Skonfiguruj automatyczne aktualizacje za pomocą yum

Regularna aktualizacja systemu CentOS jest jednym z najważniejszych aspektów ogólnego bezpieczeństwa systemu. Jeśli nie zaktualizujesz pakietów systemu operacyjnego najnowszymi poprawkami bezpieczeństwa, narażasz swój komputer na ataki.

W tym samouczku omówimy proces konfigurowania automatycznych aktualizacji w CentOS 7. Te same instrukcje dotyczą CentOS 6.

Wymagania wstępne

Przed kontynuowaniem tego samouczka upewnij się, że jesteś zalogowany jako użytkownik z uprawnieniami sudo.

Instalowanie pakietu yum-cron

Pakiet yum-cron umożliwia automatyczne uruchomienie polecenia yum jako zadania cron w celu sprawdzenia, pobrania i zastosowania aktualizacji. Możliwe, że ten pakiet jest już zainstalowany w systemie CentOS. Jeśli nie jest zainstalowany, możesz zainstalować pakiet, uruchamiając następujące polecenie:

sudo yum install yum-cron

Po zakończeniu instalacji włącz i uruchom usługę:

sudo systemctl enable yum-cron sudo systemctl start yum-cron

Aby sprawdzić, czy usługa jest uruchomiona, wpisz następujące polecenie:

systemctl status yum-cron

Informacje o stanie usługi yum-cron zostaną wyświetlone na ekranie:

● yum-cron.service - Run automatic yum updates as a cron job Loaded: loaded (/usr/lib/systemd/system/yum-cron.service; enabled; vendor preset: disabled) Active: active (exited) since Sat 2019-05-04 21:49:45 UTC; 8min ago Process: 2713 ExecStart=/bin/touch /var/lock/subsys/yum-cron (code=exited, status=0/SUCCESS) Main PID: 2713 (code=exited, status=0/SUCCESS) CGroup: /system.slice/yum-cron.service

Konfigurowanie yum-cron

yum-cron zawiera dwa pliki konfiguracyjne, które są przechowywane w katalogu /etc/yum , godzinowy plik konfiguracyjny yum-cron.conf i dzienny plik konfiguracyjny yum-cron-hourly.conf .

Usługa yum-cron kontroluje tylko, czy zadania cron będą uruchamiane. Narzędzie yum-cron jest wywoływane przez pliki /etc/cron.hourly/0yum-hourly.cron i /etc/cron.daily/0yum-daily.cron .

Domyślnie cron godzinowy jest skonfigurowany tak, aby nic nie robić. Jeśli są dostępne aktualizacje, dzienny cron jest ustawiony na pobieranie, ale nie instaluje dostępnych aktualizacji i nie wysyła wiadomości na standardowe wyjście. Domyślna konfiguracja jest wystarczająca dla krytycznych systemów produkcyjnych, w których chcesz otrzymywać powiadomienia i przeprowadzać aktualizację ręcznie po przetestowaniu aktualizacji na serwerach testowych.

Plik konfiguracyjny jest podzielony na sekcje, a każda sekcja zawiera komentarze opisujące działanie każdej linii konfiguracyjnej.

Aby edytować plik konfiguracyjny yum-cron, otwórz go w edytorze tekstu:

sudo nano /etc/yum/yum-cron-hourly.conf

W pierwszej części możesz zdefiniować typy pakietów, które chcesz aktualizować, włączyć wiadomości i pliki do pobrania oraz ustawić automatyczne stosowanie aktualizacji, gdy będą one dostępne. Domyślnie update_cmd jest ustawiony na default, który aktualizuje wszystkie pakiety. Jeśli chcesz ustawić automatyczne aktualizacje nienadzorowane, zaleca się zmianę wartości na security która powie yum o aktualizacji pakietów, które naprawią tylko problem bezpieczeństwa.

W poniższym przykładzie zmieniliśmy update_cmd na security i apply_updates aktualizacje nienadzorowane, ustawiając apply_updates na yes :

/etc/yum/yum-cron-hourly.conf

update_cmd = security update_messages = yes download_updates = yes apply_updates = no random_sleep = 360

Druga sekcja określa sposób wysyłania wiadomości. Aby wysyłać wiadomości zarówno do standardowego, jak i e-mail, zmień wartość emit_via na standardowe stdio, email .

/etc/yum/yum-cron-hourly.conf

system_name = None emit_via = stdio, email output_width = 80

w w sekcji możesz ustawić adres e-mail nadawcy i odbiorcy. Upewnij się, że masz narzędzie, które może wysyłać wiadomości e-mail zainstalowane w systemie, takie jak mailx lub postfix.

/etc/yum/yum-cron-hourly.conf

email_from = [email protected] email_to = [email protected] email_host = localhost

The sekcja pozwala zastąpić ustawienia zdefiniowane w pliku yum.conf . Jeśli chcesz wykluczyć określone pakiety z aktualizacji, możesz użyć parametru exclude . W poniższym przykładzie wykluczamy pakiet.

/etc/yum/yum-cron-hourly.conf

debuglevel = -2 mdpolicy = group:main exclude = mongodb*

Nie trzeba ponownie yum-cron usługi yum-cron , aby zmiany odniosły skutek.

Przeglądanie dzienników

Użyj grep, aby sprawdzić, czy zadania cron powiązane z yum są wykonywane:

sudo grep yum /var/log/cron

May 4 22:01:01 localhost run-parts(/etc/cron.hourly): starting 0yum-hourly.cron May 4 22:32:01 localhost run-parts(/etc/cron.daily): starting 0yum-daily.cron May 4 23:01:01 localhost run-parts(/etc/cron.hourly): starting 0yum-hourly.cron May 4 23:01:01 localhost run-parts(/etc/cron.hourly): finished 0yum-hourly.cron

Historia aktualizacji yum jest zapisywana w pliku /var/log/yum . Możesz przeglądać najnowsze aktualizacje za pomocą polecenia tail:

sudo tail -f /var/log/yum.log

May 04 23:47:28 Updated: libgomp-4.8.5-36.el7_6.2.x86_64 May 04 23:47:31 Updated: bpftool-3.10.0-957.12.1.el7.x86_64 May 04 23:47:31 Updated: htop-2.2.0-3.el7.x86_64

Wniosek

W tym samouczku nauczyłeś się konfigurować automatyczne aktualizacje i aktualizować system CentOS.

centos mniam bezpieczeństwo