Руководство по настройке оперативного обновления SLES: применение обновлений ядра без перезагрузки.

Что делает функция автоматического обновления SLES в реальном времени?

Функция SUSE Linux Enterprise Server (SLES) Kernel Live Patching (KLP) применяет поддерживаемые исправления ядра к работающей системе без ее перезагрузки. В SLES 15 SP7 SUSE предоставляет эти исправления в виде пакетов исправлений ядра, соответствующих определенной версии ядра. uname -rПоэтому результат остается неизменным после успешного применения исправлений; используйте инструменты KLP для подтверждения статуса исправления.

Внедрение патчей в режиме реального времени снижает необходимость в немедленных перезагрузках для обслуживания, но не исключает необходимости планирования перезагрузки ядра. Патчи в режиме реального времени охватывают отдельные критически важные исправления; они не заменяют регулярные обновления ядра, обслуживание пакетами исправлений или исправления, требующие перезагрузки. SUSE может не иметь возможности создать патч в режиме реального времени для каждого подходящего исправления. Рекомендуется запланировать перезагрузку для установки более нового базового ядра и применения исправлений, которые невозможно установить без патчей.

Данное руководство соответствует процедуре SLES 15 SP7, описанной в руководстве SUSE по администрированию Kernel Live Patching with KLP . Перед применением команд к рабочему хосту проверьте документацию для вашего конкретного пакета обновлений и архитектуры.

Краткий справочник

Перед включением KLP

• Убедитесь, что на хосте установлена ​​поддерживаемая версия пакета обновлений SLES 15 и архитектура. В описанной ниже процедуре для SP7 используется пример расширения x86_64; прочитайте вывод расширения на своем хосте, а не копируйте путь к другому продукту или архитектуре.
• Убедитесь, что и подписка на SLES, и отдельная лицензия на SLE Live Patching активны, и получите регистрационный код Live Patching в Центре поддержки клиентов SUSE.
• Убедитесь, что хост может получить доступ к настроенным репозиториям SUSE или к зеркальной службе обновлений вашей организации. Для управляемых парков устройств проверьте, что каналы репозиториев содержат соответствующее содержимое актуальных патчей.
• Запишите uname -rтекущее состояние системы и план технического обслуживания. По возможности протестируйте процедуру на тестовом сервере, не входящем в производственную среду.
• Сохраняйте стандартный процесс обновления ядра и перезагрузки. Использование «живых патчей» снижает срочность некоторых исправлений; это не гарантирует, что работающее ядро ​​будет актуальным постоянно.

Включить функцию автоматического обновления ядра SLES 15 SP7

1. Проверьте доступные команды расширения.

Запустите список расширений и найдите точную запись SLE Live Patching для установленного продукта:

sudo SUSEConnect --list-extensions

Для SLES 15 SP7 на x86_64 SUSE описывает путь активации, подобный этому sle-module-live-patching/15.7/x86_64. Вывод на вашем хосте является достоверным: перед продолжением убедитесь, что версия и архитектура совпадают.

2. Зарегистрируйте расширение Live Patching.

Используйте команду активации, показанную на рисунке SUSEConnect --list-extensions, заменив её своим действительным регистрационным кодом. Пример для SLES 15 SP7 x86_64:

sudo SUSEConnect -p sle-module-live-patching/15.7/x86_64 \
  -r LIVE_PATCHING_REGISTRATION_CODE

Не вставляйте настоящий регистрационный код в общие заявки, записи командной строки или общедоступные журналы. Если регистрация не удалась, проверьте код, статус подписки, путь к продукту, доступ к сети и то, зарегистрирована ли машина уже в ожидаемой организации SUSE Customer Center.

3. Установите необходимый шаблон.

Установите программное обеспечение Live Patching и его зависимости:

sudo zypper install -t pattern lp_sles

Перед подтверждением ознакомьтесь с предложенными Zypper изменениями. Предложенный шаблон устанавливает базовые компоненты KLP и начальный патч. Когда менеджер пакетов обнаружит патч для работающего ядра в доступном репозитории, работающее ядро ​​может быть пропатчено во время установки пакета. Наличие исправления зависит от конкретной версии ядра и содержимого репозитория.

