Обновления без присмотра автоматически перезапускают службы?

Я пробовал найти прямой ответ на этот вопрос, но не могу его нигде найти. Автоматические обновления для исправлений безопасности перезапускают сервисы автоматически? Если да, есть ли способ предотвратить это для некоторых пакетов, где это может быть очень разрушительно, например для postgresql? И есть ли в логах, где можно увидеть, когда последний раз был перезапущен сервис?

Чтобы ответить на этот вопрос, сначала важно уточнить, что unattended-upgrades — это служба, которая в основном выполняет «apt upgrade» автоматически от вашего имени. Если вы когда-либо обновляли пакет, вы заметите, что многие из них вызывают действия в рамках этого процесса; например, если вы обновляете rsync, вы заметите, что демон перезапускается:

Настройка rsync (3.1.0-2ubuntu0.2) ...
   * Перезапуск демона rsync                                          [ OK ]

Как правило, хорошо написанные пакеты для debian, которые содержат демоны (другими словами, работающие сервисы), будут перезапускать эти демоны в рамках обновления; если этого не происходит для пакета, который вам важен, сообщите об ошибке (и если можете, предложите исправление).

Есть важный случай, когда этого не происходит: когда вместо обновления самого сервиса вы обновляете системный пакет, от которого он зависит. Один пример, который приходит на ум, это openssl, который используется многими сервисами, реализующими поддержку SSL. Для них требуется ручной перезапуск сервиса, и если вы не знаете, сколько или какие из них нужно перезапустить, перезагрузка решает проблему.

Чтобы избежать обновления определенных пакетов, добавьте пакеты в конфигурацию Unattended-Upgrade::Package-Blacklist; смотрите ответ на Можно ли настроить автоматические обновления, чтобы не обновлять пакеты, требующие перезагрузки? для примера синтаксиса.

Наконец, по теме обновлений, стоит упомянуть о службе canonical-livepatch, которая предоставляет бесплатные, автоматические, живые обновления для критически важных исправлений безопасности ядра. Если вы еще не ознакомились с ней, вам стоит это сделать.

Ответ для LTS 22 и 24 таков: зависит от вашей конфигурации needrestart.

Вы можете самостоятельно выполнить эту команду:

needrestart --help

И она интегрирована в apt, и, конечно, работает с unattended-upgrades.

Смотрите документацию upstream для получения дополнительных деталей.

Приведу пример.

У меня есть что-то под названием keter.service, и я настроил исключение для него, чтобы он не перезапускался автоматически при обновлениях libc. Исключение работает следующим образом:

$ sudo apt upgrade
[...]
Обработка триггеров для libc-bin (2.39-0ubuntu8.3) ...
Сканирование процессов...                                                                                                                                                                       
Сканирование кандидатов...                                                                                                                                                                      
Сканирование образов linux...                                                                                                                                                                    

Ожидающее обновление ядра!
Запущенная версия ядра:
  6.8.0-1014-aws
Диагностика:
  Запущенная версия ядра не соответствует ожидаемой версии ядра 6.8.0-1017-aws.

Перезапуск системы для загрузки нового ядра не будет обработан автоматически, поэтому вам следует рассмотреть возможность перезагрузки.

Перезапуск сервисов...
 systemctl restart acpid.service atop.service atopacct.service chrony.service cron.service fwupd.service irqbalance.service multipathd.service pmcd.service pmie.service pmie_farm.service pmlogger.service pmlogger_farm.service pmproxy.service polkit.service rsyslog.service site24x7monagent.service snapd.service ssh.service systemd-journald.service systemd-networkd.service systemd-resolved.service systemd-udevd.service udisks2.service


Перезапуски сервисов откладываются:
 /etc/needrestart/restart.d/dbus.service
 systemctl restart [email protected]
 systemctl restart keter.service
 systemctl restart networkd-dispatcher.service
 systemctl restart [email protected]
 systemctl restart systemd-logind.service
 systemctl restart unattended-upgrades.service

Нет контейнеров, которые нужно перезапускать.

Пользовательские сессии, работающие с устаревшими бинарниками:
 ulidtko @ session #2: tmux: server[4652]
 ulidtko @ session #79023: apt[4092243], sshd[4075339,4075629]
 ulidtko @ user manager service: bash[4653,4715,4906], systemd[3645]

Нет гостей VM, работающих с устаревшими бинарниками гипервизора (qemu) на этом хосте.

Видите элемент keter.service в разделе Перезапуски сервисов, которые откладываются?

Это достигается путем размещения файла конфигурации любой-имя-которое-вы-любите-оканчивающееся-на.conf в /etc/needrestart/conf.d/ с содержимым:

$nrconf{override_rc} {qr/keter[.]service/} = 0;

Это в синтаксисе Perl и настраивает переопределение для сервиса systemd, который соответствует регулярному выражению.