SLESライブパッチを有効にしてカーネル修正を検証する

ライブパッチングを有効にした後でも、SLES カーネルのアップデートで「再起動が必要」と表示される場合があります。これは必ずしもセットアップが失敗したことを意味するわけではありません。ライブパッチは、現在実行中のカーネルに対して SUSE が安全に提供できる修正のみを対象としており、代替カーネルやライブパッチングできない修正には再起動が必要です。2026 年 10 月 8 日に公開された SUSE の SLES 16.0 カーネルライブパッチングガイドでは、新しいセットアップ手順として、kernel_livepatching標準の SLES サブスクリプションでパターンをインストールする方法が示されています。SLES 15 SP7 では、別のライブパッチング拡張機能とパターンが使用されますlp_sles。

ご使用のリリースに合った手順に従い、通常のSUSEパッケージワークフローを通じてアップデートを適用し、有効なパッチを検証してくださいklp -v patches。これらの手順は、サポートされているアップデートリポジトリにアクセスできる登録済みのSLESホストを前提としています。

SLES リリース用のライブパッチ適用パスを設定します。

1. リリースと実行中のカーネルを特定します。以下を実行します。

   cat /etc/os-release
   uname -r
   uname -m

   

   SLESのリリース、カーネルバージョン、およびアーキテクチャを記録してください。ライブパッチパッケージは特定のカーネルリビジョンに一致するため、実行中のカーネルが異なる場合、そのパッケージを使用してもアクティブなカーネルにパッチが適用されているとは限りません。以下のコマンドは、現在のSLES 16.0およびSLES 15 SP7の手順を使用しています。リリース固有のパターンやアクティベーションパスを別のバージョンにコピーしないでください。

2. SLES 16.0 では、付属のパターンをインストールしてください。SUSEの最新ガイドによると、カーネルライブパッチは標準の SLES サブスクリプションに含まれています。そのパターンをインストールしてください。

   sudo zypper install -t pattern kernel_livepatching

   

   リポジトリにインストール済みのカーネルに対応するライブパッチが含まれている場合、パッケージマネージャはインストール時にそのパッチを選択します。SUSE のドキュメントにも、このプロセスの一環としてカーネルがライブパッチされることが記載されています。この SLES 16.0 の手順には、ライブパッチ登録のための追加コードは必要ありません。

   SLES 15 SP7 では、まず拡張機能を有効化してください。このリリースには、有効な SLES および SLES Live Patching のサブスクリプションが必要です。利用可能な拡張機能の一覧を表示し、表示されたアーキテクチャ固有の有効化コマンドを正確に使用してください。

   sudo SUSEConnect --list-extensions
   sudo SUSEConnect -p sle-module-live-patching/15.7/x86_64 -r LIVE_PATCHING_REGISTRATION_CODE

   

   

   2番目のコマンドはx86_64の例です。ご自身の出力に表示される正確な製品パスに置き換え--list-extensions、有効なライブパッチ登録コードを入力してください。その後、必要なパターンをインストールしてください。

   sudo zypper install -t pattern lp_sles

   

   アクティベーションだけではパターンやパッケージはインストールされません。アップデートチャネルからライブパッチパッケージを受け取るには、両方の手順を完了する必要があります。

3. 定期的なシステムアップデートを適用してください。カーネルのライブパッチは、通常のアップデートメカニズムを通じてパッケージとして提供されます。手動でパッチを適用する場合は、ホストの他の部分と同じ承認済みのメンテナンスワークフローを使用してください。例：

   sudo zypper refresh
   sudo zypper patch

   

   パッケージプランを確定する前に、特に本番システムでは、内容を確認してください。ライブパッチパッケージは、ワークロードを再起動することなく、実行中のカーネルの対象となる修正を更新できますが、同じ更新トランザクションで新しいベースカーネルパッケージが提供される場合もあります。そのカーネルパッケージをインストールすると、再起動が推奨される場合があります。ライブパッチは、対象となるカーネルリビジョンに対して累積的なものであり、通常のカーネルメンテナンスに取って代わるものではありません。

4. ライブパッチが有効になっているかどうかを確認してください。アップデートが完了したら、パッチの詳細を確認してください。

   sudo klp -v patches

   

   SUSE では、このコマンドを使用してパッチ適用状況を確認し、現在適用されているライブパッチで修正された CVE または欠陥を表示できます。リストされているパッチが、手順 1 で記録した実行中のカーネルに対応していることを確認してください。初期またはシードのライブパッチ パッケージには修正が含まれていない場合があります。これは、そのカーネル リビジョンを将来のパッチに備えるためのものです。このパッケージが存在すること自体は、特定のセキュリティ修正が適用されたことを意味するものではありません。

5. ステータスが空または不一致の場合のトラブルシューティングを行います。実行中のカーネルにライブパッチパッケージが存在するか、ライフサイクルデータが利用可能かどうかを確認します。

   sudo zypper se --details 'kernel-livepatch-*'
   sudo zypper lifecycle

   

   ライフサイクル日付については、SUSEはlifecycle-data-sle-module-live-patchingパッケージがインストールされている必要があると述べています。実行中のカーネルに対応するパッチパッケージがない場合は、適切なライブパッチリポジトリまたはチャネルが有効になっていること、および関連する修正がライブパッチの対象であることを確認してください。対象となるアップデートがリリースされていない場合、パッチリストが空であることから障害を推測しないでください。

6. カーネルの完全アップデートに必要な再起動をスケジュールしてください。SUSEはすべての修正をライブパッチに変換できるわけではありません。一部の変更ではカーネルデータ構造の置き換えが必要であったり、実行時に安全に適用できない場合があります。通常のカーネルアップデートはメンテナンスプランに含め、アップデートが必要になったときに再起動してください。カーネルパッケージを無期限にロックして再起動通知を非表示にすることは避けてください。これはカーネルの完全修正をライブで適用するのではなく、延期することになります。

   再起動不要のメンテナンス期間の場合、更新内容に実行中のカーネルと互換性のあるライブパッチパッケージが含まれており、かつ変更ポリシーで許可されている場合にのみ作業を進めてください。ホストが新しいカーネルを起動するまでは、カーネルパッケージ全体の更新は保留中として扱ってください。

結果を確認する

チェックはklp -v patches、 で表示されるカーネルのアクティブなライブパッチ情報が正しく識別されuname -r、パッチの詳細に期待される修正が表示された時点で成功です。再起動が発生していないため、ホストは同じ実行中のカーネルバージョンを維持します。アップデートマネージャが再起動を要求する場合は、ライブパッチの範囲外の新しいベースカーネルまたは修正がインストールされたかどうかを確認してください。この要求はメンテナンス要件であり、live-patch status コマンドでキャンセルできるものではありません。

ソース

• SUSE SLES 16.0: カーネルのライブパッチ適用
• SUSE SLES 15 SP7: 管理ガイド、カーネルライブパッチ適用
• SUSE SLES 15 SP7: モジュールと拡張機能のクイックスタート