chef-infra - 如何使用 Chef 运行安全更新？

Question

当我登录到服务器 (Ubuntu 12.04) 时，我会看到以下消息:

12 packages can be updated.
10 updates are security updates.

“手动”解决它当然很容易(apt-get update && apt-get upgrade)，但是由于服务器(部分)配备了Chef，我想知道是否有一种好方法可以以编程方式将其包含在食谱？

"apt" cookbook似乎没有提供相关的东西:(

干杯。

Answer 1

自动化软件包更新/升级通常是一个坏主意，因为如果没有先进行适当的测试，这显然会破坏应用程序。

解决此问题的一种方法是使用说明书锁定或将存储库保留在指定版本，然后在开发中对其进行彻底测试，然后再将其推向生产。

在 Amazon Linux 上，您可以检索 yum 存储库当前状态的唯一 URL。因此，您可以在 dev 上运行更新/升级，找出唯一的 url 并将其推送到 prod。这将阻止 Chef 更新到任何比您测试过的包更新的包。

我对 Ubuntu 和 apt-get 不太熟悉，但看起来你可以用固定或保持来做我所说的:https://help.ubuntu.com/community/PinningHowto

总而言之，您想要升级/更新开发机器，测试它，找出 repo 状态并将所有包卡住到这些版本。然后你将 prod 的 repo 卡住到这些状态。然后你只需要像 Draco 提到的那样，让食谱运行 'apt-get -y upgrade'。