unattended-upgrades für automatische Sicherheitsupdates unter Debian und Ubuntu konfigurieren

Ziel

Automatische Installation von Sicherheitsupdates (optional auch aller Paketupdates) auf einem Debian- oder Ubuntu-Host einrichten und zuvor gefahrlos prüfen, was dabei geschehen würde.

Voraussetzungen

apt-get install unattended-upgrades (unter Ubuntu wird zusätzlich update-notifier-common mitgeliefert, das für den Mechanismus der Neustart-Benachrichtigung benötigt wird); Root-Zugriff; ein Wartungsfenster, falls Neustarts erlaubt werden sollen.

Schritte

1. Den periodischen Timer aktivieren, indem /etc/apt/apt.conf.d/20auto-upgrades mit folgendem Inhalt angelegt wird:

   APT::Periodic::Update-Package-Lists "1";
   APT::Periodic::Unattended-Upgrade "1";
   

   Unter Ubuntu erzeugt dpkg-reconfigure --priority=low unattended-upgrades diese Datei nicht interaktiv, wenn es mit DEBIAN_FRONTEND=noninteractive ausgeführt wird.
2. /etc/apt/apt.conf.d/50unattended-upgrades bearbeiten. Der Block Unattended-Upgrade::Allowed-Origins legt fest, „welche Repositories verwendet werden, um die Pakete zu beziehen“, die automatisch installiert werden dürfen; bei einer Standardinstallation enthält er bereits den Security-Pocket bzw. die Security-Suite der jeweiligen Distribution.
3. Soll auch automatisch neu gestartet werden, wenn ein Upgrade dies erfordert, Unattended-Upgrade::Automatic-Reboot "true"; setzen und unter Ubuntu update-notifier-common installiert lassen; für einen festen Zeitpunkt optional Unattended-Upgrade::Automatic-Reboot-Time "02:00"; setzen.
4. Alles, was nie stillschweigend aktualisiert werden darf, in derselben Datei mit Unattended-Upgrade::Package-Blacklist { "linux-image*"; }; auf die Blacklist setzen, angepasst an die eigenen Paketnamen.
5. Bevor der Konfiguration vertraut wird, einen manuellen Lauf durchführen: unattended-upgrade --dry-run --debug. Die Option --dry-run simuliert die Installation der Updates nur und führt sie nicht tatsächlich aus, während --debug (oder -d) zusätzliche Details in /var/log/unattended-upgrades/unattended-upgrades.log schreibt.
6. Nach dem ersten echten Lauf /var/log/unattended-upgrades/unattended-upgrades.log und unattended-upgrades-dpkg.log prüfen: Sie enthalten die Liste der aktualisierten Pakete und einen allfälligen Marker für einen erforderlichen Neustart.

Erwartetes Ergebnis

unattended-upgrade --dry-run --debug gibt die Pakete aus, die installiert würden, ohne das System zu verändern; nach der Aktivierung des Timers zeigen die Logdateien einen Lauf zum geplanten Zeitpunkt.

Grenzen und Prüfbasis

Automatische Neustarts können lang laufende Arbeiten unterbrechen, ohne dass es eine andere Warnung als den Logeintrag gibt; ein fester Neustartzeitpunkt und eine Paket-Blacklist für alles, was empfindlich auf Neustarts reagiert, sind die oben beschriebenen Gegenmassnahmen, aber keine Garantie. Zum Rückbau beide periodischen Optionen wieder auf "0" setzen und die Zeile für den automatischen Neustart entfernen oder auskommentieren.