Gerenciando kernels instalados no Debian e no Ubuntu: limpeza, espaço em /boot, HWE e Livepatch

O que é

Cada atualização de segurança do kernel no Debian ou no Ubuntu instala um novo pacote linux-image-* ao lado do que está em execução, em vez de substituí-lo, de modo que o sistema ainda consiga iniciar com o kernel antigo se o novo falhar. apt list --installed | grep linux-image mostra quantos estão presentes; dpkg -l 'linux-image-*' fornece detalhes das versões. O espaço ocupado e a poluição do menu de boot crescem em /boot até que os kernels antigos sejam removidos.

Por que importa

/boot costuma ser uma partição separada e pequena, e pode ficar totalmente cheia depois de várias atualizações de kernel. Quando isso acontece, qualquer nova instalação de kernel, inclusive uma correção de segurança, fica bloqueada até que se libere espaço. No Ubuntu, a escolha entre o kernel GA e o HWE, e o fato de o Livepatch estar ou não ativado, também alteram o quanto a aplicação de uma correção de segurança do kernel causa interrupção.

Como aplicar

• Execute apt-get autoremove regularmente, ou deixe o unattended-upgrades fazer isso (Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";). A página de manual do apt-get descreve o autoremove como a remoção de "packages that were automatically installed to satisfy dependencies for other packages and are now no longer needed" (pacotes instalados automaticamente para satisfazer dependências de outros pacotes e que já não são necessários). Os pacotes de kernel recebem tratamento especial: /etc/apt/apt.conf.d/01autoremove-kernels protege o kernel em execução e os mais recentes, e os kernels mais antigos passam a ser removíveis.
• Nunca remova o kernel em execução. Verifique antes com uname -r e confirme que o autoremove não o está selecionando (por padrão ele não remove o pacote do kernel em execução, mas um apt-get remove manual com o nome de pacote errado pode fazê-lo).
• Para manter deliberadamente uma versão específica do kernel instalada (por exemplo, durante a validação de um driver), coloque-a em hold: apt-mark hold linux-image-<version>, usando o mesmo mecanismo de hold que o apt-mark documenta para qualquer pacote.
• Específico do Ubuntu: as versões LTS recebem uma pilha de kernel Hardware Enablement (HWE), descrita pela Canonical como fornecedora de "newer kernel and X11 display support for existing Ubuntu LTS releases" (kernel mais novo e suporte a display X11 para versões LTS existentes do Ubuntu). As instalações Server usam por padrão o kernel GA, com o HWE como metapacote opcional (linux-generic-hwe-<release>). O Debian não tem um mecanismo equivalente de kernel contínuo.
• Específico do Ubuntu: o serviço Livepatch da Canonical aplica em memória determinadas correções de segurança do kernel, evitando a reinicialização que uma atualização tradicional de kernel exige. A Canonical o apresenta como alternativa para cargas de trabalho em que "the updated system needs to be rebooted, potentially disrupting" serviços (o sistema atualizado precisa ser reiniciado, o que pode interromper serviços), aplicando as correções "between scheduled maintenance windows" (entre janelas de manutenção programadas). O Livepatch faz parte do Ubuntu Pro (ativado com pro enable livepatch, gratuito para um pequeno número de máquinas pessoais) e ainda exige reinicializações periódicas para as correções que não consegue aplicar em tempo de execução.

Armadilhas

• Ficar com pouco espaço em /boot bloqueia silenciosamente a próxima atualização de segurança do kernel; monitore o espaço livre nessa partição, e não apenas em /.
• Manter uma versão do kernel em hold também bloqueia as atualizações de segurança dela. Registre os holds de forma explícita e revise-os regularmente, com o mesmo cuidado exigido para qualquer outro apt-mark hold.
• Ativar o HWE no meio do ciclo de suporte muda o ramo de kernel de onde virão as atualizações futuras; verifique apt-cache policy linux-image-generic-hwe-<release> antes de migrar um host de produção.