Guide de configuration de la mise à jour en direct de SLES : Appliquer les mises à jour du noyau sans redémarrer

Que fait le patchage en direct de SLES ?

La fonction de mise à jour en direct du noyau (KLP) de SUSE Linux Enterprise Server (SLES) applique les correctifs de noyau pris en charge à un système en cours d'exécution sans le redémarrer. Sous SLES 15 SP7, SUSE distribue ces correctifs sous forme de paquets de mise à jour en direct du noyau correspondant à une révision spécifique de celui-ci. L' uname -raffichage reste donc inchangé après une mise à jour réussie ; utilisez les outils KLP pour vérifier l'état du correctif.

L'application de correctifs à chaud réduit la nécessité de redémarrages de maintenance immédiats, mais ne dispense pas de la planification des redémarrages du noyau. Ces correctifs couvrent certains correctifs critiques ; ils ne remplacent pas les mises à jour régulières du noyau, la maintenance des Service Packs ni les correctifs nécessitant un redémarrage. SUSE peut ne pas être en mesure de créer un correctif à chaud pour chaque correctif éligible. Prévoyez une procédure de redémarrage planifiée pour installer un noyau de base plus récent et appliquer les correctifs qui ne peuvent pas être appliqués directement au système.

Ce guide suit la procédure SLES 15 SP7 décrite dans le guide d'administration de SUSE sur l'application de correctifs à chaud du noyau avec KLP . Consultez la documentation correspondant à votre Service Pack et à votre architecture avant d'appliquer des commandes à un système de production.

Guide de référence rapide

Avant d'activer KLP

• Vérifiez que l'hôte exécute un Service Pack SLES 15 et une architecture compatibles. La procédure SP7 ci-dessous utilise l'exemple d'extension x86_64 ; consultez la sortie de l'extension sur votre propre hôte plutôt que de copier un chemin d'accès pour un autre produit ou une autre architecture.
• Assurez-vous que l'abonnement SLES et le droit distinct de mise à jour en direct SLE sont actifs, et obtenez le code d'enregistrement de mise à jour en direct auprès du centre client SUSE.
• Vérifiez que l'hôte peut accéder à ses dépôts SUSE configurés ou au service de mise à jour miroir de votre organisation. Pour les parcs informatiques gérés, assurez-vous que les canaux de dépôt contiennent bien les correctifs actifs correspondants.
• Enregistrez uname -rl'état récent du système et le plan de maintenance en cours. Testez la procédure sur un serveur non productif représentatif si possible.
• Conservez la procédure normale de mise à jour du noyau et de redémarrage. L'application de correctifs en direct réduit l'urgence de certaines corrections ; elle ne garantit pas la mise à jour permanente du noyau en cours d'exécution.

Activer la mise à jour en direct du noyau SLES 15 SP7

1. Vérifiez la commande d'extension disponible

Exécutez la liste des extensions et repérez l'entrée SLE Live Patching exacte correspondant au produit installé :

sudo SUSEConnect --list-extensions

Pour SLES 15 SP7 sur x86_64, SUSE documente une procédure d'activation sle-module-live-patching/15.7/x86_64. La sortie sur votre système fait foi : vérifiez que la version et l'architecture correspondent avant de continuer.

2. Enregistrez l'extension Live Patching

Utilisez la commande d'activation affichée par SUSEConnect --list-extensions, en remplaçant votre code d'enregistrement valide. Exemple pour SLES 15 SP7 x86_64 :

sudo SUSEConnect -p sle-module-live-patching/15.7/x86_64 \
  -r LIVE_PATCHING_REGISTRATION_CODE

Ne collez pas de code d'enregistrement réel dans les tickets partagés, les transcriptions de commandes ou les journaux publics. En cas d'échec de l'enregistrement, vérifiez le code, l'état de l'abonnement, le chemin d'accès au produit, l'accès réseau et assurez-vous que la machine est déjà enregistrée auprès de l'organisation SUSE Customer Center attendue.

3. Installez le modèle requis

Installez le modèle logiciel Live Patching et ses dépendances :

sudo zypper install -t pattern lp_sles

Veuillez examiner les modifications proposées par Zypper avant de confirmer. Ce modèle installe les composants KLP de base et le correctif initial. Lorsqu'un correctif est disponible pour le noyau en cours d'exécution dans un dépôt activé, ce dernier peut être mis à jour lors de l'installation du paquet. La disponibilité d'un correctif dépend de la révision exacte du noyau et du contenu du dépôt.

