VMware vSphere давно зарекомендовала себя как одна из ведущих платформ для виртуализации, обеспечивая мощные инструменты для управления виртуальными машинами (VM) и инфраструктурой центров обработки данных (ЦОД). В версии VMware vSphere 8 Update 3 была введена новая важная функция — Live Patch. Это нововведение позволяет администраторам вносить критические исправления и обновления безопасности в ядро гипервизора ESXi без необходимости перезагрузки системы или отключения виртуальных машин. В данной статье мы рассмотрим, что такое Live Patching, его преимущества, технические аспекты работы и потенциальные ограничения.
Кстати, администраторы помнят, что в платформе VMware vSphere ранее уже появлялись возможности, которые ускоряли процессы обновлений - это Quick Boot для перезагрузки гипервизора без рестарта всего хоста ESXi, а также Fast Upgrades в Lifecycle Manager, где функция Suspend-to-Memory позволяла приостанавливать ВМ с сохранением состояния (Suspend) в оперативной памяти. Теперь вот Live Patching расширяет спектр этих техник.
Что такое Live Patching?
Live Patch — это технология, позволяющая вносить изменения в работающую систему, не прерывая её работы. В контексте VMware vSphere, эта технология позволяет применять обновления безопасности и исправления ошибок непосредственно к гипервизору ESXi, что критически важно для поддержания непрерывной работы сервисов и приложений. Принцип работы Live Patch заключается в том, что изменения вносятся на уровне некоторых компонентов ядра системы, что позволяет избежать необходимости перезагрузки серверов и минимизировать риск простоя.
Функции Live Patch реализуются средствами решения vSphere Lifecycle Manager. Оно упрощает управление образами кластеров, обеспечивает полный цикл управления драйверами и прошивками, а также ускоряет полное восстановление кластера. Управление сертификатами происходит без сбоев, а обновления vCenter можно выполнять с гораздо меньшими простоями по сравнению с прошлыми релизами платформы.
vSphere Live Patch позволяет обновлять кластеры vSphere и накатывать патчи без миграции рабочих нагрузок с целевых хостов и без необходимости перевода хостов в полный режим обслуживания. Патч применяется в реальном времени, пока рабочие нагрузки продолжают выполняться.
Преимущества использования Live Patching
1. Минимизация времени простоя
Одним из наиболее очевидных преимуществ использования Live Patch является возможность минимизации времени простоя серверов VMware ESXi. В традиционной модели управления инфраструктурой, обновления и исправления часто требуют перезагрузки хостов, что может быть проблематичным для сервисов, требующих высокой доступности. С использованием Live Patch такие обновления могут быть применены без необходимости остановки системы, что обеспечивает непрерывность бизнес-процессов и снижает риск финансовых потерь из-за простоя.
2. Улучшенная безопасность
Обновления безопасности являются критически важным аспектом управления ИТ-инфраструктурой. Live Patch позволяет администраторам немедленно применять исправления для уязвимостей, что существенно сокращает окно уязвимости системы. Это особенно важно в условиях постоянно растущих угроз кибербезопасности, когда каждое промедление может привести к серьёзным последствиям. Быстрое применение патчей снижает риск компрометации системы и утечки данных.
3. Экономия ресурсов и упрощение процессов
Процесс обновления серверов ESXi традиционно требует значительных затрат времени и усилий со стороны ИТ-персонала, связанных с переводом хостов в режим обслуживания (maintenance mode). Live Patch упрощает этот процесс за счет режима частичного обслуживания (partial maintenance mode), позволяя администраторам централизованно управлять обновлениями и минимизировать вмешательство в работу системы. Это позволяет снизить нагрузку на ИТ-персонал и повысить эффективность управления инфраструктурой.
Технические аспекты работы Live Patch в vSphere 8 Update 3
1. Загрузка и активация патчей
Live Patch в vSphere 8 Update 3 позволяет загружать и применять патчи к работающей системе без её перезагрузки. Это достигается благодаря использованию специализированного кода, который встраивается в рабочее ядро гипервизора ESXi. Данный код способен динамически изменять работу системы, устраняя уязвимости и исправляя ошибки. В процессе применения патча система продолжает функционировать в обычном режиме, обеспечивая непрерывность работы сервисов.
Для использования функции vSphere Live Patch необходимо выполнение ряда условий:
Версии программного обеспечения: vCenter и хосты ESXi должны быть версии 8.0 Update 3 или выше. Это обеспечивает совместимость и поддержку всех новых функций.
Настройка функции Live Patch: Включение опции Enforce Live Patch необходимо в глобальных настройках восстановления vSphere Lifecycle Manager или в настройках восстановления кластера.
Требования к DRS: распределенный планировщик ресурсов (DRS) должен быть включен для кластера и работать в полностью автоматическом режиме, что позволяет оптимизировать распределение ресурсов во время применения патчей.
Поддержка виртуальных машин с vGPU: Для виртуальных машин, использующих vGPU, необходимо активировать Passthrough VM DRS Automation, что обеспечивает совместимость с DRS во время патчинга.
Готовность кластера: Текущая сборка кластера vSphere должна быть пригодна для применения live-патчинга. Это включает совместимость с установленными версиями драйверов и прошивок, а также отсутствие критических ошибок в конфигурации.
Отметим, что vSphere Live Patch несовместим с системами, работающими с устройствами TPM или DPU, использующими vSphere Distributed Services Engine.
