SLES 라이브 패칭 구성 가이드: 재부팅 없이 커널 업데이트 적용하기

SLES 라이브 패칭의 기능

SUSE Linux Enterprise Server(SLES) 커널 라이브 패칭(KLP)은 시스템을 재시작하지 않고 실행 중인 시스템에 지원되는 커널 수정 사항을 적용합니다. SLES 15 SP7에서 SUSE는 특정 커널 버전에 맞는 커널 라이브 패치 패키지 형태로 이러한 수정 사항을 제공합니다. uname -r따라서 라이브 패치가 성공적으로 적용된 후에도 출력 결과는 동일하게 유지됩니다. KLP 도구를 사용하여 패치 상태를 확인하십시오.

라이브 패치는 즉각적인 유지 보수 재부팅의 필요성을 줄여주지만, 커널 재부팅 계획을 완전히 없애는 것은 아닙니다. 라이브 패치는 선택된 중요 수정 사항에만 적용되며, 정기적인 커널 업데이트, 서비스 팩 유지 관리 또는 재부팅이 필요한 수정 사항을 대체하는 것은 아닙니다. SUSE는 모든 수정 사항에 대해 라이브 패치를 제공할 수 없을 수도 있습니다. 최신 기본 커널을 설치하고 라이브 패치로 해결할 수 없는 수정 사항을 적용하기 위한 계획된 재부팅 일정을 유지하십시오.

이 가이드는 SUSE의 "KLP를 사용한 커널 라이브 패칭" 관리 가이드 에 게시된 SLES 15 SP7 절차를 따릅니다 . 운영 환경에 명령어를 적용하기 전에 사용 중인 서비스 팩 및 아키텍처에 맞는 설명서를 확인하십시오.

빠른 참조

KLP를 활성화하기 전에

• 호스트에 지원되는 SLES 15 서비스 팩 및 아키텍처가 설치되어 있는지 확인하십시오. 아래 SP7 절차는 x86_64 확장 예제를 사용합니다. 다른 제품 또는 아키텍처 경로를 복사하지 말고, 해당 호스트에서 확장 프로그램 출력 결과를 직접 확인하십시오.
• SLES 구독과 별도의 SLE 라이브 패칭 권한이 모두 활성화되어 있는지 확인하고 SUSE 고객 센터에서 라이브 패칭 등록 코드를 받으십시오.
• 호스트가 구성된 SUSE 리포지토리 또는 조직의 미러링된 업데이트 서비스에 연결할 수 있는지 확인하십시오. 관리형 플릿의 경우 리포지토리 채널에 해당 라이브 패치 콘텐츠가 포함되어 있는지 확인하십시오.
• 시스템 상태, 최근 현황 및 현재 유지 관리 계획을 기록하십시오 uname -r. 가능하면 대표적인 비운영 서버에서 해당 절차를 테스트하십시오.
• 기존 커널 업데이트 및 재부팅 프로세스를 유지하십시오. 라이브 패칭은 일부 수정 사항에 대한 긴급성을 줄여주지만, 실행 중인 커널을 무기한 최신 상태로 유지하는 것은 아닙니다.

SLES 15 SP7 커널 라이브 패칭을 활성화합니다.

1. 사용 가능한 확장 명령을 확인하십시오.

확장 프로그램 목록을 실행하고 설치된 제품에 대한 정확한 SLE Live Patching 항목을 찾으십시오.

sudo SUSEConnect --list-extensions

x86_64 기반 SLES 15 SP7의 경우, SUSE는 다음과 같은 활성화 경로를 문서화합니다 sle-module-live-patching/15.7/x86_64. 호스트에 출력되는 내용이 가장 중요하므로, 계속 진행하기 전에 버전과 아키텍처가 일치하는지 확인하십시오.

2. 라이브 패칭 확장 프로그램을 등록합니다.

표시된 활성화 명령을 사용하고 SUSEConnect --list-extensions유효한 등록 코드를 입력하십시오. SLES 15 SP7 x86_64의 예:

sudo SUSEConnect -p sle-module-live-patching/15.7/x86_64 \
  -r LIVE_PATCHING_REGISTRATION_CODE

공유 티켓, 셸 기록 또는 공개 로그에 실제 등록 코드를 붙여넣지 마십시오. 등록에 실패하면 코드, 구독 상태, 제품 경로, 네트워크 액세스 및 해당 시스템이 예상되는 SUSE 고객 센터 조직에 이미 등록되어 있는지 확인하십시오.

3. 필요한 패턴을 설치하세요.

라이브 패칭 소프트웨어 패턴 및 종속성을 설치하십시오.

sudo zypper install -t pattern lp_sles

Zypper가 제안한 변경 사항을 검토한 후 확정하십시오. 이 패턴은 기본 KLP 구성 요소와 초기 라이브 패치를 설치합니다. 패키지 관리자가 활성화된 저장소에서 실행 중인 커널에 대한 라이브 패치를 찾으면 패키지 설치 중에 실행 중인 커널에 패치를 적용할 수 있습니다. 수정 사항이 있는지 여부는 정확한 커널 버전과 저장소 내용에 따라 다릅니다.

