Oracle數(shù)據(jù)庫補丁分類、安裝及管理

2010-08-28 10:50:44來源:西部e網(wǎng)作者:

給軟件打補丁相當(dāng)于給人打預(yù)防針,對系統(tǒng)的穩(wěn)定運行至關(guān)重要。本文詳細(xì)、系統(tǒng)地介紹了Oracle數(shù)據(jù)庫補丁的分類、安裝、管理等問題。

廠商提供給用戶的軟件補丁的形式多為編譯后的庫函數(shù),所以安裝軟件補丁實際上就是把這些庫函數(shù)拷貝到相應(yīng)目錄,并在需要時進行聯(lián)接操作。軟件公司一般在一段時間后會把針對某一版本的所有補丁進行整理:合并融合,解決沖突,進行整體測試,并使文件拷貝和聯(lián)接操作自動執(zhí)行,得到一個軟件補丁“包 ”。不同的公司使用不同的名稱,現(xiàn)在一般計算機用戶都熟悉的Windows Service Pack就是這樣的補丁包。Oracle公司給出的補丁包的名稱是Patch Set,安裝Patch Set后的版本稱Patch Set Release(PSR)。

Oracle公司對處于標(biāo)準(zhǔn)技術(shù)支持的產(chǎn)品不定期地提供PSR,例如在完成本文時,版本10.2的最新PSR是10.2.0.2;版本10.1的最新PSR是10.1.0.5;版本9.2的最新(也極可能是最終)PSR是9.2.0.8.

在安裝最新PSR后新發(fā)現(xiàn)的Bug,其相應(yīng)補丁當(dāng)然會收錄到下一個PSR中。PSR是累積型的,即下一個PSR中會包括當(dāng)前PSR中所有補丁和新發(fā)現(xiàn)Bug的補丁。同時存在幾個PSR時,只需安裝最新版本一次就可以了。但是由于PSR的發(fā)行有一定間隔,如果這些Bug對用戶有比較大的影響,那么Oracle公司也會向用戶公開和提供這些補丁,這些補丁被稱為個別補。↖nterim Patch,one-off patch 或 Patch Set Exception)。而對于最終補丁發(fā)行版而言,由于不再有下一個PSR,所以當(dāng)發(fā)現(xiàn)影響系統(tǒng)的新Bug時,個別補丁成為惟一選擇。

此外,Oracle公司還定期發(fā)布安全補丁,稱之為CPU(Critical Patch Updates)。安全補丁用來修復(fù)軟件的易受攻擊性(vulnerability)或通常說的安全漏洞。這類問題本來不屬于軟件錯誤,在正常使用中不會出現(xiàn)任何問題。但是別有用心的人可以通過運行非常精巧設(shè)計的代碼,繞過數(shù)據(jù)庫系統(tǒng)的安全管理機制,達(dá)到非授權(quán)存取的目的。

另外還存在一類補。涸\斷用補。╠iagnostic patch)。顧名思義,這類補丁不是用來解決問題的,而是用來尋找問題的原因的。這類補丁只在Oracle技術(shù)支持部門要求安裝時,才需要安裝。在得到需要的診斷信息后,應(yīng)立即卸載這一補丁。

利弊及時機選擇

負(fù)責(zé)管理支撐大型應(yīng)用系統(tǒng)的數(shù)據(jù)庫的DBA會容易理解安裝軟件補丁的代價。安裝PSR需要停止數(shù)據(jù)庫服務(wù),關(guān)閉數(shù)據(jù)庫,對于許多應(yīng)用系統(tǒng)安排這樣的停機時間本身就是一件比較困難的事情。事實上,更為嚴(yán)重的是由于安裝PSR可能“引入”新的Bug,反而影響應(yīng)用系統(tǒng)的正常運行。軟件補丁本來是修正Bug,怎么會帶來新的Bug?雖然有些讓人匪夷所思,但很不幸這是現(xiàn)實存在的。

