เปิดใช้งานการแพตช์สด SLES และตรวจสอบการแก้ไขเคอร์เนล

การอัปเดตเคอร์เนล SLES อาจยังคงแสดงข้อความ “ต้องรีบูต” แม้ว่าจะเปิดใช้งาน Live Patching แล้วก็ตาม นั่นไม่ได้หมายความว่าการติดตั้งล้มเหลวโดยอัตโนมัติ: Live Patching ครอบคลุมเฉพาะการแก้ไขที่ SUSE สามารถส่งมอบได้อย่างปลอดภัยสำหรับเคอร์เนลที่ใช้งานอยู่ในปัจจุบัน ในขณะที่เคอร์เนลทดแทนหรือการแก้ไขที่ไม่สามารถอัปเดตด้วย Live Patching ได้ยังคงต้องรีบูต คู่มือ Live Patching ของเคอร์เนล SLES 16.0 ของ SUSE ซึ่งเผยแพร่เมื่อวันที่ 8 ตุลาคม 2026 ให้เส้นทางการติดตั้งที่ใหม่กว่า: ติดตั้งkernel_livepatchingแพทเทิร์นภายใต้การสมัครใช้งาน SLES มาตรฐาน SLES 15 SP7 ใช้ส่วนขยาย Live Patching และlp_slesแพทเทิร์น แยกต่างหาก

ใช้ขั้นตอนสำหรับเวอร์ชันที่คุณใช้งานอยู่โดยเฉพาะ ติดตั้งการอัปเดตผ่านเวิร์กโฟลว์แพ็กเกจ SUSE ปกติ และตรวจสอบแพทช์ที่ใช้งานอยู่ด้วยklp -v patchesคำสั่ง ขั้นตอนเหล่านี้สมมติว่าโฮสต์ SLES ได้ลงทะเบียนแล้วและสามารถเข้าถึงที่เก็บการอัปเดตที่รองรับได้

กำหนดค่าเส้นทาง Live Patching สำหรับ SLES เวอร์ชันของคุณ

1. ระบุเวอร์ชันและเคอร์เนลที่กำลังทำงานอยู่เรียกใช้คำสั่ง:

   cat /etc/os-release
   uname -r
   uname -m

   

   บันทึกข้อมูลรุ่น SLES เวอร์ชันเคอร์เนล และสถาปัตยกรรม แพ็กเกจแพทช์แบบ Live จะตรงกับเวอร์ชันเคอร์เนลที่เฉพาะเจาะจง ดังนั้นแพ็กเกจสำหรับเคอร์เนลที่กำลังทำงานอยู่ต่างเวอร์ชันจึงไม่ได้หมายความว่าเคอร์เนลที่ใช้งานอยู่นั้นได้รับการแก้ไขแล้ว คำสั่งด้านล่างใช้คำสั่ง SLES 16.0 และ SLES 15 SP7 ในปัจจุบัน ห้ามคัดลอกรูปแบบหรือเส้นทางการเปิดใช้งานที่เฉพาะเจาะจงกับรุ่นไปยังเวอร์ชันอื่น

2. บน SLES 16.0 ให้ติดตั้งแพทเทิร์นที่ให้มาคู่มือปัจจุบันของ SUSE ระบุว่า Kernel Live Patching รวมอยู่ในแพ็คเกจการสมัครใช้งาน SLES มาตรฐานแล้ว ให้ติดตั้งแพทเทิร์นดังกล่าว:

   sudo zypper install -t pattern kernel_livepatching

   

   หากที่เก็บซอฟต์แวร์ของคุณมีแพตช์แบบเรียลไทม์ที่เหมาะสมสำหรับเคอร์เนลที่ติดตั้งไว้ ตัวจัดการแพ็กเกจจะเลือกแพตช์นั้นระหว่างการติดตั้ง เอกสารของ SUSE ระบุว่าเคอร์เนลได้รับการแพตช์แบบเรียลไทม์เป็นส่วนหนึ่งของกระบวนการนี้ ไม่จำเป็นต้องมีรหัสลงทะเบียน Live Patching เพิ่มเติมในขั้นตอนการติดตั้ง SLES 16.0 นี้

