Guida alla configurazione di SLES Live Patching: applicare gli aggiornamenti del kernel senza riavviare il sistema

Cosa fa il live patching di SLES

SUSE Linux Enterprise Server (SLES) Kernel Live Patching (KLP) applica le correzioni del kernel supportate a un sistema in esecuzione senza riavviarlo. Su SLES 15 SP7, SUSE distribuisce queste correzioni come pacchetti di patch live del kernel che corrispondono a una specifica revisione del kernel. L' uname -routput rimane quindi invariato dopo l'applicazione corretta della patch live; utilizzare gli strumenti KLP per verificare lo stato della patch.

L'applicazione di patch in tempo reale riduce la necessità di riavvii immediati per la manutenzione, ma non elimina la pianificazione del riavvio del kernel. Le patch in tempo reale coprono correzioni critiche selezionate; non sostituiscono i regolari aggiornamenti del kernel, la manutenzione dei service pack o le correzioni che richiedono un riavvio. SUSE potrebbe non essere in grado di creare una patch in tempo reale per ogni correzione idonea. È consigliabile mantenere un percorso di riavvio pianificato per l'installazione di un kernel di base più recente e l'applicazione delle correzioni che non possono essere applicate in loco.

Questa guida segue la procedura SLES 15 SP7 pubblicata nella guida di amministrazione di SUSE " Kernel Live Patching with KLP" . Prima di applicare i comandi a un host di produzione, consultare la documentazione relativa al proprio service pack e alla propria architettura.

Riferimento rapido

Prima di abilitare KLP

• Verificare che l'host esegua un service pack e un'architettura SLES 15 supportati. La procedura SP7 descritta di seguito utilizza l'esempio di estensione x86_64; consultare l'output dell'estensione sul proprio host anziché copiare un percorso di prodotto o architettura diverso.
• Assicurati che sia l'abbonamento a SLES che la licenza separata per l'applicazione Live Patching di SLES siano attivi e richiedi il codice di registrazione per Live Patching al SUSE Customer Center.
• Verifica che l'host possa raggiungere i repository SUSE configurati o il servizio di aggiornamento replicato della tua organizzazione. Per le flotte gestite, verifica che i canali del repository includano il contenuto delle patch live corrispondenti.
• Registra uname -rlo stato di salute recente del sistema e il piano di manutenzione corrente. Se possibile, testa la procedura su un server non di produzione rappresentativo.
• Mantieni attivo il normale processo di aggiornamento del kernel e di riavvio. L'applicazione di patch in tempo reale riduce l'urgenza di alcune correzioni; non rende un kernel in esecuzione aggiornato a tempo indeterminato.

Abilitare l'applicazione di patch live al kernel di SLES 15 SP7

1. Verifica il comando di estensione disponibile

Esegui l'elenco delle estensioni e individua la voce esatta relativa a SLE Live Patching per il prodotto installato:

sudo SUSEConnect --list-extensions

Per SLES 15 SP7 su x86_64, SUSE documenta un percorso di attivazione simile a questo sle-module-live-patching/15.7/x86_64: . L'output sul tuo host è quello ufficiale: verifica che la versione e l'architettura corrispondano prima di continuare.

2. Registra l'estensione Live Patching

Utilizzare il comando di attivazione mostrato da SUSEConnect --list-extensions, sostituendo il codice di registrazione valido. Esempio per SLES 15 SP7 x86_64:

sudo SUSEConnect -p sle-module-live-patching/15.7/x86_64 \
  -r LIVE_PATCHING_REGISTRATION_CODE

Non incollare un codice di registrazione valido in ticket condivisi, trascrizioni della shell o log pubblici. Se la registrazione non riesce, verifica il codice, lo stato dell'abbonamento, il percorso del prodotto, l'accesso alla rete e se il computer è già registrato all'organizzazione SUSE Customer Center prevista.

3. Installare il modello richiesto

Installare il modello software Live Patching e le relative dipendenze:

sudo zypper install -t pattern lp_sles

Esamina le modifiche proposte da Zypper prima di confermare. Il pattern installa i componenti KLP di base e la patch live iniziale. Quando il gestore di pacchetti trova una patch live per il kernel in esecuzione in un repository abilitato, il kernel in esecuzione può essere patchato durante l'installazione del pacchetto. La disponibilità di una correzione dipende dalla revisione esatta del kernel e dal contenuto del repository.