對于每一個PSR,其中都包括了少則幾百多則上千個嚴(yán)重Bug的修正。即便是如此,在PSR發(fā)布后,很快就又會在安裝PSR后的數(shù)據(jù)庫中發(fā)現(xiàn)一些新問題。其中一部分Bug是以前就一直存在的只是以前沒有發(fā)現(xiàn),而現(xiàn)在偶爾被發(fā)現(xiàn),或者是由于PSR修正了某一錯誤從而將其“激活”或容易發(fā)現(xiàn)。但是確實有一些Bug是由這一PSR造成的,Oracle技術(shù)支持部門稱其為倒退(Regression)。對于每一PSR,在metalink中有兩個重要的與之有關(guān)的文檔,一個是“List of fixes added in XXXX”,是這一PSR修復(fù)的Bug的清單,是一本“功德簿”;另一個是“Known issues and alerts affecting XXXX”,是安裝PSR后發(fā)現(xiàn)的問題,可以稱其為“悔過簿”。由于大型軟件的復(fù)雜性,Bug幾乎是不可避免的。重要的是能夠及時提供信息,DBA可以結(jié)合自己系統(tǒng)的情況做出正確的判斷。讀者不必因為知道還存在著Bug,就對Oracle數(shù)據(jù)庫產(chǎn)品失去信心。PSR修復(fù)的上千個Bug中絕大多數(shù)是在一些很少見的環(huán)境中,或者是若干個組件的復(fù)雜組合使用的情形中發(fā)生的。

如果系統(tǒng)在運行中出現(xiàn)過某種問題,由Oracle技術(shù)支持部門或第三方的專家確認(rèn)原因是PSR中的某一Bug,這樣就必須盡早安裝;如果系統(tǒng)一直運行正常,并且在PSR已發(fā)現(xiàn)的問題中涉及的組件或功能(如Logical Standby, JVM,RAC等)在系統(tǒng)中并不使用,此時可以選擇安裝也可以選擇不安裝。

另一個需要考慮的因素是安裝補丁的時機。上述這些考慮的一個重要前提是系統(tǒng)已經(jīng)投入運行,擔(dān)心“倒退”的Bug影響系統(tǒng)。如果系統(tǒng)還處在開發(fā)和測試階段,不需要有任何猶豫,安裝最新的PSR,并在此基礎(chǔ)上測試應(yīng)用系統(tǒng)是否工作正常。如果發(fā)現(xiàn)異常,要及時請Oracle技術(shù)支持部門確認(rèn)是否新Bug,如果是請其提供個別補丁。目的就是在一個盡可能完善穩(wěn)定的數(shù)據(jù)庫平臺上測試應(yīng)用系統(tǒng)。我們可以把這種安裝補丁的策略概括為“補丁補新不補舊”。

以上都是針對PSR的安裝,對于個別補丁,由于補丁修復(fù)的Bug單一,容易判斷是否需要安裝。需要注意的是,如果在當(dāng)前PSR之上安裝了若干個個別補丁,那么在下一個PSR發(fā)布后,在安裝下一個PSR之前,需要卸載所有個別補丁。為便于管理,現(xiàn)在Oracle技術(shù)支持部門要求必須使用工具opatch安裝管理個別工具,而盡量避免手動拷貝文件等操作。

最后是安全補丁安裝的判斷。雖然安全漏洞這個詞看上去讓人覺得非常嚴(yán)重,但是還要冷靜綜合分析這些漏洞在系統(tǒng)中的危害程度。事實上,不安裝安全補丁的危險性可能遠(yuǎn)遠(yuǎn)小于始終不渝地使用scott/tiger這樣人人都知道的用戶名和口令的“標(biāo)準(zhǔn)缺省”做法。

安裝PSR

使用oui工具安裝PSR時只需要用鼠標(biāo)做幾個選擇就可以進入自動執(zhí)行的階段,操作過程本身非常簡單。但是如果要求必須一次安裝成功;要求必須在凌晨2點到4點這個有限的停機時間段完成操作;要求安裝過程不出差錯,以后出現(xiàn)問題時能夠完全排除此次操作失誤的可能性,那么就需要在啟動oui之前做一些準(zhǔn)備工作。

1. 收集信息

有關(guān)PSR的信息中,一個最重要的文檔就是軟件補丁說明,這個文件相當(dāng)于技術(shù)手冊中的安裝指南和發(fā)行說明。文件本身包含在下載的軟件補丁文件之中,文件名是patchnote.htm或README.html.需要注意的一個問題是在軟件補丁文件之中找到的這一Patch Set Notes可能不是最新版,可以根據(jù)文件內(nèi)的提示信息在metalink中檢索最新版。

