Amazon Linux 2027 entra en escena: AWS estrena Linux Kernel 7.1, DNF5 y SELinux obligatorio para sus servidores cloud

Amazon Linux 2027 ya entró oficialmente en escena como vista previa pública. AWS anunció AL2027 el 3 de septiembre de 2026 como la próxima versión de su sistema operativo Linux para cargas cloud-native en AWS, construido sobre la base de Amazon Linux 2023 y orientado a aplicaciones web, bases de datos, microservicios en contenedores, cargas de IA/ML e infraestructura a gran escala.

La novedad viene con tres cambios que marcarán la migración: Linux Kernel 7.1+, DNF5 como nuevo gestor de paquetes y SELinux en modo enforcing por defecto. AWS también incorpora AWS-LC junto a OpenSSL, toolchains más recientes, soporte para aceleradores AWS Neuron y AMIs disponibles para x86-64 y ARM/Graviton en todas las regiones comerciales de AWS.

1. Amazon Linux 2027 todavía es preview, no producción

Lo primero es aclarar el punto más importante: AL2027 está en Public Preview. AWS indica expresamente que esta versión está pensada para evaluación y pruebas, y que no se recomienda para cargas de producción. La vista previa permite experimentar, validar aplicaciones y enviar comentarios antes de la disponibilidad general.

Esto significa que los equipos DevOps, cloud, seguridad y plataformas deberían probar AL2027 desde ahora, pero no migrar servidores críticos sin una estrategia. La propia documentación de AWS advierte que, durante el periodo preview, no hay garantía de que todos los CVE abiertos en paquetes AL2027 estén corregidos en los artefactos preview, y que los módulos FIPS validados llegarán antes de GA, no necesariamente en esta etapa inicial.

2. Qué cambia frente a Amazon Linux 2023

La comparación oficial entre AL2023 y AL2027 muestra un salto fuerte en componentes base: SELinux pasa de permissive a enforcing, el kernel preview pasa de la línea 6.x a 7.1, GCC sube de 11.5 a 16.1, glibc de 2.34 a 2.43, systemd de 252 a 260, RPM de 4.16 a 6.0, DNF de 4.14 a DNF5 5.4 y Python por defecto pasa de 3.9 a 3.14.

3. Linux Kernel 7.1+: una base más moderna para AWS

AWS presenta AL2027 con Linux Kernel 7.1+ durante la vista previa. Según la página oficial del producto, esta base busca aportar mejoras recientes de rendimiento, soporte de hardware y seguridad, además de preparar a los usuarios para una estrategia de kernel más actual dentro del ecosistema Amazon Linux.

La documentación de comparación confirma que la preview actual incorpora kernel 7.1 y que los paquetes de kernel usan nombres versionados, como kernel7.1. También indica que Amazon Linux agregará nuevas versiones de kernel con el tiempo, siguiendo un enfoque similar al usado en AL2023.

uname -r
rpm -q kernel kernel-core 2>/dev/null
dnf list installed 'kernel*'
dnf check-update 'kernel*' || true

4. SELinux en enforcing: el cambio que más puede romper malas prácticas

El cambio más sensible para administradores será SELinux. En AL2023, SELinux estaba en modo permisivo; en AL2027, AWS lo activa en enforcing por defecto. En este modo, las políticas de control de acceso obligatorio se aplican realmente sobre usuarios, procesos, programas, archivos y dispositivos, no solo se registran como advertencias.

Esto es positivo para seguridad, pero puede revelar errores en aplicaciones mal empaquetadas, scripts que escriben en rutas incorrectas, servicios que necesitan contextos SELinux adecuados o instalaciones manuales que antes funcionaban porque SELinux solo registraba denegaciones. En otras palabras: AL2027 obliga a probar las aplicaciones como deberían operar en un entorno endurecido.

getenforce
sestatus

# Revisar denegaciones recientes

sudo ausearch -m AVC,USER_AVC -ts recent 2>/dev/null || true
sudo journalctl | grep -i "selinux|avc" | tail -n 50

5. DNF5 reemplaza a DNF: más velocidad, menos memoria y cambios para scripts

AL2027 adopta DNF5 como gestor de paquetes por defecto. AWS indica que DNF5 es el sucesor de DNF 4, que es más rápido, usa menos memoria y concentra el desarrollo upstream actual de gestión de paquetes. Además, los comandos dnf y yum ejecutan DNF5 en AL2027.

