Hello,
Entre l’ancienne stable et buster, unattended-upgrade ne fonctionne plus trop de la même façon, du moins la structure du fichier de conf a un peu changé.
Avant, j’avais fait en sorte de ne descendre, même en prod, que les upgrades liées au canal sécurité (et sauf erreur, je crois qu’il s’agissait aussi d’une configuration par défaut), aujourd’hui, la configuration par défaut (une fois encore “sauf erreur”) est de tout choper. Dangereux.
J’ai donc essayé de bricoler la conf pour n’avoir que les maj de sécurité, mais ça ne fonctionne pas. En tout cas, en presque 2 mois, je n’ai pas vu passer une seule maj (même sur un gros serveur de dev, bourré de paquets).
Unattended-Upgrade::Origins-Pattern {
"origin=Debian,codename=${distro_codename},label=Debian-Security";
};
Unattended-Upgrade::Package-Blacklist {
"grub*";
};
Unattended-Upgrade::Automatic-Reboot "false";
Sous : /etc/apt/apt.conf.d/50unattended-upgrades
Un dry-run donne ceci :
unattended-upgrade -d --dry-run
Initial blacklist : grub*
Initial whitelist:
Démarrage du script de mise à niveau automatique
Les origines permises sont: origin=Debian,codename=buster,label=Debian-Security
Using (^linux-image-[0-9]+\.[0-9\.]+-.*|^linux-headers-[0-9]+\.[0-9\.]+-.*|^linux-image-extra-[0-9]+\.[0-9\.]+-.*|^linux-modules-[0-9]+\.[0-9\.]+-.*|^linux-modules-extra-[0-9]+\.[0-9\.]+-.*|^linux-signed-image-[0-9]+\.[0-9\.]+-.*|^linux-image-unsigned-[0-9]+\.[0-9\.]+-.*|^kfreebsd-image-[0-9]+\.[0-9\.]+-.*|^kfreebsd-headers-[0-9]+\.[0-9\.]+-.*|^gnumach-image-[0-9]+\.[0-9\.]+-.*|^.*-modules-[0-9]+\.[0-9\.]+-.*|^.*-kernel-[0-9]+\.[0-9\.]+-.*|^linux-backports-modules-.*-[0-9]+\.[0-9\.]+-.*|^linux-modules-.*-[0-9]+\.[0-9\.]+-.*|^linux-tools-[0-9]+\.[0-9\.]+-.*|^linux-cloud-tools-[0-9]+\.[0-9\.]+-.*|^linux-buildinfo-[0-9]+\.[0-9\.]+-.*|^linux-source-[0-9]+\.[0-9\.]+-.*) regexp to find kernel packages
Using (^linux-image-4\.19\.0\-6\-amd64$|^linux-headers-4\.19\.0\-6\-amd64$|^linux-image-extra-4\.19\.0\-6\-amd64$|^linux-modules-4\.19\.0\-6\-amd64$|^linux-modules-extra-4\.19\.0\-6\-amd64$|^linux-signed-image-4\.19\.0\-6\-amd64$|^linux-image-unsigned-4\.19\.0\-6\-amd64$|^kfreebsd-image-4\.19\.0\-6\-amd64$|^kfreebsd-headers-4\.19\.0\-6\-amd64$|^gnumach-image-4\.19\.0\-6\-amd64$|^.*-modules-4\.19\.0\-6\-amd64$|^.*-kernel-4\.19\.0\-6\-amd64$|^linux-backports-modules-.*-4\.19\.0\-6\-amd64$|^linux-modules-.*-4\.19\.0\-6\-amd64$|^linux-tools-4\.19\.0\-6\-amd64$|^linux-cloud-tools-4\.19\.0\-6\-amd64$|^linux-buildinfo-4\.19\.0\-6\-amd64$|^linux-source-4\.19\.0\-6\-amd64$) regexp to find running kernel packages
pkgs that look like they should be upgraded:
Fetched 0 B in 0s (0 B/s)
fetch.run() result: 0
blacklist: ['grub*']
whitelist: []
Aucun paquet à mettre à niveau automatiquement ni à supprimer automatiquement
Une idée de ce qui cloche ? Ou alors il y a vraiment très peu de maj de sécurités sous debian (mon ancienne prod est une ubuntu 16 et le canal sécurité pousse très régulièrement des trucs), ce qui est un signale plutôt positif au final.