zypper patch vollautomatisch?

[Ulli Horlacher]

Wie kann man bei SLES 11 vollautomatisch patches einspielen?

Mein Versuch scheitert:

# zypper --non-interactive patch --auto-agree-with-licenses

Loading repository data...
Reading installed packages...
Warning: 'slessp0-kernel' is interactive, skipping.

Problem: patch:slessp0-bind-1617.noarch conflicts with
bind-chrootenv.x86_64 < 9.5.0P2-20.4.1 provided by
bind-chrootenv-9.5.0P2-20.1.x86_64
Solution 1: do not keep bind-chrootenv-9.5.0P2-20.1.x86_64 installed
Solution 2: do not install patch:slessp0-bind-1617.noarch

Choose from above solutions by number or cancel [1/2/C]: c


SuSe erwartet doch nicht etwa, dass ich >100 Systeme MANUELL patche?!

[Günther Schwarz]

Post by Ulli Horlacher
Wie kann man bei SLES 11 vollautomatisch patches einspielen?
# zypper --non-interactive patch --auto-agree-with-licenses

zypper up -y --auto-agree-with-licenses

Günther

[Ulli Horlacher]

Post by Günther Schwarz

Post by Ulli Horlacher
Wie kann man bei SLES 11 vollautomatisch patches einspielen?
# zypper --non-interactive patch --auto-agree-with-licenses

zypper up -y --auto-agree-with-licenses

Nein, ich will keine updates einspielen, nur (security-)patches.

[Günther Schwarz]

Post by Ulli Horlacher

Post by Günther Schwarz

Post by Ulli Horlacher
Wie kann man bei SLES 11 vollautomatisch patches einspielen?
# zypper --non-interactive patch --auto-agree-with-licenses

zypper up -y --auto-agree-with-licenses

Nein, ich will keine updates einspielen, nur (security-)patches.

Novell stiftet da etwas Verwirrung mit Begriffen. Ein patch ist, soweit
ich das verstanden habe, ein Paket aus RPM-Paketen, evt. mit einem
Installationsskript. So ein patch kann Sicherheitslücken stopfen oder
einfach Bugfixes enthalten. Neue Versionen, z.B. Firefox 3.5 statt 3.0,
bekommt man üblicherweise nicht über zypper. Und wenn, wäre das mit
"zypper dist-upgrade" oder nach einem Wechsel einer Installationsquelle.
"zypper up" funktioniert hier jedenfalls schon länger unter SLES und
OpenSUSE und bisher ohne unerwünschte Upgrades.

Günther

[Dieter Intas]

Post by Ulli Horlacher

Post by Günther Schwarz

Post by Ulli Horlacher
Wie kann man bei SLES 11 vollautomatisch patches einspielen?

Sollte eigentlich nicht anders sein, als bei openSUSE 11! YaST hilft
dir weiter bzw. da kannst du alle Einstellungen vornehmen.

Post by Ulli Horlacher

Post by Günther Schwarz

Post by Ulli Horlacher
# zypper --non-interactive patch --auto-agree-with-licenses

Na klar - da fehlt das <Kommando> update bzw up.

Gebrauch:
zypper [--Globale-Optionen] <Kommando> [--Kommandooptionen]
[Argumente]

Siehe: zypper help

Post by Ulli Horlacher

Post by Günther Schwarz
zypper up -y --auto-agree-with-licenses

Nein, ich will keine updates einspielen, nur (security-)patches.

Ach nee - ohne Updates gibt's keine (security-)patches!

Wenn du keine Versionen-Updates oder andere haben möchtest, dann musst
du entsprechende Repositories halt deaktivieren ...

ansonsten kann ich dir (wie schon oben erwähnt) nur YaST empfehlen!

[Günther Schwarz]

Post by Ulli Horlacher
Wie kann man bei SLES 11 vollautomatisch patches einspielen?

Sollte eigentlich nicht anders sein, als bei openSUSE 11! YaST hilft dir
weiter bzw. da kannst du alle Einstellungen vornehmen.

Ulli betreut offenbar ein Cluster mit mehr als 100 Installationen. Da ist
YAST2 höchstens dann eine Möglichkeit, wenn man die Arbeit einem
Praktikanten aufhalsen kann.

