印刻数据库

外观

Oracle 补丁管理 ​

补丁管理概述 ​

补丁定义 ​

Oracle 补丁是用于修复数据库软件中的漏洞、错误或添加新功能的代码更新。有效的补丁管理对于保持数据库安全性和稳定性至关重要。

补丁的重要性 ​

  • 安全修复: 修复已知的安全漏洞，防止被利用
  • 性能改进: 解决性能问题，提高数据库效率
  • 功能增强: 添加新功能或改进现有功能
  • 稳定性提升: 修复导致崩溃或数据损坏的错误
  • 合规性要求: 满足 GDPR、PCI DSS 等合规要求

补丁类型 ​

补丁类型描述发布频率示例
PSU (Patch Set Update)包含安全修复和关键错误修复每季度19.17.0.0.0 PSU
CPU (Critical Patch Update)仅包含安全修复每季度CPUJan2025
RU (Release Update)Oracle 21c 及以后的主要补丁，包含安全和功能修复每月21.13.0.0.0 RU
RUR (Release Update Revision)修复 RU 中的问题每月21.13.1.0.0 RUR
OJVM PSU/RUOracle JVM 组件的补丁每季度/每月OJVMPSUJan2025
一次性补丁 (One-off)修复特定问题的单个补丁按需34567890
补丁集 (Patch Set)主要版本更新，包含大量修复和新功能每 12-18 个月19.3.0.0.0

补丁管理生命周期 ​

1. 补丁评估 ​

补丁公告监控 ​

  • Oracle 安全公告: 定期查看 Oracle 官方安全公告
  • My Oracle Support (MOS): 订阅 MOS 补丁通知
  • CVE 数据库: 监控 CVE 数据库中与 Oracle 相关的漏洞

补丁影响分析 ​

  • 漏洞严重性: 根据 CVSS 评分评估漏洞严重性
  • 业务影响: 评估补丁对业务系统的影响
  • 兼容性: 检查补丁与现有系统的兼容性
  • 依赖关系: 检查补丁的依赖关系

2. 补丁测试 ​

测试环境准备 ​

  • 测试环境: 创建与生产环境相同的测试环境
  • 备份: 测试前备份测试环境
  • 测试计划: 制定详细的测试计划

测试内容 ​

  • 功能测试: 测试数据库核心功能
  • 性能测试: 测试补丁对性能的影响
  • 兼容性测试: 测试与应用程序的兼容性
  • 安全测试: 验证漏洞是否已修复

3. 补丁部署 ​

部署前准备 ​

  • 生产环境备份: 确保有可用的生产环境备份
  • 回滚计划: 制定详细的回滚计划
  • 维护窗口: 安排合适的维护窗口
  • 人员准备: 确保相关人员到位

部署流程 ​

  1. 停止应用程序
  2. 停止数据库服务
  3. 应用补丁
  4. 启动数据库服务
  5. 运行补丁后验证脚本
  6. 启动应用程序
  7. 验证应用程序功能

4. 补丁验证 ​

验证内容 ​

  • 补丁安装状态: 验证补丁是否成功安装
  • 数据库功能: 验证数据库核心功能是否正常
  • 应用程序功能: 验证应用程序是否正常运行
  • 性能: 监控数据库性能是否有变化

验证命令 ​

sql
-- 检查补丁安装状态
SELECT * FROM dba_registry_sqlpatch;

-- 检查数据库版本和补丁信息
SELECT * FROM v$version;

-- 运行补丁后验证脚本
@$ORACLE_HOME/OPatch/datapatch -verbose

5. 补丁审计 ​

审计内容 ​

  • 补丁安装记录: 记录所有补丁安装信息
  • 测试结果: 记录补丁测试结果
  • 部署结果: 记录补丁部署结果
  • 问题和解决方案: 记录部署过程中遇到的问题和解决方案

