Ubuntu如何设置具体的系统自动升级白名单-LINUX-PHP中文网

Ubuntu不支持按包名配置自动升级白名单，unattended-upgrades仅支持基于源（Origin）和组件（Component）的粗粒度控制，AllowedOrigins为源级白名单，Package-Blacklist为包级黑名单，二者组合可模拟白名单效果；内核升级需单独启用HWE或显式配置并验证源中存在更新。

ubuntu如何设置具体的系统自动升级白名单

Ubuntu 没有“系统自动升级白名单”这个原生概念——unattended-upgrades 不支持按包名精确放行（比如只升 openssh-server 或 nginx），它只支持按源（Origin）和组件（Component）做粗粒度授权，或用黑名单排除特定包。

为什么不能配置“升级白名单”

APT 的自动升级机制设计上是“默认不装，除非你明确允许某个源”，而不是“默认全装，再挑几个来升”。unattended-upgrades 的 AllowedOrigins 是白名单式控制，但它作用在源层级（如 Ubuntu:jammy-security），不是包名层级。你无法写 "openssh-server": "true" 这类规则。

所有安全更新都来自 -security 源，常规 bug 修复可能在 -updates 源，内核更新甚至可能落在 -proposed 或 HWE 元包里
Package-Blacklist 是唯一能精确到包名的控制项，但它是“排除”，不是“仅允许”
试图用 apt-mark hold 锁定大部分包、再手动放开几个，会与 unattended-upgrades 冲突，导致服务静默失败（日志里只报“0 packages upgraded”）

如何模拟白名单效果：用 AllowedOrigins + Package-Blacklist 组合

如果你的真实目标是“只让 SSH、内核、关键服务升级，其他一律不动”，只能靠两层收缩：

在 /etc/apt/apt.conf.d/50unattended-upgrades 中，把 AllowedOrigins 缩到最小范围，例如只留：
"${distro_id}:${distro_codename}-security";
"${distro_id}:${distro_codename}-updates";
（注意：去掉 -proposed 和第三方源）
在同一个文件里，启用并填充 Unattended-Upgrade::Package-Blacklist，把非关键包全列进去：
Unattended-Upgrade::Package-Blacklist {"apache2", "mysql-server", "postgresql", "docker-ce"};
不要依赖 apt-mark hold —— unattended-upgrades 会跳过被 hold 的包，但不会报错，你根本不知道它跳过了什么

内核升级必须单独处理

Ubuntu 默认禁用内核自动升级，哪怕你在 AllowedOrigins 里开了 -updates。因为内核更新涉及重启，风险高。

Ubuntu 26.04

Ubuntu 26.04 LTS（代号“Resolute Raccoon”）是Canonical于2026年4月23日发布的下一代长期支持版操作系统，提供长达10年的技术支持。它搭载Linux 7.0内核与GNOME 50桌面环境，全面转向Wayland协议，并引入Rust重写的核心工具以增强安全性。官方提供适用于AMD64和ARM64架构的桌面及服务器ISO镜像，是追求前沿技术与极致稳定的开发者

下载

若需自动升内核，必须显式启用 HWE（Hardware Enablement Stack）元包，例如：
sudo apt install linux-image-generic-hwe-$(lsb_release -sr | sed 's/\.//')
或者修改 /etc/apt/apt.conf.d/50unattended-upgrades，在 Unattended-Upgrade::Allowed-Origins 下添加：
"${distro_id}:${distro_codename}-updates";
并确保该源中实际发布了内核更新（apt list --upgradable | grep linux-image 可验证）
启用自动重启后，内核更新才会生效：
Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "03:00";

验证是否真按预期运行

配置完别直接等明天——立刻触发一次测试，否则你永远不知道 AllowedOrigins 是否漏写了引号、Package-Blacklist 是否语法错误、或者源里根本没你想升的包。

手动运行升级并看输出：
sudo unattended-upgrade --dry-run -d（加 -d 显示详细决策过程）
检查日志确认哪些包被跳过：
grep "Skipping" /var/log/unattended-upgrades/unattended-upgrades.log
查最近一次真实执行结果：
tail -20 /var/log/unattended-upgrades/unattended-upgrades.log
注意：--dry-run 不会读取 Package-Blacklist，要验证黑名单得真跑一次（建议先关自动重启）