Appliquez les mises à jour et vérifiez le résultat

Après l'activation, installez les correctifs en direct via la procédure de mise à jour SLES habituelle. Commencez par actualiser les métadonnées du référentiel et examinez les correctifs disponibles. Appliquez ensuite les mises à jour conformément aux procédures de gestion des changements de votre organisation, par exemple :

sudo zypper refresh
sudo zypper patch

Lisez attentivement la transaction proposée. Les correctifs en direct pour le noyau en cours d'exécution peuvent être installés sans redémarrage, mais une mise à jour régulière du noyau peut nécessiter un redémarrage. Ne supprimez pas cette invite et ne bloquez pas les mises à jour du noyau comme solution de contournement permanente. Si un noyau de base plus récent est installé, planifiez un redémarrage contrôlé pour le lancer et terminer le cycle de maintenance du noyau.

Vérifiez le correctif en direct indépendamment de la chaîne de version du noyau :

uname -r
sudo klp status
sudo klp -v patches
zypper se --details 'kernel-livepatch-*'

Utilisez cette commande klp statuspour connaître l'état de fonctionnement et klp -v patchesles détails des correctifs, notamment les corrections apportées par le correctif actif. SUSE précise que cette commande uname -rne change pas pour un noyau patché. La présence du paquet installé ne suffit pas à prouver que le correctif attendu est chargé ; vérifiez la sortie de la commande `klp status`.

Limites opérationnelles et décisions de redémarrage

• La couverture est sélective. Le périmètre déclaré par SUSE inclut les vulnérabilités de niveau CVSS 7 et supérieur, ainsi que les correctifs de stabilité ou de corruption de données, mais des contraintes techniques font que tous les problèmes éligibles ne reçoivent pas de correctif opérationnel.
• Les correctifs sont spécifiques à chaque noyau et cumulatifs. Un correctif actif cible une révision précise du noyau. Le correctif le plus récent pour un noyau donné ne corrige pas automatiquement une autre révision du noyau.
• Les mises à jour du noyau de base restent importantes. Les correctifs en direct offrent une protection temporaire pour certaines corrections. Les mises à jour régulières du noyau peuvent nécessiter un redémarrage et apporter d'autres modifications.
• Le support a une durée de vie limitée. Le guide SLES 15 SP7 indique que les correctifs en direct sont mis à jour pendant 13 mois à compter de la publication du noyau sous-jacent. Consultez les données de cycle de vie et le tableau des correctifs en direct et des noyaux maintenus de SUSE pour connaître les dates actuelles .
• Les commandes peuvent varier selon les architectures et les produits. Le guide KLP de SLES 15 SP7 identifie les architectures AMD64/Intel 64, POWER et IBM Z. Veuillez vérifier votre guide spécifique au produit et votre abonnement avant le déploiement.

Liste de vérification pour le dépannage

Si un correctif récemment installé semble causer un problème, suspendez son déploiement et examinez les journaux du noyau ainsi que l'état des services. SUSE propose une procédure de rétrogradation manuelle pour les systèmes compatibles, mais précise que les systèmes présentant déjà des avertissements ou des erreurs du noyau peuvent ne pas être appropriés. Utilisez la version du correctif correspondante et contactez le support SUSE en cas de doute sur l'état du système ; évitez d'effectuer une rétrogradation improvisée sur un noyau en production.

Liste de contrôle de déploiement

1. Validez le pack de services SLES, l'architecture, les abonnements et les canaux de référentiel.
2. Enregistrez le noyau en cours d'exécution et l'état de santé de base de l'hôte.
3. Enregistrez et installez l'extension SLE Live Patching lp_sles.
4. Appliquez les mises à jour via le flux de travail normal des packages et examinez chaque transaction.
5. Confirmez le patch chargé avec klp statuset klp -v patches.
6. Suivre les dates du cycle de vie des correctifs et planifier des redémarrages réguliers du noyau de base.

Pour la gestion du parc de serveurs, utilisez le flux de travail de gestion SUSE éprouvé de votre organisation et vérifiez que les canaux exposent les correctifs actifs correspondants. La documentation officielle de configuration des canaux de SUSE Multi-Linux Manager décrit la préparation des canaux pour SLES 15 SP7.