CentOS Trigger更新策略

CentOS 更新触发策略与落地方案

一、概念与目标

• 在生产环境中，“Trigger”通常指由事件驱动的自动化动作，例如：检测到安全更新就自动安装、发现服务异常就自动重启、出现登录失败激增就自动封禁来源 IP。
• 目标是用标准化策略把“何时检查、检查到什么、如何处置、如何通知与回滚”固化，做到及时、一致、可审计，降低人工介入延迟与配置漂移风险。

二、按版本的更新触发策略

• 下表给出按系统版本的主流做法与关键配置，便于快速落地与对比。

• 说明：
  • 若只想“先下载、后人工安装”，将 apply_updates 设为 no，并配合邮件或 MOTD 通知。
  • 建议保留随机延迟（如 random_sleep）避免大规模节点同时更新。

三、事件驱动型触发策略

• 安全补丁优先（最小化变更）
  • 策略：仅对安全更新触发安装；必要时配合重启策略（仅在涉及内核/关键组件时重启）。
  • 实现：
    • CentOS 7：yum-cron 配置 update_cmd = security，apply_updates = yes。
    • CentOS 8：dnf-automatic 配置 upgrade_type = default，apply_updates = yes；如需仅安全更新，可结合脚本筛选或通过 Cockpit 选择“应用安全更新”。
• 服务自愈（可用性优先）
  • 策略：服务异常退出即自动重启；连续失败则隔离并告警。
  • 实现：systemd 服务设置 Restart=on-failure，配合 ExecStartPre/ExecStartPost 做健康检查；必要时用 systemd-path 或 inotify 触发维护脚本。
• 入侵响应（安全优先）
  • 策略：多次 SSH 登录失败自动封禁；关键命令执行触发审计与阻断。
  • 实现：
    • 使用 fail2ban 自动封禁来源 IP（触发防火墙规则）。
    • 使用 auditd 配置规则（如监控 execve）并在规则命中时执行脚本（告警/终止进程）。

四、落地配置示例

• 示例 A（CentOS 7，安全更新自动安装）
  1. 安装并启用 yum-cron sudo yum install -y yum-cron sudo systemctl enable --now yum-cron
  2. 配置安全更新与通知 /etc/yum/yum-cron.conf update_cmd = security download_updates = yes apply_updates = yes update_messages = yes email_to = admin@example.com email_from = root@localhost email_host = localhost
  3. 验证 tail -f /var/log/yum.log sudo systemctl status yum-cron
• 示例 B（CentOS 8，定时自动更新）
  1. 安装并启用 dnf-automatic.timer sudo dnf install -y dnf-automatic sudo systemctl enable --now dnf-automatic.timer
  2. 配置策略 /etc/dnf/automatic.conf [commands] upgrade_type = default random_sleep = 60 download_updates = yes apply_updates = yes [emitters] emit_via = email [email] email_from = root@localhost email_to = admin@example.com email_host = localhost
  3. 验证 systemctl list-timers dnf-
• 示例 C（事件驱动：SSH 暴力登录自动封禁）
  • 安装与启用 fail2ban sudo yum install -y fail2ban sudo systemctl enable --now fail2ban
  • 启用默认 sshd 监狱或自定义 jail.local，设置 maxretry、bantime、action（如 firewallcmd-ipset）。

五、最佳实践与风险控制

• 分级策略：生产环境优先“仅安全更新”，变更窗口内集中执行；非生产环境可“自动下载+人工审批”。
• 变更防护：启用 random_sleep、设置维护窗口、对内核/glibc等更新安排可控重启；关键业务采用蓝绿/金丝雀验证。
• 可观测与审计：统一收集 /var/log/yum.log、/var/log/audit/audit.log、journalctl 与 fail2ban 日志；必要时接入 邮件/SNMP/企业微信/钉钉 告警。
• 回滚预案：保留最近一次可用内核；对关键应用准备数据库/配置/静态资源回滚包与演练手册；重大变更前做快照/备份。
• 一致性管理：使用 Ansible/SaltStack 分发与审计更新策略；定期在测试环境验证后再推广到生产。