Para tareas diarias, comandos como instalar, buscar, remover y actualizar paquetes se mantienen muy parecidos. Pero la migración no es trivial para automatizaciones antiguas: la API Python de DNF 4 ya no está disponible, los plugins de DNF 4 no cargan en DNF5 y los scripts que dependían del formato exacto de salida deben revisarse.

sudo dnf install nombre-paquete
sudo dnf search nombre-paquete
sudo dnf remove nombre-paquete
sudo dnf upgrade

# Consultar avisos y soporte

dnf advisory list
sudo dnf supportinfo --show installed

6. Criptografía moderna: AWS-LC, OpenSSL 3.5 y PQC

AL2027 incorpora OpenSSL 3.5 y AWS-LC como opción criptográfica para servicios y aplicaciones que puedan beneficiarse de sus optimizaciones. AWS también destaca que AL2027 activa capacidades de criptografía post-cuántica por defecto en políticas criptográficas del sistema, incluyendo intercambio de claves PQC en OpenSSH.

La documentación de seguridad indica que AL2027 incluye OpenSSH 9.9p1, elimina soporte DSA, no permite claves RSA menores a 2048 bits por defecto y añade configuraciones de endurecimiento en archivos bajo /etc/ssh/sshd_config.d/.

7. Toolchains nuevos: GCC 16, glibc 2.43, LLVM 22 y RPM 6

Para desarrolladores y equipos que compilan software en AWS, AL2027 trae cambios de toolchain que pueden mejorar rendimiento, seguridad y compatibilidad con estándares modernos, pero también pueden exponer warnings o errores nuevos. AWS advierte que el salto de GCC 11 a GCC 16 es el cambio de toolchain más grande, y que recompilar código en AL2027 puede mostrar problemas que antes pasaban desapercibidos.

También se actualizan piezas base como glibc, binutils, LLVM/Clang, systemd, RPM, Python y zlib-ng. La desaparición de PCRE1 y el paso a PCRE2 también puede requerir pruebas en aplicaciones antiguas, expresiones regulares heredadas o módulos que dependían de bibliotecas ya retiradas.

8. Soporte para IA/ML: Neuron, Trainium e Inferentia

AWS está posicionando AL2027 como base para cargas modernas, incluidas aplicaciones de inteligencia artificial y aprendizaje automático. En la fase 1 de la preview, AL2027 incluye soporte para drivers AWS Neuron destinados a aceleradores Trainium e Inferentia, además de toolchains y runtimes actuales para lenguajes como Python, Java, Node.js, PHP, Go y Rust.

Este punto es estratégico: AWS no solo necesita una distribución Linux para EC2 clásico, sino una base optimizada para contenedores, IA, microservicios y hardware propio como Graviton, Trainium e Inferentia.

9. x86-64-v3 y Graviton2 o superior: no todo hardware queda dentro

AL2027 eleva los requisitos de CPU. Para x86-64, todos los binarios se compilan para la línea x86-64-v3, que requiere instrucciones como AVX, AVX2, BMI1, BMI2, F16C, FMA, LZCNT, MOVBE y XSAVE. AWS indica que esto se aproxima a procesadores x86-64 lanzados desde 2015 en adelante, como Intel Haswell y AMD Excavator o posteriores.

En ARM, AL2027 requiere Graviton2 o superior y no soporta instancias A1. En EC2, AWS lista como no soportadas familias antiguas como c1, c3, i2, m1, m2, m3, r3 y t1.

10. AMIs, imágenes mínimas y contenedores en ECR Public

Las AMIs preview de AL2027 están disponibles desde la consola de EC2, AWS CLI y parámetros públicos de SSM. AWS indica que pueden buscarse como al2027-preview-ami, y que existen AMIs estándar y mínimas para x86_64 y arm64.