另外兩個重要文件就是前面已經(jīng)提及的“功德簿”和“悔過簿”,相對于“功德簿”更應(yīng)該仔細(xì)閱讀“悔過簿”中的每一項內(nèi)容。另外,在Patch Set Notes的已知問題(Known Issues)一節(jié)內(nèi)列出了安裝PSR后出現(xiàn)的一些問題。

除去這三個主要文件外,還應(yīng)在metalink中檢索,尋找是否還有其他涉及這一PSR的技術(shù)文章,尋找其他用戶在安裝這一PSR時或安裝后遇到問題時所發(fā)的救助的帖子,前車之鑒更應(yīng)重視。

2. 做出判斷

在認(rèn)真閱讀收集到的文章之后,根據(jù)自己系統(tǒng)的實際情況,做出是立即安裝PSR,或是等待下一PSR的決定。如果是暫緩安裝,則要記錄原因,以便以后跟蹤Bug的修復(fù)進程。

3. 制訂實施計劃

在決定安裝PSR后,需要制訂一個實施計劃。在計劃中不僅要包括正常的操作步驟,更要考慮在出現(xiàn)意外時的應(yīng)急處理(如果安裝PSR失敗,則在正常應(yīng)用開始時間之前,要恢復(fù)系統(tǒng)到安裝之前的狀態(tài))。如果可能,在對正式系統(tǒng)開始實施之前,應(yīng)在測試系統(tǒng)中進行演練和應(yīng)用處理的測試,保證在安裝PSR后不會影響應(yīng)用系統(tǒng)的運行。

安裝PSR的計劃大致有以下幾個部分:停止數(shù)據(jù)庫服務(wù)關(guān)閉數(shù)據(jù)庫;備份DBMS軟件和數(shù)據(jù)庫以備恢復(fù)之用;安裝PSR軟件;更新數(shù)據(jù)庫數(shù)據(jù)字典升級PSR版本;正常啟動數(shù)據(jù)庫開始數(shù)據(jù)庫服務(wù)。

看似簡單的關(guān)閉數(shù)據(jù)庫的操作,在系統(tǒng)構(gòu)成復(fù)雜時也會變得不容易。另外,如果夜間作業(yè)時間不允許在完成數(shù)據(jù)庫完全備份之后再安裝PSR,則安裝PSR的日期應(yīng)該選擇在例行的數(shù)據(jù)庫完全備份的下一個晚上,只備份重做日志。

在安裝PSR之前備份DBMS軟件的目的是,由于安裝PSR會對許多程序和庫函數(shù)進行更新,如果安裝PSR中途失。m然可能性非常。锌赡茉斐蒁BMS軟件出現(xiàn)不一致。另外一種可能的情形是,在安裝PSR,更新數(shù)據(jù)字典后,測試應(yīng)用系統(tǒng)時,出現(xiàn)了某種異常,原因不明,最終決定放棄PSR.如果操作之前沒有備份,則此時只有重新安裝軟件一種選擇(PSR不同于完整軟件安裝,在oui中無法單獨卸載PSR軟件)。

對文件、目錄和文件系統(tǒng)的備份,最簡單的方式可以使用cp、tar、dump等命令完成。如果希望縮短文件拷貝時間,可以考慮分區(qū)備份的方法。分區(qū)備份常用的命令是dd.但是,分區(qū)拷貝比文件拷貝速度快的前提是良好的分區(qū)設(shè)計:Oracle軟件單獨占一個大小適中(如4GB)的分區(qū),這樣扇區(qū)拷貝才會體現(xiàn)優(yōu)勢,這也就是為什么在安裝軟件時,Oracle建議單獨使用一個分區(qū)安裝軟件的原因之一。

在制定實施計劃時,應(yīng)認(rèn)真閱讀Patch Set Notes中有關(guān)操作前準(zhǔn)備工作一節(jié)。在這節(jié)內(nèi)會介紹對于一些特殊系統(tǒng)構(gòu)成,如果你的系統(tǒng)屬于文檔中提到的構(gòu)成,一定要首先閱讀文內(nèi)提示的相關(guān)技術(shù)文章,找到正確的安裝步驟。

