CloudOps Orchestration Service:パッチマネージャーの仕組み

Linux

パッチマネージャーは複数の Linux ディストリビューションをサポートしています。各ディストリビューションは、パッチのスキャンとインストールに異なるパッケージマネージャーを使用します。

YUM および DNF のパッチベースライン

CentOS、Alibaba Cloud Linux、Red Hat Enterprise Linux、Anolis OS は、YUM または DNF を使用してパッケージを管理します。両方とも、ソフトウェアリポジトリ内の updateinfo.xml ファイルに保存された更新通知をサポートしています。各更新通知には、特定の問題を修正するパッケージのセットが含まれています。これらのパッケージはセキュリティパッケージとして扱われます。パッチベースラインの作成時に [Include Non-security Updates] を選択しない場合、更新通知にリストされているパッケージのみが対象となります。

updateinfo.xml のフィールド：

パッチマネージャーは、パッチベースラインルールに基づいて updateinfo.xml の更新通知をフィルタリングします。たとえば、CentOS パブリックベースラインでは次のように指定されています：

'PatchFilterGroup': [
    {
        'Values': [
            '*'
        ],
        'Key': 'Product'
    },
    {
        'Values': [
            'Security',
            'Bugfix'
        ],
        'Key':'Classification'
    },
    {
        'Values': [
            'Critical',
            'Important'
        ],
        'Key': 'Severity'
    }
]

このルールは、重要度が 緊急 または 重要 の、Security または バグ修正 の更新に一致します。同等の yum コマンド：

yum check-update --security --bugfix --secseverity=Critical,Important

同等の dnf コマンド：

dnf  check-update --security --bugfix --secseverity=Critical
dnf  check-update --security --bugfix --secseverity=Important

カスタムベースラインルールでパッチタイプまたは重要度レベルが指定されていない場合、同等のコマンドは次のとおりです：

yum check-update --security
dnf check-update --security

フィルタリング後、パッチマネージャーは yum update または dnf update コマンドを実行してパッチをインストールし、インスタンスを再起動します。[Allow Restart] が [No] に設定されている場合、インスタンスは再起動されません。

注記：Alibaba Cloud Linux 2 でカーネルライブパッチが有効になっており、カーネルライブパッチのみがインストールされている場合、パッチマネージャーは再起動をスキップします。カーネルライブパッチの概要をご参照ください。

APT のパッチベースライン

Debian および Ubuntu では、パッチベースラインは DEB パッケージの Priority および Section フィールドに基づいてパッチを選択します。

パッチマネージャーは次のようにパッチをスキャンしてインストールします：

1. apt update を実行してパッケージリストを更新します。

2. アップグレード可能なパッケージをパッチベースラインと照合します。[Include Non-security Updates] が選択されていない場合、セキュリティリポジトリ内のパッケージのみが対象となります。OS 別のセキュリティリポジトリ名：

Debian Server 8: debian-security jessie
Debian Server 9: debian-security stretch
Debian Server 10: debian-security buster
Debian Server 11: debian-security bullseye
Debian Server 12: debian-security bookworm
Ubuntu Server 16.04 LTS: xenial-security
Ubuntu Server 18.04 LTS: bionic-security
Ubuntu Server 20.04 LTS: focal-security
Ubuntu Server 22.04 LTS: jammy-security
Ubuntu Server 24.04 LTS: noble-security

Debian/Ubuntu のパブリックベースラインは、優先度が Required または Important のパッケージに一致します：

'PatchFilterGroup': [
    {
        'Values': [
            '*'
        ],
        'Key': 'Product'
    },
    {
        'Values': [
            'Required',
            'Important'
        ],
        'Key': 'Severity'
}

このルールは次と同等です：

1. apt list --upgradable を実行して、アップグレード可能なすべてのパッケージをリストします。

2. apt list -a package-name を実行して、すべてのバージョンを最新から最も古い順にリストします。

3. apt show package-name=={Version} を実行して、優先度を確認し、ベースラインルールを満たしているかどうかを確認します。

4. 一致するバージョンがセキュリティリポジトリにあることを確認します。

パッチマネージャーは APT を使用して一致したパッチをインストールし、インスタンスを再起動します。[Allow Restart] が [No] に設定されている場合、インスタンスは再起動されません。

Zypper のパッチベースライン

SLES および openSUSE では、Zypper がシステムパッチを管理します。zypper list-patches を実行して、適用可能なパッチを一覧表示します。パッチ属性：

Zypper パッチベースラインは、カテゴリおよび重要度によってフィルタリングします。例：

"PatchFilterGroup": [
    {
        "Values": [
            "*"
        ],
        "Key": "Product"
    },
    {
        "Values": [
            "security",
            "recommended"
        ],
        "Key": "Classification"
    },
    {
        "Values": [
            "Critical",
            "Important",
            "Moderate"
        ],
        "Key": "Severity"
    }
],

このルールは、重要度が 緊急、重要、または 中 の、security および recommended パッチに一致します。

Windows

注記：パッチマネージャーは、Windows Server 2012 R2、Server 2016、Server 2019、Server 2022、Server 2025 のみをサポートしています。