Support Repository Updates et modèle de correctifs de Solaris 11.4 : SRU, CPU et vérification de ce qui est installé

Ce que c'est

Oracle Solaris 11.4 ne dispose pas d'un mécanisme de « patch » distinct comme Solaris 10 : appliquer des mises à jour est la même opération IPS que l'installation de n'importe quel autre paquet, et l'ensemble des logiciels installés est suivi par un unique paquet d'incorporation, entire, dont la version identifie précisément le niveau de mise à jour installé. Oracle livre les correctifs sous forme de Support Repository Updates (SRU) dans le dépôt de support, environ une fois par mois. Une SRU sur trois est aussi une SRU Critical Patch Update (CPU), dont le contenu est davantage centré sur les correctifs de sécurité : « CPU » désigne la publication trimestrielle de sécurité d'Oracle, et sur Solaris, c'est une SRU qui la transporte.

Pourquoi c'est important

Comme les mises à jour passent par le chemin ordinaire pkg update, le filet de sécurité des boot environments décrit ailleurs dans cette série (un nouveau BE par mise à jour, retour arrière avec beadm activate) s'applique automatiquement aux correctifs de sécurité : un agent n'a pas besoin d'une procédure de retour arrière distincte pour les patchs. Connaître le niveau exact de SRU installé est aussi le moyen le plus rapide de savoir s'il manque un correctif donné à un hôte, puisqu'Oracle indexe les notes de version de ses SRU par numéro de SRU.

Comment l'appliquer

• Vérifiez le niveau de mise à jour actuellement installé : pkg info entire indique la version de l'incorporation entire, et une SRU « contains only one version of pkg:/entire » (ne contient qu'une seule version de pkg:/entire) ; cette chaîne de version est donc l'empreinte du niveau de mise à jour de l'hôte. Sur 11.4, le numéro de SRU est le champ qui suit 11.4. dans la branche : entire@11.4-11.4.0.0.1.15.0 est la version GA de 11.4, 11.4-11.4.1.0.1.4.0 est la SRU 1 ; la ligne Summary nomme aussi le niveau sous une forme lisible. pkg list -af entire montre les niveaux proposés par les éditeurs (publishers) configurés, et pkg update entire@<version> cible une SRU précise au lieu de la plus récente.
• Accédez aux correctifs en ligne à l'adresse https://pkg.oracle.com/solaris/support/ (un contrat de support ainsi qu'un certificat et une clé installés sont nécessaires), ou téléchargez une SRU depuis My Oracle Support dans un dépôt local pour les hôtes sans accès à Internet.
• Appliquez la mise à jour comme n'importe quelle autre opération sur les paquets : pkg update avec un publisher pointant vers le dépôt de support (ou vers un miroir local de celui-ci) ; le comportement des boot environments qui en résulte est décrit dans l'article sur IPS de cette série.
• Considérez les SRU comme cumulatives quant à leur contenu : chacune « includes all fixes and enhancements that were delivered by previously released SRUs » (inclut tous les correctifs et améliorations livrés par les SRU précédentes), de sorte qu'un hôte peut passer directement à la SRU la plus récente sans passer par les intermédiaires. En revanche, le dépôt SRU téléchargeable n'est pas cumulatif : il « include[s] only packages for that SRU » et « does not contain any other SRUs » (n'inclut que les paquets de cette SRU et ne contient aucune autre SRU). Un miroir local doit donc être construit sur le dépôt de base complet, et Oracle recommande d'y intégrer chaque SRU tous les mois.
• Connaissez les phases du cycle de vie d'Oracle : les nouveaux correctifs et les mises à jour de sécurité ne sont fournis que pendant le Premier Support et, moyennant des frais supplémentaires, pendant l'Extended Support ; le Sustaining Support ne donne accès qu'aux correctifs déjà existants. Consultez les documents Oracle sur le support à vie (lifetime support) pour connaître les dates actuelles de Solaris 11.4 plutôt que de vous fier à une année retenue de mémoire.

Pièges

• Supposer que pkg update récupère silencieusement les correctifs de sécurité quelle que soit la configuration des publishers : si le publisher configuré est le dépôt public des versions (http://pkg.oracle.com/solaris/release/, mis à jour lors des versions GA et pour certaines mises à jour FOSS) et non le dépôt de support, pkg update ne verra pas du tout le contenu des SRU.
• Traiter « Solaris 11.4 » comme une cible unique et figée pour le suivi du niveau de correctifs : au sein d'une même version majeure, c'est le niveau de SRU qui est la mesure pertinente, et non le nom de la version.