使用oui, PSR軟件安裝完成后,一定不要忘記更新數(shù)據(jù)字典這一步驟。如果在這一ORACLE_HOME下生成了多個數(shù)據(jù)庫,則每個數(shù)據(jù)庫都必須更新數(shù)據(jù)字典。

4. 實施操作

制訂一個詳細(xì)的計劃后,實施操作就可以“照本宣科”,是一個簡單的體力勞動。要認(rèn)識到“忙中出錯”的概率遠(yuǎn)比“急中生智”大得多,操作時盡量減少失誤的可能性。例如,需要執(zhí)行的復(fù)雜命令,盡可能從一個文件拷貝到終端執(zhí)行,而不要現(xiàn)場輸入。另外,在實施過程中, 要記錄各個階段實際的執(zhí)行時間,以供以后制訂類似計劃時參考。

5. 檢查操作結(jié)果并記錄備案

執(zhí)行一個操作,操作是否成功,一定要進行檢查,不能簡單認(rèn)為沒有出錯信息就是成功。要知道驗證的方法。除去極個別極費時間的驗證(分區(qū)備份的內(nèi)容是否可以成功恢復(fù)系統(tǒng),必須恢復(fù)分區(qū),啟動數(shù)據(jù)庫,測試應(yīng)用系統(tǒng)后才能確認(rèn)),其余操作都應(yīng)進行驗證。所有屏幕輸出信息和日志文件都應(yīng)保留,作為安裝報告的附件提交給上級或客戶。

在屏幕輸出或日志文件中出現(xiàn)異常/錯誤信息時,應(yīng)即時分析,決定馬上采取的措施。出現(xiàn)嚴(yán)重錯誤時,可能需要重新執(zhí)行某一SQL程序,或者重新安裝PSR.所以在制訂實施計劃時應(yīng)在時間上留出異常情況處理的時間。

下面給出一個在Linux平臺上安裝10.1的PSR的實例,給從未安裝PSR的讀者有一個感性認(rèn)識。

操作系統(tǒng)是RHEL AS4.0 Update3,Oracle的當(dāng)前版本是10.1.2.在metalink中檢索,找到10.1版的最新PSR10.1.0.5.下載壓縮文件。在壓縮文件中找到Patch Set Notes,該文檔的完成日期是2006年1月。而按照文檔內(nèi)的提示在metalink中檢索得到的此文檔的最新版本完成日期是2006年4月。使用文件比較工具進行比較,兩個版本沒有實質(zhì)性差別,只有語句措詞的修改,但是養(yǎng)成總是檢索最新文檔的習(xí)慣有益無害。

根據(jù)Patch Set Notes中的說明,有一些特殊系統(tǒng)構(gòu)成需要額外的步驟,本例中由于全部沒有涉及到,所以可以按標(biāo)準(zhǔn)步驟執(zhí)行。

另外,檢查“Known issues and alerts affecting 10.1.0.5”文檔后,發(fā)現(xiàn)10.1.0.5引入的影響最大的一個Bug是執(zhí)行SELECT MAX()在某些特定條件下結(jié)果不正確。而這一Bug可以通過設(shè)置事件(event)關(guān)閉FIRST ROW優(yōu)化而避免。最后的結(jié)論是這一BUG不會對本系統(tǒng)有影響,可以安裝PSR10.1.0.5.

1. 檢查數(shù)據(jù)庫表空間和初始化參數(shù)是否需要調(diào)整。

System表空間要求有一定未使用空間:初始化參數(shù)SHARED_POOL_SIZE 和 JAVA_POOL_SIZE不能低于最小值150MB.

2. 關(guān)閉數(shù)據(jù)庫,停止listener和agent等進程。

3. 解壓縮下載文件至某一目錄,執(zhí)行oui.

在壓縮文件中附帶的oui的版本要比已經(jīng)安裝的版本高,應(yīng)總是使用新版本的oui.在oui窗口中,要求選擇本次安裝的軟件的位置,正確的位置是解壓縮目錄下的子目錄Disk1/stage/, 選中products.xml即可開始文件拷貝。

要注意窗口中會出現(xiàn)本次安裝的日志文件的文件路徑和文件名。文件的位置是在Oracle的inventory所在目錄的子目錄logs中,文件名由前綴InstallActions和安裝日期時間組成,如: InstallActions2006-08-30-11-32-48AM.log.