Günther

[Ulli Horlacher]

Post by Dieter Intas

Post by Ulli Horlacher
Wie kann man bei SLES 11 vollautomatisch patches einspielen?

Sollte eigentlich nicht anders sein, als bei openSUSE 11! YaST hilft
dir weiter bzw. da kannst du alle Einstellungen vornehmen.

Mir ist neu dass man mit yast jobs automatisieren kann.

Post by Dieter Intas

Post by Ulli Horlacher
# zypper --non-interactive patch --auto-agree-with-licenses

Na klar - da fehlt das <Kommando> update bzw up.

Nein, ich will kein update durchfuehren, sondern patches einspielen und
das Kommando dazu heisst patch. Steht in der Zeile oben.

Post by Dieter Intas
Wenn du keine Versionen-Updates oder andere haben möchtest, dann musst
du entsprechende Repositories halt deaktivieren ...

Es gibt kein patch-only repository bei SLES.

Post by Dieter Intas
ansonsten kann ich dir (wie schon oben erwähnt) nur YaST empfehlen!

Schon mal auf mehreren hundert Systemen mit yast gearbeitet?

[Dieter Intas]

Post by Ulli Horlacher

Post by Dieter Intas

Post by Ulli Horlacher
Wie kann man bei SLES 11 vollautomatisch patches einspielen?

Sollte eigentlich nicht anders sein, als bei openSUSE 11! YaST hilft
dir weiter bzw. da kannst du alle Einstellungen vornehmen.

Mir ist neu dass man mit yast jobs automatisieren kann.

Zumindest Updates.

Post by Ulli Horlacher

Post by Dieter Intas

Post by Ulli Horlacher
# zypper --non-interactive patch --auto-agree-with-licenses

Na klar - da fehlt das <Kommando> update bzw up.

Nein, ich will kein update durchfuehren, sondern patches einspielen und
das Kommando dazu heisst patch. Steht in der Zeile oben.

Pardon - habe ich übersehen ...

Post by Ulli Horlacher

Post by Dieter Intas
Wenn du keine Versionen-Updates oder andere haben möchtest, dann musst
du entsprechende Repositories halt deaktivieren ...

Es gibt kein patch-only repository bei SLES.

Die Updates sind doch nichts anderes als Patches oder ein Patch ist doch
nichts anderes als ein Update ...

Oder anders ausgedrückt: Die Patches befinden sich in dem Repository für
Updates ...

Post by Ulli Horlacher

Post by Dieter Intas
ansonsten kann ich dir (wie schon oben erwähnt) nur YaST empfehlen!

Schon mal auf mehreren hundert Systemen mit yast gearbeitet?

Nein - aber zum Unterschied zu mir, Du hast einen Support!

Was sagt zypper lp (Benötigte Patches auflisten)

und was macht zypper patch (Benötigte Patches installieren)

bzw. zypper pchk (Auf Patches prüfen)

Funktioniert das nicht - gibt es irgend welche Meldungen?

Ansonsten hoffe ich, dass wir uns nicht missverstehen!

[Ulli Horlacher]

Post by Dieter Intas

Post by Ulli Horlacher
Mir ist neu dass man mit yast jobs automatisieren kann.

Zumindest Updates.

Ich will aber keine updates einspielen, sondern nur (security-)patches.

Post by Dieter Intas

Post by Ulli Horlacher

Post by Dieter Intas
Wenn du keine Versionen-Updates oder andere haben möchtest, dann musst
du entsprechende Repositories halt deaktivieren ...

Es gibt kein patch-only repository bei SLES.

Die Updates sind doch nichts anderes als Patches oder ein Patch ist doch
nichts anderes als ein Update ...
Oder anders ausgedrückt: Die Patches befinden sich in dem Repository für
Updates ...

Und wie verhindert man das automatische Einspielen von nicht-patches?

Post by Dieter Intas

Post by Ulli Horlacher
Schon mal auf mehreren hundert Systemen mit yast gearbeitet?

Nein - aber zum Unterschied zu mir, Du hast einen Support!

Nein.

Post by Dieter Intas
Was sagt zypper lp (Benötigte Patches auflisten)
und was macht zypper patch (Benötigte Patches installieren)

Fraegt interaktiv nach. Das kann ich nicht gebrauchen.

[Michael Kohaupt]

Post by Ulli Horlacher
Und wie verhindert man das automatische Einspielen von nicht-patches?

