В VMware vSphere 8 Update 3 есть важная новая функция — Live Patch. Она позволяет администраторам вносить критические исправления и обновления безопасности в ядро гипервизора ESXi без необходимости перезагрузки системы или выключения виртуальных машин.
Платформа VMware vSphere ранее уже имела функции, ускоряющие процессы обновления, — Quick Boot для перезагрузки гипервизора без перезапуска всего хоста ESXi, а также Fast Upgrades в Lifecycle Manager, где функция Suspend-to-Memory позволяла приостановить ВМ с сохранением её состояния (Suspend) в оперативной памяти. Теперь Live Patching расширяет спектр этих методов.
Что такое Live Patching?
Live Patch — это технология, позволяющая вносить изменения в работающую систему без прерывания её работы. В контексте VMware vSphere эта технология позволяет применять обновления безопасности и исправления ошибок непосредственно к гипервизору ESXi, что имеет критическое значение для поддержания непрерывной работы сервисов и приложений. Принцип Live Patch заключается в том, что изменения вносятся на уровне некоторых компонентов ядра системы, что позволяет избежать необходимости перезагрузки серверов и минимизирует риск простоев.
Live Patch работает на основе vSphere Lifecycle Manager. Он упрощает управление образами кластеров, обеспечивает полное управление жизненным циклом драйверов и прошивок, а также ускоряет полное восстановление кластеров. Управление сертификатами выполняется без проблем, а обновление vCenter можно выполнять со значительно меньшим временем простоя по сравнению с предыдущими версиями платформы.
vSphere Live Patch позволяет обновлять и исправлять кластеры vSphere без миграции рабочих нагрузок с целевых хостов и без перевода хостов в полный режим обслуживания. Исправление применяется в реальном времени, пока рабочие нагрузки продолжают выполняться.
Преимущества Live Patching
Минимизация времени простоя
Одним из наиболее очевидных преимуществ использования Live Patch является возможность минимизировать время простоя серверов VMware ESXi. При традиционной модели управления инфраструктурой обновления и исправления часто требуют перезагрузки хостов, что может создавать проблемы для сервисов, требующих высокой доступности. С Live Patch такие обновления можно применять без необходимости остановки системы, обеспечивая непрерывность бизнес-процессов и снижая риск финансовых потерь из-за простоев.
Повышение безопасности
Обновления безопасности являются критически важным аспектом управления ИТ-инфраструктурой. Live Patch позволяет администраторам незамедлительно применять исправления для уязвимостей, что значительно сокращает окно уязвимости системы. Это особенно важно в условиях постоянно растущих киберугроз, где любая задержка может привести к серьезным последствиям. Быстрое применение исправлений снижает риск компрометации системы и утечки данных.
Экономия ресурсов и упрощение процессов
Процесс обновления серверов ESXi традиционно требует значительных затрат времени и усилий со стороны ИТ-персонала, связанных с переводом хостов в режим обслуживания. Live Patch упрощает этот процесс, используя частичный режим обслуживания, что позволяет администраторам централизованно управлять обновлениями и минимизировать вмешательство в систему. Это снижает нагрузку на ИТ-персонал и повышает эффективность управления инфраструктурой.
Загрузка и применение исправлений
Live Patch в vSphere 8 Update 3 позволяет загружать и применять исправления к работающей системе без её перезагрузки. Это достигается за счет использования специализированного кода, который встраивается в работающее ядро гипервизора ESXi. Этот код может динамически изменять работу системы, устраняя уязвимости и исправляя ошибки. Во время применения исправления система продолжает функционировать в обычном режиме, обеспечивая непрерывность сервисов.
Для использования функции vSphere Live Patch необходимо выполнение ряда условий:
- Версии программного обеспечения: vCenter и хосты ESXi должны иметь версию 8.0 Update 3 или выше. Это обеспечивает совместимость и поддержку всех новых функций.
- Настройка Live Patch: Опция Enforce Live Patch (Принудительно использовать Live Patch) должна быть включена в глобальных настройках восстановления vSphere Lifecycle Manager или в настройках восстановления на уровне кластера.
- Требования к DRS: Distributed Resource Scheduler (DRS) должен быть включен для кластера и работать в полностью автоматическом режиме, что позволяет оптимизировать распределение ресурсов во время установки исправлений.
- Поддержка ВМ с vGPU: Для виртуальных машин, использующих vGPU, должна быть включена автоматизация Passthrough VM DRS, что обеспечивает совместимость с DRS во время установки исправлений.
- Готовность кластера: Текущая сборка кластера vSphere должна быть пригодна для динамического исправления. Это включает совместимость с установленными версиями драйверов и прошивок, а также отсутствие критических ошибок конфигурации.
vSphere Live Patch несовместим с системами, использующими устройства TPM или DPU с vSphere Distributed Services Engine.
Перед обновлением с помощью Live Patch хосты кластера будут автоматически проверены на совместимость с этой технологией, а также будет отображена информация о поддержке методов Quick Boot и Suspend To Memory.
Вот как работает метод Live Patch:
По шагам:
- Хост ESXi переходит в частичный режим обслуживания. Частичный режим обслуживания — это особое состояние, в которое переходит каждый хост кластера. В этом особом состоянии существующие виртуальные машины продолжают работать, но создание новых ВМ на хосте или миграция ВМ на этот хост или с него запрещены. Важно понимать, что вы не можете перевести хост в это состояние вручную, но можете вывести его из него вручную.
