CentOS/RHEL7上怎么更新安全补丁

发布时间：2022-02-17 10:08:32 作者：iii
来源：亿速云阅读：226

# CentOS/RHEL7上怎么更新安全补丁

## 前言
在Linux服务器运维中，定期更新安全补丁是保障系统安全的重要措施。对于企业广泛使用的CentOS/RHEL7系统，及时修复漏洞可以防止潜在的安全威胁。本文将详细介绍在CentOS/RHEL7上更新安全补丁的完整流程和注意事项。

## 一、理解补丁更新机制

### 1.1 YUM包管理系统
CentOS/RHEL7使用YUM（Yellowdog Updater Modified）作为默认包管理器：
- 自动解决依赖关系
- 从配置的软件仓库获取更新
- 支持事务回滚机制

### 1.2 安全更新类型
- **安全公告（RHSA）**：修复安全漏洞的紧急更新
- **缺陷修正（RHBA）**：常规错误修复
- **功能增强（RHEA）**：新功能添加

## 二、更新前的准备工作

### 2.1 系统备份
```bash
# 创建重要配置文件备份
sudo tar -czvf /backup/etc_backup_$(date +%F).tar.gz /etc

# 如果是关键业务服务器，建议做完整快照

2.2 检查当前系统信息

# 查看系统版本
cat /etc/redhat-release

# 查看已安装内核版本
uname -r

# 列出已安装的安全更新
rpm -qa --last | grep -i security

2.3 检查磁盘空间（至少保留1GB空间）

df -h

三、配置更新源

3.1 CentOS 7配置

# 确保基础仓库已启用
sudo yum-config-manager --enable base,updates,extras

3.2 RHEL 7配置

# 注册系统（如未注册）
sudo subscription-manager register --username=<RHN用户> --password=<密码>

# 附加有效订阅
sudo subscription-manager attach --auto

# 启用安全更新仓库
sudo subscription-manager repos --enable=rhel-7-server-security-updates-rpms

四、执行安全更新

4.1 检查可用更新

# 列出所有可用更新
sudo yum check-update

# 仅检查安全更新
sudo yum --security check-update

4.2 查看安全公告详情

sudo yum updateinfo list cves
sudo yum updateinfo info <公告ID>

4.3 执行更新操作

方法一：更新所有安全补丁

sudo yum update --security

方法二：仅安装关键补丁

sudo yum update --security --sec-severity=Critical

方法三：交互式更新（推荐生产环境）

sudo yum update --security -y --skip-broken

4.4 内核更新特别处理

# 查看可用的内核更新
sudo yum list kernel --showduplicates

# 安装新内核但不删除旧内核（保持回滚能力）
sudo yum install kernel-3.10.0-1160.45.1.el7

五、更新后操作

5.1 重启服务

# 需要重启的服务
sudo systemctl restart sshd

# 内核更新后必须重启系统
sudo shutdown -r now

5.2 验证更新

# 检查已安装的安全更新
rpm -qa --last | head -10

# 验证特定漏洞是否修复
sudo yum updateinfo list cves | grep <CVE编号>

5.3 清理旧包

# 删除旧内核（保留最近2个版本）
sudo package-cleanup --oldkernels --count=2

# 清理缓存
sudo yum clean all

六、自动化安全更新

6.1 配置自动更新（适合开发环境）

# 安装自动化工具
sudo yum install yum-cron -y

# 配置只应用安全更新
sudo sed -i 's/update_cmd = default/update_cmd = security/' /etc/yum/yum-cron.conf
sudo sed -i 's/apply_updates = no/apply_updates = yes/' /etc/yum/yum-cron.conf

# 启动服务
sudo systemctl enable yum-cron --now

6.2 使用Ansible批量更新

- name: Apply security updates
  hosts: servers
  become: yes
  tasks:
    - name: Apply all security updates
      yum:
        name: '*'
        state: latest
        security: yes
        exclude: kernel*

七、常见问题解决

7.1 依赖冲突处理

# 尝试排除冲突包
sudo yum update --exclude=package_name

# 或使用yum-utils工具
sudo yum install yum-utils
sudo package-cleanup --problems

7.2 空间不足问题

# 清理缓存包
sudo yum clean packages

# 扩展根分区或挂载新存储

7.3 更新失败回滚

# 查看yum历史
sudo yum history

# 回滚特定事务
sudo yum history undo <事务ID>

八、最佳实践建议

测试环境先行：所有更新先在测试环境验证
维护窗口期：业务低峰期执行更新
监控更新：配置日志监控/yum更新通知
文档记录：维护更新日志，记录每次更新的内容和影响
长期支持策略：对于EOL系统（如CentOS7），需制定迁移计划

结语

通过本文介绍的方法，您可以系统化地管理CentOS/RHEL7的安全更新。记住，安全更新不是一次性任务，而应该作为持续运维流程的重要组成部分。建议结合监控工具和自动化方案，构建完整的安全更新体系。 “`

注：本文实际约1500字，包含了从基础到进阶的完整安全更新流程。如需调整字数，可以精简”常见问题”和”最佳实践”部分。