unattended-upgrades: обновления безопасности без участия человека

unattended-upgrades ставит обновления без человека. Запускают его таймеры apt:

student@ubuntu:~$ systemctl cat apt-daily-upgrade.timer \
> | grep -E 'OnCalendar|Randomized|Persistent'
OnCalendar=*-*-* 6:00
RandomizedDelaySec=60m
Persistent=true

Persistent=true — если машина была выключена в 6:00, запуск пройдёт после загрузки. Служба unattended-upgrades.service («Unattended Upgrades Shutdown») обновления не ставит: она ждёт выключения машины, чтобы не оборвать начатую установку.

Шаги 1 и 2 включает файл 20auto-upgrades, число — интервал в днях:

student@ubuntu:~$ cat /etc/apt/apt.conf.d/20auto-upgrades
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

На учебной машине (unattended-upgrades 2.9.1) 20auto-upgrades включает оба шага, но таймеры и служба выключены (disabled), а сети нет. В старых списках пакетов полторы сотни обновлений, больше сотни из них — из noble-security, и пробный запуск падает на скачивании:

student@ubuntu:~$ sudo unattended-upgrade --dry-run -v
Could not figure out development release: Distribution data outdated.
  Please check for an update for distro-info-data. See
  /usr/share/doc/distro-info-data/README.Debian for details.
Starting unattended upgrades script
Allowed origins are: o=Ubuntu,a=noble, o=Ubuntu,a=noble-security,
  o=UbuntuESMApps,a=noble-apps-security,
  o=UbuntuESM,a=noble-infra-security
Initial blacklist:
Initial whitelist (not strict):
The URI http://security.ubuntu.com/ubuntu/pool/main/u/util-linux/
  bsdutils_2.39.3-9ubuntu6.6_amd64.deb failed to download, aborting

Первая строка — про версию в разработке, к серверу на LTS она отношения не имеет. Пробный запуск идёт около минуты: программа разбирает все кандидаты.

Что ставится

Источники — список Allowed-Origins в 50unattended-upgrades. Пакет ставится, если его источник (o= — кто выпустил, a= — ветка архива) совпал с одной из строк:

Unattended-Upgrade::Allowed-Origins {
	"${distro_id}:${distro_codename}";
	"${distro_id}:${distro_codename}-security";
	"${distro_id}ESMApps:${distro_codename}-apps-security";
	"${distro_id}ESM:${distro_codename}-infra-security";
};

${distro_id}:${distro_codename} — сам выпуск noble, он после выхода не меняется. Строка -updates в файле закомментирована, поэтому по умолчанию приходят только обновления безопасности. Ветки ESM работают при подключённой подписке Ubuntu Pro.

Перезапуск после обновления

Обновление меняет файлы на диске. Работающая программа продолжает выполнять старые: её файл удалён, но открыт, как удалённый открытый файл. Пока служба не перезапущена, исправление на неё не действует. Бинарь demo-sleep заменили новым, служба demo-old работает дальше:

student@ubuntu:~$ sudo lsof +L1
COMMAND    PID USER  FD   TYPE DEVICE SIZE/OFF NLINK NODE NAME
demo-slee 4214 root txt    REG  253,4    35336     0 4464
  /usr/local/bin/demo-sleep (deleted)
student@ubuntu:~$ sudo readlink /proc/4214/exe
/usr/local/bin/demo-sleep (deleted)

Так же остаётся в памяти старая общая библиотека — с пометкой (deleted) в /proc/<PID>/maps (см. proc-filesystem). После systemctl restart demo-old процесс запускается с нового файла, и пометка пропадает.

Ядро перезапуском служб не обновить. Пакет, которому нужна перезагрузка, создаёт файл /var/run/reboot-required; сама машина перезагрузится, только если включён Automatic-Reboot.

needrestart

needrestart находит процессы со старыми файлами и называет их службы. Режим задаёт -r: l — только список, a — перезапустить, i — спросить. -b печатает строки для скриптов:

student@ubuntu:~$ sudo needrestart -b
NEEDRESTART-VER: 3.6
NEEDRESTART-KCUR: 6.8.0-124-generic
NEEDRESTART-KEXP: 6.8.0-124-generic
NEEDRESTART-KSTA: 1
NEEDRESTART-SVC: demo-old.service
student@ubuntu:~$ sudo needrestart -r l
Running kernel seems to be up-to-date.

Services to be restarted:
 systemctl restart demo-old.service

KCUR — работающее ядро, KEXP — новейшее установленное, KSTA: 1 — они совпадают, перезагрузка не нужна. SVC — служба для перезапуска.

В Ubuntu needrestart вызывается хуком apt после каждой установки и по умолчанию перезапускает службы сам — так сказано в /etc/needrestart/needrestart.conf:

# UBUNTU: the default restart mode when running as part of the APT
# hook is 'a', unless a specific UI is configured (see below).

Часть служб он не трогает даже в режиме a: их список — ключ $nrconf{override_rc}. Такие службы попадают в отдельный список:

student@ubuntu:~$ sudo needrestart -r a
Running kernel seems to be up-to-date.
Restarting services...
Service restarts being deferred:
 systemctl restart demo-lib.service

Здесь demo-lib отложена строкой в /etc/needrestart/conf.d/demo.conf:

$nrconf{override_rc}{qr(^demo-lib)} = 0;

Отложенную службу перезапускают руками, когда это безопасно.

Журналы

Каталог /var/log/unattended-upgrades/ читают root и группа adm:

На учебной машине каталог пуст: обновление ни разу не запускалось, а служба unattended-upgrades.service выключена. Запуски таймера видно в journalctl -u apt-daily-upgrade.

• apt — установка и обновление пакетов руками.
• systemd-timers — как устроены таймеры apt-daily*.
• lsof — lsof +L1 и удалённые открытые файлы.
• proc-filesystem — /proc/<PID>/maps и exe.
• systemctl — перезапуск служб.
• kernel — новое ядро и перезагрузка.