Oracle PSU Sorgenfreies Patchen? Andreas Karlin Consultant 09.02.2011
Oracle bietet schon seit Juli 2009 sogenannte Patch Set Updates an. Der PSU besteht aus proaktiven kumulativen Patches und erscheint viermal im Jahr. Die PSU s enthalten zusätzlich den jeweils aktuellsten CPU. Doch für welche Plattformen ist der PSU verfügbar? Wie gestaltet sich die Installation und die Prüfung nach bzw. vor der Installation? Was passiert mit bereits applizierten Patches? Diese Fragen werden in diesem Artikel behandelt. Hierbei fließen die Erkenntnisse der vorhandenen Best Practices ein. 1. Konzept In jedem PSU sind ca. 25 bis 100 Patches enthalten. Bei der Auswahl handelt es sich um Best Practice Patches, basierend auf den Auswertungen von My Oracle Support. Oracle testet die Patch Sets vor der Auslieferung, um die Funktionalität zu gewährleisten. Die Patch Sets müssen eine Reihe von definierten Stress Tests durchlaufen. Ein weiteres Kriterium stellt die Verträglichkeit mit anderen empfohlenen Patches dar. Für den Enterprise Manager existieren spezielle PSU s, welche zusätzliche Tests bestehen müssen. Die Datenbank PSU s sind in einer RAC Umgebung rolling installable. Es sind keine Patches enthalten, welche eine Konfigurationsänderung oder eine Re-Zertifizierung erfordern (.z.b. Änderungen am Optimizer). Die PSU s werden durch die fünfte Versionsnummer gekennzeichnet (z.b. 11.2.0.2.1). Die Oracle Binaries selbst werden in ihrer Version nicht geändert. Die Versionsabfrage der PSU Version muss durch den OPatch (mit Kommando) und in der Datenbank durch die DBA-View dba_registry_history durchgeführt werden. 2. Verfügbarkeit Die PSU s sind für folgende Unix- und Linux Plattformen verfügbar: HP-UX PA-RISC HP-UX Itanium IBM AIX 5L Based Systems (64-Bit) Linux x86 (32-bit), and Linux x86-64 Solaris Operating System (SPARC 64-Bit) Für die Plattform Windows existieren keine PSU s. Es gibt jedoch eine Alternative, welche die identischen Patches und Bug fixes inklusive dem CPU beinhaltet. Die Alternative sind die Windows Bundle Patches, welche durch das My Oracle Support Portal erhältlich sind (ID 161549.1). info@trivadis.com. www.trivadis.com. Info-Tel. 0800 87 482 347. Datum 22.02.2011. Seite 2 / 6
3. Versionsidentifizierung Der Patch enthält eine Versionsnummer, welche an der fünften Nummer spezifiziert wird (Beispiel 11.2.0.2.2). Die Oracle Binaries erfahren keine Versionsänderung. Die Version kann jedoch über OPatch und der Datenbankview dba_registry_history (>10.2) abgefragt werden. # Abfrage der Version via OPatch $ opatch lsinv -bugs_fixed grep PSU 8576156 8833280 Tue Feb 09 16:54:18 MST 2010 DATABASE PSU 10.2.0.4.1 (INCLUDES CPUJUL2009) 8833280 8833280 Tue Feb 09 16:54:18 MST 2010 DATABASE PSU 10.2.0.4.2 (INCLUDES CPUOCT2009) $ # Abfrage der Version via DB View SQL> select action_time, version, action, comments from dba_registry_history; ACTION_TIME VERSION ACTION COMMENTS ------------------------- -------------------------- -------------------------- -------------------------- 16-AUG-10 12.08.54.6 11.2.0.1 APPLY PSU 11.2.0.1.2 SQL> 4. Konfliktlösung Prinzipiell ist es sehr wichtig die mitgelieferte Readme-Datei zu studieren. Insbesondere muss hierbei das Kapitel Known Issues beachtet werden, welches alle bisher veröffentlichten Probleme