Schakel SLES Live Patching in en controleer een kernelcorrectie.

Een SLES-kernelupdate kan nog steeds de melding "herstart vereist" weergeven nadat Live Patching is ingeschakeld. Dit betekent niet automatisch dat de installatie is mislukt: live patches omvatten alleen correcties die SUSE veilig kan leveren voor de momenteel actieve kernel, terwijl een vervangende kernel of correcties die niet via live patching kunnen worden geïnstalleerd, nog steeds een herstart vereisen. De SUSE SLES 16.0 Kernel Live Patching-handleiding, gepubliceerd op 8 oktober 2026, beschrijft een nieuwere installatiemethode: installeer het kernel_livepatchingpatroon onder het standaard SLES-abonnement. SLES 15 SP7 gebruikt een aparte Live Patching-extensie en het lp_slespatroon.

Gebruik de procedure die specifiek voor uw release geldt, pas updates toe via de normale SUSE-pakketworkflow en controleer de actieve patch met klp -v patches. Deze stappen gaan ervan uit dat u beschikt over een geregistreerde SLES-host met toegang tot de ondersteunde update-repositories.

Configureer het pad voor live patching voor uw SLES-release.

1. Identificeer de release en de actieve kernel. Voer het volgende commando uit:

   cat /etc/os-release
   uname -r
   uname -m

   

   Noteer de SLES-release, de kernelversie en de architectuur. Live patch-pakketten komen overeen met een specifieke kernelrevisie, dus een pakket voor een andere actieve kernel bewijst niet dat de actieve kernel is gepatcht. De onderstaande commando's gebruiken de huidige SLES 16.0- en SLES 15 SP7-instructies; kopieer geen releasespecifiek patroon of activeringspad naar een andere versie.

2. Installeer op SLES 16.0 het meegeleverde patroon. Volgens de huidige handleiding van SUSE is Kernel Live Patching inbegrepen in het standaard SLES-abonnement. Installeer het bijbehorende patroon:

   sudo zypper install -t pattern kernel_livepatching

   

   Als uw repositories een geschikte live-patch voor de geïnstalleerde kernel bevatten, selecteert de pakketbeheerder deze tijdens de installatie; SUSE documenteert dat de kernel live-gepatcht is als onderdeel van dit proces. Er is geen extra registratiecode voor Live Patching nodig in deze SLES 16.0-procedure.

   Activeer de extensie eerst op SLES 15 SP7. Deze release vereist actieve SLES- en SLES Live Patching-abonnementen. Bekijk de beschikbare extensies en gebruik de exacte architectuurspecifieke activeringsopdracht die wordt weergegeven:

   sudo SUSEConnect --list-extensions
   sudo SUSEConnect -p sle-module-live-patching/15.7/x86_64 -r LIVE_PATCHING_REGISTRATION_CODE

   

   

   Het tweede commando is een x86_64-voorbeeld. Vervang dit door het exacte productpad dat in uw eigen --list-extensionsuitvoer wordt weergegeven en geef de geldige Live Patching-registratiecode op. Installeer vervolgens het vereiste patroon:

   sudo zypper install -t pattern lp_sles

   

   Activering alleen installeert de patronen of pakketten niet; voltooi beide stappen voordat u live patchpakketten van de updatekanalen kunt verwachten.

3. Voer regelmatig systeemupdates uit. Kernel-livepatches worden als pakketten via het reguliere updateproces geleverd. Gebruik voor een handmatige patchuitvoering dezelfde goedgekeurde onderhoudsworkflow als voor de rest van de host, bijvoorbeeld:

   sudo zypper refresh
   sudo zypper patch

   

   Bekijk het pakketplan zorgvuldig voordat u het bevestigt, vooral op productiesystemen. Een live-patchpakket kan in aanmerking komende correcties voor de actieve kernel bijwerken zonder de workloads opnieuw op te starten, maar dezelfde updatetransactie kan ook een nieuw basiskernelpakket aanbieden. Het installeren van dat kernelpakket kan nog steeds een herstartaanbeveling activeren. Live-patches zijn cumulatief voor de beoogde kernelrevisie; ze vervangen geen regulier kernelonderhoud.

4. Controleer of er een actieve patch beschikbaar is. Bekijk na de update de patchdetails:

   sudo klp -v patches

   

   SUSE beschrijft deze opdracht voor het controleren van de patchstatus en het bekijken van de CVE's of defecten die door de actieve live-patch worden verholpen. Controleer of de weergegeven patch overeenkomt met de actieve kernelversie die in stap 1 is vastgelegd. Een initieel of seed live-patchpakket bevat mogelijk geen correcties; het bereidt die kernelversie voor op toekomstige patches. De aanwezigheid ervan betekent op zich niet dat er een specifieke beveiligingscorrectie is toegepast.

5. Los problemen op met een lege of onjuiste status. Controleer of er een live-patchpakket bestaat voor de actieve kernel en of er lifecycle-gegevens beschikbaar zijn:

   sudo zypper se --details 'kernel-livepatch-*'
   sudo zypper lifecycle

   

   SUSE geeft aan dat het pakket voor de levenscyclusdatum lifecycle-data-sle-module-live-patchinggeïnstalleerd moet zijn. Als er geen patchpakket beschikbaar is voor de exact draaiende kernel, controleer dan of de juiste Live Patching-repositories of -kanalen zijn ingeschakeld en of de betreffende fix in aanmerking komt voor live patching. Ga er niet van uit dat er een probleem is opgetreden als de patchlijst leeg is en er geen geschikte update is uitgebracht.

6. Plan de herstart die nodig is voor een volledige kernelupdate. SUSE kan niet elke fix omzetten naar een live patch; sommige wijzigingen vereisen het vervangen van kerneldatastructuren of kunnen anderszins niet veilig tijdens runtime worden toegepast. Houd normale kernelupdates in uw onderhoudsplan en herstart de computer wanneer de update dit vereist. Vermijd het verbergen van herstartmeldingen door kernelpakketten voor onbepaalde tijd te vergrendelen: dit stelt volledige kernelfixes uit in plaats van ze live toe te passen.

   Voor een onderhoudsvenster zonder herstart mag u alleen verdergaan als de update een compatibel live-patchpakket voor de actieve kernel bevat en uw wijzigingsbeleid dit toestaat. Beschouw een volledige kernelpakketupdate als in behandeling totdat de host de nieuwe kernel heeft opgestart.

Controleer het resultaat

De controle is geslaagd wanneer klp -v patchesde actieve live-patch-informatie voor de kernel die wordt weergegeven door wordt geïdentificeerd uname -ren de verwachte oplossing in de patchdetails verschijnt. De host zou dezelfde actieve kernelversie moeten behouden, omdat er geen herstart heeft plaatsgevonden. Als de updatemanager toch om een ​​herstart vraagt, controleer dan of er een nieuwe basiskernel of een oplossing buiten het bereik van Live Patching is geïnstalleerd; een dergelijk verzoek is een onderhoudsvereiste en kan niet worden geannuleerd met het commando live-patch status.

Bronnen

• SUSE SLES 16.0: Kernel Live Patching
• SUSE SLES 15 SP7: Beheerhandleiding, Kernel Live Patching
• SUSE SLES 15 SP7: Snelstartgids voor modules en extensies