업데이트를 적용하고 결과를 확인하십시오.

활성화 후, 일반적인 SLES 업데이트 프로세스를 통해 라이브 패치 패키지를 설치하십시오. 먼저 저장소 메타데이터를 새로 고치고 사용 가능한 패치를 검토합니다. 그런 다음 조직의 일반적인 변경 관리 절차에 따라 업데이트를 적용하십시오. 예를 들면 다음과 같습니다.

sudo zypper refresh
sudo zypper patch

제안된 트랜잭션을 주의 깊게 읽으십시오. 실행 중인 커널용 라이브 패치 패키지는 재부팅 없이 설치할 수 있지만, 일반 커널 패키지 업데이트는 재부팅을 요청할 수 있습니다. 해당 메시지를 표시하지 않거나 커널 업데이트를 영구적인 해결책으로 잠그지 마십시오. 최신 기본 커널이 설치된 경우, 제어된 재부팅을 계획하여 새 커널을 실행하고 커널 유지 관리 주기를 완료하십시오.

커널 릴리스 문자열과 관계없이 라이브 패치를 별도로 검증하십시오.

uname -r
sudo klp status
sudo klp -v patches
zypper se --details 'kernel-livepatch-*'

klp status운영 상태 및 klp -v patches패치 세부 정보(활성 패치에서 해결된 수정 사항 포함)를 확인하는 데 사용합니다 . SUSE는 uname -r패치된 커널의 경우에도 이 값이 변경되지 않는다고 명시합니다. 설치된 패키지의 존재만으로는 예상되는 패치가 로드되었다는 충분한 증거가 될 수 없으므로 KLP 상태 출력을 확인하십시오.

운영 제한 및 재부팅 결정

• 지원 범위는 선별적입니다. SUSE가 명시한 지원 범위에는 SUSE CVSS 레벨 7 이상의 취약점 및 안정성 또는 데이터 손상 수정 사항이 포함되지만, 기술적 제약으로 인해 모든 적격 문제에 대한 패치가 제공되는 것은 아닙니다.
• 패치는 커널별로 적용되며 누적됩니다. 라이브 패치 패키지는 특정 커널 버전을 대상으로 합니다. 한 커널의 최신 패키지가 다른 커널 버전에 자동으로 패치를 적용하는 것은 아닙니다.
• 기본 커널 업데이트는 여전히 중요합니다. 라이브 패치는 특정 수정 사항에 대한 임시 보호 기능입니다. 정기 커널 업데이트는 재부팅이 필요할 수 있으며 다른 변경 사항을 포함할 수 있습니다.
• 지원에는 만료 기간이 있습니다. SLES 15 SP7 가이드에 따르면 라이브 패치는 기본 커널 패키지 출시일로부터 13개월 동안 업데이트를 받습니다. 최신 날짜는 수명 주기 데이터와 SUSE의 최신 라이브 패치 및 유지 관리 커널 표를 참조하십시오 .
• 모든 아키텍처 또는 제품이 동일한 명령어를 공유하는 것은 아닙니다. SLES 15 SP7 KLP 가이드에서는 AMD64/Intel 64, POWER 및 IBM Z 아키텍처를 명시하고 있습니다. 배포 전에 제품별 가이드와 구독 권한을 확인하십시오.

문제 해결 체크리스트

새로 설치한 라이브 패치가 문제를 일으키는 것으로 보이면 추가 배포를 일시 중단하고 커널 로그와 서비스 상태를 점검하십시오. SUSE는 적합한 시스템에 대한 수동 다운그레이드 경로를 문서화했지만, 이미 커널 경고 또는 오류 추적이 표시되는 호스트는 적합한 대상이 아닐 수 있다고 경고합니다. 시스템 상태가 불확실한 경우 해당 패치 패키지 버전을 사용하고 SUSE 지원팀에 문의하십시오. 운영 중인 커널에서 임의로 다운그레이드를 시도하지 마십시오.

출시 체크리스트

1. SLES 서비스 팩, 아키텍처, 구독 및 저장소 채널을 검증합니다.
2. 실행 중인 커널과 호스트의 기본 상태를 기록합니다.
3. SLE 라이브 패칭 확장 프로그램을 등록하고 설치하세요 lp_sles.
4. 일반적인 패키지 워크플로를 통해 업데이트를 적용하고 각 거래를 검토하십시오.
5. klp status및 를 사용하여 로드된 패치를 확인하십시오 klp -v patches.
6. 패치 수명 주기 날짜를 추적하고 정기적인 기본 커널 재부팅을 예약합니다.

플릿 관리를 위해서는 조직에서 검증된 SUSE 관리 워크플로를 사용하고, 채널에 해당 라이브 패치 패키지가 노출되는지 확인하십시오. SUSE Multi-Linux Manager 채널 설정 공식 문서에서 SLES 15 SP7용 채널 준비 방법을 확인할 수 있습니다.