【ITニュース解説】unattended-upgrades: automatic security updates for Debian

コンピュータシステムを運用する上で、セキュリティアップデートは非常に重要である。しかし、多忙な中で毎週手動でサーバーのアップデートを行うのは忘れがちで、長期間アップデートされないまま放置されたサーバーは、悪意ある攻撃者にとって狙いやすい脆弱性を抱えることになる。このような問題を解決するために、Debianシステムには「unattended-upgrades」という便利なツールがある。これは、セキュリティアップデートを自動で適用し、サーバーの安全性を高めるための仕組みだ。

unattended-upgradesを導入することで、Debian 13を例にとると、日次でセキュリティアップデートを自動的に取得し、ユーザーの手を煩わせることなくインストールできるようになる。必要なカーネルアップデートでサーバーの再起動が必要な場合でも、そのタイミングを自分で設定できるため、システムの可用性を損なうことなく運用が可能となる。このツールが対象とするのは、セキュリティアップデートと、安定版の保守的なポイントリリースに含まれるアップデートのみで、より大規模なソフトウェアのアップグレードは意図的に手動で管理することになるため、予期せぬ変更によるトラブルを避けることができる。

この自動アップデートシステムを導入するには、いくつかのステップを踏む必要がある。まず、unattended-upgradesパッケージと、アップデート内容の変更履歴を表示する「apt-listchanges」パッケージをインストールする。これは、ターミナルで sudo apt update コマンドでパッケージリストを更新した後、sudo apt install -y unattended-upgrades apt-listchanges を実行するだけで完了する。apt-listchangesは、後に手動でアップデート内容を確認する際に役立つツールだ。

次に、この自動アップデート機能を有効化する。最も簡単な方法は、sudo dpkg-reconfigure -plow unattended-upgrades コマンドを実行し、表示されるダイアログで「はい」を選択することである。この操作によって、/etc/apt/apt.conf.d/20auto-upgrades という設定ファイルが作成され、その中に APT::Periodic::Update-Package-Lists "1"; と APT::Periodic::Unattended-Upgrade "1"; という記述が追加される。「1」は「毎日」を意味し、パッケージリストの更新とunattended-upgradesの実行が毎日行われることを示す。これらの処理は、システムに組み込まれた apt-daily.timer と apt-daily-upgrade.timer というタイマーによって自動的にトリガーされるため、個別のcronジョブを設定する必要はない。

次に、どのようなアップデートを対象とするかを定義する。この設定は、/etc/apt/apt.conf.d/50unattended-upgrades ファイルを編集して行う。sudo nano /etc/apt/apt.conf.d/50unattended-upgrades コマンドでファイルを開くと、「Origins-Pattern」というブロックに、デフォルトでDebian 13の3つのソースが記述されているのがわかる。この中の2つの「Debian-Security」に関する行が、セキュリティアップデートを確実に行うための設定である。もう1つの「label=Debian」の行は、Debianの安定版ポイントリリースに含まれる保守的なアップデートを対象とするもので、頻繁な変更を伴うローリングアップデートとは異なり、十分にテストされた更新のみが適用される。もしセキュリティアップデートのみを適用したい場合は、この「label=Debian」の行をコメントアウト（行頭に // を追加）することも可能だ。

この設定ファイルでは、他に重要なオプションを明示的に設定できる。一つは、古いカーネルや不要になったパッケージを自動的に削除する設定だ。これを有効にしないと、/boot ディレクトリが不要なファイルでいっぱいになり、システムの安定性に影響を及ぼす可能性がある。Unattended-Upgrade::Remove-Unused-Kernel-Packages "true"; と Unattended-Upgrade::Remove-Unused-Dependencies "true"; を設定することで、この問題を解決できる。もう一つ、そして最も重要な設定が、自動再起動に関するものだ。カーネルアップデートなど、一部のセキュリティアップデートは、システムを再起動しないと効果を発揮しない。Unattended-Upgrade::Automatic-Reboot "true"; を設定すると、サーバーは自動的に再起動されるようになる。この際、Unattended-Upgrade::Automatic-Reboot-Time "04:00"; のように、利用者が少ない時間帯を指定して再起動時刻を設定することが非常に重要だ。これを設定しないと、アップデート完了後すぐに再起動されてしまう可能性がある。自動再起動を望まない場合は、「false」に設定し、/var/run/reboot-required というファイルが存在するかどうかを定期的に確認し、必要に応じて手動で再起動を行う。どちらの方法も一長一短があるため、意図的に選択することが大切だ。

unattended-upgradesが再起動をトリガーするのは、/var/run/reboot-required というマーカーファイルが存在する場合のみである。このファイルは、unattended-upgradesパッケージが提供するカーネルフックによって、カーネルのインストール後に作成される。dpkg -S /etc/kernel/postinst.d/unattended-upgrades コマンドを実行して、このフックが正しく存在することを確認できる。これにより、自動再起動の信頼性が確保される。

設定が完了したら、実際に変更を適用する前に「ドライラン（試運転）」を実行して、unattended-upgradesが何をしようとするのかを確認することが推奨される。sudo unattended-upgrade --dry-run --debug コマンドを実行すると、実際のインストールは行わずに、実行されるであろう内容が詳細に表示される。この出力の中で、「Allowed origins are:」という行に、設定したセキュリティソース（Debian-Securityなど）が表示されていることを確認することが重要である。もし、現在適用すべきセキュリティアップデートがなければ、「No packages found that can be upgraded unattended and no pending auto-removals」と表示されるが、これは正常な動作である。

もし問題が発生した場合、いくつかのトラブルシューティングのポイントがある。例えば、ドライランでアップデート対象のパッケージが見つからない場合、ほとんどは単にセキュリティアップデートが現在保留されていないだけだが、念のため「Allowed origins are:」の行を確認し、設定が正しいか検証することが大切だ。カーネルアップデート後にサーバーが再起動しない場合は、Automatic-Reboot オプションが「true」に設定されているか、そして /var/run/reboot-required ファイルが存在するかを確認する。/boot ディレクトリが一杯になる問題は、Remove-Unused-Kernel-Packages "true" の設定を見直し、一度 sudo apt autoremove --purge で手動クリーンアップを行うことで解決できる。unattended-upgradesは、他のパッケージを削除することになるアップデートは自動では行わないため、特定のパッケージが「保留」されることがある。その場合は、sudo apt upgrade を手動で実行し、何が起こるか確認しながら対処する必要がある。

自動化は便利だが、全く監視が不要になるわけではない。月に一度は、/var/log/unattended-upgrades/unattended-upgrades.log ファイルをチェックし、アップデートが正常に適用されているか確認することが推奨される。また、sudo apt update && sudo apt upgrade を時々実行し、セキュリティアップデート以外の更新（非セキュリティクリティカルなもの）も手動で適用すると良いだろう。自動再起動を有効にしている場合は、サーバーが再起動してもサービスが適切に起動すること（例えばDocker Composeを使用しているなら restart: unless-stopped の設定）を確認しておくことが重要だ。特定のバックアップは不要だが、夜間にサーバーが一時的に再起動した理由を理解するためにも、自動再起動の設定を覚えておくべきである。このようにunattended-upgradesを適切に設定・運用することで、システムのセキュリティを維持し、サーバー管理の負担を大幅に軽減できる。