对于大多数生产环境，最稳妥的做法是启用 unattended-upgrades 但配置排除列表，避免内核和关键业务包自动升级，同时开启邮件通知以便人工介入。
先说结论：自动更新无法完全保证零中断，但可以通过配置将风险控制在可接受范围。
- 适合：对安全补丁敏感但无法实时值守的服务器
- 先准备：备份现有配置并确认磁盘空间充足
- 验收：检查更新日志并确认邮件通知正常发送
- 风险警示：长期排除内核更新会导致安全漏洞滞留，需定期人工维护
命令速用版
如果你需要快速启用基础安全更新功能，可以直接运行以下命令，但建议先阅读后续的配置说明：
sudo apt update
sudo apt install unattended-upgrades
sudo dpkg-reconfigure unattended-upgrades第二步会弹出交互界面，选择 Yes 开启自动安全更新。
核心原理与风险
Ubuntu 的自动更新机制主要依赖 unattended-upgrades 工具。默认情况下，它只会安装标记为安全更新的补丁。但风险在于，某些安全更新可能涉及内核升级、配置文件变更或依赖库版本跳跃，这些情况可能导致服务重启甚至系统需要 reboot 才能生效。如果不加限制地开启，业务进程可能会在更新瞬间中断，或者因配置不兼容而启动失败。
分步处理
以下是更安全的配置流程，重点在于控制更新范围和通知机制。
1. 备份当前配置
在修改任何配置前，先备份相关文件，以便出错时恢复：
sudo cp /etc/apt/apt.conf.d/50unattended-upgrades /etc/apt/apt.conf.d/50unattended-upgrades.bak
sudo cp /etc/apt/apt.conf.d/20auto-upgrades /etc/apt/apt.conf.d/20auto-upgrades.bak2. 配置排除列表（含安全风险提示）
编辑 /etc/apt/apt.conf.d/50unattended-upgrades 文件。找到 Unattended-Upgrade::Package-Blacklist 部分，将关键业务包或内核加入黑名单。例如，如果不希望自动升级内核，可以取消注释或添加以下行：
Unattended-Upgrade::Package-Blacklist {"linux-image-*";"linux-headers-*";// 这里可以添加你的业务包名，例如 "nginx" 或 "mysql-server"
};注意：排除内核更新虽能避免重启中断，但会导致内核安全漏洞无法自动修复。建议每月安排一次维护窗口手动升级内核。
3. 配置邮件通知（含服务安装）
首先安装邮件工具并测试发送功能，确保通知通道畅通：
sudo apt install mailutils -y
echo "Test Subject" | mail -s "Test" admin@example.com确认收到测试邮件后，编辑 /etc/apt/apt.conf.d/50unattended-upgrades 文件，找到 Unattended-Upgrade::Mail，填入管理员邮箱：
Unattended-Upgrade::Mail "admin@example.com";若服务器未运行 postfix 等 MTA 服务，邮件可能发送失败。生产环境建议配置外部 SMTP 中继。
4. 确认自动更新开关
检查 /etc/apt/apt.conf.d/20auto-upgrades 文件，确保内容如下：
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";数值 "1" 代表开启，"0" 代表关闭。
5. 配置自动清理缓存
自动更新会下载.deb 包并保留缓存。建议添加 cron 任务定期清理，防止磁盘空间不足：
sudo crontab -e
# 每周日凌晨 3 点清理 apt 缓存
0 3 * * 0 /usr/bin/apt-get clean怎么验证是否生效
配置完成后，不需要等待第二天，可以手动触发一次模拟运行来检查配置是否正确。
1. 干跑测试
使用 `--dry-run` 参数查看哪些包会被更新，确认黑名单是否生效：
sudo unattended-upgrade `--dry-run`观察输出日志，确认被黑名单排除的包没有出现在待更新列表中。
2. 检查日志
自动更新的实际运行日志位于 /var/log/unattended-upgrades/ 目录下。主要查看 unattended-upgrades.log 和 unattended-upgrades-shutdown.log。如果看到 "No packages found that can be upgraded unattended" 且符合预期，说明配置正常。
3. 验证邮件
如果配置了邮件通知，在首次实际运行后检查邮箱是否收到来自 root 或未指定发件人的报告邮件。
常见坑与平衡建议
1. 内核更新与安全平衡
即使排除了内核包，其他基础库更新有时也需要重启服务。如果业务对可用性要求极高，建议配合需要重启时的通知配置 Unattended-Upgrade::Automatic-Reboot 设置为 false，人工安排维护窗口重启。切记长期不更新内核会积累严重安全漏洞。
2. 磁盘空间不足
自动更新会下载.deb 包并保留缓存。如果分区空间紧张，可能导致更新失败甚至服务异常。除了配置 cron 清理外，也可在 20auto-upgrades 中开启 APT::Periodic::Clean "1";。
3. 配置文件冲突
如果更新涉及配置文件变更（如 nginx.conf），unattended-upgrades 默认会保留本地修改，但可能会生成 .dpkg-dist 文件。更新后务必检查关键服务的配置文件状态，避免新旧配置混用导致启动失败。
参考来源
- Ubuntu Server Guide - Automatic Updates: https://help.ubuntu.com/lts/serverguide/automatic-updates.html
- unattended-upgrades man page: man unattended-upgrades
原文链接：https://www.zjcp.cc/ask/11383.html