Oracle 补丁安装工具 ​

1. OPatch ​

OPatch 是 Oracle 提供的补丁安装工具，用于安装和管理 Oracle 数据库补丁。

OPatch 常用命令 ​

bash
# 检查 OPatch 版本
$ORACLE_HOME/OPatch/opatch version

# 检查已安装的补丁
$ORACLE_HOME/OPatch/opatch lsinventory

# 安装补丁
$ORACLE_HOME/OPatch/opatch apply /path/to/patch

# 回滚补丁
$ORACLE_HOME/OPatch/opatch rollback -id <patch_id>

# 检查补丁冲突
$ORACLE_HOME/OPatch/opatch prereq CheckConflictAgainstOHWithDetail -phBaseDir /path/to/patch

2. DataPatch ​

DataPatch 用于在数据库中应用 SQL 补丁，通常在 OPatch 安装二进制补丁后使用。

DataPatch 常用命令 ​

sql
-- 应用 SQL 补丁
@$ORACLE_HOME/OPatch/datapatch -verbose

-- 检查 DataPatch 状态
@$ORACLE_HOME/OPatch/datapatch -status

-- 回滚 SQL 补丁
@$ORACLE_HOME/OPatch/datapatch -rollback -id <patch_id> -verbose

3. Oracle Enterprise Manager (OEM) ​

OEM 提供了图形化的补丁管理界面，可以简化补丁的评估、测试和部署。

使用 OEM 进行补丁管理 ​

  1. 导航到 补丁和更新
  2. 运行 补丁健康检查
  3. 生成 补丁建议
  4. 在测试环境中测试补丁
  5. 在生产环境中部署补丁

补丁安装流程详解 ​

1. PSU/RU 安装流程 ​

前提条件 ​

  • 已备份数据库
  • 已停止所有依赖服务
  • 已下载正确的补丁
  • 已验证补丁兼容性

安装步骤 ​

bash
# 1. 停止数据库和监听
sqlplus / as sysdba <<EOF
SHUTDOWN IMMEDIATE;
EXIT;
EOF

lsnrctl stop

# 2. 安装 OPatch 补丁（如果需要）
unzip p6880880_210000_Linux-x86-64.zip -d $ORACLE_HOME

# 3. 解压数据库补丁
unzip p34567890_210000_Linux-x86-64.zip -d /tmp

# 4. 检查补丁冲突
$ORACLE_HOME/OPatch/opatch prereq CheckConflictAgainstOHWithDetail -phBaseDir /tmp/34567890

# 5. 安装补丁
$ORACLE_HOME/OPatch/opatch apply /tmp/34567890

# 6. 启动监听和数据库
lsnrctl start

sqlplus / as sysdba <<EOF
STARTUP;
EXIT;
EOF

# 7. 应用 SQL 补丁
@$ORACLE_HOME/OPatch/datapatch -verbose

# 8. 验证补丁安装
$ORACLE_HOME/OPatch/opatch lsinventory | grep -i 34567890

sqlplus / as sysdba <<EOF
SELECT * FROM dba_registry_sqlpatch WHERE patch_id = '34567890';
EXIT;
EOF

2. OJVM 补丁安装流程 ​

bash
# 1. 安装 OJVM 补丁
$ORACLE_HOME/OPatch/opatch apply /tmp/34567891

# 2. 应用 SQL 补丁
@$ORACLE_HOME/OPatch/datapatch -verbose

# 3. 验证 OJVM 补丁安装
$ORACLE_HOME/OPatch/opatch lsinventory | grep -i OJVM

3. 一次性补丁安装流程 ​

bash
# 1. 安装一次性补丁
$ORACLE_HOME/OPatch/opatch apply /tmp/34567892

# 2. 检查是否需要应用 SQL 补丁
@$ORACLE_HOME/OPatch/datapatch -verbose

# 3. 验证一次性补丁安装
$ORACLE_HOME/OPatch/opatch lsinventory | grep -i 34567892

Oracle 19c vs 21c 补丁管理差异 ​

Oracle 19c 补丁管理 ​

  • 补丁类型: PSU、CPU、OJVM PSU、一次性补丁
  • 发布频率: PSU/CPU 每季度发布
  • 补丁累积性: PSU 是累积的，包含之前所有 PSU 的内容
  • 安装复杂度: 中等，需要手动下载和安装
  • 回滚难度: 中等，需要手动执行回滚步骤

Oracle 21c 补丁管理 ​

  • 补丁类型: RU、RUR、OJVM RU、一次性补丁
  • 发布频率: RU 每月发布，RUR 每月发布
  • 补丁累积性: RU 是累积的，包含之前所有 RU 的内容；RUR 仅包含当前 RU 的修复
  • 安装简化: 改进了 OPatch 和 DataPatch，简化了安装流程
  • 自动化增强: 更好地与 OEM 集成，支持自动化补丁管理
  • 回滚改进: 简化了回滚流程，减少了回滚时间

版本迁移注意事项 ​

  • 从 19c 升级到 21c 后，补丁类型从 PSU 变为 RU
  • 21c 的 RU 包含更多功能增强，不仅仅是安全修复
  • 升级前需要确保当前 19c 环境已安装最新的 PSU
  • 升级后需要调整补丁管理策略，适应每月发布的 RU

补丁管理最佳实践 ​

1. 建立补丁管理策略 ​

  • 明确责任: 明确补丁管理的责任人和流程
  • 补丁评估标准: 制定补丁评估标准，确定哪些补丁需要安装
  • 测试策略: 制定详细的补丁测试策略
  • 部署策略: 制定补丁部署策略，包括部署频率和维护窗口

2. 定期评估补丁 ​

  • 订阅 Oracle 安全公告: 及时了解最新的补丁信息
  • 定期运行补丁健康检查: 使用 OEM 或 OPatch 定期检查补丁状态
  • 评估补丁优先级: 根据漏洞严重性和业务影响评估补丁优先级

