SUSE Linux mit zypper administrieren: Refresh, Patch, Update und dup sowie nicht interaktive Läufe

Ziel

zypper auf SUSE Linux Enterprise Server 15 SP6 oder openSUSE Leap sicher aus einem Skript bedienen: Metadaten aktualisieren, die passende Art des Upgrades wählen, ohne Rückfragen arbeiten, nach einer Änderung Prozesse finden, die noch gelöschte Dateien belegen, und eine Paketversion festsetzen.

Voraussetzungen

Root- oder sudo-Zugriff; unter SLES sollte das System bereits registriert sein (siehe Schritt zu SUSEConnect unten), damit die Repositories aufgelöst werden können.

Schritte

1. Repository-Metadaten aktualisieren: sudo zypper refresh. Der Befehl holt die Änderungen der Repositories und installiert nichts; mehrere andere Befehle führen den Refresh ebenfalls automatisch aus.
2. Den passenden Upgrade-Befehl für das jeweilige Ziel wählen:
   • sudo zypper patch installiert alle offiziell veröffentlichten Patches; die SUSE-Dokumentation nennt dies "the most reliable way to install new versions of installed packages" (den zuverlässigsten Weg, neue Versionen installierter Pakete einzuspielen), weil die Patch-Metadaten berücksichtigt werden (CVE-Fixes, Reboot-Flags, Ablösung von Paketen).
   • sudo zypper update aktualisiert installierte Pakete auf neuere Versionen aus den aktivierten Repositories, unabhängig von den Patch-Metadaten; laut SUSE überspringt der Befehl problematische Pakete (etwa ein gesperrtes) stillschweigend, während zypper patch einen Konflikt meldet.
   • sudo zypper dist-upgrade (zypper dup) bringt das System in den vollständigen Zustand der konfigurierten Repositories: Pakete können dabei aktualisiert, auf ältere Versionen zurückgesetzt oder entfernt werden. Unter openSUSE Leap führt der Befehl Release-Upgrades durch (mit --releasever), unter Tumbleweed ist er der übliche Update-Befehl; unter SLES erfolgt die Migration auf ein neues Service Pack normalerweise mit zypper migration, und dup ist kein Werkzeug zum Patchen.
3. Für unbeaufsichtigte Läufe die globale Option vor den Befehl setzen: sudo zypper --non-interactive patch; dabei werden die Standardantworten ohne Rückfrage übernommen. In diesem Modus überspringt zypper patch interaktive Patches (mit Neustart, Hinweismeldung oder Lizenzbestätigung), sofern nicht --with-interactive angegeben ist; wo Lizenzabfragen zu erwarten sind, zusätzlich --auto-agree-with-licenses verwenden. Den Exit-Code prüfen: 103 bedeutet, dass ein Patch den Paketmanager selbst aktualisiert hat und zypper patch erneut ausgeführt werden muss; bei aktuellem zypper liefert zypper needs-rebooting den Code 102, wenn ein Neustart empfohlen wird.
4. Nach jedem Patch oder Entfernen prüfen, ob Prozesse noch gelöschte Dateien belegen: zypper ps -s. Laut Manpage listet ps alle Prozesse auf, die gelöschte Dateien verwenden, samt Datei und einem Hinweis auf den Dienstnamen; daran lässt sich erkennen, welche Daemons neu gestartet werden müssen. -s erzeugt eine kurze Tabelle ohne die Liste der gelöschten Dateien.
5. Um ein Paket bei künftigen patch-, update- und dup-Läufen auf seiner aktuellen Version zu halten, eine Sperre setzen: sudo zypper addlock <package> (kurz: al). Laut Manpage fügt addlock eine Paketsperre hinzu; gesperrte Pakete können von späteren zypper-Operationen weder entfernt noch geändert werden. Aktive Sperren zeigt zypper locks an, entfernt wird eine Sperre mit sudo zypper removelock <package> (rl).
6. Modul- und Erweiterungs-Repositories mit SUSEConnect registrieren oder prüfen (dokumentiert in man 8 SUSEConnect); ein lokaler RMT/SMT-Server wird statt des standardmässigen SUSE Customer Center über das Argument --url angesprochen.

Erwartetes Ergebnis

zypper refresh endet mit Exit-Code 0; zypper ps -s liefert eine leere Tabelle, sobald alle von einem Update betroffenen Dienste neu gestartet wurden; zypper locks listet alle Pakete auf, die festgesetzt wurden.

Grenzen und Prüfbasis

zypper dist-upgrade kann Pakete entfernen, die in den Repositories nicht mehr vorhanden sind; das ist destruktiv, wenn der Befehl gegen den falschen Satz an Repositories läuft. Daher vor der echten Ausführung den Plan prüfen (zypper dup --dry-run). Sperren verhindern das automatische Patchen des gesperrten Pakets, einschliesslich Sicherheitspatches; sie sind deshalb aufzuheben, sobald der Grund für das Festsetzen entfällt.