Ghid de configurare a corecțiilor SLES Live: Aplicarea actualizărilor de kernel fără repornire

Ce face aplicarea patch-urilor live SLES

SUSE Linux Enterprise Server (SLES) Kernel Live Patching (KLP) aplică corecțiile de kernel acceptate unui sistem care rulează fără a-l reporni. Pe SLES 15 SP7, SUSE livrează aceste corecții ca pachete de corecții live pentru kernel care corespund unei anumite revizii a kernelului. uname -rPrin urmare, rezultatul rămâne același după o corecție live reușită; utilizați instrumentele KLP pentru a confirma starea corecției.

Aplicarea de patch-uri live reduce necesitatea repornirilor imediate pentru întreținere, dar nu elimină planificarea repornirii kernelului. Patch-urile live acoperă anumite corecții critice; acestea nu înlocuiesc actualizările regulate ale kernelului, întreținerea service-pack-urilor sau corecțiile necesare repornirii. Este posibil ca SUSE să nu poată crea un patch live pentru fiecare corecție eligibilă. Păstrați o cale de repornire programată pentru instalarea unui kernel de bază mai nou și aplicarea corecțiilor care nu pot fi aplicate pe loc.

Acest ghid urmează procedura SLES 15 SP7 publicată în ghidul de administrare Kernel Live Patching with KLP de la SUSE . Verificați documentația pentru pachetul de service și arhitectura exactă înainte de a aplica comenzi unei gazde de producție.

Referință rapidă

Înainte de activarea KLP

• Confirmați că gazda rulează un pachet service pack și o arhitectură SLES 15 acceptate. Procedura SP7 de mai jos utilizează exemplul de extensie x86_64; citiți ieșirea extensiei pe propria gazdă, în loc să copiați o altă cale de produs sau arhitectură.
• Asigurați-vă că atât abonamentul SLES, cât și dreptul separat pentru SLE Live Patching sunt active și obțineți codul de înregistrare Live Patching de la Centrul pentru clienți SUSE.
• Confirmați că gazda poate accesa depozitele SUSE configurate sau serviciul de actualizare în oglindă al organizației dvs. Pentru flotele gestionate, verificați dacă canalele depozitului includ conținutul corespunzător al patch-urilor live.
• Înregistrați uname -rstarea recentă a sistemului și planul actual de întreținere. Testați procedura pe un server reprezentativ, neproductiv, atunci când este posibil.
• Mențineți procesul normal de actualizare și repornire a kernelului. Aplicarea de patch-uri live reduce urgența pentru unele corecții; nu face ca un kernel care rulează să fie actual pe termen nelimitat.

Activează patch-urile live pentru kernelul SLES 15 SP7

1. Verificați comanda extensiei disponibile

Rulați lista de extensii și localizați intrarea exactă SLE Live Patching pentru produsul instalat:

sudo SUSEConnect --list-extensions

Pentru SLES 15 SP7 pe x86_64, SUSE documentează o cale de activare de tipul sle-module-live-patching/15.7/x86_64. Rezultatul pe gazdă este autoritar: confirmați potrivirea versiunii și a arhitecturii înainte de a continua.

2. Înregistrați extensia Live Patching

Folosiți comanda de activare afișată prin SUSEConnect --list-extensions, înlocuind codul de înregistrare valid. Exemplu pentru SLES 15 SP7 x86_64:

sudo SUSEConnect -p sle-module-live-patching/15.7/x86_64 \
  -r LIVE_PATCHING_REGISTRATION_CODE

Nu lipiți un cod de înregistrare real în tichete partajate, transcrieri shell sau jurnalele publice. Dacă înregistrarea eșuează, verificați codul, starea abonamentului, calea produsului, accesul la rețea și dacă mașina este deja înregistrată la organizația Centrul pentru clienți SUSE așteptată.

3. Instalați modelul necesar

Instalați modelul și dependențele software-ului Live Patching:

sudo zypper install -t pattern lp_sles

Verificați modificările propuse de Zypper înainte de a confirma. Modelul instalează componentele KLP de bază și patch-ul inițial live. Când managerul de pachete găsește un patch live pentru kernelul care rulează într-un repository activat, kernelul care rulează poate fi corectat în timpul instalării pachetului. Disponibilitatea unei corecții depinde de revizia exactă a kernelului și de conținutul repository-ului.