正常結(jié)束后,退出oui.打開日志文件,檢索是否出現(xiàn)error 或“ORA-”的錯誤信息。本次安裝產(chǎn)生的日志文件內(nèi),沒有任何此類的信息,表明PSR軟件安裝成功。如果此時再次啟動oui,點擊“已安裝軟件”,則可以看到在原有的10.1.0.2軟件之下,新出現(xiàn)了10.1.0.5一項,這也證實PSR軟件安裝成功。

4.更新數(shù)據(jù)庫數(shù)據(jù)字典

更新數(shù)據(jù)字典時,必須以特殊的升級方式打開數(shù)據(jù)庫。

$ sqlplus /nolog

    SQL> CONNECT / AS SYSDBA

    SQL> STARTUP UPGRADE

    SQL> SPOOL patch.log

    SQL> @?/rdbms/admin/catpatch.sql

執(zhí)行結(jié)束后,關(guān)閉重定向:

SQL> SPOOL OFF

打開文件patch.log檢查是否有錯誤“ORA-”。(這一文件在啟動sqlplus時的當(dāng)前目錄中,當(dāng)然也可以在“SPOOL patch.log”語句中顯式指定文件路徑。)如果出現(xiàn)錯誤要分析原因,在解決問題后,需要再次執(zhí)行catpatch.sql程序。

更新數(shù)據(jù)字典時,由于對某些PL/SQL包刪除后又重新生成,造成相關(guān)PL/SQL包的狀態(tài)為異常(invalid)。在以后調(diào)用這些包時,檢測到其狀態(tài)為非法,會自動執(zhí)行編譯命令,使?fàn)顟B(tài)成為正常(valid)。雖然不會出錯,但會造成個別處理第一次執(zhí)行時變慢。顯然,與其留到應(yīng)用系統(tǒng)運行時再一個個編譯,不如之前集中一次重編譯所有異常包。

SQL> SHUTDOWN

    SQL> STARTUP

    SQL> @?/rdbms/admin/utlrp.sql

最后,根據(jù)Known Issues中的指示,完成與本系統(tǒng)有關(guān)的操作。例如,修改Pro*C的配置文件。這里執(zhí)行一個修改文件存取權(quán)限的“后操作”,以便非同組用戶和程序可以存取客戶端工具和庫函數(shù)。

$ cd $ORACLE_HOME/install

    $ ./ changePerm.sh

個別補丁管理工具opatch

如前所述,在發(fā)布一個PSR后發(fā)現(xiàn)的新BUG,只能把其補丁收入到下一個PSR中。如果對數(shù)據(jù)庫有實質(zhì)性影響,則這一補丁以個別補丁的形式向用戶提供。個別補丁是與某一個特定的PSR關(guān)聯(lián),是安裝在這一PSR之上的。另外,如同其名字表明的,個別補丁只是單一Bug的補丁,不會包含其他個別補丁,即不是累積型的。

在9.2版之前,安裝個別補丁的操作完全是手工的。這種手工方式的缺點不僅在于加重DBA的負(fù)擔(dān),容易造成操作失誤,更嚴(yán)重的是無法對已安裝的個別補丁進行管理。

為解決手工方式的缺陷,從9.2版開始,Oracle公司設(shè)計實現(xiàn)了個別補丁安裝管理工具opatch.opatch使用一個稱為inventory的系統(tǒng)數(shù)據(jù)結(jié)構(gòu)(嚴(yán)格說是與oui共享inventory),集中管理所有已安裝的個別補。粋別補丁的安裝和卸載都使用opatch命令完成,沖突檢測也由opatch在安裝時自動完成;提供列表命令可以很方便得到已安裝個別補丁的信息。

10g(10.1和10.2)版本中,opatch作為一個標(biāo)準(zhǔn)工具,在軟件安裝時自動安裝。(安裝在$ORACLE_HOME/OPatch下。)而對于9.2版,需要從metalink下載opatch.無論數(shù)據(jù)庫是哪一個版本,系統(tǒng)中是否已經(jīng)安裝opatch,在使用之前,應(yīng)從metalink下載最新版本的opatch.很遺憾,由于系統(tǒng)實現(xiàn)的問題,10.2使用的opatch與之前版本(10.1和9.2)使用的opatch不兼容,不能混用,這一點必須注意。

opatch是使用perl編寫的腳本程序(其中也使用JAVA API)。編程使用的perl版本是5.6版,雖然在5.6之前的版本中也可運行,但應(yīng)盡可能安裝5.6或以上的版本的perl.對于DBA來說一個好消息是,如果安裝9.2版軟件時保留了HTTP服務(wù)器,則在$ORACLE_HOME/Apache下會自動安裝perl.(10g會自動安裝配置perl和opatch.)

