yumを使用して自動更新を構成する

CentOSシステムを定期的に更新することは、システム全体のセキュリティの最も重要な側面の1つです。 オペレーティングシステムのパッケージを最新のセキュリティパッチで更新しないと、マシンが攻撃に対して脆弱になります。

このチュートリアルでは、CentOS 7で自動更新を構成するプロセスを説明します。CentOS6にも同じ手順が適用されます。

前提条件

このチュートリアルを続ける前に、sudo特権を持つユーザーとしてログインしていることを確認してください。

yum-cronパッケージのインストール

yum-cron パッケージを使用すると、yumコマンドをcronジョブとして自動的に実行して、更新を確認、ダウンロード、および適用できます。 このパッケージはすでにCentOSシステムにインストールされている可能性があります。 インストールされていない場合は、次のコマンドを実行してパッケージをインストールできます。

sudo yum install yum-cron

インストールが完了したら、サービスを有効にして開始します。

sudo systemctl enable yum-cron sudo systemctl start yum-cron

サービスが実行されていることを確認するには、次のコマンドを入力します。

systemctl status yum-cron

yum-cronサービスのステータスに関する情報が画面に表示されます。

● yum-cron.service - Run automatic yum updates as a cron job Loaded: loaded (/usr/lib/systemd/system/yum-cron.service; enabled; vendor preset: disabled) Active: active (exited) since Sat 2019-05-04 21:49:45 UTC; 8min ago Process: 2713 ExecStart=/bin/touch /var/lock/subsys/yum-cron (code=exited, status=0/SUCCESS) Main PID: 2713 (code=exited, status=0/SUCCESS) CGroup: /system.slice/yum-cron.service

yum-cronの構成

yum-cronには、 /etc/yum ディレクトリに格納される2つの構成ファイルが付属しています yum-cron.conf 時間ごとの構成ファイル yum-cron.conf と1日ごとの構成ファイル yum-cron-hourly.conf です。

yum-cron サービスは、cronジョブを実行するかどうかのみを制御します。 yum-cron ユーティリティは、/ /etc/cron.hourly/0yum-hourly.cron / /etc/cron.daily/0yum-daily.cron / /etc/cron.daily/0yum-daily.cron yum-cron /etc/cron.hourly/0yum-hourly.cron および /etc/cron.daily/0yum-daily.cron cronファイルによって呼び出されます。

デフォルトでは、毎時cronは何もしないように設定されています。 利用可能な更新がある場合、毎日のcronはダウンロードするように設定されますが、利用可能な更新をインストールしてメッセージをstdoutに送信しません。 テストサーバーで更新プログラムをテストした後、通知を受け取り、更新プログラムを手動で実行する重要な運用システムには、既定の構成で十分です。

構成ファイルはセクションで構成されており、各セクションには各構成行の機能を説明するコメントが含まれています。

yum-cron構成ファイルを編集するには、テキストエディターでファイルを開きます。

sudo nano /etc/yum/yum-cron-hourly.conf

最初のセクションでは、 更新するパッケージのタイプを定義し、メッセージとダウンロードを有効にし、利用可能な場合に更新を自動的に適用するように設定できます。 デフォルトでは、 update_cmd はデフォルトに設定され、すべてのパッケージが更新されます。 自動無人更新を設定する場合は、値を security に変更することをお勧めします。これにより、セキュリティの問題のみを修正するパッケージを更新するようyumに指示します。

次の例では、 apply_updates を yes 設定して、 update_cmd を security 変更し、 update_cmd 更新を有効にしました。

/etc/yum/yum-cron-hourly.conf

update_cmd = security update_messages = yes download_updates = yes apply_updates = no random_sleep = 360

2番目のセクションでは、メッセージの送信方法を定義します。 stdoutとemailの両方にメッセージを送信するには、 emit_via の値を stdio, email 変更し stdio, email 。

/etc/yum/yum-cron-hourly.conf

system_name = None emit_via = stdio, email output_width = 80

の中に セクションでは、送信者と受信者のメールアドレスを設定できます。 システムにインストールされているメールを送信できるツール（mailxやpostfixなど）があることを確認してください。

/etc/yum/yum-cron-hourly.conf

email_from = [email protected] email_to = [email protected] email_host = localhost

の セクションでは、 yum.conf ファイルで定義された設定を上書きできます。 特定のパッケージを更新から除外する場合は、 exclude パラメーターを使用できます。 次の例では、パッケージを除外しています。

/etc/yum/yum-cron-hourly.conf

debuglevel = -2 mdpolicy = group:main exclude = mongodb*

変更を有効にするために yum-cron サービスを再起動する必要はありません。

ログを表示する

grepを使用して、yumに関連付けられたcronジョブが実行されているかどうかを確認します。

sudo grep yum /var/log/cron

May 4 22:01:01 localhost run-parts(/etc/cron.hourly): starting 0yum-hourly.cron May 4 22:32:01 localhost run-parts(/etc/cron.daily): starting 0yum-daily.cron May 4 23:01:01 localhost run-parts(/etc/cron.hourly): starting 0yum-hourly.cron May 4 23:01:01 localhost run-parts(/etc/cron.hourly): finished 0yum-hourly.cron

yum更新の履歴は、 /var/log/yum ファイルに記録されます。 tailコマンドを使用して、最新の更新を表示できます。

sudo tail -f /var/log/yum.log

May 04 23:47:28 Updated: libgomp-4.8.5-36.el7_6.2.x86_64 May 04 23:47:31 Updated: bpftool-3.10.0-957.12.1.el7.x86_64 May 04 23:47:31 Updated: htop-2.2.0-3.el7.x86_64

結論

このチュートリアルでは、自動更新を構成し、CentOSシステムを最新の状態に保つ方法を学びました。

centos yum security