CloudOps Orchestration Service:Como o Patch Manager funciona

Linux

O Patch Manager é compatível com diversas distribuições Linux. Cada uma utiliza um gerenciador de pacotes diferente para verificar e instalar patches.

Linhas de base de patches no yum e DNF

CentOS, Alibaba Cloud Linux, Red Hat Enterprise Linux e Anolis OS utilizam yum ou DNF para gerenciar pacotes. Ambos suportam notificações de atualização armazenadas em um arquivo updateinfo.xml no repositório de software. Cada notificação contém um conjunto de pacotes que corrigem problemas específicos, classificados como pacotes de segurança. Caso você não selecione Include Non-security Updates ao criar uma linha de base de patches, apenas os pacotes listados nas notificações de atualização serão elegíveis.

Campos no arquivo updateinfo.xml:

O Patch Manager filtra as notificações de atualização no arquivo updateinfo.xml com base nas regras da linha de base de patches. Por exemplo, a linha de base pública do CentOS especifica:

'PatchFilterGroup': [
    {
        'Values': [
            '*'
        ],
        'Key': 'Product'
    },
    {
        'Values': [
            'Security',
            'Bugfix'
        ],
        'Key':'Classification'
    },
    {
        'Values': [
            'Critical',
            'Important'
        ],
        'Key': 'Severity'
    }
]

Essa regra corresponde a atualizações do tipo Security ou Bugfix com severidade Critical ou Important. Comando yum equivalente:

yum check-update --security --bugfix --secseverity=Critical,Important

Comandos dnf equivalentes:

dnf  check-update --security --bugfix --secseverity=Critical
dnf  check-update --security --bugfix --secseverity=Important

Caso uma regra de linha de base personalizada não especifique tipos de patch ou níveis de severidade, os comandos equivalentes são:

yum check-update --security
dnf check-update --security

Após a filtragem, o Patch Manager executa o comando yum(update API) ou dnf update para instalar os patches e reinicia a instância. Se Allow Restart estiver definido como No, a instância não será reiniciada.

Observação: Se o kernel live patching estiver ativado no Alibaba Cloud Linux 2 e apenas patches dinâmicos de kernel forem instalados, o Patch Manager ignora a reinicialização. Visão geral do Kernel Live Patching.

Linhas de base de patches no APT

No Debian e Ubuntu, as linhas de base de patches selecionam atualizações com base nos campos Priority e Section dos pacotes DEB.

O Patch Manager verifica e instala patches da seguinte forma:

1. Execute apt update para atualizar a lista de pacotes.

2. Compare os pacotes atualizáveis com a linha de base de patches. Se Include Non-security Updates não estiver selecionado, apenas pacotes do repositório de segurança serão elegíveis. Nomes dos repositórios de segurança por sistema operacional:

   Debian Server 8: debian-security jessie
   Debian Server 9: debian-security stretch
   Debian Server 10: debian-security buster
   Debian Server 11: debian-security bullseye
   Debian Server 12: debian-security bookworm
   Ubuntu Server 16.04 LTS: xenial-security
   Ubuntu Server 18.04 LTS: bionic-security
   Ubuntu Server 20.04 LTS: focal-security
   Ubuntu Server 22.04 LTS: jammy-security

A linha de base pública do Debian/Ubuntu corresponde a pacotes com prioridade Required ou Important:

'PatchFilterGroup': [
    {
        'Values': [
            '*'
        ],
        'Key': 'Product'
    },
    {
        'Values': [
            'Required',
            'Important'
        ],
        'Key': 'Severity'
}

Essa regra equivale a:

1. Execute apt list --upgradable para listar todos os pacotes atualizáveis.

2. Execute apt list -a package-name para listar todas as versões, ordenadas da mais recente para a mais antiga.

3. Execute apt show package-name=={Version} para verificar a prioridade e se ela atende à regra da linha de base.

4. Verifique se a versão correspondente está no repositório de segurança.

O Patch Manager executa o comando apt update API para instalar os patches correspondentes e reinicia a instância. Se Allow Restart estiver definido como No, a instância não será reiniciada.

Linhas de base de patches no Zypper

No SLES e openSUSE, o Zypper gerencia os patches do sistema. Execute zypper list-patches para listar os patches aplicáveis. Atributos do patch:

As linhas de base de patches do Zypper filtram por Categoria e Severidade. Exemplo:

"PatchFilterGroup": [
    {
        "Values": [
            "*"
        ],
        "Key": "Product"
    },
    {
        "Values": [
            "security",
            "recommended"
        ],
        "Key": "Classification"
    },
    {
        "Values": [
            "Critical",
            "Important",
            "Moderate"
        ],
        "Key": "Severity"
    }
],

Esta regra corresponde a patches de segurança e recomendados com severidade Critical, Important ou Moderate.

Windows

Observação: O Patch Manager suporta apenas Windows Server 2012 R2, Server 2016, Server 2019, Server 2022 e Server 2025.