Примените обновления и проверьте результат.

После активации установите пакеты обновлений в режиме реального времени, используя стандартный процесс обновления SLES. Сначала обновите метаданные репозитория и просмотрите доступные исправления. Затем примените обновления в соответствии со стандартными процедурами управления изменениями вашей организации, например:

sudo zypper refresh
sudo zypper patch

Внимательно ознакомьтесь с предлагаемой транзакцией. Пакеты обновлений для работающего ядра можно установить без перезагрузки, но обычное обновление пакетов ядра все равно может потребовать перезагрузки. Не подавляйте это сообщение и не блокируйте обновления ядра в качестве постоянного обходного пути. Если установлено более новое базовое ядро, запланируйте контролируемую перезагрузку, чтобы запустить его и завершить цикл обслуживания ядра.

Проверьте работоспособность патча независимо от строки выпуска ядра:

uname -r
sudo klp status
sudo klp -v patches
zypper se --details 'kernel-livepatch-*'

Используйте это klp statusдля отображения рабочего состояния и klp -v patchesподробной информации о патче, включая исправления, внесенные активным патчем. SUSE отмечает, что это uname -rне меняется для пропатченного ядра. Наличие установленного пакета само по себе недостаточно для подтверждения загрузки ожидаемого патча; проверьте вывод состояния KLP.

Эксплуатационные ограничения и решения о перезагрузке

• Охват носит выборочный характер. Заявленная SUSE область охвата включает уязвимости уровня 7 и выше по стандарту CVSS, а также исправления, повышающие стабильность или устраняющие повреждение данных, однако технические ограничения означают, что не каждая соответствующая проблема получит оперативное обновление.
• Патчи являются специфичными для ядра и кумулятивными. Пакет патчей, устанавливаемый в режиме реального времени, нацелен на конкретную ревизию ядра. Новейший пакет для одного ядра не будет автоматически устанавливать патчи для другой ревизии ядра.
• Базовые обновления ядра по-прежнему важны. «Живые» патчи — это временная защита для отдельных исправлений. Регулярные обновления ядра могут потребовать перезагрузки и внести другие изменения.
• Поддержка имеет ограниченный срок действия. В руководстве по SLES 15 SP7 указано, что обновления для активных патчей выпускаются в течение 13 месяцев с момента выпуска соответствующего пакета ядра. Проверьте текущие даты, используя данные о жизненном цикле и таблицу текущих активных патчей и поддерживаемого ядра SUSE .
• Не все архитектуры или продукты используют одни и те же команды. В руководстве SLES 15 SP7 KLP указаны AMD64/Intel 64, POWER и IBM Z. Перед началом развертывания проверьте руководство для вашего продукта и права на подписку.

Контрольный список для устранения неполадок

Если недавно установленное обновление вызывает проблемы, приостановите дальнейшее развертывание и проверьте журналы ядра и состояние служб. SUSE описывает способ ручного понижения версии для подходящих систем, но предупреждает, что хосты, уже демонстрирующие предупреждения ядра или трассировки ошибок, могут не подходить для этой процедуры. Используйте соответствующую версию пакета обновлений и свяжитесь со службой поддержки SUSE, если состояние системы неясно; избегайте импровизированного понижения версии на работающем ядре.

Контрольный список внедрения

1. Проверьте пакет обновлений SLES, архитектуру, подписки и каналы репозитория.
2. Запишите состояние работающего ядра и базовые показатели работоспособности хоста.
3. Зарегистрируйте расширение SLE Live Patching и установите его lp_sles.
4. Вносите обновления в соответствии со стандартным рабочим процессом пакета и проверяйте каждую транзакцию.
5. Подтвердите загрузку патча с помощью команд `<p>` klp statusи ` klp -v patches<p>`.
6. Отслеживайте даты жизненного цикла обновлений и планируйте регулярные перезагрузки базового ядра.

Для администрирования парка устройств используйте проверенный в вашей организации рабочий процесс управления SUSE и убедитесь, что каналы предоставляют доступ к соответствующим пакетам обновлений. Официальная документация по настройке каналов SUSE Multi-Linux Manager описывает подготовку каналов для SLES 15 SP7.