- Новая версия компонентов целевого исправления монтируется параллельно с текущей версией.
- Файлы и процессы обновляются с использованием смонтированной версии исправления.
- Виртуальные машины проходят быстрое приостановление-возобновление (fast suspend-resume) для использования обновленной версии компонентов.
Быстрое приостановление-возобновление (Fast Suspend-Resume)
Исправления компонента выполнения виртуальных машин ESXi являются первой реализацией механизма vSphere Live Patch. Это означает, что хотя ВМ не нужно эвакуировать с хоста, они должны выполнить так называемое быстрое приостановление-возобновление (FSR) для использования обновленной среды выполнения ВМ.
FSR для ВМ — это неразрушающее действие, которое уже используется в операциях с ВМ при добавлении или удалении виртуальных аппаратных устройств (например, Hot Add) у работающих ВМ.
Некоторые ВМ несовместимы с FSR. ВМ, настроенные с включенной Fault Tolerance, машины, использующие Direct Path I/O, и vSphere Pods не могут использовать FSR и требуют вмешательства администратора. Это можно сделать либо путем ручной миграции ВМ, либо перезагрузкой ВМ — поэтому запланируйте время для этого в окне обновления.
Управление и мониторинг
VMware предоставляет инструменты для управления и мониторинга процесса установки исправлений. Это включает контроль версий, проверку совместимости исправлений с текущей конфигурацией системы и отслеживание статуса обновлений. Администраторы могут использовать vCenter Server для централизованного управления процессом Live Patching, что упрощает координацию и мониторинг всех этапов установки исправлений.
Интеграция и совместимость с существующими продуктами VMware
Live Patching интегрируется с существующими продуктами VMware, такими как VMware vSphere Lifecycle Manager (vLCM). Это позволяет использовать существующие процессы и процедуры управления исправлениями, сводя к минимуму необходимость изменения инфраструктуры и переобучения персонала. Интеграция с vLCM также обеспечивает автоматизацию процесса установки исправлений, что еще больше упрощает управление инфраструктурой.
В настоящее время vSphere Live Patch доступен только для определенного типа исправлений. На данный момент vSphere Live Patch поддерживает только исправления для компонента выполнения виртуальных машин ESXi. Исправления, которые могут изменять другие компоненты ESXi, такие как VMkernel, изначально не поддерживаются vSphere Live Patch и в настоящее время требуют выполнения существующего процесса обновления, который включает перевод хостов в режим обслуживания и эвакуацию ВМ.
vSphere Live Patches можно устанавливать только на поддерживаемые, совместимые версии ESXi. Каждый Live Patch будет указывать, с какой предыдущей сборкой он совместим. vSphere Lifecycle Manager будет указывать соответствующие версии при определении образа кластера. Вы также можете увидеть соответствующую версию в репозитории образов vSphere Lifecycle Manager:
Вы также можете запустить проверку соответствия (compliance scan) в vSphere Lifecycle Manager, которая покажет, какие ВМ несовместимы с FSR, и причину несовместимости:
После успешного обновления кластера любые хосты, на которых работают ВМ, не поддерживающие FSR, будут продолжать сообщать о несоответствии. В этом случае администратор должен вручную переместить ВМ с помощью vMotion или перезагрузить их. Только тогда кластер станет полностью соответствующим и перейдет в состояние Соответствует (compliant).
Ограничения и потенциальные риски
Несмотря на множество преимуществ, Live Patching также имеет свои ограничения, которые необходимо учитывать при его использовании.
- Совместимость исправлений
Не все исправления могут быть применены с использованием технологии Live Patch. Некоторые обновления могут требовать значительных изменений в системе, которые невозможно реализовать без перезагрузки. В таких случаях администраторам всё равно придется планировать время для технического обслуживания и перезагрузок серверов. - Сложности тестирования и проверки
Применение исправлений в реальном времени требует тщательного тестирования и проверки, чтобы избежать потенциальных проблем в работе системы. Вспомним, как недостаточно тщательное тестирование обновлений привело к масштабному сбою систем Windows с программным обеспечением CrowdStrike. В крупных и сложных инфраструктурах это может быть сложной задачей, требующей дополнительных ресурсов и времени. Необходимо учитывать возможные риски и тщательно планировать процесс применения обновлений. - Потенциальные проблемы с производительностью
В некоторых случаях применение исправлений без перезагрузки может вызывать временные проблемы с производительностью. Хотя такие ситуации редки, их нельзя полностью исключать. Администраторам следует внимательно отслеживать состояние системы после применения исправлений и быть готовыми к возможным корректировкам.
Заключение
Live Patch в VMware vSphere 8 Update 3 представляет собой значительное улучшение в управлении и безопасности виртуальных инфраструктур. Эта технология позволяет организациям поддерживать высокий уровень доступности своих систем, минимизируя при этом риски и затраты, связанные с управлением исправлениями. Несмотря на существующие ограничения и риски, правильное использование Live Patch может значительно повысить эффективность управления ИТ-инфраструктурой и обеспечить защиту данных в условиях постоянно растущих киберугроз.
