手動アップデートの手間から解放されよう
Fedoraをメインの作業環境として2年以上使用してきましたが、このディストリビューションのパッケージ更新の速さには非常に感銘を受けています。しかし、毎朝ターミナルを開いて手動でsudo dnf upgradeを入力するのは、正直なところ非常に時間がかかります。特にDNFを高速化していない環境では、メタデータの同期だけでも待機時間が発生します。時にはコーディングに没頭するあまり、一週間近くアップデートを忘れてしまい、システムが未修正のセキュリティ脆弱性にさらされたままになることもありました。
多くの人は自動アップデートのためにcron jobを使用しますが、これには大きなリスクが伴います。cronはパッケージの競合やDNFのメタデータエラーを処理する方法を知らないからです。そこで登場するのがdnf-automaticです。これはFedora公式のツールであり、アップデートの確認、ダウンロード、インストールをより体系的かつ安全に行うことができます。
クイックスタート：5分でシステムを自動運用する
詳細を読み飛ばして、すぐにシステムを自動運用したい場合は、以下の3つのステップを実行してください。
ステップ1：パッケージのインストール
sudo dnf install dnf-automaticステップ2：自動インストールの許可
デフォルトでは、このツールはダウンロードのみを行い、インストールは行いません。設定ファイルで設定を変更する必要があります。
sudo nano /etc/dnf/automatic.confapply_updates = noを以下のようにyesに変更してください。
[commands]
upgrade_type = default
download_updates = yes
apply_updates = yesステップ3：Systemdタイマーの有効化
dnf-automaticは、リソースを節約するために常駐サービスとしてではなく、タイマー（Timer）を使用して実行されます。
sudo systemctl enable --now dnf-automatic.timerこれで、システムは1日1回、自動的にアップデートを確認してインストールするように設定されました。
automatic.conf設定ファイルの解説
最も重要な設定はすべて/etc/dnf/automatic.confにあります。実際のニーズに合わせてカスタマイズする際に、注意すべきパラメータは以下の通りです。
1. upgrade_type（アップデート種類の選択）
default: すべてのパッケージをアップデートします（dnf upgradeと同等）。security: セキュリティパッチのみをインストールします。これは、絶対的な安定性を必要つつも、ゼロデイ脆弱性から保護しなければならない本番サーバーにとって最適な選択肢です。
2. emit_via（通知方法）
あなたが寝ている間にシステムが何を行ったかを知るために、レポートの受信方法を選択できます。
stdio: 手動でコマンドを実行したときのみ表示されます。email: 詳細なレポートをメールで送信します（postfixやsendmailの設定がされたサーバーが必要です）。motd: SSH経由でサーバーにログインした際に、アップデート状況を表示します。
[emitters]
emit_via = motdサーバー向け戦略：セキュリティ更新のみ適用しメールで報告
重要なサービスを運用しているサーバーでは、すべてを自動更新するとバージョンの変更（破壊的変更）によってアプリケーションにエラーが発生する可能性があります。特にNginxによるPythonデプロイを行っている環境などでは、慎重な対応が求められます。最も安全な解決策は、セキュリティパッチのみを自動インストールすることです。
/etc/dnf/automatic.confを以下のように設定します。
[commands]
upgrade_type = security
apply_updates = yes
[email]
email_from = [email protected]
email_to = [email protected]
email_host = localhostその後、この設定が正しく実行されるように、セキュリティ専用のタイマーを有効にします。
sudo systemctl enable --now dnf-automatic-install.timer監視と履歴の確認
自動化を信頼していても、定期的なチェックは必要です。Fedora Serverをリモート管理している場合でも、dnf-automaticが動作しているかを確認するには、以下のコマンドでsystemdのログを確認します。
# 直近の動作ログを確認
sudo journalctl -u dnf-automatic.service
# 次回のアップデートスケジュールを確認
systemctl list-timers *dnf-automatic*dnf-automaticはDNFと同じバックエンドを使用しているため、コマンド履歴からすべての変更を管理できます。
sudo dnf historyもし自動アップデートによってエラーが発生した場合は、sudo dnf history undo <ID>コマンドを使用するだけで、瞬時にシステムを以前の状態に戻すことができます。
トラブルを避けるための実戦的なヒント
再起動要求の処理
カーネルやglibcなどのシステムライブラリのアップデートを有効にするには、マシンの再起動が必要です。幸いなことに、dnf-automaticが勝手にマシンを再起動することはありません。再起動が必要かどうかを確認するには、needs-restartingツールを追加でインストールしてください。
sudo dnf install yum-utils
sudo needs-restarting -rこのコマンドが再起動を要求するメッセージを返した場合は、適切なメンテナンス時間を調整して手動で再起動を行ってください。
アップデート時間のカスタマイズ
デフォルトでは、ミラーサーバーへの負荷を避けるために、タイマーはランダムな時間に実行されます。もしサーバーを午前2時ちょうどにアップデートさせたい場合は、設定を上書き（override）します。
sudo systemctl edit dnf-automatic.timerファイルに以下の設定を追加します。
[Timer]
OnCalendar=*-*-* 02:00:00
RandomizedDelaySec=0データベースサーバーでの注意点
MySQL、PostgreSQL、Redisなどを実行しているサーバーでは、パッケージのアップデートによってサービスが再起動されることがあります。リスクは低いですが、予期せぬ切断が発生する可能性があります。このようなサーバー群に対しては、私は通常download_updates = yesのみに設定しています。翌朝、リストを確認してから手動でインストールすることで、安全性を確保しています。
自動化は私たちの手間を減らしてくれますが、それがどのように動作しているかを正確に理解することこそが、プロフェッショナルなエンジニアのスタイルです。セキュリティの不安を感じることなく、ぐっすり眠れる夜をお過ごしください！