Aplicați actualizările și verificați rezultatul

După activare, instalați pachetele de patch-uri live prin procesul obișnuit de actualizare SLES. Mai întâi actualizați metadatele depozitului și examinați patch-urile disponibile. Apoi aplicați actualizările conform controalelor normale de modificare ale organizației dvs., de exemplu:

sudo zypper refresh
sudo zypper patch

Citiți cu atenție tranzacția propusă. Pachetele de patch-uri live pentru kernelul care rulează pot fi instalate fără repornire, dar o actualizare obișnuită a pachetului de kernel poate solicita în continuare o repornire. Nu suprimați această solicitare și nu blocați actualizările kernelului ca o soluție permanentă. Dacă este instalat un kernel de bază mai nou, planificați o repornire controlată pentru a începe rularea acestuia și a finaliza ciclul de întreținere a kernelului.

Verificați patch-ul live independent de șirul de lansare a kernelului:

uname -r
sudo klp status
sudo klp -v patches
zypper se --details 'kernel-livepatch-*'

Se utilizează klp statuspentru starea operațională și klp -v patchespentru detalii despre patch-uri, inclusiv corecțiile abordate de patch-ul activ. SUSE notează că acest lucru uname -rnu se modifică pentru un kernel cu patch-uri. Prezența pachetului instalat nu este o dovadă suficientă că patch-ul așteptat este încărcat; verificați ieșirea de stare KLP.

Limite operaționale și decizii de repornire

• Acoperirea este selectivă. Domeniul de aplicare declarat al SUSE include vulnerabilități SUSE CVSS de nivel 7 și superior, precum și remedieri de stabilitate sau de corupere a datelor, însă constrângerile tehnice înseamnă că nu fiecare problemă eligibilă primește un patch activ.
• Patch-urile sunt specifice kernelului și cumulative. Un pachet de patch-uri live vizează o revizie exactă a kernelului. Cel mai nou pachet pentru un kernel nu aplică automat patch-uri pentru o altă revizie a kernelului.
• Actualizările de bază ale kernelului sunt în continuare importante. Patch-urile live sunt protecție temporară pentru anumite corecții. Actualizările regulate ale kernelului pot necesita o repornire și pot aduce alte modificări.
• Asistența are o fereastră de expirare. Ghidul SLES 15 SP7 precizează că patch-urile live primesc actualizări timp de 13 luni de la lansarea pachetului kernel subiacent. Verificați datele curente cu datele ciclului de viață și cu patch-ul live curent al SUSE și tabelul kernel întreținut .
• Nu toate arhitecturile sau produsele au aceleași comenzi. Ghidul SLES 15 SP7 KLP identifică AMD64/Intel 64, POWER și IBM Z. Confirmați ghidul specific produsului și dreptul la abonament înainte de lansare.

Listă de verificare pentru depanare

Dacă un patch live nou instalat pare să cauzeze o problemă, întrerupeți implementarea ulterioară și inspectați jurnalele kernelului și starea serviciilor. SUSE documentează o cale manuală de downgrade pentru sistemele adecvate, dar avertizează că gazdele care afișează deja avertismente pentru kernel sau urme de eroare pot să nu fie candidați potriviți. Utilizați versiunea pachetului de patch-uri corespunzătoare și contactați asistența SUSE atunci când starea sistemului este incertă; evitați improvizația unui downgrade pe un kernel de producție.

Listă de verificare pentru lansare

1. Validați pachetul de service SLES, arhitectura, abonamentele și canalele de repozitoriu.
2. Înregistrați starea kernelului care rulează și starea gazdei de referință.
3. Înregistrați extensia SLE Live Patching și instalați-o lp_sles.
4. Aplicați actualizările prin fluxul de lucru normal al pachetului și revizuiți fiecare tranzacție.
5. Confirmați patch-ul încărcat cu klp statusși klp -v patches.
6. Urmăriți datele ciclului de viață al patch-urilor și programați reporniri regulate ale kernelului de bază.

Pentru administrarea flotei, utilizați fluxul de lucru testat de gestionare SUSE al organizației dvs. și confirmați că canalele expun pachetele de patch-uri live corespunzătoare. Documentația oficială de configurare a canalelor SUSE Multi-Linux Manager descrie pregătirea canalelor pentru SLES 15 SP7.