Aktualisierungsverwaltung:
1. zypper up: Alle installierten Pakete mit neueren Versionen
aktualisieren.

2. zypper dup: Eine Distributionsaktualisierung durchführen.

3. zypper patch: Benötigte Patches installieren.

1. und 2. willst du nicht, also ist 3. richtig.

Lass dich nicht verwirren, wenn da was von "Daddelspiel", "Konsole",
"Programmxyz" auftaucht. Das sind dann auch _benötigte_
Sicherheitseinspielungen.

Gruss
Michael

[Ulli Horlacher]

Post by Michael Kohaupt

Post by Ulli Horlacher
Und wie verhindert man das automatische Einspielen von nicht-patches?

1. zypper up: Alle installierten Pakete mit neueren Versionen
aktualisieren.
2. zypper dup: Eine Distributionsaktualisierung durchführen.
3. zypper patch: Benötigte Patches installieren.
1. und 2. willst du nicht, also ist 3. richtig.

Du hast die Zusatzbedingung aus meinem Ursprungsartikel ueberlesen:
Es muss (voll-)automatisch gehen, ohne Interaktion.
Und genau das geht mit "zypper patch" nicht. Das *ZENSIERTE* Programm
fraegt nach. Oder patcht nicht.

Mit der Methode kann man keine Server-Farm administrieren.

[Jo Tin]

Hallo,

Post by Ulli Horlacher

Post by Michael Kohaupt

Post by Ulli Horlacher
Und wie verhindert man das automatische Einspielen von nicht-patches?

1. zypper up: Alle installierten Pakete mit neueren Versionen
aktualisieren.
2. zypper dup: Eine Distributionsaktualisierung durchführen.
3. zypper patch: Benötigte Patches installieren.
1. und 2. willst du nicht, also ist 3. richtig.

Es muss (voll-)automatisch gehen, ohne Interaktion.
Und genau das geht mit "zypper patch" nicht. Das *ZENSIERTE* Programm
fraegt nach. Oder patcht nicht.
Mit der Methode kann man keine Server-Farm administrieren.

Reicht "zypper -n patch" nicht?
Allerdings kann das auch zu unerwünschten Ergebnissen führen wenn man nicht
gefragt wird.

Gruß Jo

[Henning Paul]

Post by Jo Tin
Reicht "zypper -n patch" nicht?
Allerdings kann das auch zu unerwünschten Ergebnissen führen wenn man
nicht gefragt wird.

Ich bin im übrigen der Meinung, dass eine Situation wie im OP gar nicht
auftreten darf, wenn man nur das Update-Repo als Quelle eingebunden
hat. Das sah mir eher so aus, als wäre mindestens ein inoffizielles
Paket, z.B. aus dem Build Service installiert gewesen. Dann hat man eh
sämtlichen Support und alle Garantien verwirkt und sich allein
in "Gottes Hände" begeben, wie man so schön sagt. :-)

Gruß
Henning

[Ulli Horlacher]

Post by Henning Paul
Ich bin im übrigen der Meinung, dass eine Situation wie im OP gar nicht
auftreten darf, wenn man nur das Update-Repo als Quelle eingebunden
hat. Das sah mir eher so aus, als wäre mindestens ein inoffizielles
Paket

Nein, hab ich nicht.
Ich gab nur die offiziellen repositories eingebunden.

[Jo Tin]

Hallo,

Post by Ulli Horlacher

Post by Henning Paul
Ich bin im übrigen der Meinung, dass eine Situation wie im OP gar nicht
auftreten darf, wenn man nur das Update-Repo als Quelle eingebunden
hat. Das sah mir eher so aus, als wäre mindestens ein inoffizielles
Paket

Nein, hab ich nicht.
Ich gab nur die offiziellen repositories eingebunden.

Warum die offiziellen? Für patche reicht doch das Update-Repo.
Du könntest ja auch für die patche eine extra config angeben, in der nur das
Update-Repo aktiv ist. Evtl. war das ja auch nur ein einmaliger Fehler.

Gruß Jo

[Holger Petersen]

Post by Jo Tin
Hallo,

Post by Ulli Horlacher

Ich bin im uebrigen der Meinung, dass eine Situation wie im OP gar nicht
auftreten darf, wenn man nur das Update-Repo als Quelle eingebunden
hat. Das sah mir eher so aus, als waere mindestens ein inoffizielles
Paket

Nein, hab ich nicht.
Ich gab nur die offiziellen repositories eingebunden.

