Support Repository Updates y el modelo de parcheo de Solaris 11.4: SRU, CPU y cómo comprobar qué está instalado

Qué es

Oracle Solaris 11.4 no tiene un mecanismo de «parches» independiente como el de Solaris 10: aplicar actualizaciones es la misma operación de IPS que instalar cualquier otro paquete, y todo el conjunto de software instalado se controla mediante un único paquete de incorporation, entire, cuya versión identifica con exactitud qué nivel de actualización está instalado. Oracle distribuye las correcciones como Support Repository Updates (SRU) en el repositorio de soporte, aproximadamente una al mes. Una de cada tres SRU es además una SRU de Critical Patch Update (CPU), con un contenido más centrado en correcciones de seguridad: «CPU» es la publicación trimestral de seguridad de Oracle y, en Solaris, la SRU es el vehículo que la entrega.

Por qué importa

Como las actualizaciones siguen la ruta habitual de pkg update, la red de seguridad de los boot environments descrita en otro artículo de esta serie (un nuevo BE por cada actualización y reversión con beadm activate) se aplica automáticamente al parcheo de seguridad: un agente no necesita un procedimiento de reversión de parches aparte. Además, conocer el nivel exacto de SRU instalado es la forma más rápida de saber si a un host le falta una corrección concreta, ya que Oracle indexa las notas de versión de las SRU por número de SRU.

Cómo aplicarlo

• Comprueba el nivel de actualización instalado: pkg info entire muestra la versión de la incorporation entire, y una SRU «contains only one version of pkg:/entire» (contiene una sola versión de pkg:/entire), así que esa cadena de versión es la huella del nivel de actualización del host. En 11.4, el número de SRU es el campo que sigue a 11.4. en la rama: entire@11.4-11.4.0.0.1.15.0 es la versión GA de 11.4 y 11.4-11.4.1.0.1.4.0 es la SRU 1; la línea Summary también indica el nivel de forma legible. pkg list -af entire muestra qué niveles ofrecen los publishers configurados, y pkg update entire@<version> apunta a una SRU concreta en lugar de la más reciente.
• Accede a las correcciones en línea en https://pkg.oracle.com/solaris/support/ (requiere un contrato de soporte y un certificado y una clave instalados), o descarga una SRU desde My Oracle Support a un repositorio local para los hosts sin acceso a internet.
• Aplica la actualización como cualquier otra operación con paquetes: pkg update contra un publisher que apunte al repositorio de soporte (o a un espejo local de este); el comportamiento resultante de los boot environments se describe en el artículo sobre IPS de esta serie.
• Considera que las SRU son acumulativas en contenido: cada una «includes all fixes and enhancements that were delivered by previously released SRUs» (incluye todas las correcciones y mejoras entregadas por las SRU publicadas anteriormente), de modo que un host puede actualizarse directamente a la SRU más reciente sin pasar por las intermedias. Lo que no es acumulativo es el repositorio de SRU descargable: «include[s] only packages for that SRU» (incluye solo los paquetes de esa SRU) y «does not contain any other SRUs» (no contiene ninguna otra SRU), por lo que un espejo local debe construirse sobre el repositorio base completo, y Oracle recomienda integrar cada SRU en él cada mes.
• Conoce las fases del ciclo de vida de Oracle: las correcciones nuevas y las actualizaciones de seguridad llegan solo durante el Premier Support y, con un coste adicional, durante el Extended Support; el Sustaining Support da acceso únicamente a correcciones ya existentes. Consulta los documentos de soporte de por vida de Oracle para conocer las fechas vigentes de Solaris 11.4, en lugar de fiarte de un año recordado.

Trampas

• Dar por hecho que pkg update incorpora sin más las correcciones de seguridad, sea cual sea la configuración del publisher: si el publisher configurado es el repositorio público de versiones (http://pkg.oracle.com/solaris/release/, que se actualiza con las versiones GA y algunas actualizaciones de FOSS) y no el repositorio de soporte, pkg update no verá ningún contenido de SRU.
• Tratar «Solaris 11.4» como un objetivo único y estático al informar del nivel de parcheo: dentro de una misma versión principal, la medida significativa es el nivel de SRU, no el nombre de la versión.