Guia de configuração de aplicação de patches em tempo real no SLES: Aplique atualizações do kernel sem reiniciar.

O que faz o live patching do SLES

O Kernel Live Patching (KLP) do SUSE Linux Enterprise Server (SLES) aplica correções de kernel suportadas a um sistema em execução sem reiniciá-lo. No SLES 15 SP7, a SUSE fornece essas correções como pacotes de patch ao vivo do kernel que correspondem a uma revisão específica do kernel. uname -rPortanto, a saída permanece a mesma após um patch ao vivo bem-sucedido; use as ferramentas KLP para confirmar o status do patch.

A aplicação de patches em tempo real reduz a necessidade de reinicializações imediatas para manutenção, mas não elimina o planejamento de reinicialização do kernel. Os patches em tempo real abrangem correções críticas selecionadas; eles não substituem as atualizações regulares do kernel, a manutenção de service packs ou correções que exigem reinicialização. A SUSE pode não conseguir criar um patch em tempo real para todas as correções elegíveis. Mantenha um cronograma de reinicialização agendado para instalar um kernel base mais recente e aplicar correções que não podem ser aplicadas diretamente no sistema.

Este guia segue o procedimento do SLES 15 SP7 publicado no guia de administração do Kernel Live Patching com KLP da SUSE . Consulte a documentação específica do seu pacote de serviços e arquitetura antes de aplicar os comandos a um host de produção.

Referência rápida

Antes de ativar o KLP

• Confirme se o host executa um pacote de serviços e uma arquitetura SLES 15 compatíveis. O procedimento SP7 abaixo usa o exemplo de extensão x86_64; leia a saída da extensão em seu próprio host, em vez de copiar um caminho de produto ou arquitetura diferente.
• Certifique-se de que tanto a assinatura do SLES quanto o direito de aplicação de patches em tempo real (Live Patching) estejam ativos e obtenha o código de registro do Live Patching no Centro de Atendimento ao Cliente da SUSE.
• Confirme se o host consegue acessar os repositórios SUSE configurados ou o serviço de atualização espelhado da sua organização. Para frotas gerenciadas, verifique se os canais do repositório incluem o conteúdo correspondente do patch ativo.
• Registre o uname -restado de saúde recente do sistema e o plano de manutenção atual. Sempre que possível, teste o procedimento em um servidor representativo que não seja de produção.
• Mantenha o processo normal de atualização do kernel e reinicialização. A aplicação de patches em tempo real reduz a urgência de algumas correções; ela não torna um kernel em execução atualizado indefinidamente.

Ativar a aplicação de patches em tempo real no kernel do SLES 15 SP7

1. Verifique os comandos de extensão disponíveis.

Execute a listagem de extensões e localize a entrada exata do SLE Live Patching para o produto instalado:

sudo SUSEConnect --list-extensions

Para o SLES 15 SP7 em x86_64, a SUSE documenta um caminho de ativação como este sle-module-live-patching/15.7/x86_64. A saída no seu host é definitiva: confirme se a versão e a arquitetura correspondem antes de continuar.

2. Registre a extensão Live Patching.

Utilize o comando de ativação mostrado por SUSEConnect --list-extensions, substituindo o seu código de registro válido. Exemplo para SLES 15 SP7 x86_64:

sudo SUSEConnect -p sle-module-live-patching/15.7/x86_64 \
  -r LIVE_PATCHING_REGISTRATION_CODE

Não cole um código de registro real em tickets compartilhados, transcrições de shell ou logs públicos. Se o registro falhar, verifique o código, o status da assinatura, o caminho do produto, o acesso à rede e se a máquina já está registrada na organização do SUSE Customer Center esperada.

3. Instale o padrão necessário.

Instale o padrão de software Live Patching e suas dependências:

sudo zypper install -t pattern lp_sles

Analise as alterações propostas por Zypper antes de confirmar. O padrão instala os componentes básicos do KLP e o patch inicial em execução. Quando o gerenciador de pacotes encontra um patch em execução para o kernel em um repositório habilitado, o kernel em execução pode ser corrigido durante a instalação do pacote. A disponibilidade de uma correção depende da revisão exata do kernel e do conteúdo do repositório.

