ubuntu 18.04で自動無人セキュリティ更新を有効にして設定する方法

Ubuntuシステムを定期的に更新することは、システム全体のセキュリティの最も重要な側面の1つです。 オペレーティングシステムのパッケージを最新のセキュリティパッチで更新しないと、マシンが攻撃に対して脆弱になります。

このチュートリアルでは、Ubuntu 18.04で自動無人アップデートを設定する方法について説明します。 Ubuntu 16.04と、Kubuntu、Linux Mint、Elementary OSなどのUbuntuベースのディストリビューションにも同じ手順が適用されます。

前提条件

このチュートリアルを続ける前に、sudo特権を持つユーザーとしてログインしていることを確認してください。

無人アップグレードパッケージのインストール

unattended-upgrades パッケージは、更新されたパッケージを自動的にインストールするために使用されます。 このパッケージはすでにUbuntuシステムにインストールされている可能性があります。そうでない場合は、ターミナルで次のコマンドを入力してパッケージをインストールできます。

sudo apt install unattended-upgrades

インストールが完了すると、無人アップグレードシャットダウンサービスが有効になり、自動的に開始されます。 次のように入力して確認できます。

systemctl status unattended-upgrades

● unattended-upgrades.service - Unattended Upgrades Shutdown Loaded: loaded (/lib/systemd/system/unattended-upgrades.service; enab Active: active (running) since Sun 2019-03-10 07:52:08 UTC; 2min 35s Docs: man:unattended-upgrade(8) CGroup: /system.slice/unattended-upgrades.service

無人自動更新の構成

/etc/apt/apt.conf.d/50unattended-upgrades ファイルを編集することにより、 unattended-upgrades パッケージの設定を構成できます。 デフォルトの構成はほとんどのユーザーに対して正常に機能するはずですが、必要に応じてファイルを開いて変更を加えることができます。

無人アップグレードパッケージ。すべてのパッケージまたはセキュリティ更新のみを更新するように構成できます。 最初のセクションでは、どのタイプのパッケージが自動的に更新されるかを定義します。 デフォルトでは、セキュリティアップデートのみをインストールします。他のリポジトリからのアップデートを有効にしたい場合、行の先頭から二重スラッシュ // 削除することにより、適切なリポジトリのコメントを解除できます。 // 以降はコメントであり、パッケージによって読み取られません。

/etc/apt/apt.conf.d/50unattended-upgrades

Unattended-Upgrade::Allowed-Origins { "${distro_id}:${distro_codename}"; "${distro_id}:${distro_codename}-security"; // Extended Security Maintenance; doesn't necessarily exist for // every release and this system may not have it installed, but if // available, the policy for updates is such that unattended-upgrades // should also install from here by default. "${distro_id}ESM:${distro_codename}"; // "${distro_id}:${distro_codename}-updates"; // "${distro_id}:${distro_codename}-proposed"; // "${distro_id}:${distro_codename}-backports"; };

何らかの理由で特定のパッケージの自動更新を無効にするには、パッケージをパッケージブラックリストに追加するだけです：

/etc/apt/apt.conf.d/50unattended-upgrades

Unattended-Upgrade::Package-Blacklist { // "vim"; // "libc6"; // "libc6-dev"; // "libc6-i686"; };

何らかの理由で自動更新に問題がある場合は、メールを受信することもできます。 これを行うには、次の2行のコメントを解除して、メールアドレスを入力します。 システムにインストールされたメールを送信できるツール（ mailx や postfix など）があることを確認してください。

/etc/apt/apt.conf.d/50unattended-upgrades

Unattended-Upgrade::Mail "[email protected]"; Unattended-Upgrade::MailOnlyOnError "true";

無人自動更新を有効にする

自動更新を有効にするには、apt構成ファイル /etc/apt/apt.conf.d/20auto-upgrades に少なくとも次の2行が含まれていることを確認する必要があります。これらの行はデフォルトで含まれる必要があります。

/etc/apt/apt.conf.d/20auto-upgrades

APT::Periodic::Update-Package-Lists "1"; APT::Periodic::Unattended-Upgrade "1";

上記の構成では、パッケージリストが更新され、利用可能な更新プログラムが毎日インストールされます。

次の行を追加して、7日ごとにローカルダウンロードアーカイブを消去することもできます。

/etc/apt/apt.conf.d/20auto-upgrades

APT::Periodic::AutocleanInterval "7";

自動更新を有効/無効にする別の方法は、/etc/apt/apt.conf.d/ /etc/apt/apt.conf.d/20auto-upgrades を変更（または存在しない場合は作成）する次のコマンドを実行することです。

sudo dpkg-reconfigure -plow unattended-upgrades

テスト中

自動アップグレードが機能するかどうかをテストするには、ドライランを実行します。

sudo unattended-upgrades --dry-run --debug

出力は次のようになります。

… pkgs that look like they should be upgraded: Fetched 0 B in 0s (0 B/s) fetch.run() result: 0 blacklist: whitelist: No packages found that can be upgraded unattended and no pending auto-removals

自動無人アップグレードの履歴は、/ /var/log/unattended-upgrades/unattended-upgrades.log / unattended-upgrades / unattended-upgrades.logファイルに記録されます。

結論

このチュートリアルでは、自動無人アップデートを設定し、システムを最新の状態に保つ方法を学びました。

Ubuntu aptセキュリティ