Además, AWS publica imágenes base de contenedor en Amazon ECR Public. La documentación de AL2027 incluye ejemplos para construir imágenes “bare-bones” desde public.ecr.aws/amazonlinux/amazonlinux:2027, usando DNF5 para instalar dependencias en un directorio raíz y luego copiarlas a una imagen final mínima.

aws ec2 run-instances \
  --image-id resolve:ssm:/aws/service/ami-amazon-linux-latest/al2027-preview-ami-kernel-default-x86_64 \
  --instance-type m5.xlarge \
  --region us-east-1 \
  --key-name my-key-pair \
  --security-group-ids sg-xxxxxxxx

11. Ciclo de soporte: hasta 2032 y actualizaciones trimestrales

AL2027 seguirá un modelo de cadencia similar a AL2023. AWS indica que AL2027 tendrá soporte hasta 2032 y contará con dos fases: soporte estándar, con actualizaciones menores trimestrales, nuevas funciones, parches de seguridad y correcciones; y fase de mantenimiento, centrada en actualizaciones de seguridad y errores críticos.

Las actualizaciones se entregan mediante nuevas AMIs y versiones de repositorio. Por defecto, cada AMI queda asociada a una versión de repositorio concreta, permitiendo actualizaciones determinísticas: se puede actualizar una instancia existente apuntando a una versión más nueva del repositorio o desplegar nuevas instancias desde AMIs actualizadas.

12. No es Fedora puro: base Fedora, ciclo propio de AWS

Amazon Linux 2027 está basado en parte en Fedora 44 y Fedora 45, pero AWS aclara que no es una derivada ni un remix de Fedora. AL2027 mantiene ciclos propios de lanzamiento y soporte, algunos componentes coinciden con Fedora, otros son modificados y otros se desarrollan de forma independiente. El kernel de Amazon Linux se obtiene desde upstream kernel.org y se elige independientemente de Fedora.

Esto explica por qué AL2027 puede ofrecer software moderno sin ser equivalente a una Fedora concreta. Para empresas, la lectura práctica es clara: no se debe asumir compatibilidad automática con repositorios Fedora, EPEL o paquetes externos sin pruebas.

13. Impacto para administradores Linux en AWS

Para administradores Linux, AL2027 obligará a actualizar prácticas. Ya no bastará con probar que una aplicación “arranca”. Habrá que validar que funciona con SELinux enforcing, que no depende de Python antiguo, que no usa scripts System V, que no espera DNF 4, que no usa claves SSH débiles y que no depende de paquetes retirados como PCRE1.

La buena noticia es que muchas de estas exigencias empujan hacia mejores prácticas: servicios con permisos correctos, paquetes actualizados, automatización moderna, imágenes reproducibles, contenedores más pequeños, criptografía más fuerte y menor tolerancia a configuraciones heredadas.

14. Comandos rápidos para evaluar AL2027

Después de lanzar una instancia de prueba, conviene recopilar información básica: versión, kernel, SELinux, DNF5, OpenSSH, repositorios y paquetes instalados. Esto permite comparar el comportamiento frente a AL2023 antes de migrar una aplicación real.

cat /etc/os-release
uname -r
rpm -q system-release kernel systemd rpm python3 openssh-server openssl
dnf --version
yum --version
getenforce
sestatus
dnf repolist
dnf advisory list
sudo dnf upgrade --assumeno

15. Preguntas clave

Recomendamos

En resumen

Amazon Linux 2027 es una de las actualizaciones más importantes del ecosistema AWS Linux en los últimos años. Llega en preview pública con Linux Kernel 7.1+, DNF5, SELinux enforcing por defecto, OpenSSL 3.5, AWS-LC, OpenSSH más estricto, toolchains modernos, soporte para Graviton2 o superior y una clara orientación a cargas cloud-native, contenedores e IA/ML.

La recomendación para empresas es empezar a probar ya, pero sin precipitarse: AL2027 todavía no es para producción. Los equipos deben validar aplicaciones, scripts, agentes, pipelines, políticas SELinux, tipos de instancia, contenedores y procesos de actualización. Quien llegue preparado a la disponibilidad general tendrá una migración mucho más segura.