたためです。

RPM 6.1で何が変わったか

RPMは、Fedora、Red Hat Enterprise Linux、およびその仲間のディストリビューションで使われるパッケージ形式とインストーラーです。署名は、暗号を使った印です。誰がパッケージを作ったか、そしてその後に誰も手を加えていないことを証明します。

Fedora 45は「RPM 6.1の既定のパッケージ検証モードを、署名チェックを強制するモードに切り替えます」と、Fedora Project LeaderのJef Spaleta氏がRed Hatのブログに書いています。Panu Matilainen氏が担当するFedoraの変更ページは、もっと端的です。「検証済みの署名を持つパッケージだけがインストールできる」。

切り替えは%_pkgverify_levelという1つの設定です。ファイルが壊れていないかだけを確かめるdigestから、有効な署名も求めるallに変わります。変更ページによると、システムがまだインポートしていない鍵で署名されたパッケージも失敗します。Fedoraは当初この切り替えをRPM 6.0と同時に計画していました。しかし「時間とリソースの理由」で、Fedora 45に延期しました。

検証：署名のないパッケージをFedora 44と45で試す

macOS 26.6.2とDocker Desktop 28.4.0を使ったTech AI Wireの検証では、公式のfedora:44とfedora:45のコンテナイメージで、同じ署名なしのテストパッケージを試しました。どちらのイメージも、11月2日にarm64向けにビルドされたものです。テストパッケージtaw-helloは、Fedora 45の中でrpmbuildを使ってビルドしたもので、署名はありません。

確認項目	Fedora 44	Fedora 45
rpm --version	6.0.2	6.1.0
rpm --eval "%_pkgverify_level"	digest	all
rpmkeys --checksig	「digests OK」、終了コード0	「digests SIGNATURES NOT OK」、終了コード1
rpm -i	インストール成功、終了コード0	拒否、終了コード1
rpm -i --nosignature	インストール成功	インストール成功
ローカルファイルのdnf install	警告付きでインストール成功	警告付きでインストール成功

Fedora 45では、通常のrpm -iが1行を表示して止まりました。

$ rpm -i /pkgs/taw-hello-1.0-1.noarch.rpm
	package taw-hello-1.0-1.noarch does not verify: no signature

Fedoraの上位のパッケージマネージャーであるDNFは、違う動きをしました。どちらのリリースでも、ローカルファイルのdnf installは「Warning: skipped OpenPGP checks for 1 package from repository: @commandline」と表示し、インストールしました。つまり新しいルールが影響するのは、rpmを直接呼び出すスクリプトやツールです。通常のdnf installではありません。

検証では、システム全体を元に戻す方法も確かめました。/etc/rpm/macros.verifyに%_pkgverify_level digestという行を書き込むと、Fedora 45のrpm -iは署名のないパッケージを再びインストールしました。

ローカルパッケージをインストールする4つの方法

変更ページは、サポートされる方法を挙げています。それぞれ、向いている場面が違います。

• 一度だけのインストール： rpmコマンドに--nosignatureを付けるか、dnf installを使います。上の検証では、dnf installはチェックを飛ばしました。
• 自分でビルドしたパッケージ： RPM 6.0以降は、パスワードなしの鍵でローカルビルドに自動で署名できます。Fedoraのクリーンなビルド環境ツールであるMockには、署名用のプラグインがあります。FedoraのコミュニティビルドサービスであるCOPRは、パッケージに自分で署名します。
• ベンダーのパッケージ： ベンダーの署名鍵をインポートすれば、その署名が検証されます。DNF5のバージョン5.2.14.0以降では、gpgcheck=0で1つのリポジトリだけチェックを無効にすることもできます。
• システム全体： 上のmacros.verifyの行で、以前の動作に戻ります。ただし保護もなくなるので、最後の手段と考えてください。

スクリプトを壊しうるFedora 45のその他の変更

同じコンテナで11月4日に、各リリースがarm64向けに提供するバージョンをFedoraのパッケージリポジトリに問い合わせました。

パッケージ	Fedora 44	Fedora 45
Python	3.14.10	3.15.0
Go	1.26.10	1.27.3
LLVM	22.1.8	23.1.4
glibc	2.43	2.44
Perl	5.42.3	5.44.0
Podman	5.8.9	6.1.3
MySQLサーバー	8.4.10	9.7.2
MariaDBサーバー	11.8.8	12.3.2
pandas	2.3.3	3.0.6
GCC	16.2.1	16.2.1
Linuxカーネル	7.2.15	7.2.15

Fedora 45は、MySQL 8.4も別パッケージmysql8.4-server（バージョン8.4.11）として提供しています。既存の環境を壊しうる変更は、ほかに4つあります。

• リポジトリファイルの移動： Fedora 45のイメージでは、/etc/yum.repos.d/は空です。Fedoraのリポジトリファイルは/usr/share/dnf5/repos.d/にあります。Linux Compatibleは、古いパスを使うスクリプトは壊れると警告しています。
• Podman 6は、Fedoraの変更一覧によると、slirp4netns、cgroups v1、BoltDBデータベースバックエンドを廃止しました。Linux Compatibleは、SQLiteに移行し、--network=pastaを使うよう勧めています。
• デバッグ： Red Hatの投稿によると、デバッガーが使うカーネルの仕組みであるptraceは、特権のないユーザーには制限されるようになりました。デバッグ用パッケージをインストールすると、通常のトレースが再び使えます。
• 2つのVPNプラグインの廃止： 発表によると、NetworkManager-vpncとNetworkManager-fortisslvpnは「Fedora Linux 45から廃止」になります。

KDE版は、X11セッションを廃止したPlasma 6.8に移ります。Fedora 45はまた、ベータ版で初めて登場した変更として、カーネルのコンソールをkmsconに置き換えています。

開発者にとっての意味

アップグレードの前に、ビルドスクリプト、Dockerfile、CIジョブを調べてください。自分のチームがビルドしたファイルに対して、rpm -iを直接呼び出している箇所が対象です。そうした呼び出しが、今は失敗します。根本的な解決策は、社内パッケージに署名することです。あらゆる場所に--nosignatureを付けると、この変更が取り除いたリスクが戻ってきます。

/etc/yum.repos.d/のファイルを書き込んだり編集したりする構成管理ツールも確認してください。データ処理のジョブを移す前に、Python 3.15とpandas 3でコードをテストしましょう。MySQL 9.7への移行を計画するか、mysql8.4-serverに固定してください。コンテナでの検証が対象にしたのは、パッケージツールだけです。デスクトップ、コンソール、カーネルは起動していません。

Linux Compatibleによると、Fedora 44の利用者はsudo dnf upgrade --refreshを実行し、続けてsudo dnf system-upgrade download --releasever=45とsudo dnf offline rebootでアップグレードします。Fedora 45は2027年12月8日まで更新を受けられます。これはFedora 45自身の/etc/os-releaseファイルにある日付です。