Applica gli aggiornamenti e verifica il risultato

Dopo l'attivazione, installa i pacchetti di patch live tramite la normale procedura di aggiornamento di SLES. Innanzitutto, aggiorna i metadati del repository e verifica le patch disponibili. Quindi applica gli aggiornamenti in base alle normali procedure di controllo delle modifiche della tua organizzazione, ad esempio:

sudo zypper refresh
sudo zypper patch

Leggete attentamente la transazione proposta. I pacchetti di patch live per il kernel in esecuzione possono essere installati senza riavviare, ma un normale aggiornamento del pacchetto del kernel potrebbe comunque richiedere un riavvio. Non disabilitate tale richiesta né bloccate gli aggiornamenti del kernel come soluzione temporanea permanente. Se viene installato un kernel di base più recente, pianificate un riavvio controllato per avviarlo e completare il ciclo di manutenzione del kernel.

Verifica la patch live indipendentemente dalla stringa di rilascio del kernel:

uname -r
sudo klp status
sudo klp -v patches
zypper se --details 'kernel-livepatch-*'

Utilizzare klp statusper lo stato operativo e klp -v patchesper i dettagli della patch, comprese le correzioni affrontate dalla patch attiva. SUSE fa notare che ciò uname -rnon cambia per un kernel patchato. La sola presenza del pacchetto installato non è sufficiente a dimostrare che la patch prevista sia stata caricata; controllare l'output dello stato KLP.

Limiti operativi e decisioni di riavvio

• La copertura è selettiva. L'ambito dichiarato da SUSE include vulnerabilità e correzioni di stabilità o danneggiamento dei dati di livello 7 e superiori secondo lo standard CVSS di SUSE, ma vincoli tecnici fanno sì che non tutti i problemi idonei ricevano una patch definitiva.
• Le patch sono specifiche per il kernel e cumulative. Un pacchetto di patch live è destinato a una revisione precisa del kernel. Il pacchetto più recente per un kernel non applica automaticamente la patch a un'altra revisione del kernel.
• Gli aggiornamenti del kernel di base sono ancora importanti. Le patch live offrono una protezione temporanea per correzioni specifiche. Gli aggiornamenti regolari del kernel potrebbero richiedere un riavvio e introdurre altre modifiche.
• Il supporto ha una data di scadenza. La guida di SLES 15 SP7 afferma che le patch live ricevono aggiornamenti per 13 mesi dalla data di rilascio del pacchetto del kernel sottostante. Verifica le date correnti consultando i dati del ciclo di vita e la tabella delle patch live e del kernel mantenuti di SUSE .
• Non tutte le architetture o i prodotti condividono gli stessi comandi. La guida KLP di SLES 15 SP7 identifica AMD64/Intel 64, POWER e IBM Z. Prima del rollout, verificare la guida specifica del prodotto e i diritti di abbonamento.

Lista di controllo per la risoluzione dei problemi

Se una patch live appena installata sembra causare un problema, sospendere l'ulteriore distribuzione e controllare i log del kernel e lo stato dei servizi. SUSE documenta una procedura di downgrade manuale per i sistemi compatibili, ma avverte che gli host che presentano già avvisi o tracce di errore del kernel potrebbero non essere candidati idonei. Utilizzare la versione del pacchetto di patch corrispondente e contattare il supporto SUSE in caso di incertezza sullo stato del sistema; evitare di improvvisare un downgrade su un kernel di produzione.

Lista di controllo per l'implementazione

1. Convalidare il service pack, l'architettura, gli abbonamenti e i canali del repository di SLES.
2. Registrare lo stato del kernel in esecuzione e le condizioni di salute di base dell'host.
3. Registra l'estensione SLE Live Patching e installala lp_sles.
4. Applicare gli aggiornamenti tramite il normale flusso di lavoro del pacchetto e rivedere ogni transazione.
5. Conferma la patch caricata con klp statuse klp -v patches.
6. Monitora le date del ciclo di vita delle patch e pianifica riavvii regolari del kernel di base.

Per la gestione della flotta, utilizzare il flusso di lavoro di gestione SUSE collaudato dalla propria organizzazione e verificare che i canali espongano i pacchetti di patch live corrispondenti. La documentazione ufficiale di configurazione del canale di SUSE Multi-Linux Manager descrive la preparazione del canale per SLES 15 SP7.