aufzeigt. In der Regel werden die Known Issues auch in einer separaten Note (z.b. 1089052.1 für 10.2.0.4.5) im My Oracle Support ausgewiesen. Leider ist diese Note nicht immer identisch mit der Readme-Datei. Bevor der Patch installiert wird, kann ein Prerequisite Check durchgeführt werden. Der Check prüft, ob bereits installierte Patches mit dem PSU kollidieren. Die in diesem Check aufgelisteten Patches werden vor der Installation durch den OPatch entfernt. # Entpacken des PSU 10.2.0.4.4 & Prerequisite Check via OPatch $ unzip p9654991_102044_<platform>.zip $ opatch prereq CheckConflictAgainstOHWithDetail -phbasedir./9654991 Um zu prüfen, ob der entfernte Patch nach der Installation des PSU weiterhin benötigt wird, existiert im My Oracle Support eine Note (1061295.1 Patch Set Updates - One-off Patch Conflict Resolution). Sollte in der Note der Konfliktpatch erscheinen, so kann geprüft werden, ob ein identischer Patch mit einer anderen Nummer existiert. Eventuell braucht der Konfliktpatch nicht erneut installiert werden, da der PSU diesen Patch bereits enthält. Wenn der Konfliktpatch nicht in der Note verzeichnet ist, so sollte ein Service Request eröffnet werden. info@trivadis.com. www.trivadis.com. Info-Tel. 0800 87 482 347. Datum 22.02.2011. Seite 3 / 6
Beispiel: Patches P1, P2, und P3 sind in einem Database 11.2.0.1.0 Oracle Home installiert. Patch P1 kollidiert mit PSU 11.2.0.1.2. 1.) Das OPatch prereq Kommando erkennt P1 als Konfliktpatch. 2.) Falls kein Prerequisite Patch verfügbar ist, wird eine Anfrage an den Support gestellt. 3.) PSU 11.2.0.1.2 wird installiert. P2 und P3 bleiben installiert, P1 wird zurückgerollt. 4.) Prerequisite Patch von P1 wird nachträglich installiert. 5.) Versionsnummer von PSU wird nicht beeinträchtigt 5. PSU vs. CPU Der Patch Set Update und der Critical Patch Update beinhalten die identischen Sicherheitsfixes. Der CPU ist im PSU als Patch enthalten. PSU s können nachträglich auf jeden CPU installiert werden. Wenn ein PSU installiert wurde, muss laut Oracle die Patchstrategie auf die kommenden PSU s aufbauen. Ein Wechsel auf CPU wäre prinzipiell möglich, Oracle rät jedoch davon ab. Empfehlung: Prinzipiell ist der Umstieg auf PSU zu empfehlen. Der PSU beinhaltet nicht nur sicherheitsrelevante Fixes, sondern auch für den Datenbankbetrieb wichtige Patches. Das studieren der Readme ist ein Muss und sollte vor jeder Installation beachtet werden. Der PSU sollte zuvor in einer Testumgebung eingespielt werden, um Seiteneffekte z.b.mit der Applikation zu vermeiden. 6th Cluster Ready Service bzw. Grid Infrastructure Patches Oracle bietet spezielle PSU s für Real Application Clusters Umgebungen an. Hierbei handelt es sich um GI- bzw. CRS-Patches. Die GI/CRS Patches beinhalten sowohl Clusterwarespezifische Bug fixes, als auch ASM- und Datenbankspezifische Bug fixes. Die GI/CRS Patches sind multiproduktfähig und können auf CRS/GI-Home, DB-Home und ASM- Home (<11.1) appliziert werden. Ein normaler Datenbank PSU ist nach der Applizierung des GI/CRS Patches nicht erforderlich, die Kombination ist aber supportet. Empfehlung: In einzelnen Fällen müssen die GI/CRS Patches auf die Datenbank Homes appliziert werden (z.b. bei ASM-Bug fixes). Hierzu sollte die Readme des Patches Auskunft geben. Man sollte also in einer geclusterten Umgebung immer die GI/CRS Patches benutzen. info@trivadis.com. www.trivadis.com. Info-Tel. 0800 87 482 347. Datum 22.02.2011. Seite 4 / 6
