SLES 線上修補程式配置指南：無需重新啟動即可套用核心更新

SLES即時修補功能的作用

SUSE Linux Enterprise Server (SLES) 核心即時修補程式 (KLP) 無需重新啟動系統即可將受支援的核心修復應用到正在執行的系統。在 SLES 15 SP7 中，SUSE 以核心即時補丁包的形式提供這些修復程序，每個補丁包都與特定的核心版本相符。uname -r因此，即時補丁成功套用後，輸出結果保持不變；請使用 KLP 工具確認補丁狀態。

線上補丁可以減少立即進行維護重啟的需要，但並不能完全消除內核重啟計劃。線上修補程式涵蓋部分關鍵修復；它們不能取代常規核心更新、服務包維護或需要重新啟動的修復。 SUSE 可能無法為每個符合條件的修復建立線上修補程式。請預留已排程的重新啟動路徑，以便安裝更新的基礎核心並套用無法就地修補的修復程式。

本指南遵循 SUSE核心即時修補管理指南（KLP）中發布的 SLES 15 SP7 流程。在將指令套用到生產主機之前，請務必查閱文檔，以確認您的特定服務包和架構。

快速參考

啟用 KLP 之前

• 確認主機運行的是受支援的 SLES 15 服務包和架構。以下 SP7 步驟使用 x86_64 擴充範例；請在您自己的主機上讀取擴充輸出，而不是複製其他產品或架構的路徑。
• 確保 SLES 訂閱和單獨的 SLE Live Patching 授權均已激活，並從 SUSE 客戶中心獲取 Live Patching 註冊碼。
• 確認主機可以存取其配置的 SUSE 軟體倉庫或組織鏡像的更新服務。對於託管集群，請驗證軟體倉庫通道是否包含匹配的即時修補內容。
• 記錄uname -r近期系統運作狀況和目前維護計畫。盡可能在具有代表性的非生產伺服器上測試該流程。
• 保持正常的核心更新和重啟流程。即時修補可以降低某些修復的緊迫性；但它並不能使正在運行的核心無限期地保持最新狀態。

啟用 SLES 15 SP7 核心即時修補

1. 檢查可用的擴充命令

執行擴充功能列表，找到已安裝產品的確切 SLE Live Patching 條目：

sudo SUSEConnect --list-extensions

對於 x86_64 架構的 SLES 15 SP7，SUSE 文件中提供了類似的啟動路徑sle-module-live-patching/15.7/x86_64。主機上的輸出結果具有權威性：請在繼續操作前確認版本和架構是否符合。

2. 註冊實時補丁擴展

使用所示的啟動指令SUSEConnect --list-extensions，並替換為您的有效註冊碼。例如，適用於 SLES 15 SP7 x86_64：

sudo SUSEConnect -p sle-module-live-patching/15.7/x86_64 \
  -r LIVE_PATCHING_REGISTRATION_CODE

請勿將真實的註冊碼貼到共享工單、shell 日誌或公用日誌中。如果註冊失敗，請檢查註冊碼、訂閱狀態、產品路徑、網路存取權限，以及電腦是否已註冊至預期的 SUSE 客戶中心組織。

3. 安裝所需的圖案

安裝即時修補軟體模式及其相依性：

sudo zypper install -t pattern lp_sles

確認前請先查看 Zypper 提出的變更。此模式會安裝基礎 KLP 元件和初始即時修補程式。當軟體套件管理器在已啟用的軟體倉庫中找到適用於目前運行核心的即時修補程式時，即可在軟體包安裝過程中修補目前運行核心。是否有可用的修復程序取決於特定的核心版本和軟體倉庫內容。

應用更新並驗證結果

啟動後，透過常規的 SLES 更新流程安裝即時補丁包。首先刷新儲存庫元資料並查看可用修補程式。然後根據貴組織的常規變更控制流程套用更新，例如：

sudo zypper refresh
sudo zypper patch

請仔細閱讀擬議的交易。運行核心的即時補丁包無需重新啟動即可安裝，但常規核心包更新仍可能提示重新啟動。請勿忽略此提示或將內核更新鎖定作為永久性解決方法。如果安裝了較新的基礎內核，請規劃一次受控重啟以啟動運行並完成內核維護週期。

驗證即時補丁是否有效，與核心發布字串無關：

uname -r
sudo klp status
sudo klp -v patches
zypper se --details 'kernel-livepatch-*'

用於klp status查看運行狀態和klp -v patches補丁詳情，包括當前補丁所修復的問題。 SUSE 指出，uname -r即使核心已打補丁，此資訊也不會改變。僅憑已安裝的軟體包的存在並不足以證明預期的修補程式已載入；請檢查 KLP 狀態輸出。

運行限制和重啟決策

• 修復範圍並非一成不變。 SUSE官方宣稱的修復範圍包括 SUSE CVSS 7 級及以上漏洞以及穩定性或資料損壞修復，但由於技術限制，並非所有符合條件的問題都能獲得正式補丁。
• 補丁是針對特定核心版本且可累積的。即時補丁包針對的是特定的核心版本。一個核心的最新補丁包不會自動修補其他核心版本。
• 核心基礎更新仍然至關重要。即時補丁是對特定問題的臨時保護。常規核心更新可能需要重啟，並帶來其他變更。
• 支持是有期限的。 SLES 15 SP7 指南指出，即時修補程式自底層核心軟體包發布之日起可獲得 13 個月的更新。請參考生命週期資料和 SUSE目前的即時修補程式及維護核心表來確認目前日期。
• 並非所有架構或產品都使用相同的命令。 SLES 15 SP7 KLP 指南列出了 AMD64/Intel 64、POWER 和 IBM Z 架構。部署前，請確認您的產品特定指南和訂閱權限。

故障排除清單

如果新安裝的即時修補程式出現問題，請暫停後續部署，並檢查核心日誌和服務運行狀況。 SUSE 文件中提供了適用於合適系統的手動降級路徑，但警告稱，已經出現核心警告或錯誤追蹤的主機可能不適合進行降級。請使用相符的補丁包版本，並在系統狀態不確定時聯絡 SUSE 支援；切勿在生產核心上進行臨時降級操作。

推廣清單

1. 驗證 SLES 服務包、架構、訂閱和儲存庫通道。
2. 記錄運行中的核心狀態和主機基線健康狀況。
3. 註冊並安裝 SLE Live Patching 擴充功能lp_sles。
4. 透過正常的軟體包工作流程套用更新，並檢查每一筆交易。
5. klp status使用和確認已載入的補丁klp -v patches。
6. 追蹤補丁生命週期日期並安排定期基礎內核重新啟動。

對於叢集管理，請使用貴組織經過驗證的 SUSE 管理工作流程，並確認通道已公開匹配的即時修補程式包。官方的SUSE Multi-Linux Manager 通道設定文件介紹了 SLES 15 SP7 的通道準備工作。