如何轻松设置Ubuntu Yum实现自动更新，确保系统安全无忧？

不要让繁琐的更新工作消磨你对技术的热情。把那些重复、机械的工作交给脚本和自动化工具，把你的精力花在更有价值的创造性工作上吧。希望这篇指南能帮助你打造一个坚不可摧的Ubuntu系统， 是吧？ 无论是面对黑客的攻击，还是面对懒惰的自己，都能从容应对。现在去喝杯咖啡，让你的服务器自己去忙碌吧！

告别手动打补丁的焦虑：Ubuntu自动更新完全指南

服务器或者个人电脑的平安问题就像悬在头顶的达摩克利斯之剑， 虽然我们有时候会开玩笑地念叨着Yum，但其实吧，掌管软件包大权的是APT。今天我们就来深入探讨如何在Ubuntu环境下配置一套既智能又“听话”的自动更新机制。这不仅是为了省事，更是为了在那些你无法时刻盯着屏幕的深夜，给系统穿上一层隐形的铠甲，嚯...。

先澄清一个“身份危机”

很多新手朋友看到标题里的“Yum”会感到困惑， 或者是主要原因是习惯了RPM系的命令行，在Ubuntu终端里敲入`yum update`然后得到一个“命令未找到”的错误。恕我直言，如果你确实是在Ubuntu上寻找YulerAngles，那可能是走错片场了。不过 好消息是Ubuntu提供的自动更新工具——unattended-upgrades其功能之细腻和配置之灵活，绝对不输给Yum-cron。所以让我们忘掉Yum，拥抱APT吧，总结一下。。

安装并启用 unattended-upgrades

先说说我们需要确保系统里已经安装了这个工具。打开你的终端， 输入以下命令：

sudo apt update
sudo apt install unattended-upgrades update-notifier-common

安装过程很快，你会看到终端里刷过一堆文字。在这个过程中，安装程序可能会弹出一个配置界面问你是否要自动下载并安装稳定的更新。虽然你可以在这里选择“Yes”，PPT你。但为了演示如何手动精细配置， 我们建议先选择“No”或者稍后通过配置文件修改，这样你能更清楚地知道每一步在做什么。

配置自动更新规则

原来如此。 这是整个过程中最核心，也是最让人头疼的部分。配置文件位于/etc/apt/apt.conf.d/50unattended-upgrades。虽然名字看起来有点长，但用nano编辑器打开它并不难。当你看到这个文件的内容时不要被里面密密麻麻的代码吓到。大部分行都是以//开头的，这意味着它们被注释掉了也就是不起作用。我们关注Unattended-Upgrade::Origins-Pattern这一块。

礼貌吗？ 默认情况下配置文件中应该已经有一行关于平安更新的配置， 它看起来大概是这样的：

Unattended-Upgrade::Origins-Pattern {
    // ...
    "origin=Ubuntu,codename=${distro_codename},label=Ubuntu-Security";
    // ...
};

这行代码的意思是：只自动安装那些来源是Ubuntu，且当前代号匹配，标签为“Security”的软件包。这是最保守也是最平安的策略。 我们都经历过... 好吧好吧， 如果你希望系统更“激进”一点，比如自动安装所有的更新，你可以取消对其他行的注释，或者手动添加新的规则。

太刺激了。 这里我要插一句，虽然开启所有更新听起来很诱人，但请务必谨慎。有时候，一个普通的软件包更新可能会引入新的Bug，甚至导致服务无法启动。对于生产环境， 我强烈建议只保留“Security”这一行的自动更新，其他的还是手动操作比较稳妥，我狂喜。

比方说 为了包含非平安的更新，你可以添加updates源：

Unattended-Upgrade::Origins-Pattern {
    // ...
    "origin=Ubuntu,codename=${distro_codename},label=Ubuntu-Security";
    "origin=Ubuntu,codename=${distro_codename},label=Ubuntu-Updates";
    // ...
};