Aplique as atualizações e verifique o resultado.

Após a ativação, instale os pacotes de patches ativos por meio do processo de atualização normal do SLES. Primeiro, atualize os metadados do repositório e revise os patches disponíveis. Em seguida, aplique as atualizações de acordo com os controles de alteração normais da sua organização, por exemplo:

sudo zypper refresh
sudo zypper patch

Leia atentamente a transação proposta. Pacotes de patches dinâmicos para o kernel em execução podem ser instalados sem reiniciar o sistema, mas uma atualização regular de um pacote do kernel ainda pode solicitar uma reinicialização. Não suprima essa solicitação nem bloqueie as atualizações do kernel como uma solução permanente. Se um kernel base mais recente for instalado, planeje uma reinicialização controlada para iniciar sua execução e concluir o ciclo de manutenção do kernel.

Verifique o patch ativo independentemente da string de versão do kernel:

uname -r
sudo klp status
sudo klp -v patches
zypper se --details 'kernel-livepatch-*'

Use klp statuspara verificar o estado operacional e klp -v patchesos detalhes do patch, incluindo as correções abordadas pelo patch ativo. A SUSE observa que isso uname -rnão muda para um kernel com patch aplicado. A presença do pacote instalado por si só não é prova suficiente de que o patch esperado foi carregado; verifique a saída do status do KLP.

Limites operacionais e decisões de reinicialização

• A cobertura é seletiva. O escopo declarado pela SUSE inclui vulnerabilidades de nível CVSS 7 e superiores, além de correções de estabilidade ou corrupção de dados, mas limitações técnicas impedem que todos os problemas elegíveis recebam uma atualização em tempo real.
• Os patches são específicos para cada kernel e cumulativos. Um pacote de patches dinâmico tem como alvo uma revisão exata do kernel. O pacote mais recente para um kernel não corrige automaticamente outra revisão do kernel.
• As atualizações do kernel base ainda são importantes. Os patches dinâmicos oferecem proteção temporária para correções selecionadas. As atualizações regulares do kernel podem exigir uma reinicialização e implementar outras alterações.
• O suporte tem um prazo de validade. O guia do SLES 15 SP7 indica que os patches dinâmicos recebem atualizações por 13 meses a partir do lançamento do pacote do kernel subjacente. Verifique as datas atuais com os dados do ciclo de vida e a tabela de patches dinâmicos e kernels mantidos da SUSE .
• Nem todas as arquiteturas ou produtos compartilham os mesmos comandos. O guia KLP do SLES 15 SP7 identifica AMD64/Intel 64, POWER e IBM Z. Confirme o guia específico do seu produto e a sua assinatura antes da implementação.

Lista de verificação para resolução de problemas

Se uma atualização em tempo real recém-instalada causar problemas, suspenda a implementação e verifique os logs do kernel e a integridade dos serviços. A SUSE documenta um caminho de downgrade manual para sistemas adequados, mas alerta que hosts que já apresentam avisos ou erros no kernel podem não ser candidatos apropriados. Use a versão do pacote de patch correspondente e entre em contato com o Suporte da SUSE quando o estado do sistema for incerto; evite improvisar um downgrade em um kernel de produção.

Lista de verificação de implementação

1. Valide o pacote de serviços, a arquitetura, as assinaturas e os canais de repositório do SLES.
2. Registre o kernel em execução e o estado de saúde inicial do host.
3. Registre a extensão SLE Live Patching e instale-a lp_sles.
4. Aplique as atualizações através do fluxo de trabalho normal do pacote e revise cada transação.
5. Confirme o patch carregado com klp statuse klp -v patches.
6. Acompanhe as datas do ciclo de vida dos patches e agende reinicializações regulares do kernel base.

Para administração de frotas, utilize o fluxo de trabalho de gerenciamento SUSE testado em sua organização e confirme se os canais expõem os pacotes de patches correspondentes. A documentação oficial de configuração de canais do SUSE Multi-Linux Manager descreve a preparação de canais para o SLES 15 SP7.