Warum die offiziellen? Fuer patche reicht doch das Update-Repo.
Du koenntest ja auch fuer die patche eine extra config angeben, in der nur das
Update-Repo aktiv ist. Evtl. war das ja auch nur ein einmaliger Fehler.

Offensichtlich sind alle zu 'patchenden' Rechner direkt am Internet?

Sobald der erste nicht mehr darauf zugreifen kann wirst Du ein Pro-
blem bekommen. Und die Loesung ist schon heute sehr einfach:

- Die Patches selbst in eine Repo-Struktur downloaden
- mit diesem Repo einen Update-Test machen!
= einzelne Pakete loeschen wenn sie zu Konflikten fuehren
= andere Pakete nachladen, wenn sie fehlen
- wenn Du zufrieden bist, dieses Repo fuer alle anderen Rechner
als Quelle angeben

Gruss, Holger

[Jo Tin]

Hallo,

Post by Holger Petersen
Offensichtlich sind alle zu 'patchenden' Rechner direkt am Internet?
Sobald der erste nicht mehr darauf zugreifen kann wirst Du ein Pro-
- Die Patches selbst in eine Repo-Struktur downloaden
- mit diesem Repo einen Update-Test machen!
= einzelne Pakete loeschen wenn sie zu Konflikten fuehren
= andere Pakete nachladen, wenn sie fehlen
- wenn Du zufrieden bist, dieses Repo fuer alle anderen Rechner
als Quelle angeben

Deswegen verstehe ich auch nicht ganz warum er alles ohne Nachfrage auf 100
Rechner installieren will.

Gruß Jo

[Ulli Horlacher]

Post by Jo Tin
Reicht "zypper -n patch" nicht?

Steht bereits im ersten Artikel dieses threads.

[Günther Schwarz]

Post by Ulli Horlacher

Post by Dieter Intas

Post by Ulli Horlacher
Mir ist neu dass man mit yast jobs automatisieren kann.

Zumindest Updates.

Ich will aber keine updates einspielen, sondern nur (security-)patches.

Ich fürchte, die Diskussion muß noch mal ganz auf Anfang zurückgespult
werden. Ein "patch" ist im Novellsprech nicht notwendigerweise ein Patch
für ein Sicherheitsproblem. Und ein "update" kann sehr wohl ein Patch für
eine Lücke sein. AFAIK unterscheidet das Updatesystem überhaupt nicht
zwischen sicherheitsrelevanten und sonstigen Bugfixes.

Werden die Server mit ZEN oder SMT gepatcht, oder sind sie direkt an die
Repositories von Novell angebunden?

Günther

[Werner Flamme]

Post by Günther Schwarz

Post by Ulli Horlacher

Post by Dieter Intas

Post by Ulli Horlacher
Mir ist neu dass man mit yast jobs automatisieren kann.

Zumindest Updates.

Ich will aber keine updates einspielen, sondern nur (security-)patches.

Ich fürchte, die Diskussion muß noch mal ganz auf Anfang zurückgespult
werden. Ein "patch" ist im Novellsprech nicht notwendigerweise ein Patch
für ein Sicherheitsproblem. Und ein "update" kann sehr wohl ein Patch für
eine Lücke sein. AFAIK unterscheidet das Updatesystem überhaupt nicht
zwischen sicherheitsrelevanten und sonstigen Bugfixes.

Was auch immer es ist: Patches kommen aus dem jeweiligen
Update-Verzeichnis, also z. B.
<http://download.opensuse.org/update/11.2>. Alles andere im Buildsystem
enthält keine Patch- oder Delta-rpms, weil der Bau zu aufwendig ist.

Ein "zypper lu -t patch" zeigt nur Patches aus dem Update-Repo, ein
"zypper patch" spielt auch nur diese ein. Dass da manchmal "merkwürdige"
Software betroffen ist, liegt an den Abhängigkeiten. "zypper patch" gibt
es seit oS 11.1 als Synonym für "zypper up -t patch". Der Parameter "-l"
(oder "--auto-agree-with-licenses") sollte funktionieren. "zypper -n
patch -l" als Cronjob könnte etwas machen.

