SLES 라이브 패칭을 활성화하고 커널 수정 사항을 검증하세요.

SLES 커널 업데이트 시 라이브 패칭이 활성화된 후에도 "재부팅 필요" 메시지가 표시될 수 있습니다. 이는 설치 실패를 의미하는 것은 아닙니다. 라이브 패치는 현재 실행 중인 커널에 대해 SUSE에서 안전하게 제공할 수 있는 수정 사항만 포함하며, 교체 커널이나 라이브 패치로 지원할 수 없는 수정 사항을 적용하는 경우에는 재부팅이 필요합니다. 2026년 10월 8일에 게시된 SUSE의 SLES 16.0 커널 라이브 패칭 가이드에서는 새로운 설치 방법을 제시합니다. kernel_livepatching표준 SLES 구독에서 패턴을 설치하는 것입니다. SLES 15 SP7은 별도의 라이브 패칭 확장 프로그램과 lp_sles패턴을 사용합니다.

사용 중인 릴리스 버전에 맞는 절차를 따르고, 일반적인 SUSE 패키지 워크플로를 통해 업데이트를 적용한 다음, 활성화된 패치를 확인하십시오 klp -v patches. 이러한 단계는 지원되는 업데이트 저장소에 액세스할 수 있는 등록된 SLES 호스트를 가정합니다.

SLES 릴리스에 대한 라이브 패칭 경로를 구성하십시오.

1. 릴리스 버전과 실행 중인 커널을 확인합니다. 다음 명령을 실행하세요.

   cat /etc/os-release
   uname -r
   uname -m

   

   SLES 릴리스, 커널 버전 및 아키텍처를 기록하십시오. 라이브 패치 패키지는 특정 커널 리비전과 일치하므로, 다른 실행 중인 커널용 패키지를 사용한다고 해서 현재 커널에 패치가 적용되었다는 것을 의미하지는 않습니다. 아래 명령은 현재 SLES 16.0 및 SLES 15 SP7의 지침을 사용합니다. 릴리스별 패턴이나 활성화 경로를 다른 버전으로 복사하지 마십시오.

2. SLES 16.0에서는 포함된 패턴을 설치하십시오. SUSE의 최신 가이드에 따르면 커널 라이브 패칭은 표준 SLES 구독에 포함되어 있습니다. 해당 패턴을 설치하십시오.

   sudo zypper install -t pattern kernel_livepatching

   

   저장소에 설치된 커널에 적합한 라이브 패치가 포함되어 있으면 패키지 관리자가 설치 중에 해당 패치를 선택합니다. SUSE는 이 과정의 일부로 커널에 라이브 패치가 적용된다고 명시하고 있습니다. SLES 16.0 설치 절차에는 별도의 라이브 패치 등록 코드가 필요하지 않습니다.

   SLES 15 SP7에서는 먼저 확장 기능을 활성화해야 합니다. 이 릴리스를 사용하려면 활성 SLES 및 SLES 라이브 패칭 구독이 필요합니다. 사용 가능한 확장 기능 목록을 확인하고 해당 목록에 표시되는 아키텍처별 활성화 명령을 정확하게 사용하십시오.

   sudo SUSEConnect --list-extensions
   sudo SUSEConnect -p sle-module-live-patching/15.7/x86_64 -r LIVE_PATCHING_REGISTRATION_CODE

   

   

   두 번째 명령은 x86_64 예시입니다. 출력 결과에 표시된 정확한 제품 경로로 바꾸고 --list-extensions유효한 라이브 패칭 등록 코드를 입력하십시오. 그런 다음 필요한 패턴을 설치하십시오.

   sudo zypper install -t pattern lp_sles

   

   활성화만으로는 패턴이나 패키지가 설치되지 않습니다. 업데이트 채널에서 라이브 패치 패키지를 받으려면 두 단계를 모두 완료해야 합니다.

