我应该升级 EC2 实例上的内核包吗？

Question

在我的 EC2 服务器上，当我执行此操作时sudo apt-get update && sudo apt-get upgrade，我看到：

The following packages have been kept back:
  linux-ec2 linux-image-ec2 linux-image-virtual linux-virtual

我是否应该继续sudo apt-get install linux-ec2 linux-image-ec2 linux-image-virtual linux-virtual强制升级这些包？

Answer 1

简短的回答是，是的，您应该让您的系统保持最新的安全补丁。

如何准确推出安全补丁取决于您对风险的承受能力。以下是我过去回答这个问题时使用的一些选项：

1. 将升级应用到一组模拟生产环境的 QA 系统，并运行所有回归测试，以确保更改不会破坏任何功能或导致性能问题。一旦您满意，就将升级推广到您的生产系统。

2. 等待一天，看看公众是否会对更新引起的问题表示强烈抗议。如果一切似乎都很平静，请升级您的生产系统。

3. 一旦有可用的安全补丁，请立即在生产系统上应用。

我在 Ubuntu 上结合使用了这三种方法，多年来逐渐转向了选项 3。安全补丁在发布前经过了严格的测试，并且非常小心地避免破坏现有功能。我在 Ubuntu 支持的镜像中升级时从未遇到过问题（尽管几年前我在 EC2 上使用非 Ubuntu 内核的 Ubuntu 时确实遇到过问题）。

请注意，升级内核还需要重新启动才能应用更改。

以上经验和建议仅适用于升级之内Ubuntu 版本（例如 11.04）。升级到新的Ubuntu 发布是一项更大、更危险的任务，在将其推广到生产系统之前肯定需要进行测试。

以下是 RightScale 刚刚发布的有关该主题的一篇文章，有关如何管理其环境中的安全升级：

http://blog.rightscale.com/2011/09/28/security-patching-in-the-rightscale-universe/