Oder ein auf einem (NFS?-)Volume bereitgestelltes Paketbündel mit Option
--no-remote, wenn man ganz sicher gehen will? Man kann aber auch "zypper
patch -r $updatereponame" angeben, ist vielleicht einfacher.

Wenn der Befehl "zypper -n update -t patch -l --force-resolution"
genommen wird, sollte ein Konflikt wie der im OP automagisch aufgelöst
werden, wenn ich "man zypper" richtig interpretiere. Aber ich
installiere jetzt kein bind, um das auszuprobieren ;-) Und slessp0 habe
ich schon sehr lange nicht mehr :-p

Post by Günther Schwarz
Werden die Server mit ZEN oder SMT gepatcht, oder sind sie direkt an die
Repositories von Novell angebunden?

Ich glaube, wenn ZEN zum Update genommen würde (SMT kenne ich nicht),
wäre die Frage hier nicht aufgetaucht...

HTH
Werner

[Ulli Horlacher]

Post by Werner Flamme
(oder "--auto-agree-with-licenses") sollte funktionieren. "zypper -n
patch -l" als Cronjob könnte etwas machen.

Ja es macht was: es ignoriert patches, die ohne "-n" interaktiv nachfragen.
So zB neue kernel. Die werden dann einfach nicht installiert und das alte
security-Loch bleibt erhalten.

Hab ich bereits im 1. Artikel diesen threads geschrieben. Liest hier denn
keiner den thread bevor er antwortet?

[Werner Flamme]

Post by Ulli Horlacher

Post by Werner Flamme
(oder "--auto-agree-with-licenses") sollte funktionieren. "zypper -n
patch -l" als Cronjob könnte etwas machen.

Ja es macht was: es ignoriert patches, die ohne "-n" interaktiv nachfragen.
So zB neue kernel. Die werden dann einfach nicht installiert und das alte
security-Loch bleibt erhalten.
Hab ich bereits im 1. Artikel diesen threads geschrieben. Liest hier denn
keiner den thread bevor er antwortet?

Bitte entschuldige, dass ich das überlesen habe. Muss beim Lesen des
Rest-Threads irgendwie überschrieben worden sein. Memory corruption
error, so to speak ;-)

Aber es gibt ja nun mal interaktive Patches, und die heißen interaktiv,
weil sie Interaktion erfordern. Es ist nicht unbedingt logisch, dass die
auch non-interaktiv eingespielt werden können.

Werner

[Ulli Horlacher]

Post by Günther Schwarz
Werden die Server mit ZEN oder SMT gepatcht, oder sind sie direkt an die
Repositories von Novell angebunden?

Letzteres, wenn auch indirekt ueber einen lokalen YUP-mirror.

[Günther Schwarz]

Post by Ulli Horlacher

Post by Günther Schwarz
Werden die Server mit ZEN oder SMT gepatcht, oder sind sie direkt an
die Repositories von Novell angebunden?

Letzteres, wenn auch indirekt ueber einen lokalen YUP-mirror.

Da ließen sich die Updates/Patches im Prinzip am Server filtern. Letzten
Endes wird aber nicht viel anderes übrigbleiben, als mit
opensuse-security-***@opensuse.org
nach sicherheitsrelevanten Paketen zu suchen und die dann gezielt mit
einem Skript auf den Maschinen einzuspielen. Cfengine macht sowas ohne
großen Aufwand.

Das Zauberwort fürs Patchen ohne Nachfragen heißt übrigens "-y", wie ich
schon in <***@mid.individual.net> verraten hatte. Soweit ich
weiß, ist die Option nicht dokumentiert. Ich kann mich aber nicht
erinnern, damit schon einmal einen Kernel, acroread oder solches Zeugs
nicht automagisch gepatched zu haben.

Günther

[Jo Tin]

Hallo,

Post by Günther Schwarz
Das Zauberwort fürs Patchen ohne Nachfragen heißt übrigens "-y", wie ich
weiß, ist die Option nicht dokumentiert. Ich kann mich aber nicht
erinnern, damit schon einmal einen Kernel, acroread oder solches Zeugs
nicht automagisch gepatched zu haben.

-y, --no-confirm
Don't require user interaction. This option is implemented using zypper's
non-interactive mode.

Hatte er doch dann schon drin.

Gruß Jo