Posted inUbuntu

Ubuntuのセキュリティパッチ自動適用：unattended-upgradesを効果的に活用する方法

Ubuntu tutorial - IT technology blog
Ubuntu tutorial - IT technology blog

なぜサーバーの手動更新を避けるべきなのか？

1〜2台のVPSを管理しているだけなら、毎朝SSHでログインしてsudo apt update && sudo apt upgradeを実行するのは、さほど苦ではないかもしれません。しかし、管理対象が10台、20台と増えてくると、この作業は非常に大きな負担となります。たった1週間放置しただけでも、サーバーは数十件の新しい脆弱性にさらされる可能性があります。

実際、深刻な（Critical）脆弱性は、公開からわずか24〜48時間以内にハッカーによって悪用されることがよくあります。自動化の仕組みがなければ、システムに危険な空白期間を作ることになります。私がサーバー構築時に必ずunattended-upgradesを導入するのはそのためです。このツールを使えば、バックグラウンドで静かにパッチが適用されるため、夜も安心して眠れるようになります。

unattended-upgradesの動作仕組み

本質的には、これはリポジトリから新しいパッケージを定期的にチェックするバックグラウンドスクリプトです。最大のメリットはフィルタリング機能にあります。重要なセキュリティパッチのみをインストールするように設定できるため、アプリケーションの競合やエラーの原因となりやすい大規模な機能アップデートはスキップされます。これにより、サーバーの安全性を確保しつつ、絶対的な安定性を維持できます。

詳細な設定手順

ステップ1：基本パッケージのインストール

現在のUbuntu Serverのほとんどのバージョンには、このツールがプリインストールされています。ただし、念のため以下のコマンドを実行して、必要なコンポーネントがすべて揃っているか確認することをお勧めします。

sudo apt update
sudo apt install unattended-upgrades update-notifier-common -y

update-notifier-commonパッケージは非常に重要です。これは、更新後に再起動が必要な場合に、システムがそれを認識してフラグファイルを作成するのに役立ちます。

ステップ2：更新を許可するパッケージリストの設定

主要な設定はすべて/etc/apt/apt.conf.d/50unattended-upgradesファイルにあります。ここで、サーバーに自動インストールを許可する内容を指示します。

使い慣れたエディタでファイルを開きます：

sudo nano /etc/apt/apt.conf.d/50unattended-upgrades

Unattended-Upgrade::Allowed-Originsセクションを探します。本番環境（Production）では、予期せぬソフトウェアエラーのリスクを最小限に抑えるため、securityの行のみを有効化（アンコメント）することをお勧めします。

Unattended-Upgrade::Allowed-Origins {
        "${distro_id}:${distro_codename}-security";
        // "${distro_id}:${distro_codename}-updates";
};

リソースを最適化するために、不要なパッケージの自動クリーンアップ機能を有効にしましょう（これにより、一定期間後に200MBから1GB程度の容量が解放されます）。

Unattended-Upgrade::Remove-Unused-Dependencies "true";
Unattended-Upgrade::Remove-New-Unused-Dependencies "true";

ステップ3：自動実行のスケジュール設定

更新内容を選択したら、次は実行頻度を決定します。/etc/apt/apt.conf.d/20auto-upgradesファイルを編集する必要があります。

sudo nano /etc/apt/apt.conf.d/20auto-upgrades

システムが1日に1回チェックと更新を行うように、以下の内容を貼り付けてください。

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Download-Upgradeable-Packages "1";
APT::Periodic::AutocleanInterval "7";
APT::Periodic::Unattended-Upgrade "1";

メール通知の設定

レポートなしでサーバーに自動作業を任せるのは不安が残るものです。私は社内の50台以上のサーバーにメール送信設定を適用し、毎朝パッチ適用のステータスを確認しています。注意：この機能を動作させるには、サーバーにpostfixやmsmtpなどのメール転送エージェント（MTA）がインストールされている必要があります。

50unattended-upgradesファイル内で、以下の行を探してメールアドレスを入力します：

Unattended-Upgrade::Mail "[email protected]";

すべてを確実に把握するために、以下の値をfalseに設定しましょう。これにより、エラー時だけでなく、更新が成功した際にも通知を受け取ることができます。

Unattended-Upgrade::MailOnlyOnError "false";

自動再起動の処理

カーネルパッチなどは、再起動しないと有効にならないことがよくあります。アクセスが最も少ない時間帯（例：午前3時）にサーバーが自動的に再起動するように設定できます。

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "03:00";

警告： データベースクラスターなどの機密性の高いサービスや、システムと同時に自動起動しないアプリを実行している場合は、この機能を有効にする前に慎重に検討してください。

ログの確認と監視

設定に間違いがないか確認するために、シミュレーション（dry-run）を実行してください。このコマンドは、実際のディスク変更を行わずに更新プロセスを模倣します。

sudo unattended-upgrade --dry-run --debug

インストールされたパッケージの履歴を確認したい場合は、以下のパスにあるログファイルを直接参照できます：

tail -f /var/log/unattended-upgrades/unattended-upgrades.log

実務への導入におけるアドバイス

長年Linuxインフラを管理してきた経験から、以下の3つの重要な注意点をまとめました。

  1. データベースは避ける： MySQL、PostgreSQL、MongoDBなどの自動更新は絶対に有効にしないでください。DBのパッチは設定やファイル構造を変更することが多く、アプリケーションのハングアップを招きやすいです。
  2. 常にステージング環境でテストする： 本番環境に適用する前に、少なくとも1週間はテスト環境でこの設定を試してください。
  3. /bootの容量を監視する： 古いカーネルが/bootパーティションを圧迫することがあります。Autocleanを設定していても、起動不能エラーを避けるためにdf -hコマンドで定期的に確認することをお勧めします。

unattended-upgradesの導入は小さな一歩ですが、セキュリティ面で非常に大きな効果をもたらします。皆さんがUbuntuシステムをよりスマートに管理できるよう願っています！

Share:
Tags: