Patching ist wichtig. Jeder weiß das. Aber in einem Setup mit Incus-Containern auf verschiedenen Hosts, verschiedenen Distributionen und verschiedenen Paketmanagern wird es schnell komplex. Wer schaut schon gerne auf jeden Container einzeln, um zu prüfen, ob Updates anstehen? Genau hier setzt patchmon an.
Das Problem
Mein Setup: Incus-Container auf mehreren Hosts, verschiedene Distributionen (Debian, Alpine, Ubuntu), verschiedene Paketmanager (apt, apk). Jeder Container muss regelmäßig aktualisiert werden. Sicherheitsupdates besonders dringend.
Bisher habe ich das manuell gemacht: In jeden Container sshen, Updates prüfen, installieren. Bei zehn Containern mag das noch gehen. Bei dreißig wird es unübersichtlich. Bei hundert unmöglich.
Was patchmon kann
patchmon ist ein Tool, das einen Überblick über den Update-Status aller Container gibt. Es zeigt an:
- Welche Container Updates benötigen
- Welche Pakete betroffen sind
- Sicherheitsupdates vs. reguläre Updates
- Letzter Check, letztes Update
Alles läuft über das Webinterface – schön gestaltet, übersichtlich, ohne dass man eine Kommandozeile braucht. Die Oberfläche ist gelungen: Grün für aktuelle Container, gelb für Updates verfügbar, rot für veraltete Container. Ein Blick genügt, um zu wissen, wo Handlungsbedarf besteht.
Policies – die Idee
patchmon kann Policies einrichten, die definieren, wie mit Updates umgegangen werden soll:
- Nur Sicherheitsupdates automatisch installieren
- Reguläre Updates nur anzeigen, nicht installieren
- Updates nur zu bestimmten Zeiten installieren
- Bei Updates Benachrichtigung senden
Das ist eine gute Idee. In der Praxis fehlt aber noch ein wichtiger Baustein: Ein Scheduler, der diese Policies automatisch ausführt.
Compliance-Checker
Ein nettes Feature ist der eingebaute Compliance-Checker. patchmon untersucht die Hosts auf Konfigurationsirrtümer und meldet, wenn etwas nicht stimmt:
- Fehlende Sicherheitsupdates
- Veraltete Pakete mit bekannten Schwachstellen
- Falsche Berechtigungen auf Konfigurationsdateien
- Offene Ports, die nicht sein sollten
- Abgelaufene SSL-Zertifikate
Das ist kein vollwertiger Security-Scanner, aber ein guter erster Blick. Im Webinterface sieht man sofort, welche Hosts Probleme haben und was zu tun ist.
Was fehlt
Der große Kritikpunkt: patchmon kann Policies definieren, aber es gibt keinen integrierten Scheduler, der diese automatisch startet. Man muss immer noch manuell im Webinterface auf "Check ausführen" klicken oder einen eigenen Cron-Job einrichten.
Das ist schade, weil genau das der Mehrwert wäre: Ein Tool, das automatisch im Hintergrund läuft, Updates erkennt, Policies ausführt und bei Bedarf benachrichtigt. So muss man immer noch selbst für die Ausführung sorgen.
Dazu kommt: Die Alpine-Integration ist noch nicht fertig. apk updates müssen nach wie vor manuell auf dem Host gemacht werden – das geht (noch) nicht über patchmon. Für alle, die Alpine-Container im Einsatz haben, ist das ein echtes Manko.
Der große Vorteil: Übersicht
Was patchmon jetzt schon kann, und was mich überzeugt: Der Überblick. Alle Container auf einen Blick, Update-Status, Sicherheitsupdates. Das ist in einem heterogenen Setup mit verschiedenen Distributionen Gold wert.
Früher musste ich in jeden Container einzeln schauen, welche Updates anstehen. Jetzt sehe ich auf einen Blick, wo Handlungsbedarf besteht. Allein dafür lohnt sich die Einrichtung.
Vergleich mit anderen Lösungen
| Lösung | Automatisierung | Heterogen | Übersicht | Fertig |
|---|---|---|---|---|
| Patchman (manuell) | Nein | Ja | Nein | Ja |
| Ansible + Playbooks | Ja | Ja | Aufwand | Ja |
| Landscape (Ubuntu) | Ja | Nein | Ja | Ja |
| patchmon | Teilweise | Ja | Ja | Nein |
patchmon ist kein fertiges Produkt, sondern ein Projekt in Entwicklung. Die Idee ist richtig, die Umsetzung noch nicht vollendet.
Fazit
patchmon ist einen Blick wert, wenn man ein heterogenes Setup hat und einen besseren Überblick über den Update-Status braucht. Das Webinterface ist gelungen und macht Lust auf mehr. Die Idee mit den Policies ist gut, aber der fehlende Scheduler macht es noch nicht zum Alltagswerkzeug.
Mein Tipp: patchmon als Monitoring-Tool nutzen, um den Überblick zu halten. Für die automatische Ausführung von Updates weiterhin Ansible oder eigene Scripts einsetzen. Wenn patchmon irgendwann einen Scheduler integriert, könnte es zum ernsthaften Konkurrenten werden.