   บน SLES 15 SP7 ให้เปิดใช้งานส่วนขยายก่อนเวอร์ชันนี้ต้องการการสมัครใช้งาน SLES และ SLES Live Patching ที่ใช้งานอยู่ แสดงรายการส่วนขยายที่มีอยู่ และใช้คำสั่งการเปิดใช้งานเฉพาะสถาปัตยกรรมที่แสดงขึ้นมา:

   sudo SUSEConnect --list-extensions
   sudo SUSEConnect -p sle-module-live-patching/15.7/x86_64 -r LIVE_PATCHING_REGISTRATION_CODE

   

   

   คำสั่งที่สองเป็นตัวอย่างสำหรับสถาปัตยกรรม x86_64 โปรดแทนที่ด้วยพาธของผลิตภัณฑ์ที่แสดงใน--list-extensionsเอาต์พุตของคุณเอง และระบุรหัสลงทะเบียน Live Patching ที่ถูกต้อง จากนั้นติดตั้งแพทเทิร์นที่ต้องการ:

   sudo zypper install -t pattern lp_sles

   

   การเปิดใช้งานเพียงอย่างเดียวไม่ได้ติดตั้งรูปแบบหรือแพ็กเกจ โปรดดำเนินการทั้งสองขั้นตอนให้เสร็จสมบูรณ์ก่อนจึงจะสามารถรับแพ็กเกจแพทช์จริงจากช่องทางการอัปเดตได้

3. ทำการอัปเดตระบบเป็นประจำแพทช์เคอร์เนลแบบสดจะมาในรูปแบบแพ็กเกจผ่านกลไกการอัปเดตปกติ สำหรับการเรียกใช้แพทช์ด้วยตนเอง ให้ใช้เวิร์กโฟลว์การบำรุงรักษาที่ได้รับการอนุมัติเช่นเดียวกับส่วนอื่นๆ ของระบบ ตัวอย่างเช่น:

   sudo zypper refresh
   sudo zypper patch

   

   ตรวจสอบแผนการติดตั้งแพ็กเกจก่อนยืนยัน โดยเฉพาะอย่างยิ่งในระบบที่ใช้งานจริง แพ็กเกจ Live Patch สามารถอัปเดตแก้ไขข้อผิดพลาดที่เข้าเกณฑ์สำหรับเคอร์เนลที่กำลังทำงานอยู่โดยไม่ต้องรีสตาร์ทเวิร์กโหลด แต่ธุรกรรมการอัปเดตเดียวกันนี้อาจมีแพ็กเกจเคอร์เนลพื้นฐานใหม่ด้วย การติดตั้งแพ็กเกจเคอร์เนลนั้นอาจยังคงทำให้เกิดคำแนะนำให้รีบูต Live Patch เป็นการแก้ไขแบบสะสมสำหรับเวอร์ชันเคอร์เนลเป้าหมาย และไม่ได้มาแทนที่การบำรุงรักษาเคอร์เนลตามปกติ

4. ตรวจสอบว่ามีการเปิดใช้งานแพทช์อัปเดตอยู่หรือไม่หลังจากอัปเดตเสร็จสมบูรณ์แล้ว ให้ตรวจสอบรายละเอียดของแพทช์:

   sudo klp -v patches

   

   เอกสารของ SUSE ระบุคำสั่งนี้สำหรับตรวจสอบสถานะการแพตช์และดู CVE หรือข้อบกพร่องที่ได้รับการแก้ไขโดยแพตช์สดที่ใช้งานอยู่ ยืนยันว่าแพตช์ที่แสดงตรงกับเคอร์เนลที่ใช้งานอยู่ซึ่งบันทึกไว้ในขั้นตอนที่ 1 แพ็คเกจแพตช์สดเริ่มต้นหรือแพ็คเกจเตรียมการอาจไม่มีการแก้ไขใด ๆ เลย แพ็คเกจนี้มีไว้เพื่อเตรียมเคอร์เนลเวอร์ชันนั้นสำหรับการแพตช์ในอนาคต การมีอยู่ของแพ็คเกจนี้เพียงอย่างเดียวไม่ได้หมายความว่ามีการแก้ไขด้านความปลอดภัยเฉพาะใด ๆ ได้ถูกนำไปใช้แล้ว