7. Installation Generell sollten die PSU s zuerst in einer Testumgebung untersucht werden (dies gilt generell für jeden Patch). Eventuell können noch nicht bekannte Konflikte auftreten, welche vor der Installation bereinigt werden müssen. PSU s lassen sich über das My Oracle Support Portal unter Menüpunkt Patches & Updates herunterladen. Hierbei ist zu beachten, dass beim Release der gewünschte PSU angegeben wird. Unter Description kann zusätzlich der String PSU angegeben werden. Vor jeder Installation muss die Readme studiert werden. Besonderes Augenmerk sollte hierbei auf die Known Issues gelegt werden. Eventuell müssen spezielle Pre- und Post-Konfigurationen durchgeführt werden. Generell muss vor jeder Version der aktuelle OPatch heruntergeladen und installiert werden (siehe Readme). Nach der Ausführung des Pre-Checks muss auf die genannten Konfliktpatches geachtet werden und mit der Note ID1061295.1 verglichen werden. Sollte der Patch in der Note erscheinen, so müssen die Hinweise beachtet werden. Ist der Patch nicht in der Note enthalten, so muss ein Service Request eröffnet werden. Die eigentliche Installation kann beginnen. info@trivadis.com. www.trivadis.com. Info-Tel. 0800 87 482 347. Datum 22.02.2011. Seite 5 / 6
Nach der Installation müssen die Post-Konfigurationen durchgeführt werden. Hierzu gehört z.b. das starten eines CPU-Skriptes in den Datenbanken, die mit dem Home verknüpft sind. Nach den Post-Konfigurationen wird die PSU Version mit OPatch und der DB View dba_registry_history (>10.2) geprüft. Die Installation verläuft in der Regel ohne Komplikationen. Generell kann man sagen, dass bei Einhaltung der Anleitung keine Komplikationen auftreten werden. Der Oracle Support reagiert schnell auf Service Requests, welche Konfliktlösungspatches anfragen. 8. Fazit Die PSU s haben sich in der Praxis bewährt und sind einfach zu installieren. Die Funktionalität wurde von Oracle geprüft. Es sind alle wichtigen Bug fixes in einem PSU verpackt. Die Patches sind kumulativ. Patchkonflikte lassen sich lösen, manchmal mit ein wenig Wartezeit (Stichwort Service Request). Das studieren der Readme ist ein Muss und sollte vor jeder Installation beachtet werden. Generell ist ein Umstieg auf Patch Set Updates zu empfehlen, sofern Tests erfolgreich durchgeführt und abgeschlossen wurden. Viel Erfolg beim Einsatz von Trivadis-Know-how wünscht Ihnen Andreas Karlin Trivadis GmbH Industriestrasse 4 Tel: +49-711-90 36 32 30 DE-70565 Stuttgart Fax: +49-711-903 63 259 Internet: www.trivadis.com Mail: andreas.karlin@trivadis.com Literatur und Links www.trivadis.com Note 854428.1 : Patch Set Updates for Oracle Products Note 850471.1 : Oracle Announces First Patch Set Update For Oracle Database 10.2 Note 756671.1 : Recommended Patches -- Oracle Database Note 161549.1 : DB Server Patches for Microsoft Platforms Note 1061295.1 : Patch Set Updates - One-off Patch Conflict Resolution Note 861152.1 : Patchset Updates (PSU's) Change the Oracle Release Version/Fifth Digit? Note 293369.1 : Master Note For OPatch info@trivadis.com. www.trivadis.com. Info-Tel. 0800 87 482 347. Datum 22.02.2011. Seite 6 / 6