Je suis en train d'essayer de garder plusieurs boîtes Ubuntu à jour et corrigées (10.4.2 LTS), une suggestion que j'ai reçue est de configurer des mises à niveau sans surveillance ( https://help.ubuntu.com/community/ Mises à jour de sécurité automatiques ).

Dans le passé, j'étais contre la configuration des mises à jour automatiques, principalement à cause de la paranoïa selon laquelle cela casserait quelque chose pendant le processus de mise à jour. Cependant, maintenant, je commence à me demander dans quelle mesure cela est valide (et quel est le risque que cela représente par rapport au fait d'avoir des serveurs potentiellement non corrigés). Est-ce une idée sensée ?

Nous sommes également en train de mettre en place Puppet, cependant la création de modules/migration de serveurs vers Puppet semble loin.

answer

J'ai eu des mises à jour de packages Ubuntu qui ont fait de sérieux ravages dans un passé récent, donc ma recommandation serait de déployer manuellement les packages à ce stade (après quelques tests ou au moins un instantané de VM) avec quelque chose comme apticron pour vous envoyer un e-mail à propos de correctifs en attente.

Cela dit, un outil central de gestion des mises à jour serait bien meilleur. Malheureusement, il ne semble pas y avoir eu beaucoup de progrès .

Je pense que cela dépend de votre situation - vous devez peser les risques.

Combien de dégâts pourraient être causés par une mise à jour qui tourne mal ? S'agit-il d'un serveur de production traitant les commandes en temps réel ? Une heure d'arrêt vous coûterait-elle beaucoup d'argent ?

Si vous n'exécutez pas de mises à jour automatiques, vous êtes plus exposé aux pirates et aux exploits zero-day. Combien de dégâts un hacker peut-il faire ? Votre serveur héberge-t-il beaucoup d'informations très sensibles qui, si elles sont volées, pourraient vous coûter bien plus que quelques heures d'arrêt ?

Personnellement, je me trompe du côté de la sécurité et j'exécute des mises à niveau sans surveillance. Mais pour minimiser le risque d'échec d'une mise à jour, je ne fais que des mises à jour de sécurité et je fais les mises à jour restantes manuellement.

Je pense que si une mise à jour va échouer, il est peu probable que je le remarque jusqu'à ce que la machine ait été redémarrée, auquel cas que la mise à jour ait été installée manuellement ou automatiquement ne fait aucune différence.