3. 정기적인 시스템 업데이트를 적용하십시오. 커널 라이브 패치는 정기 업데이트 메커니즘을 통해 패키지 형태로 제공됩니다. 수동으로 패치를 실행하려면 호스트의 다른 부분과 동일한 승인된 유지 관리 워크플로를 사용하십시오. 예를 들면 다음과 같습니다.

   sudo zypper refresh
   sudo zypper patch

   

   특히 운영 시스템에서는 패키지 계획을 확정하기 전에 반드시 검토하십시오. 라이브 패치 패키지는 워크로드를 재시작하지 않고도 실행 중인 커널에 대한 수정 사항을 업데이트할 수 있지만, 동일한 업데이트 트랜잭션에서 새로운 기본 커널 패키지를 제공할 수도 있습니다. 이 경우 해당 커널 패키지를 설치하면 재부팅 권장 사항이 표시될 수 있습니다. 라이브 패치는 대상 커널 버전에 대해 누적 업데이트되며, 일반적인 커널 유지 관리를 대체하지 않습니다.

4. 활성화된 패치가 있는지 확인하십시오. 업데이트가 완료되면 패치 세부 정보를 확인하십시오.

   sudo klp -v patches

   

   SUSE는 패치 상태를 확인하고 활성 라이브 패치에서 해결된 CVE 또는 결함을 보는 명령어를 문서화했습니다. 나열된 패치가 1단계에서 기록한 실행 중인 커널과 일치하는지 확인하십시오. 초기 또는 시드 라이브 패치 패키지에는 수정 사항이 포함되지 않을 수 있으며, 향후 패치를 위해 해당 커널 버전을 준비하는 역할을 합니다. 이러한 패키지가 있다고 해서 특정 보안 수정 사항이 적용되었다는 의미는 아닙니다.

5. 상태가 비어 있거나 일치하지 않는 경우 문제를 해결합니다. 실행 중인 커널에 대한 라이브 패치 패키지가 있는지, 그리고 수명 주기 데이터가 사용 가능한지 확인합니다.

   sudo zypper se --details 'kernel-livepatch-*'
   sudo zypper lifecycle

   

   SUSE는 패키지가 설치되어 있어야만 수명 주기 날짜를 확인할 수 있다고 명시하고 있습니다 lifecycle-data-sle-module-live-patching. 실행 중인 커널에 맞는 패치 패키지가 없는 경우, 올바른 라이브 패칭 저장소 또는 채널이 활성화되어 있는지, 그리고 관련 수정 사항이 라이브 패칭 대상인지 확인하십시오. 적합한 업데이트가 릴리스되지 않은 경우 패치 목록이 비어 있다고 해서 문제가 발생한 것으로 단정짓지 마십시오.

6. 전체 커널 업데이트에 필요한 재부팅 일정을 예약하세요. SUSE는 모든 수정 사항을 실시간 패치로 변환할 수 없습니다. 일부 변경 사항은 커널 데이터 구조를 교체해야 하거나 런타임에 안전하게 적용할 수 없는 경우가 있습니다. 정기적인 커널 업데이트를 유지 관리 계획에 포함하고 업데이트에 필요한 경우 재부팅하세요. 커널 패키지를 무기한으로 잠가 재부팅 알림을 숨기지 마세요. 그렇게 하면 전체 커널 수정 사항을 실시간으로 적용하는 대신 지연시키는 결과를 초래합니다.

   재부팅 없이 유지 보수를 진행하려면, 업데이트에 실행 중인 커널과 호환되는 라이브 패치 패키지가 포함되어 있고 변경 정책에서 허용하는 경우에만 진행하십시오. 전체 커널 패키지 업데이트는 호스트가 새 커널로 부팅될 때까지 보류 상태로 유지하십시오.

결과를 ​​확인하세요

검사는 klp -v patches`live-patch status` 명령으로 표시되는 커널의 활성 라이브 패치 정보를 식별하고 uname -r패치 세부 정보에 예상되는 수정 사항이 나타나면 성공입니다. 재부팅이 발생하지 않았으므로 호스트는 동일한 실행 중인 커널 버전을 유지합니다. 업데이트 관리자가 여전히 재부팅을 요청하는 경우, 새 기본 커널이 설치되었는지 또는 라이브 패칭 범위를 벗어난 수정 사항이 설치되었는지 확인하십시오. 해당 요청은 유지 관리 요구 사항이며 `live-patch status` 명령으로 취소할 수 없습니다.

출처

• SUSE SLES 16.0: 커널 라이브 패칭
• SUSE SLES 15 SP7: 관리 가이드, 커널 라이브 패칭
• SUSE SLES 15 SP7: 모듈 및 확장 프로그램 빠른 시작