Cette méthode ne fonctionne que pour certains correctifs du noyau (pas tout) et l'objectif n'est pas d'atteindre l'uptime de 100% sur l'année.
Un exemple de cas d'utilisation, tu gères l'infra du NASDAQ, tu as besoin d'un uptime de 100% sur la journée le temps des opérations. La moindre coupure du serveur coûte cher et prend du temps (plusieurs dizaines de minutes au moins), les maintenances sont planifiées quand c'est fermé. Mais tu as besoin d'une sécurité à toute épreuve quand c'est ouvert, car tu es une cible privilégiée. Tu utilises kpatch pour corriger une faille critique pour tenir le temps de la prochaine maintenance où tu pourras te permettre de mettre à jour le système en entier proprement avec les redémarrages et tests nécessaires.
Utiliser kpatch pour se dispenser de redémarrer me semble être une mauvaise idée car c'est pas mal de boulot en plus pour suivre les correctifs (il est plus simple de mettre à jour le noyau) et tous les patchs du noyau ne sont pas compatibles à cause de la méthode employée. Donc à la fin tu es obligé de mettre à jour le noyau en entier quand même.
Notons qu'en plus du noyau, si tu mets à jour la glibc par exemple, tu es bon pour relancer tous les logiciels ou presque qui tournent sur ta machine, redémarrer est finalement nécessaire si tu veux que cela soit vraiment appliqué partout.
[^] # Re: Oui et non...
Posté par Renault (site web personnel) . En réponse au journal Manutan, cyberattaque et Windows/Linux. Évalué à 10.
Cette méthode ne fonctionne que pour certains correctifs du noyau (pas tout) et l'objectif n'est pas d'atteindre l'uptime de 100% sur l'année.
Un exemple de cas d'utilisation, tu gères l'infra du NASDAQ, tu as besoin d'un uptime de 100% sur la journée le temps des opérations. La moindre coupure du serveur coûte cher et prend du temps (plusieurs dizaines de minutes au moins), les maintenances sont planifiées quand c'est fermé. Mais tu as besoin d'une sécurité à toute épreuve quand c'est ouvert, car tu es une cible privilégiée. Tu utilises kpatch pour corriger une faille critique pour tenir le temps de la prochaine maintenance où tu pourras te permettre de mettre à jour le système en entier proprement avec les redémarrages et tests nécessaires.
Utiliser kpatch pour se dispenser de redémarrer me semble être une mauvaise idée car c'est pas mal de boulot en plus pour suivre les correctifs (il est plus simple de mettre à jour le noyau) et tous les patchs du noyau ne sont pas compatibles à cause de la méthode employée. Donc à la fin tu es obligé de mettre à jour le noyau en entier quand même.
Notons qu'en plus du noyau, si tu mets à jour la glibc par exemple, tu es bon pour relancer tous les logiciels ou presque qui tournent sur ta machine, redémarrer est finalement nécessaire si tu veux que cela soit vraiment appliqué partout.