Ubuntu Landscape: registrar la flota de Ubuntu y parchear por grupos con ventana

Qué vas a conseguir

Ver los servidores (y los escritorios) Ubuntu en una consola: qué versión tienen, qué parches les faltan, cuáles necesitan reinicio, y que las actualizaciones de seguridad se apliquen solas por grupos, en la ventana de cada grupo, con un informe para el ticket mensual. Es lo que Ansible hace por línea de comandos (guía de Ansible), con la vista de flota que el negocio quiere ver.

Antes de empezar

• Ubuntu Pro activado en las máquinas (pro status); Landscape SaaS viene incluido, y la versión autoalojada también requiere Pro en los clientes.
• Acceso a landscape.canonical.com (SaaS) o al servidor Landscape propio con una cuenta de administrador.
• Decidir los grupos: por entorno (prod, test) y por ventana de parcheo (martes 22:00, jueves 22:00). Dos o tres grupos bastan al principio.
• Salida HTTPS de los clientes hacia Landscape.

1. Registrar un cliente

›sudo pro status | grep -E 'landscape|esm-infra'esm-infra        yes       enabled   Expanded Security Maintenance for Infrastructurelandscape        yes       disabled  Management and administration tool for Ubuntu›sudo apt-get install -y landscape-client›sudo landscape-config --computer-title "srv-web-02" --account-name contoso-it --registration-key "$(sudo cat /root/.landscape-key)" --tags prod,web,window-tue --access-group prod --silentPlease wait...System successfully registered.›sudo landscape-config --is-registered && echo REGISTEREDREGISTERED

Tres cosas en el registro: el título igual que el hostname, las etiquetas (entorno, rol y ventana) y el grupo de acceso, que decide quién puede administrar la máquina en Landscape. La clave de registro va en un fichero con permisos 600, no en el historial de Bash; con Ansible, este paso es una tarea con la clave en ansible-vault. En Pending computers aceptas (o automatizas la aceptación por clave).

2. Grupos de acceso y etiquetas

Los grupos de acceso controlan permisos (Desarrollo puede reiniciar los de test, no los de prod); las etiquetas controlan a quién se aplica cada perfil. Una búsqueda guardada (prod-tuesday) es lo que luego referencias en los perfiles y los informes. Si una máquina cambia de ventana, cambias la etiqueta y nada más.

3. El perfil de actualizaciones

Test recibe todo los miércoles; prod recibe solo seguridad los martes, una semana después de que lo mismo haya pasado por test. Lo que no es seguridad en prod va en el ciclo mensual, como ventana de cambios con su ticket. Deliver within: 2 hours reparte el inicio para que doce servidores no descarguen a la vez.

4. Reinicios pendientes

El parche de seguridad se aplica solo; el reinicio no, y bien está. La alerta computer-reboot lista quién lo necesita; la actividad de reinicio se programa a la hora de la ventana y, en prod, exige aprobación de un segundo administrador (Account → Alerts → Computer reboot required y Activities → Approval required). Eso es el ticket de cambio con cuatro ojos sin salir de la consola. Por línea de comandos, lo mismo que veías en la guía de Ubuntu: /var/run/reboot-required.

5. El informe para la reunión de parcheo

›landscape-api --json get-computers --query "tag:prod AND alert:security-upgrades" | jq -r '.[] | "\(.hostname)\t\(.last_ping_time)"'srv-app-01	2026-10-22T08:14:02Zsrv-legacy-03	2026-10-14T21:02:19Z

Tres números y una lista: parcheados / pendientes / reinicio, y el CVE crítico con nombre de paquete y equipos. Schedule report lo manda al buzón del equipo el lunes; landscape-api (o la API REST) saca lo mismo para el repo de evidencias. srv-legacy-03 sin contacto desde hace ocho días es el hallazgo real de este informe: o está apagado o el cliente de Landscape no arranca.

6. Lo que revisas cada mes

• Equipos sin contacto más de 7 días: apagados, migrados o con el cliente roto (sudo systemctl status landscape-client).
• Actividades fallidas (Activities → Failed): normalmente un apt bloqueado por un dpkg interrumpido; sudo dpkg --configure -a lo arregla.
• Equipos en prod con todas las actualizaciones pendientes desde hace un mes: la ventana mensual no se está ejecutando.
• Versiones de Ubuntu: lo que ya está en ESM (esm-infra) va a la lista de migraciones; Landscape te lo marca por equipo.

Siguientes pasos

• Perfiles de paquetes y de repositorio: que todos los prod tengan el agente de monitorización y usen el mirror interno; Landscape los instala y avisa de la desviación.
• Scripts remotos (Scripts → Run): el mismo check de la guía de Bash lanzado a los 23 de prod con la salida en la consola.
• Si la flota incluye Windows y RHEL, Landscape solo cubre Ubuntu: el inventario único lo hace Ansible, y Landscape queda como la consola de parches y CVE de la parte Ubuntu.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.