Konfigurujte automatické aktualizace pomocí programu yum

Pravidelná aktualizace systému CentOS je jedním z nejdůležitějších aspektů celkové bezpečnosti systému. Pokud neaktualizujete balíčky operačního systému nejnovějšími opravami zabezpečení, necháváte počítač náchylný k útokům.

V tomto tutoriálu projdeme proces konfigurace automatických aktualizací na CentOS 7. Stejné pokyny platí i pro CentOS 6.

Předpoklady

Před pokračováním v tomto kurzu se ujistěte, že jste přihlášeni jako uživatel s právy sudo.

Instalace balíčku yum-cron

Balíček yum-cron vám umožní automaticky spustit příkaz yum jako úlohu cron pro kontrolu, stahování a použití aktualizací. Pravděpodobně je tento balíček již nainstalován ve vašem systému CentOS. Pokud není nainstalován, můžete nainstalovat balíček spuštěním následujícího příkazu:

sudo yum install yum-cron

Po dokončení instalace povolte a spusťte službu:

sudo systemctl enable yum-cron sudo systemctl start yum-cron

Chcete-li ověřit, zda je služba spuštěna, zadejte následující příkaz:

systemctl status yum-cron

Na obrazovce se zobrazí informace o stavu služby yum-cron:

● yum-cron.service - Run automatic yum updates as a cron job Loaded: loaded (/usr/lib/systemd/system/yum-cron.service; enabled; vendor preset: disabled) Active: active (exited) since Sat 2019-05-04 21:49:45 UTC; 8min ago Process: 2713 ExecStart=/bin/touch /var/lock/subsys/yum-cron (code=exited, status=0/SUCCESS) Main PID: 2713 (code=exited, status=0/SUCCESS) CGroup: /system.slice/yum-cron.service

Konfigurace yum-cron

yum-cron přichází se dvěma konfiguračními soubory, které jsou uloženy v adresáři /etc/yum , hodinovým konfiguračním souborem yum-cron.conf a denním konfiguračním souborem yum-cron-hourly.conf .

Služba yum-cron řídí pouze to, zda budou úlohy cron spuštěny. Obslužný program yum-cron se nazývá soubory cron /etc/cron.hourly/0yum-hourly.cron a /etc/cron.daily/0yum-daily.cron .

Ve výchozím nastavení je hodinový cron nakonfigurován tak, aby nedělal nic. Pokud jsou k dispozici aktualizace, denní cron je nastaven na stahování, ale nenainstaluje dostupné aktualizace a neposílá zprávy do stdout. Výchozí konfigurace je dostačující pro kritické produkční systémy, kde chcete dostávat oznámení a provést aktualizaci ručně po testování aktualizací na testovacích serverech.

Konfigurační soubor je členěn do sekcí a každá část obsahuje komentáře, které popisují, co každá konfigurační linka dělá.

Chcete-li upravit konfigurační soubor yum-cron, otevřete soubor v textovém editoru:

sudo nano /etc/yum/yum-cron-hourly.conf

V první sekci můžete definovat typy balíčků, které chcete aktualizovat, povolit zprávy a stahování a nastavit automatické použití aktualizací, pokud jsou dostupné. Ve výchozím nastavení je update_cmd nastaven na výchozí, který aktualizuje všechny balíčky. Pokud chcete nastavit automatické bezobslužné aktualizace, doporučujeme změnit hodnotu security což yum řekne, aby aktualizoval balíčky, které pouze opravují bezpečnostní problém.

V následujícím příkladu jsme změnili update_cmd na security a povolili bezobslužné aktualizace nastavením apply_updates na yes :

/etc/yum/yum-cron-hourly.conf

update_cmd = security update_messages = yes download_updates = yes apply_updates = no random_sleep = 360

Druhá část definuje způsob odesílání zpráv. Chcete-li odesílat zprávy do stdout i do e-mailu, změňte hodnotu emit_via na stdio, email .

/etc/yum/yum-cron-hourly.conf

system_name = None emit_via = stdio, email output_width = 80

V V sekci můžete nastavit e-mailovou adresu odesílatele a příjemce. Ujistěte se, že máte v systému nainstalovaný nástroj, který umožňuje odesílání e-mailů, například mailx nebo postfix.

/etc/yum/yum-cron-hourly.conf

email_from = [email protected] email_to = [email protected] email_host = localhost

Sekce umožňuje přepsat nastavení definovaná v souboru yum.conf . Pokud chcete vyloučit aktualizaci určitých balíčků, můžete použít parametr exclude . V následujícím příkladu vylučujeme balíček.

/etc/yum/yum-cron-hourly.conf

debuglevel = -2 mdpolicy = group:main exclude = mongodb*

Aby se změny projevily, nemusíte restartovat službu yum-cron .

Prohlížení protokolů

Použijte grep ke kontrole, zda jsou prováděny cron úlohy spojené s yum:

sudo grep yum /var/log/cron

May 4 22:01:01 localhost run-parts(/etc/cron.hourly): starting 0yum-hourly.cron May 4 22:32:01 localhost run-parts(/etc/cron.daily): starting 0yum-daily.cron May 4 23:01:01 localhost run-parts(/etc/cron.hourly): starting 0yum-hourly.cron May 4 23:01:01 localhost run-parts(/etc/cron.hourly): finished 0yum-hourly.cron

Historie aktualizací yum je zaznamenána v souboru /var/log/yum . Nejnovější aktualizace můžete zobrazit příkazem tail:

sudo tail -f /var/log/yum.log

May 04 23:47:28 Updated: libgomp-4.8.5-36.el7_6.2.x86_64 May 04 23:47:31 Updated: bpftool-3.10.0-957.12.1.el7.x86_64 May 04 23:47:31 Updated: htop-2.2.0-3.el7.x86_64

Závěr

V tomto tutoriálu jste se naučili, jak konfigurovat automatické aktualizace a udržovat váš systém CentOS aktuální.

centos yum security