5. แก้ไขปัญหาเมื่อสถานะว่างเปล่าหรือไม่ตรงกันตรวจสอบว่ามีแพ็คเกจ live-patch สำหรับเคอร์เนลที่กำลังทำงานอยู่หรือไม่ และมีข้อมูลวงจรชีวิตหรือไม่:

   sudo zypper se --details 'kernel-livepatch-*'
   sudo zypper lifecycle

   

   สำหรับวันที่ของวงจรชีวิต SUSE ระบุว่าlifecycle-data-sle-module-live-patchingต้องติดตั้งแพ็กเกจ หากไม่มีแพ็กเกจแพตช์สำหรับเคอร์เนลที่ใช้งานอยู่ ให้ตรวจสอบว่าได้เปิดใช้งานที่เก็บหรือช่องทาง Live Patching ที่ถูกต้องแล้ว และการแก้ไขที่เกี่ยวข้องมีคุณสมบัติเหมาะสมสำหรับการแพตช์แบบสด อย่าสรุปว่าเกิดความล้มเหลวจากรายการแพตช์ที่ว่างเปล่าหากไม่มีการอัปเดตที่ตรงตามเงื่อนไขออกมา

6. กำหนดเวลาการรีบูตที่จำเป็นสำหรับการอัปเดตเคอร์เนลแบบเต็มรูปแบบ SUSE ไม่สามารถแปลงการแก้ไขทุกอย่างให้เป็นแพทช์แบบเรียลไทม์ได้ การเปลี่ยนแปลงบางอย่างจำเป็นต้องแทนที่โครงสร้างข้อมูลเคอร์เนล หรือมิเช่นนั้นก็ไม่สามารถนำไปใช้ได้อย่างปลอดภัยในขณะทำงาน ควรคงการอัปเดตเคอร์เนลตามปกติไว้ในแผนการบำรุงรักษาของคุณ และรีบูตเมื่อการอัปเดตต้องการ หลีกเลี่ยงการซ่อนการแจ้งเตือนการรีบูตโดยการล็อกแพ็กเกจเคอร์เนลอย่างไม่มีกำหนด เพราะจะทำให้การแก้ไขเคอร์เนลแบบเต็มรูปแบบล่าช้าออกไป แทนที่จะนำไปใช้แบบเรียลไทม์

   สำหรับช่วงเวลาการบำรุงรักษาที่ไม่ต้องรีบูต ให้ดำเนินการต่อเฉพาะเมื่อการอัปเดตมีแพ็คเกจ live-patch ที่เข้ากันได้กับเคอร์เนลที่ใช้งานอยู่ และนโยบายการเปลี่ยนแปลงของคุณอนุญาตเท่านั้น ให้ถือว่าการอัปเดตแพ็คเกจเคอร์เนลแบบเต็มอยู่ในสถานะรอการดำเนินการจนกว่าโฮสต์จะบูตเคอร์เนลใหม่เสร็จสมบูรณ์

ตรวจสอบผลลัพธ์

การตรวจสอบจะสำเร็จเมื่อklp -v patchesระบุข้อมูล live-patch ที่ใช้งานอยู่สำหรับเคอร์เนลที่แสดงโดยuname -rและการแก้ไขที่คาดหวังปรากฏในรายละเอียดแพทช์ โฮสต์ควรยังคงใช้เวอร์ชันเคอร์เนลที่ใช้งานอยู่เดิมเนื่องจากไม่มีการรีบูตเกิดขึ้น หากตัวจัดการการอัปเดตยังคงร้องขอให้รีบูต ให้ตรวจสอบว่าได้ติดตั้งเคอร์เนลพื้นฐานใหม่หรือการแก้ไขที่อยู่นอกขอบเขตของ Live Patching หรือไม่ การร้องขอนั้นเป็นข้อกำหนดในการบำรุงรักษา ซึ่งคำสั่งสถานะ live-patch ไม่สามารถยกเลิกได้

แหล่งที่มา

• SUSE SLES 16.0: การแก้ไขช่องโหว่เคอร์เนลแบบเรียลไทม์
• SUSE SLES 15 SP7: คู่มือการดูแลระบบ, การอัปเดตแพทช์เคอร์เนลแบบเรียลไทม์
• SUSE SLES 15 SP7: คู่มือเริ่มต้นใช้งานอย่างรวดเร็วสำหรับโมดูลและส่วนขยาย