Ubuntu 22.04 unattended-upgrades – セキュリティ更新の自動適用を設計する

Ubuntu 22.04 では、unattended-upgrades によってセキュリティ更新を自動適用できます。ただし、単に有効化するだけでは、再起動、通知、通常更新との境界があいまいになります。

この記事は、Ubuntu 22.04 の既存環境で自動更新設定を見直すための記事です。現在の運用では、セキュリティ更新を継続的に適用しつつ、サービス影響が大きい更新や再起動は運用方針に合わせて判断できる状態にしておきます。

unattended-upgrades の役割

unattended-upgrades は、APT の更新を自動実行するための仕組みです。Ubuntu Server では、主にセキュリティ更新を継続的に適用する目的で使います。

手動更新と自動更新の境界

手動の apt update / apt upgrade は、運用者が更新対象を確認して適用する方式です。一方、unattended-upgrades は、設定された範囲の更新を自動で適用します。

サーバー運用では、セキュリティ更新は自動適用し、通常更新や大きな変更は手動確認に残す方が扱いやすくなります。特にデーモン再起動、設定ファイル差分、カーネル更新を伴う場合は、メンテナンス時間帯と監視通知を合わせて考えます。

現在の設定を確認する

まず自動更新が有効か確認します。

cat /etc/apt/apt.conf.d/20auto-upgrades

一般的には、パッケージ一覧更新と自動更新が 1 日単位で有効になっています。

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

自動更新の対象を確認する

自動更新の対象は /etc/apt/apt.conf.d/50unattended-upgrades で確認します。Ubuntu のセキュリティ更新だけを対象にするのか、通常更新も含めるのかは運用方針によります。

grep -A20 'Allowed-Origins' /etc/apt/apt.conf.d/50unattended-upgrades

通常更新まで自動化すると、サービス再起動や挙動変更の影響を受ける可能性が高くなります。まずはセキュリティ更新を中心にし、通常更新は手動確認や構成管理側で扱う方針にすると、影響範囲を把握しやすくなります。

通知を設定する

自動更新の結果をメールで受け取る場合は、メール送信できる経路が必要です。ローカル MTA、SMTP リレー、外部メールサービスのどれを使うかを先に決めます。

通知先を設定する例です。宛先は環境に合わせて変更します。

sudo cp -a /etc/apt/apt.conf.d/50unattended-upgrades /etc/apt/apt.conf.d/50unattended-upgrades.bak.$(date +%Y%m%d%H%M%S)
sudo tee /etc/apt/apt.conf.d/52unattended-upgrades-mail >/dev/null <<'EOF'
Unattended-Upgrade::Mail "admin@example.com";
Unattended-Upgrade::MailReport "on-change";
EOF

MailReport は通知頻度に関係します。すべて通知するのか、変更があったときだけ通知するのかは、監視のノイズ量と運用者が見る場所に合わせて決めます。

自動再起動をどう扱うか

カーネル更新などでは再起動が必要になることがあります。unattended-upgrades には自動再起動設定もありますが、サーバー用途では慎重に扱います。

自動再起動設定を明示する例です。ここでは値を false にして、意図せず再起動しない状態を示しています。

sudo tee /etc/apt/apt.conf.d/53unattended-upgrades-reboot >/dev/null <<'EOF'
Unattended-Upgrade::Automatic-Reboot "false";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";
EOF

実際に自動再起動を有効にする場合は、サービス影響、監視通知、バックアップ時間帯との重なりを確認してから判断します。複数台構成では、同時再起動を避ける設計も必要です。

ログを確認する

自動更新が動いたかどうかはログで確認します。

sudo tail -n 100 /var/log/unattended-upgrades/unattended-upgrades.log
sudo tail -n 100 /var/log/apt/history.log

/var/log/apt/history.log では、手動実行と自動実行のコマンドラインを分けて確認できます。/usr/bin/unattended-upgrade が出ていれば、自動更新による実行です。

再起動が必要か確認する

自動更新後も、再起動が必要な状態か確認します。

if [ -f /var/run/reboot-required ]; then
  cat /var/run/reboot-required
fi
if [ -f /var/run/reboot-required.pkgs ]; then
  cat /var/run/reboot-required.pkgs
fi

再起動が必要な状態を検知したら、メンテナンス時間帯、冗長構成、監視抑止、バックアップ完了状況を確認してから実施します。

Proxy 環境での注意

Proxy 環境では、自動更新も APT のプロキシ設定に依存します。手動の apt update が通るだけでなく、タイマー実行時にも必要な設定が読み込まれるか確認します。

apt-config dump | grep -i proxy
systemctl list-timers | grep apt

まとめ

Ubuntu 22.04 の unattended-upgrades は、セキュリティ更新を継続的に適用するために有用です。ただし、何を自動更新するか、通知をどう受けるか、再起動をどう扱うかを決めないまま有効にすると、運用上の不安が残ります。

手動更新は内容確認、自動更新はセキュリティ更新の継続適用、構成管理は複数台の統制、というように役割を分けると扱いやすくなります。Ubuntu 22.04 の既存環境では、現在の設定を確認し、通知と再起動の扱いを明示しておくことが重要です。

関連記事

Ubuntu 26.04 unattended-upgrades の基本設定 – セキュリティ更新を自動適用する Ubuntu 22.04 apt update / apt upgrade – 手動更新の基本を確認する Ubuntu 22.04 SSH サーバー設定 – sshd_config と公開鍵認証の前提を確認する Ubuntu 22.04 APT 非対話更新 – needrestart と入力待ちを制御する Ubuntu 22.04 sudo パスワード確認の抑止 – NOPASSWD を安全に使う Ubuntu 22.04 SSH 公開鍵認証の設定 – Ed25519 鍵でログインする Ubuntu 22.04 MOTD NEWS の外部通信を停止する – ログイン時の不要な通信を抑える Ubuntu 22.04 Proxy 環境の GPG 鍵取得 – apt-key のタイムアウトを切り分ける