[Вопрос] как правильно обновлять парк компьютеров

[lam015]

Доброго времени суток. Подскажите, пожалуйста, наиболее правильное решение в следующем вопросе:
Есть: парк debian-like (ubuntu 8.04) машин.
Задача: следить за своевременным обновлением критических компонентов ос с возможностью апдейта выключенных в данный момент машин при их следующей загрузке.

т.е. хочется найти наиболее простой путь, в идеале - наподобие гуевого апдейтера, встроенного в убунту (только для всех машин, в том числе оффлайновых в данный момент) - т.е. есть список возможных для обновления пакетов, и галочками выбираем нужные для обновления пакеты.

так же было бы неплохо выполнять однократные консольные команды для всех машин сети (которые на оффлайновых выполнились бы при загрузке).

стоит смотреть в сторону софта типа cfengine/puppet, или есть какие-либо более простые решения?
как выполняют данные задачи опытные адмнистраторы?

[pelmen]

как выполняют данные задачи опытные адмнистраторы?

через ssh и с использованием автозагрузки (rc.local) и планирования (crontab)

[lam015]

ага.. через aptitude safe-upgrade обновляется большинство софта без бубна.
но что делать с обновлением ядра? там ведь идет пост-инсталл скрипт, требующий ручного вмешательства для правки конфига загрузчика.. (у меня этот скрипт почему-то заменил root=/dev/sda1 на root=UID.. и система, конечно, не загрузилась)
и еще небольшая проблемка.. на некоторых машинах используется проприетарный драйвер nvidia, а с обновлением ядра, его нужно заново устанавливать (его инсталляционный скрипт ругается когда загружены иксы (т.е. когда работает пользователь) ). подскажите, пожалуйста, как в таком случае быть?

[C10H15N]

В конфиге груба за одним # стоят опции подставляеые по дефолту, т.е. например # groot=(hd0,5) -будет при автоматическом переписывании ставиться root=(hd0,5) и т.д.
Там же всё подробно описано.

[pelmen]

А я, кстати, не уверен, что стал бы обновлять ядро на клиентских компьютерах скриптом, выполняющимся еже(дневно/недельно). Уж лучше раз в полгода с релизом дистрибутива обновлять. А пакеты можно и скриптом.

[lam015]

А я, кстати, не уверен, что стал бы обновлять ядро на клиентских компьютерах скриптом, выполняющимся еже(дневно/недельно). Уж лучше раз в полгода с релизом дистрибутива обновлять. А пакеты можно и скриптом.

а как быть с безопасностью? (например, недавий паблик сплоит Linux Kernel 2.x sock_sendpage() Local Root Exploit и т.д.)

[Ленивая Бестолочь]

ну, кстати говоря, если вы беспокоитесь насчет того, что может отвалиться поддержка какого-нибудь оборудования, то soft-update вам версию ядра не сменит, только обновит существующую.