opatch命令格式為:

opatch < command > [< command_options >] [ -h[elp] ]

命令有:apply(安裝個別補。、rollback(卸載個別補。、lsinventory(對inventory進行列表)、query(顯示某一個別補丁的詳細(xì)信息)、version(顯示opatch版本信息)。在opatch目錄下,有用戶使用指南文件(Users_Guide.txt),其中有詳細(xì)的命令格式和使用示例,讀者可以參考。Opatch執(zhí)行操作時,除在屏幕輸出結(jié)果外,還生成日志文件。日志文件的路徑和文件名格式如下:

$ORACLE_HOME/.patch_storage/< patch_id >/
< action >-< patch_id >_< mm-dd-yyyy_hh-mi-ss >.log

其中“patch_id”是Oracle技術(shù)支持部門為個別補丁分配的編號。

個別補丁安裝實例

沿用安裝PSR實例中的環(huán)境。在安裝PSR10.1.0.5后,檢索metalink,發(fā)現(xiàn)若干在其之上的個別補丁。選擇其中之一安裝。

個別補丁Patch 4518443修復(fù)BUG4518443,這一BUG的主要問題是TNS LISTENER在注冊O(shè)NS(Oracle Notification Services)的同時如果創(chuàng)建子進程,那么LISTENER會掛起(HANGUP)。

安裝時,首先,從metalink下載補丁的壓縮文件p4518443_10105_LINUX.zip.將此文件解壓縮至某一目錄中。解壓縮后,這一補丁的所有文件都在子目錄4518443下,目錄名就是個別補丁的補丁號,opatch依據(jù)目錄名獲得信息,所以一定不要重命名子目錄。

然后,在終端窗口中,執(zhí)行cd命令移動到4518443子目錄中,執(zhí)行以下命令:

$ $ORACLE_HOME/OPatch/opatch apply

    對inventory列表,確認(rèn)安裝操作:

    $ $ORACLE_HOME/OPatch/opatch lsinventory

執(zhí)行卸載命令時,也必須使4518443子目錄成為當(dāng)前目錄。其中,Rollback命令需要兩個參數(shù):-id給出個別補丁號;-ph 給出個別補丁解壓縮后的路徑。

$ $ORACLE_HOME/OPatch/opatch rollback -id 4518443 -ph /…/4518443

隨后再對inventory列表,則會看到這一個別補丁已經(jīng)被移去。

使用opatch顯示已安裝的版本信息

不需要啟動數(shù)據(jù)庫,執(zhí)行加選項的對inventory的列表命令,可以得到已安裝的軟件的各個組件的詳細(xì)版本信息。

$ $ORACLE_HOME/OPatch/opatch lsinventory -detail

安全補丁CPU

一個CPU內(nèi)包含了對多個安全漏洞的修復(fù),并且也包括相應(yīng)必需的非安全漏洞的補丁。CPU是累積型的,只要安裝最新發(fā)布的CPU即可,其中包括之前發(fā)布的所有CPU的內(nèi)容。事實上,在CPU之前的安全漏洞修改除去個別例外也被包括在CPU中。Oracle公司只對處于標(biāo)準(zhǔn)技術(shù)支持和延長支持期間的產(chǎn)品提供CPU更新,對處于維持支持范圍的產(chǎn)品不提供新的CPU.(對于9.2以前的版本,只對處于ECS和EMS期間的版本提供CPU更新。)一般對當(dāng)前補丁發(fā)行版及前一個版本提供CPU,但也有只限于當(dāng)前補丁發(fā)行版的例外情形。也就是說,一般需要先安裝最新PSR后才可能安裝CPU.由于是累積型的定期發(fā)布,所以對于某一平臺的某一版本,如果兩次CPU發(fā)布期間沒有發(fā)現(xiàn)新的安全漏洞,則新發(fā)布的CPU與前一版本完全相同。

關(guān)鍵詞:Oracle

贊助商鏈接: