SLES Live Patching Konfigurationsleitfaden: Kernel-Updates ohne Neustart anwenden

Was bewirkt das Live-Patching von SLES?

SUSE Linux Enterprise Server (SLES) Kernel Live Patching (KLP) wendet unterstützte Kernelkorrekturen auf ein laufendes System an, ohne dass ein Neustart erforderlich ist. Unter SLES 15 SP7 stellt SUSE diese Korrekturen als Kernel-Live-Patch-Pakete bereit, die zu einer bestimmten Kernel-Revision passen. Die uname -rAusgabe bleibt daher nach einem erfolgreichen Live-Patch unverändert; verwenden Sie die KLP-Tools, um den Patch-Status zu überprüfen.

Live-Patching reduziert die Notwendigkeit sofortiger Wartungsneustarts, ersetzt aber nicht die Planung eines Kernel-Neustarts. Live-Patches decken ausgewählte kritische Korrekturen ab; sie ersetzen weder reguläre Kernel-Updates, Service-Pack-Wartung noch Korrekturen, die einen Neustart erfordern. SUSE kann möglicherweise nicht für jede infrage kommende Korrektur einen Live-Patch erstellen. Planen Sie daher einen Neustart ein, um einen neueren Basiskernel zu installieren und Korrekturen anzuwenden, die nicht direkt per Patch eingespielt werden können.

Diese Anleitung folgt dem in SUSEs „ Kernel Live Patching with KLP“-Administrationshandbuch beschriebenen Verfahren für SLES 15 SP7 . Prüfen Sie die Dokumentation für Ihr spezifisches Service Pack und Ihre Architektur, bevor Sie Befehle auf einem Produktivsystem anwenden.

Kurzübersicht

Vor der Aktivierung von KLP

• Stellen Sie sicher, dass auf dem Host ein unterstütztes SLES 15 Service Pack und die entsprechende Architektur ausgeführt werden. Die unten beschriebene SP7-Prozedur verwendet das x86_64-Erweiterungsbeispiel. Lesen Sie die Ausgabe der Erweiterung auf Ihrem eigenen Host, anstatt einen Pfad für ein anderes Produkt oder eine andere Architektur zu kopieren.
• Stellen Sie sicher, dass sowohl das SLES-Abonnement als auch die separate SLE Live Patching-Berechtigung aktiv sind, und besorgen Sie sich den Live Patching-Registrierungscode vom SUSE Customer Center.
• Stellen Sie sicher, dass der Host seine konfigurierten SUSE-Repositories oder den gespiegelten Update-Dienst Ihrer Organisation erreichen kann. Überprüfen Sie bei verwalteten Flotten, ob die Repository-Kanäle die passenden Live-Patches enthalten.
• Dokumentieren Sie uname -rden aktuellen Systemzustand und den bestehenden Wartungsplan. Testen Sie das Verfahren nach Möglichkeit auf einem repräsentativen Nicht-Produktionsserver.
• Der normale Kernel-Update- und Neustartprozess sollte beibehalten werden. Live-Patching reduziert zwar die Dringlichkeit einiger Fehlerbehebungen, macht einen laufenden Kernel aber nicht dauerhaft aktuell.

SLES 15 SP7 Kernel-Live-Patching aktivieren

1. Überprüfen Sie den verfügbaren Erweiterungsbefehl.

Führen Sie die Erweiterungsliste aus und suchen Sie den genauen SLE Live Patching-Eintrag für das installierte Produkt:

sudo SUSEConnect --list-extensions

Für SLES 15 SP7 auf x86_64 dokumentiert SUSE einen Aktivierungspfad wie diesen sle-module-live-patching/15.7/x86_64. Die Ausgabe auf Ihrem Host ist maßgebend: Überprüfen Sie vor dem Fortfahren, ob Version und Architektur übereinstimmen.

2. Registrieren Sie die Live-Patching-Erweiterung

Verwenden Sie den angezeigten Aktivierungsbefehl SUSEConnect --list-extensionsund ersetzen Sie durch Ihren gültigen Registrierungscode. Beispiel für SLES 15 SP7 x86_64:

sudo SUSEConnect -p sle-module-live-patching/15.7/x86_64 \
  -r LIVE_PATCHING_REGISTRATION_CODE

Fügen Sie niemals einen echten Registrierungscode in freigegebene Tickets, Shell-Protokolle oder öffentliche Protokolle ein. Falls die Registrierung fehlschlägt, überprüfen Sie den Code, den Abonnementstatus, den Produktpfad, den Netzwerkzugriff und ob der Rechner bereits bei der entsprechenden SUSE Customer Center-Organisation registriert ist.

3. Installieren Sie das erforderliche Muster

Installieren Sie das Live-Patching-Softwaremuster und die zugehörigen Abhängigkeiten:

sudo zypper install -t pattern lp_sles

Prüfen Sie die von Zypper vorgeschlagenen Änderungen, bevor Sie sie bestätigen. Das Muster installiert die Basis-KLP-Komponenten und den ersten Live-Patch. Wenn der Paketmanager einen Live-Patch für den laufenden Kernel in einem aktivierten Repository findet, kann der laufende Kernel während der Paketinstallation gepatcht werden. Ob ein Fix verfügbar ist, hängt von der genauen Kernel-Revision und dem Inhalt des Repositorys ab.

Updates anwenden und Ergebnis überprüfen

Nach der Aktivierung installieren Sie Live-Patch-Pakete über den regulären SLES-Aktualisierungsprozess. Aktualisieren Sie zunächst die Repository-Metadaten und prüfen Sie die verfügbaren Patches. Wenden Sie anschließend die Aktualisierungen gemäß den üblichen Änderungsrichtlinien Ihrer Organisation an, zum Beispiel:

sudo zypper refresh
sudo zypper patch

Lesen Sie die vorgeschlagene Transaktion sorgfältig durch. Live-Patch-Pakete für den laufenden Kernel können ohne Neustart installiert werden, reguläre Kernel-Paketaktualisierungen können jedoch weiterhin einen Neustart erfordern. Unterdrücken Sie diese Aufforderung nicht und blockieren Sie Kernel-Aktualisierungen nicht als dauerhafte Problemumgehung. Wenn ein neuerer Basiskernel installiert wird, planen Sie einen kontrollierten Neustart, um diesen zu starten und den Kernel-Wartungszyklus abzuschließen.

Überprüfen Sie den Live-Patch unabhängig von der Kernel-Release-Zeichenfolge:

uname -r
sudo klp status
sudo klp -v patches
zypper se --details 'kernel-livepatch-*'

Verwenden Sie klp statusdiese Funktion, um den Betriebszustand und klp -v patchesPatch-Details, einschließlich der durch den aktiven Patch behobenen Fehler, anzuzeigen. SUSE weist darauf hin, dass uname -rsich dies bei einem gepatchten Kernel nicht ändert. Das Vorhandensein eines installierten Pakets allein reicht nicht aus, um zu beweisen, dass der erwartete Patch geladen ist; überprüfen Sie die KLP-Statusausgabe.

Betriebsgrenzen und Neustartentscheidungen

• Die Abdeckung ist selektiv. Der von SUSE angegebene Umfang umfasst Sicherheitslücken der SUSE CVSS-Stufe 7 und höher sowie Stabilitäts- oder Datenbeschädigungskorrekturen, jedoch erhalten aufgrund technischer Beschränkungen nicht alle relevanten Probleme einen Live-Patch.
• Patches sind kernelspezifisch und kumulativ. Ein Live-Patch-Paket zielt auf eine bestimmte Kernel-Revision ab. Das neueste Paket für einen Kernel patcht nicht automatisch eine andere Kernel-Revision.
• Basis-Kernel-Updates sind weiterhin wichtig. Live-Patches bieten temporären Schutz für ausgewählte Fehlerbehebungen. Reguläre Kernel-Updates können einen Neustart erfordern und weitere Änderungen mit sich bringen.
• Der Support ist zeitlich begrenzt. Laut SLES 15 SP7-Leitfaden erhalten Live-Patches 13 Monate lang Updates ab Veröffentlichung des zugrundeliegenden Kernel-Pakets. Überprüfen Sie die aktuellen Daten anhand der Lebenszyklusdaten und der aktuellen Tabelle der Live-Patches und unterstützten Kernel von SUSE .
• Nicht alle Architekturen oder Produkte verwenden dieselben Befehle. Der SLES 15 SP7 KLP-Leitfaden unterscheidet zwischen AMD64/Intel 64, POWER und IBM Z. Bitte prüfen Sie vor der Einführung Ihren produktspezifischen Leitfaden und Ihre Abonnementberechtigung.

Checkliste zur Fehlerbehebung

Wenn ein neu installierter Live-Patch Probleme verursacht, pausieren Sie die weitere Verteilung und überprüfen Sie die Kernel-Logs und den Systemstatus. SUSE dokumentiert einen manuellen Downgrade-Pfad für geeignete Systeme, weist jedoch darauf hin, dass Hosts, die bereits Kernel-Warnungen oder Fehlermeldungen anzeigen, möglicherweise nicht geeignet sind. Verwenden Sie die passende Patch-Paketversion und kontaktieren Sie den SUSE-Support, wenn der Systemstatus unklar ist. Vermeiden Sie es, einen Downgrade auf einem Produktivkernel improvisiert durchzuführen.

Checkliste für die Einführung

1. Validieren Sie das SLES-Service-Pack, die Architektur, die Abonnements und die Repository-Kanäle.
2. Protokollieren Sie den laufenden Kernel und den Ausgangszustand des Hostsystems.
3. Registrieren Sie die SLE Live Patching-Erweiterung und installieren Sie sie lp_sles.
4. Wenden Sie die Updates über den normalen Paketworkflow an und überprüfen Sie jede Transaktion.
5. Bestätigen Sie den geladenen Patch mit klp statusund klp -v patches.
6. Verfolgen Sie die Lebenszyklusdaten von Patches und planen Sie regelmäßige Neustarts des Basiskernels.

Für die Flottenverwaltung nutzen Sie den bewährten SUSE-Management-Workflow Ihrer Organisation und stellen Sie sicher, dass die Kanäle die passenden Live-Patch-Pakete bereitstellen. Die offizielle Dokumentation zur Kanaleinrichtung des SUSE Multi-Linux Managers beschreibt die Kanalvorbereitung für SLES 15 SP7.