Перед обновлением Live Patch хосты кластера будут автоматически проверены на своместимость с этой технологией, также будет отобржаться информация и о поддержке техник Quick Boot и Suspend To Memory, о которых мы рассказали в начале статьи:
Работа техники Live Patch выглядит следующим образом:
Распишем этот процесс по шагам:
Хост ESXi переходит в режим частичного обслуживания (partial maintenance mode). Частичный режим обслуживания — это особое состояние, в которое переходит каждый хост кластера. В этом особом состоянии существующие виртуальные машины продолжают работать, но создание новых ВМ на хосте или миграция ВМ на этот хост или с него запрещены. Надо понимать, что вручную перевести в это состояние хост нельзя, а вот вывести из него можно вручную.
Новая версия компонентов целевого патча монтируется параллельно с текущей версией.
Файлы и процессы обновляются за счет смонтированной версии патча.
Виртуальные машины проходят быструю паузу и запуск (fast-suspend-resume) для использования обновленной версии компонентов.
2. Быстрое приостановление и возобновление работы ВМ (fast-suspend-resume)
Патчи для компонента исполнения виртуальных машин в ESXi (virtual machine execution component) являются первой имплементацией механизма vSphere Live Patch. Это означает, что хотя виртуальные машины не нужно эвакуировать с хоста, им нужно выполнить так называемое быстрое приостановление и возобновление (FSR) для использования обновленной среды выполнения виртуальных машин.
FSR виртуальной машины — это ненарушающее работу действие, которое уже используется в операциях с виртуальными машинами при добавлении или удалении виртуальных аппаратных устройств (таких как Hot Add) в работающие виртуальные машины.
Некоторые виртуальные машины несовместимы с FSR. Виртуальные машины, настроенные с включенной функцией Fault Tolerance, машины, использующие Direct Path I/O, и vSphere Pods не могут использовать FSR и нуждаются в участии администратора. Это может быть выполнено либо путем ручной миграции виртуальной машины, либо путем перезагрузки виртуальной машины - поэтому запланируйте время для этого в окне обновления.
2. Управление и мониторинг
VMware предоставляет инструменты для управления и мониторинга процесса применения патчей. Это включает в себя контроль версий, проверку совместимости патчей с текущей конфигурацией системы и отслеживание статуса обновлений. Администраторы могут использовать vCenter Server для централизованного управления процессом Live Patching, что упрощает координацию и мониторинг всех этапов применения патчей.
3. Интеграция и совместимость с существующими инструментами VMware
Live Patching интегрируется с уже существующими инструментами VMware, такими как VMware vSphere Lifecycle Manager (vLCM). Это позволяет использовать существующие процессы и процедуры управления обновлениями, минимизируя необходимость в изменениях инфраструктуры и обучении персонала. Интеграция с vLCM также обеспечивает автоматизацию процесса применения патчей, что дополнительно упрощает управление инфраструктурой.
Механизм vSphere Live Patch пока доступен только для определенного типа патчей. Только патчи для компонента выполнения виртуальных машин ESXi (virtual machine execution component) поддерживаются сейчас функциями vSphere Live Patch. Патчи, которые могут изменить другие компоненты ESXi, например VMkernel, изначально не поддерживаются для vSphere Live Patch и пока требуют следования существующему процессу патчинга, который подразумевает перевод хостов в режим обслуживания и эвакуацию ВМ.
Обновления vSphere Live Patches могут быть установлены только на поддерживаемые совместимые версии ESXi. Каждый такой Live Patch будет указывать, с какой предыдущей сборкой он совместим. vSphere Lifecycle Manager укажет подходящие версии при определении образа кластера. Также вы можете увидеть подходящую версию в репозитории образов vSphere Lifecycle Manager:
Также вы можете запустить сканирование на соответствие в vSphere Lifecycle Manager, который укажет вам виртуальные машины, несовместимые с FSR, и причину несовместимости:
После успешного обновления кластера любые хосты, на которых работают виртуальные машины, не поддерживающие FSR, будут продолжать сообщать о несоответствии требованиям (non-compliant).
В этом случае администратору необходимо вручную переместить виртуальные машины с помощью vMotion или перезагрузить их. Только тогда кластер будет полностью соответствовать требованиям и перейдет в состояние compliant.
Ограничения и потенциальные риски
Несмотря на множество преимуществ, технология Live Patching имеет и свои ограничения, которые необходимо учитывать при её использовании.
1. Совместимость патчей
Не все патчи могут быть применены с использованием технологии Live Patch. Некоторые обновления могут требовать значительных изменений в системе, которые невозможно реализовать без перезагрузки. В таких случаях администраторам всё равно придётся планировать время для обслуживания и перезагрузки серверов.
2. Сложности в тестировании и проверке
Применение патчей в реальном времени требует тщательного тестирования и проверки, чтобы избежать потенциальных проблем в работе системы. Вспомним, как недостаточно тщательное тестирование обновлений привело к масштабному сбою систем Windows с программным обеспечением компании CrowdStrike. В крупных и сложных инфраструктурах это может быть сложной задачей, требующей дополнительных ресурсов и времени. Необходимо учитывать возможные риски и тщательно планировать процесс применения обновлений.
3. Потенциальные проблемы с производительностью
В некоторых случаях применение патчей без перезагрузки может привести к временным проблемам с производительностью системы. Хотя такие ситуации редки, их нельзя полностью исключать. Администраторам необходимо внимательно следить за состоянием системы после применения патчей и быть готовыми к возможным коррективам.
Заключение
Live Patch в VMware vSphere 8 Update 3 представляет собой значительное улучшение в области управления и безопасности виртуальных инфраструктур. Эта технология позволяет организациям поддерживать высокий уровень доступности своих систем, минимизируя риски и затраты, связанные с управлением патчами. Несмотря на существующие ограничения и риски, правильное использование Live Patch может существенно повысить эффективность управления ИТ-инфраструктурой и обеспечить защиту данных в условиях постоянно растущих киберугроз.
RSS