3. 充分测试补丁 ​

  • 创建测试环境: 确保测试环境与生产环境相同
  • 测试所有功能: 测试数据库核心功能和应用程序功能
  • 测试性能: 监控补丁对性能的影响
  • 测试回滚: 测试补丁回滚流程，确保可以快速回滚

4. 自动化补丁管理 ​

  • 使用 OEM: 利用 OEM 自动化补丁评估、测试和部署
  • 编写脚本: 编写自动化脚本，简化补丁安装和验证流程
  • 集成到 CI/CD: 将补丁管理集成到 CI/CD 流程中

5. 建立回滚计划 ​

  • 备份: 确保有可用的数据库备份
  • 回滚步骤: 制定详细的回滚步骤
  • 测试回滚: 定期测试回滚流程
  • 回滚时间: 确保回滚时间在可接受范围内

6. 监控和审计 ​

  • 监控补丁状态: 定期监控数据库补丁状态
  • 审计补丁安装: 记录所有补丁安装信息
  • 监控性能: 监控补丁安装后的数据库性能
  • 定期审查: 定期审查补丁管理策略和流程

常见问题(FAQ) ​

Q: 如何确定需要安装哪些补丁？ ​

A: 可以使用以下方法：

  • 订阅 Oracle 安全公告
  • 使用 OEM 的补丁建议功能
  • 定期运行 opatch lsinventory 检查已安装的补丁
  • 参考 Oracle 官方文档中的补丁建议

Q: 补丁安装失败怎么办？ ​

A:

  • 查看 OPatch 日志文件，了解失败原因
  • 根据日志信息解决问题
  • 如果无法解决，执行回滚操作
  • 联系 Oracle 支持寻求帮助

Q: 如何回滚已安装的补丁？ ​

A:

bash
# 回滚二进制补丁
$ORACLE_HOME/OPatch/opatch rollback -id <patch_id>

# 回滚 SQL 补丁
@$ORACLE_HOME/OPatch/datapatch -rollback -id <patch_id> -verbose

Q: 补丁安装会影响数据库性能吗？ ​

A: 补丁安装可能会影响数据库性能，具体取决于补丁内容：

  • 安全补丁通常对性能影响较小
  • 功能增强补丁可能对性能有影响
  • 建议在测试环境中测试补丁对性能的影响

Q: 可以跳过某些 PSU/RU 吗？ ​

A: 不建议跳过，因为 PSU/RU 是累积的，包含之前所有补丁的内容。跳过可能导致安全漏洞或功能问题。

Q: 如何处理补丁冲突？ ​

A:

  • 使用 opatch prereq CheckConflictAgainstOHWithDetail 命令检查补丁冲突
  • 如果有冲突，联系 Oracle 支持获取解决方案
  • 可以尝试先回滚冲突的补丁，再安装新补丁
  • 或者等待 Oracle 发布解决冲突的补丁

Q: Oracle 21c 的 RU 和 RUR 有什么区别？ ​

A:

  • RU (Release Update): 每月发布，包含安全修复、错误修复和功能增强，是累积的
  • RUR (Release Update Revision): 每月发布，仅包含当前 RU 的错误修复，不是累积的
  • RUR 用于修复 RU 中的问题，建议在安装 RU 后安装对应的 RUR

补丁管理案例 ​

案例：季度 PSU 安装 ​

需求: 安装最新的 Oracle 19c PSU 补丁，确保数据库安全性。

实施步骤:

  1. 补丁评估:

    • 查看 Oracle 安全公告，了解最新 PSU 信息
    • 评估 PSU 包含的漏洞严重性
    • 检查 PSU 与现有系统的兼容性

  2. 测试环境准备:

    • 创建与生产环境相同的测试环境
    • 备份测试环境
    • 制定测试计划

  3. 补丁测试:

    • 在测试环境中安装 PSU 补丁
    • 测试数据库核心功能
    • 测试应用程序功能
    • 监控数据库性能

  4. 生产环境部署:

    • 安排维护窗口
    • 备份生产环境
    • 安装 PSU 补丁
    • 验证补丁安装
    • 启动应用程序
    • 验证应用程序功能

  5. 审计和记录:

    • 记录补丁安装信息
    • 记录测试和部署结果
    • 记录遇到的问题和解决方案

实施效果:

  • 数据库漏洞得到修复
  • 数据库稳定性得到提升
  • 满足合规要求
  • 建立了完善的补丁管理流程

总结 ​

Oracle 补丁管理是保持数据库安全性和稳定性的重要工作。有效的补丁管理包括补丁评估、测试、部署、验证和审计等环节。Oracle 提供了多种补丁安装工具，如 OPatch 和 DataPatch，简化了补丁安装流程。Oracle 21c 引入了新的补丁类型 RU 和 RUR，提高了补丁发布频率和安装便利性。建立完善的补丁管理策略，包括明确的责任分工、详细的测试计划和回滚计划，对于确保补丁管理的有效性至关重要。