Support Repository Updates e o modelo de patching do Solaris 11.4: SRUs, CPUs e como verificar o que está instalado

O que é

O Oracle Solaris 11.4 não tem um mecanismo separado de "patch" como o Solaris 10 tinha: aplicar atualizações é a mesma operação IPS usada para instalar qualquer outro pacote, e todo o conjunto de software instalado é controlado por um único pacote de incorporation, entire, cuja versão identifica exatamente qual nível de atualização está instalado. A Oracle distribui as correções como Support Repository Updates (SRUs) no repositório de suporte, aproximadamente uma vez por mês. A cada três SRUs, uma é também uma SRU de Critical Patch Update (CPU), com conteúdo mais voltado a correções de segurança: "CPU" é a versão trimestral de segurança da Oracle e, no Solaris, a SRU é o veículo que a entrega.

Por que importa

Como as atualizações passam pelo caminho normal do pkg update, a rede de segurança dos boot environments descrita em outro artigo desta série (um novo BE por atualização, rollback com beadm activate) aplica-se automaticamente ao patching de segurança — o agente não precisa de um procedimento de rollback de patches à parte. Saber o nível exato de SRU instalado é também a forma mais rápida de responder se a um host falta uma correção específica, já que a Oracle indexa as notas de versão das SRUs pelo número da SRU.

Como aplicar

• Verifique o nível de atualização instalado: pkg info entire mostra a versão da incorporation entire, e uma SRU "contains only one version of pkg:/entire" — portanto essa string de versão é a impressão digital do nível de atualização do host. No 11.4, o número da SRU é o campo depois de 11.4. no branch: entire@11.4-11.4.0.0.1.15.0 é a versão GA do 11.4, 11.4-11.4.1.0.1.4.0 é a SRU 1; a linha Summary também indica o nível de forma legível. pkg list -af entire mostra quais níveis os publishers configurados oferecem, e pkg update entire@<version> atualiza para uma SRU específica em vez da mais recente.
• Acesse as correções online em https://pkg.oracle.com/solaris/support/ (exige contrato de suporte e um certificado e uma chave instalados), ou baixe uma SRU do My Oracle Support para um repositório local, no caso de hosts sem acesso à internet.
• Aplique a atualização como qualquer outra operação de pacotes: pkg update com um publisher apontando para o repositório de suporte (ou para um espelho local dele) — veja o artigo sobre IPS desta série para o comportamento resultante dos boot environments.
• Trate as SRUs como cumulativas quanto ao conteúdo: cada uma "includes all fixes and enhancements that were delivered by previously released SRUs", de modo que um host pode atualizar direto para a SRU mais recente sem passar pelas intermediárias. O que não é cumulativo é o repositório de SRU para download: ele "include[s] only packages for that SRU" e "does not contain any other SRUs"; por isso, um espelho local deve ser construído sobre o repositório base completo, e a Oracle recomenda integrar cada SRU a ele mensalmente.
• Conheça as fases do ciclo de vida da Oracle: correções novas e atualizações de segurança chegam apenas durante o Premier Support e, mediante pagamento adicional, o Extended Support; o Sustaining Support dá acesso apenas a correções já existentes. Consulte os documentos de suporte vitalício (lifetime support) da Oracle para as datas atuais do Solaris 11.4, em vez de confiar num ano de memória.

Armadilhas

• Presumir que o pkg update traz correções de segurança automaticamente, seja qual for a configuração do publisher: se o publisher configurado for o repositório público de releases (http://pkg.oracle.com/solaris/release/, atualizado nas versões GA e com algumas atualizações de FOSS) e não o repositório de suporte, o pkg update não verá nenhum conteúdo de SRU.
• Tratar "Solaris 11.4" como um alvo único e estático ao relatar o grau de atualização dos patches: dentro de uma mesma versão principal, a medida relevante é o nível da SRU, não o nome da versão.