サーバーのソフトウェアのアップデートについて

Question

サーバーのソフトウェアのアップデートについて、
質問させてください。

サーバーを運用していると、
使用しているソフトウェアに脆弱性などが見つかり、
アップデートする必要がある場合が出てきます。

例えば、Linuxなどであれば、
yum updateなどで一括アップデーとできると思いますが、
何かのシステムを組んでいる場合、
ソフトウェアをアップデートしたことで動作しない、
動作に不具合が出る場合があるのではないかと思います。

実際の運用の時には、
どのような手順でソフトウェアアップデートを
行うものなのでしょうか?

例えば、テスト環境でソフトウェアアップデートを行い、
そこでシステムの動作確認がとれれば、
本番環境の方を同様にアップデートなど。

それとも動作テストなどはせずに、
とりあえずアップデートを行うケースなどあるのでしょうか。

動作テストは必須なのかと思っておりますが、
サーバー運用などされている方がいましたら、
教えていただけますと幸いです。

よろしくお願いいたします。

Answer 1

テスト環境でうまく更新できるか検証しつつ、本番環境はそのまま維持して稼働し続けるという運用になるようです。
以下のサイトを参考になさってはいかがでしょうか。
大量サーバの yum update を考える - アメーバブログ
サーバのアップデートとEUS Kazuo Moriwaka 1496 - SlideShare

Comments

[1nakaji]

参考リンクありがとうございます。
非常に丁寧に書かれていますね。

参考にさせていただきます。

Answer 2

基本的な事ですが

サーバ環境構築時にyum updateで一括アップデートする事は良くあります。
ですが、既に運用を開始しているサーバに対して、上記のような一括アップデートを行う事は極めて稀ではないでしょうか？

もし私が、そのような作業を依頼された場合、
・断る
・別サーバに同環境を構築し影響範囲を調べ尽くした後に対応を行う
（正直、時間と根気がいる作業になります。）
の2択になるかと思います。

勿論、脆弱性等の対応として緊急的なアップデートもあるかと思いますが、基本的には一括アップデートでは無くモジュール単位の最小アップデートを選択します。

特にオープンソース系の言語をインストールしているとアップデートに伴うシステム障害が発生しないとも限らないので。

Comments

[1nakaji]

ご丁寧な回答ありがとうございます。

なるほど、
やはり一括アップデートはしないということですね。
非常に参考になります。

モジュール単位の最小アップデートということですが、

これについても原則テスト環境で行ったあとで、
本番環境で行うという流れでされるという認識で、
いいのでしょうか。

まあいきなり本番環境をアップデートするのは、
怖くてできないですが・・・。

[takayukiinaba]

1nakajiさん

> これについても原則テスト環境で行ったあとで、
> 本番環境で行うという流れでされるという認識で、
> いいのでしょうか。

こちらに関しても、原則的にはテスト機での動作確認後本番環境適用することをお勧め致します。
ですが、私の場合は余り本番環境のモジュールアップデートは、脆弱性対応の緊急アップデートしか対応しておりません。

例えば、昨今報告されたOpenSSL、Bash、NtpなどのOSに依存しているようなモジュール関連の対応は行いしましたが、PHPやJavaなどのモジュールに関しては基本的にアップデートしておりません。

もしアップデートするのであれば、サーバを再構築する時までアップデートを延期します。

また、PHP5.4系統をPHP5.5に変更するなど明らかに影響が出そうな物も避けております。

PHP5.4.12をPHP5.4.XXなどの同系統バージョンでのアップデートも余りした事がありません。
ただしVPSや専用サーバなどオリジナルで環境を構築している時に発生するのですが、PHPのモジュール等最小インストールしてた場合、モジュールの追加インストールを行う際に最新モジュールが適応（既にインストールされたモジュールに対してアップデートが実行）されてしまうため予め想定出来る限りのモジュールはインストールするようにしています。

PHP同系統（PHP5.4.12をPHP5.4.XXなど）のアップデートであれば、それほど影響が出るという話は聞いた事が無いのですが・・・・。
悪までも、システムがそういったモジュールの仕変に対して柔軟に構築されているだけかもしれませんのでこちらは頭の片隅に入れておく程度にしておいて下さい。

また、他のオープン系言語に対しては上記内容を試した事が無いので正直判断しかねます。

[1nakaji]

ご回答ありがとうございます。
非常に参考になります。

やはり脆弱性対応以外は、
基本的には対応しないという流れなんですね。

よくわかりました。

もろもろ丁寧な説明をしていただきまして、
感謝いたします。

Answer 3

私は企業で SE をやっているわけではないので…
サーバー(VPS) のソフトウェアのアップデートは、気付いたときに(たまにログインしたときに)行うようにしています。
脆弱性は放置してはならないからです。
また、本来、マイナーバージョンの違いで誤動作するのはソフトウェアの方にも問題があることが多いことと、アップデートで動かなくなっても自己責任で戻すことが比較的容易であるからです。