配置自动重启

再说一个，你还可以查看日志文件来了解历史运行情况。日志文件通常位于/var/log/unattended-upgrades/目录下翻旧账。在终端中输入以下命令， 这会以“调试”模式运行一次自动更新，并在屏幕上输出详细的日志：，挖野菜。

sudo unattended-upgrade -d

仔细观察屏幕上的输出。它会告诉你有哪些包可以更新，哪些被黑名单过滤掉了以及是否需要下载。如果显示“Done”或者“Success”，恭喜你，你的配置是正确的！如果报错了根据错误提示回头检查配置文件，通常都是语法错误。

我整个人都不好了。 配置完了千万别就这么拍拍屁股走人。谁知道你的配置文件里是不是少了一个分号，痛并快乐着。或路径写错了？最好的办法是手动模拟一次自动更新，看看它会不会乖乖听话。

配置邮件通知

“眼不见为净”在运维中是大忌。既然把更新交给了自动化，我们就得知道它到底干了什么。 大胆一点... 可以在。在同一个配置文件中，找到关于邮件通知的部分。

Unattended-Upgrade::Mail "";
Unattended-Upgrade::MailOnlyOnError "true";

别犹豫... 取消这些行的注释，并将邮箱地址改成你自己的。如果你只想在出错时收到邮件， 就保留MailOnlyOnError为“true”；如果你想每次更新后都收到一份详细的报告，试着...就把它改成“false”。看着每天早上收到的“系统已成功更新”的邮件，那种成就感简直爆棚。

自动重启设置

有些内核更新或者系统库的更新，安装完成后必须重启才能生效。默认情况下 unattended-upgrades是不会自动重启系统的，客观地说... 主要原因是它怕把你正在运行的重要程序给“干掉”了。 加油！ 如果你有一台专门用于测试的机器，或者你确实需要保持内核最新，你可以开启自动重启功能。在配置文件中找到以下两行， 并修改它们：

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "02:00";

第一行开启了自动重启，第二行设置了重启的时间。这里我设置的是凌晨2点，通常这个时候是访问量最低的时候。请根据你的业务高峰期调整这个时间。如果你不想重启， 那就保持默认的“false”，但这意味着你需要手动重启机器来应用某些关键更新，PPT你。

配置文件修改完毕并保存后我们需要确保这个服务是开启的。在较新的Ubuntu版本中， 我开心到飞起。 通常使用systemd来管理，造起来。

sudo systemctl enable unattended-upgrades
sudo systemctl start unattended-upgrades

或者，你也可以使用dpkg-reconfigure工具来交互式地启用它：

sudo dpkg-reconfigure -plow unattended-upgrades

我懂了。 琢磨琢磨。在弹出的窗口中选择“Yes”，这样系统就会自动创建必要的定时任务。

日志查看

你可以通过以下命令查看自动更新的日志：

cat /var/log/unattended-upgrades/unattended-upgrades.log

配置选项速查表

为了方便大家快速查阅，我把一些常用的配置项整理成了下面的表格。你可以根据自己的需求，在/etc 掉链子。 /apt/apt.conf.d/50unattended-upgrades文件中寻找并修改它们。

栓Q了... 自动更新并不是要让你对系统失去控制， 而是将那些枯燥、重复且风险较低的工作自动化。想象一下 当你的系统在凌晨3点默默地下载并安装了修复OpenSSL漏洞的补丁，而你还在睡梦中，这种平安感是无价的。当然 这并不意味着我们可以当甩手掌柜，合理的配置才是关键，否则一次不兼容的自动更新可能会让你的服务在早高峰时段“娱乐”，那场面可就尴尬了说实话。

大胆一点。在Ubuntu及其衍生版中，默认的包管理器是APT。虽然名字不同，但它们干的事情是一样的：管理软件包的安装、更新和卸载。如果你确实是在Ubuntu上寻找Yum，那可能是走错片场了。不过 好消息是Ubuntu提供的自动更新工具——unattended-upgrades其功能之细腻和配置之灵活，绝对不输给Yum-cron。所以让我们忘掉Yum，拥抱APT吧，不错。。

设置Ubuntu自动更新，本质上是在“平安性”和“稳定性”之间寻找一个平衡点。通过unattended-upgrades我们不仅实现了类似Yum自动更新的功能，甚至在某些细节上做得更好。虽然配置过程看起来有点繁琐， 需要编辑那些晦涩的配置文件，但一旦配置完成，那种“高枕无忧”的感觉是绝对值得的，得了吧...。