我应该升级 EC2 实例上的内核包吗？

Question

在我的 EC2 服务器上，当我这样做时sudo apt-get update && sudo apt-get upgrade，我看到：

The following packages have been kept back:
  linux-ec2 linux-image-ec2 linux-image-virtual linux-virtual

我应该继续并sudo apt-get install linux-ec2 linux-image-ec2 linux-image-virtual linux-virtual强制升级这些软件包吗？

Answer 1

简短的回答是，是的，您应该让您的系统保持最新的安全补丁。

您如何准确地推出安全补丁取决于您对风险的容忍度。以下是我过去用来回答这个问题的一些选项：

1. 将升级应用到一组模拟生产环境的 QA 系统并运行所有回归测试，以确保更改不会破坏任何功能或导致性能问题。一旦您感到满意，就可以升级到您的生产系统。

2. 等一天，看看是否有公众对更新引起的问题的强烈抗议。如果一切看起来都很平静，请升级您的生产系统。

3. 尽快在您的生产系统上应用每个安全补丁。

我在 Ubuntu 中结合使用了所有这三种方法，并且多年来逐渐转向选项 3。安全补丁在发布之前经过了大量测试，并且非常小心不要破坏现有功能。我在 Ubuntu 支持的映像中升级从来没有遇到过问题（尽管几年前我在 EC2 上使用非 Ubuntu 内核和 Ubuntu 时确实遇到过问题）。

请注意，升级内核还需要重新启动才能应用更改。

上述经验和建议仅适用于在 Ubuntu 版本（例如 11.04）内升级。升级到新的Ubuntu 版本是一项更大且风险更大的任务，并且在将其部署到生产系统之前绝对需要进行测试。

以下是 RightScale 刚刚发布的关于此主题的文章，内容涉及如何管理其环境中的安全升级：

http://blog.rightscale.com/2011/09/28/security-patching-in-the-rightscale-universe/