Ubuntu 26.04 講座 / セキュリティアップデートと再起動を管理する

Ubuntuのセキュリティアップデートは、パッケージがインストールに成功しただけでは完了しません。自動アップデートの対象と実際のログを確認し、必要な再起動やサービスの応答も別途検証する必要があります。

現在の自動アップデート構成を確認する

dpkg-query -W unattended-upgrades
systemctl list-timers --all apt-daily.timer apt-daily-upgrade.timer
apt-config dump | grep -E 'Periodic|Unattended-Upgrade'

コマンドが失敗したりタイマーがない場合は、インストールタイプと該当するパッケージを先に確認します。設定ファイル1つのコメントよりも、APTが読み取った最終設定と実際の実行履歴を基準に判断します。自動アップデートがインストールされているという事実は、すべてのリポジトリのすべてのアップデートが許可されたことを意味するわけではありません。

Ubuntuの自動アップデート案内では、許可されたソース・スケジュール・ログおよび再起動設定について説明しています。

手動アップデートとサービス影響の確認

sudo apt update
apt list --upgradable
apt-get -s upgrade

アップデートするパッケージ・容量・サービス影響を読み、バックアップと作業時間を確保した上でsudo apt upgradeで適用します。apt-get -s upgradeとapt upgradeでは、新しい依存パッケージの扱いが異なる場合があります。模擬実行だけで判断せず、実際の確認画面の提案も読んでください。needrestartの標準設定では影響を受けるサービスが自動で再起動されることもあるため、アップデート中の中断も考慮します。アプリケーションが起動するかだけでなく、外部から必要なリクエストが成功するかも確認します。段階的な配布で保留されたパッケージを、一般的なエラーと区別します。

自動作業は模擬実行とログで検証する

sudo unattended-upgrade --dry-run --debug
sudo journalctl -u apt-daily-upgrade.service --since today --no-pager
sudo ls /var/log/unattended-upgrades

シミュレーション実行は、現在の設定でどの対象が選択されるかを確認する過程であり、実際のインストール完了の証拠ではありません。実際の実行ログで成功・失敗・保留の理由と時刻を確認します。他のAPT作業が進行中の場合は、衝突させずに完了を待ちます。

自動再起動ポリシーを明示する

自動再起動を許可しない実習サーバーであれば、既存の設定をバックアップし、ローカルAPT設定に以下の項目を明示できます。例えば/etc/apt/apt.conf.d/52unattended-upgrades-localを使用しますが、同じ名前のファイルが既にある場合は上書きせず、内容を確認・統合します。

Unattended-Upgrade::Automatic-Reboot "false";

変更後、apt-config dumpで最終値を確認します。自動再起動を防いでも再起動が不要になるわけではないため、運用者が決められた時間に処理する必要があります。許可ポリシーであれば、時刻・ユーザーログイン・サービス停止・失敗通知を併せて設計します。

再起動の必要性と実際の復旧結果の確認

test -f /run/reboot-required && cat /run/reboot-required
uname -r
systemctl --failed

必要であれば作業を保存し、計画した時間に再起動します。その後、実行カーネル・時刻・ネットワーク・SSH・ウェブ応答を元の基準と比較します。カーネルパッケージがインストールされたバージョンと現在実行中のカーネルは異なる場合があります。失敗した場合は、アップデート直前のログやコンソール・以前の正常カーネルなど、準備した復旧経路を使用します。

ポリシーの実習を終えたら、今回変更したローカル設定だけをバックアップと比較して復元し、最終の値を再度確認します。セキュリティ更新全体を無効にしたり、エラーログを消去する方法で点検結果を合わせたりはしません。