Настройте автоматические обновления с помощью yum

Регулярное обновление системы CentOS является одним из наиболее важных аспектов общей безопасности системы. Если вы не обновите пакеты своей операционной системы последними обновлениями безопасности, вы оставите свою машину уязвимой для атак.

В этом руководстве мы рассмотрим процесс настройки автоматических обновлений в CentOS 7. Те же инструкции применимы и к CentOS 6.

Предпосылки

Прежде чем продолжить этот урок, убедитесь, что вы вошли в систему как пользователь с привилегиями sudo.

Установка пакета yum-cron

Пакет yum-cron позволяет автоматически запускать команду yum как задание cron для проверки, загрузки и применения обновлений. Скорее всего, этот пакет уже установлен в вашей системе CentOS. Если пакет не установлен, вы можете установить пакет, выполнив следующую команду:

sudo yum install yum-cron

После завершения установки включите и запустите службу:

sudo systemctl enable yum-cron sudo systemctl start yum-cron

Чтобы убедиться, что служба работает, введите следующую команду:

systemctl status yum-cron

Информация о статусе сервиса yum-cron будет отображаться на экране:

● yum-cron.service - Run automatic yum updates as a cron job Loaded: loaded (/usr/lib/systemd/system/yum-cron.service; enabled; vendor preset: disabled) Active: active (exited) since Sat 2019-05-04 21:49:45 UTC; 8min ago Process: 2713 ExecStart=/bin/touch /var/lock/subsys/yum-cron (code=exited, status=0/SUCCESS) Main PID: 2713 (code=exited, status=0/SUCCESS) CGroup: /system.slice/yum-cron.service

Настройка yum-cron

В состав yum-cron входят два файла конфигурации, которые хранятся в каталоге /etc/yum , файл почасовой конфигурации yum-cron.conf и файл ежедневной конфигурации yum-cron-hourly.conf .

Служба yum-cron только контролирует, будут ли выполняться задания cron. Утилита yum-cron вызывается файлами /etc/cron.hourly/0yum-hourly.cron и /etc/cron.daily/0yum-daily.cron cron.

По умолчанию почасовой cron настроен на ничего не делать. Если есть доступные обновления, ежедневный cron загружается, но не устанавливает доступные обновления и отправляет сообщения на стандартный вывод. Конфигурации по умолчанию достаточно для критических производственных систем, где вы хотите получать уведомления и выполнять обновление вручную после тестирования обновлений на тестовых серверах.

Файл конфигурации структурирован по разделам, и каждый раздел содержит комментарии, которые описывают, что делает каждая строка конфигурации.

Чтобы отредактировать файл конфигурации yum-cron, откройте файл в текстовом редакторе:

sudo nano /etc/yum/yum-cron-hourly.conf

В первом разделе Вы можете определить типы пакетов, которые вы хотите обновлять, включить сообщения и загрузки и настроить автоматическое применение обновлений, когда они будут доступны. По умолчанию для update_cmd установлено значение по умолчанию, которое обновит все пакеты. Если вы хотите установить автоматические автоматические обновления, рекомендуется изменить значение на security которое скажет yum обновлять пакеты, которые только устраняют проблему безопасности.

В следующем примере мы изменили update_cmd на security и включили автоматические обновления, установив apply_updates в yes :

/etc/yum/yum-cron-hourly.conf

update_cmd = security update_messages = yes download_updates = yes apply_updates = no random_sleep = 360

Второй раздел определяет, как отправлять сообщения. Чтобы отправлять сообщения как на стандартный вывод, так и на электронную почту, измените значение emit_via на stdio, email .

/etc/yum/yum-cron-hourly.conf

system_name = None emit_via = stdio, email output_width = 80

в В разделе можно указать адрес электронной почты отправителя и получателя. Убедитесь, что у вас есть инструмент, который может отправлять электронные письма, установленные в вашей системе, такие как mailx или postfix.

/etc/yum/yum-cron-hourly.conf

email_from = [email protected] email_to = [email protected] email_host = localhost

раздел позволяет вам переопределить настройки, определенные в файле yum.conf . Если вы хотите исключить обновления определенных пакетов, вы можете использовать параметр exclude . В следующем примере мы исключаем пакет.

/etc/yum/yum-cron-hourly.conf

debuglevel = -2 mdpolicy = group:main exclude = mongodb*

Вам не нужно перезапускать службу yum-cron чтобы изменения вступили в силу.

Просмотр логов

Используйте grep, чтобы проверить, выполняются ли задания cron, связанные с yum:

sudo grep yum /var/log/cron

May 4 22:01:01 localhost run-parts(/etc/cron.hourly): starting 0yum-hourly.cron May 4 22:32:01 localhost run-parts(/etc/cron.daily): starting 0yum-daily.cron May 4 23:01:01 localhost run-parts(/etc/cron.hourly): starting 0yum-hourly.cron May 4 23:01:01 localhost run-parts(/etc/cron.hourly): finished 0yum-hourly.cron

История обновлений yum записывается в файл /var/log/yum . Вы можете просмотреть последние обновления, используя команду tail:

sudo tail -f /var/log/yum.log

May 04 23:47:28 Updated: libgomp-4.8.5-36.el7_6.2.x86_64 May 04 23:47:31 Updated: bpftool-3.10.0-957.12.1.el7.x86_64 May 04 23:47:31 Updated: htop-2.2.0-3.el7.x86_64

Вывод

Из этого руководства вы узнали, как настроить автоматические обновления и поддерживать свою систему CentOS в актуальном состоянии.

Centos Yum Security