Linux-Magazin Clean Linux (Vorschau)

Titelthema
www.linux-magazin.de Enterprise 09/2013
40
Abbildung 3: Ubuntu Landscape implementiert Remote-Management mit automatischen Updates in Ubuntu.
tigsten Updates, die bei Suse traditionell
„Patches“ heißen.
Ein solcher Flicken ist im Grunde eine
Liste aktualisierter Pakete. Die verfügbaren
Patches für ein System listet der
Manager übersichtlich auf und lässt den
Admin zwischen verschiedenen Optionen
entscheiden.
Suse Manager unterteilt bereitstehende
Patches in drei Stufen mit ansteigender
Relevanz:
n Mit einem Ausrufezeichen versehene
kritische Security-Patches.
n Bugs, die Fehler korrigieren, zum Beispiel
Crashes in Desktopsoftware.
n Verbesserungen und Optimierungen
an Paketen, etwa Versions-Upgrades.
Für einzelne Rechner legen Administratoren
fest, ob Pakete dort per automa-
tischem Update einzuspielen sind, und
wenn ja, welches Level ein Patch haben
muss, damit es sich für das Upgrade auf
dieser Maschine qualifiziert.
Suse Manager selbst ist ebenfalls fleißig
und erstellt eine Vorauswahl der „Relevant
Patches“, die auf jedes einzelne
System zugeschnitten ist. Per Klick lässt
sich dann bestimmen, ob die festgelegten
Kriterien Updates automatisch auf das
System bringen oder ob die Installation
vom Admin händisch anzustoßen ist.
Suse Manager beherrscht übrigens auch
das genaue Gegenteil: Wenn der Admin
mal viel Zeit hat oder sich Ärger ersparen
möchte, legt er per Klick im Manager-
Fenster Patch für Patch fest, welches seinen
Weg auf den Server finden soll und
welches nicht.
Insgesamt macht der Suse Manager einen
sehr flexiblen Eindruck, der hohe Preis
scheint einigermaßen gerechtfertigt.
E Ubuntu Landscape
Den jüngsten Dienst für Enterprise-
Systemverwaltung bietet Ubuntu an:
Landscape [5]. Wer bei Canonical einen
Supportvertrag kauft, kriegt auf das Verwaltungswerkzeug
Zugriff. Im Grunde ist
dessen Funktionalität ganz ähnlich der
von Red Hat und Suse, auch wenn Landscape
unter der Haube natürlich andere
Tags nutzt und einen anderen Arbeitsablauf
praktiziert (Abbildung 3).
Unter dem Menüpunkt »Packages« lassen
sich aus der Ferne Pakete installieren
und löschen. Sind Sicherheitsupdates
verfügbar, so weist Landscape über eine
entsprechende Nachricht darauf hin und
ermöglicht es dem Admin, später eine
entsprechende Auswahl zu treffen. Der
gesamte Vorgang ist auch für viele verschiedene
Rechner gleichzeitig nutzbar,
sodass selbst ein Update von Hunderten
Rechnern in der Serverfarm keine Klick-
Orgien verursacht.
Fazit: Kein Kinderspiel
Egal was das Marketing verspricht: Automatische
Security-Updates sind und
bleiben eine wackelige Angelegenheit,
die der Admin mit Bedacht handhaben
sollte. Weil die Gründe dafür nicht nur
Puppet und Chef
Wer keinem der großen Distributoren Geld
für ein zentrales Managementwerkzeug zahlen
möchte, muss auf ein solches Tool nicht
zwangsläufig verzichten. Die freien Alternativen
Puppet und Chef bieten sich insbesondere
dort auch für Upgrades an, wo ohnehin schon
eines der beiden Werkzeuge zum zentralen Konfigurationsmanagement
im Einsatz ist.
Unterschiedliche Systeme verwalten
Ein weiterer Vorteil: Nur so lassen sich unterschiedliche
Distributionen zentral betreuen. Anders
als die kommerziellen Tools suggerieren,
ist es durchaus möglich, Systeme von Red Hat,
Suse und Ubuntu gemeinsam unter einem Dach
zu verwalten. Theoretisch lässt sich so über die
Grenzen der Systeme hinweg beispielsweise ein
Security-Update anstoßen, wobei Puppet und
Chef auf den jeweiligen Systemen das für die
Distribution spezifisch Nötige erledigen. In der
Praxis bieten »dpkg«-gestützte Distributionen
mehr Freiheiten in der Update-Verwaltung als
ihre RPM-Kollegen.
Puppet-Apt – der Apt-Dater und das Kochbuch
für die Chef-unattended-Upgrades
Eine besonders hübsche Kombination ist die
aus Puppet und Apt auf Ubuntu oder Debian:
Mittels »puppet‐apt« [6] lässt sich die Paketverwaltung
via Apt unmittelbar aus Puppet
heraus steuern, und über »apt‐Dater« [7]
erhält »puppet‐apt« direkte Angaben darüber,
ob Pakete automatisch zu aktualisieren sind.
Zur Not stoßen Admins über diese Kombination
auch manuelle Updates an, etwa wenn ein dringendes
Sicherheitsproblem auftaucht.
Wer auf Chef statt auf Puppet setzt, kommt
bei Debian-Systemen über das »chef‐unattended‐upgrades«-Cookbook
[8] weiter. Es
nutzt auf Debian-Systemen zwar auch nur die
»unattended‐upgrades«-Funktion, erlaubt es
aber, wenigstens die Einstellungen zentral zu
steuern, also zum Beispiel, welche Pakete von
den Unattended Upgrades denn ausgenommen
sein sollen und welche nicht.
Puppet-yum: Yum automatisieren auf Enterprise-Linux
Puppet-yum [9] unterstützt auf Enterprise-
Systemen die Automatik von Yum. Über eine
zentrale Konfigurationsdatei stellt der Admin
ein, ob Yum Updates per Crontab durchführen
soll oder nicht. So erlaubt es das Chef-Modul,
zum Beispiel nach entsprechenden Staging-Tests
die automatischen Updates zu aktivieren und so
zeitlich gesteuert die Hosts auf den neuesten
Stand zu bringen. Puppet-yum unterstützt aktuelle
Red-Hat-Enterprise-Linux-Systeme, wobei
die hiermit kompatiblen Distributionen freilich
eingeschlossen sind.