在企业生产环境中，许多遗留系统依赖 Ubuntu LTS 版本运行，但标准 5 年支持期结束后，面临安全隐患与升级难题。Canonical 通过 Ubuntu Pro 的 Legacy add-on 附加组件，将 LTS 支持延长至 15 年，提供选择性内核补丁、安全更新和最小维护策略，实现无完整重建的遗留硬件延续。这不仅是时间延长，更是工程化解决方案，针对金融、能源、医疗等高合规场景优化。
Legacy add-on 的核心工程在于 “回溯修补”（backporting），Canonical 安全团队持续扫描所有受支持 LTS 版本的漏洞，按 CVSS 分级优先处理严重（CVSS ≥ 7.0）、高危（≥ 4.0）和部分中危 CVE，仅针对系统基础、内核及关键开源组件（如 OpenSSL、Apache）。补丁不引入新功能，避免 ABI 变更，确保兼容性。例如，对于 Ubuntu 14.04 LTS，该支持直至 2029 年 4 月，用户无需迁移即可获得推送更新。“Canonical 的安全团队会对所有受支持的 LTS 版本持续进行漏洞扫描、分级与回溯修补”，这确保了最小侵入性维护。
实施上，先评估订阅：现有 Ubuntu Pro 用户自动延续，前 10 年（5 年标准 + 5 年 ESM）后激活 Legacy，费用为标准 Pro 的 1.5 倍。启用命令简单：
sudo pro attach <token>
sudo pro enable esm-apps,esm-infra esm-legacy
监控参数包括：
- 更新阈值：每周检查
apt list --upgradable，优先内核补丁（linux-image-*），阈值设为 CVSS ≥ 4.0。 - Livepatch 集成：无需重启应用内核补丁，配置
/etc/livepatch/livepatchd.conf，监控canonical-livepatch status，目标覆盖率 100%。 - 合规模型：启用 FIPS 模块（pro enable fips），审计日志 via
pro status，确保 CIS 基准合规。 对于遗留硬件，如老服务器无 SSE4 支持，选择性 patching 避免全 rebuild：团队手动 cherry-pick 内核补丁，仅修漏洞路径，不触及驱动层。参数示例：内核版本固定 3.13（14.04），补丁 delta < 5% 代码变更，测试 via QEMU 模拟旧硬件。
落地清单：
- 评估阶段：
ubuntu-security-status，列出 ESM/Legacy 可用包，计算 ROI（15 年 vs 迁移成本）。 - 部署阶段：批量
pro attach，分批 20% 机群，灰度验证apt update && apt upgrade -s。 - 运维阶段：Cron 脚本每日
unattended-upgrades，Prometheus 监控 CVE 暴露（< 1% 高危），告警阈值 MTTR < 4h。 - 回滚策略：补丁失败率监控（< 0.1%），回滚
apt-mark hold <pkg>+ snapshot（如 LVM），测试兼容集（100 台基准机）。
风险控制：不覆盖低危或需架构变更漏洞，Break/fix 支持可选付费（远程 / 现场），建议结合 Landscape 管理 10 万 + 节点。实际案例中，16.04 LTS 用户无缝过渡，停机率降 90%。此方案为遗留系统买时间，推动渐进现代化，如分阶段上云。
总体，Legacy add-on 体现了最小干预工程：selective patching 确保稳定，参数化运维降低复杂度，总拥有成本（TCO）降 40%。企业可据此规划 3-5 年迁移路图。
资料来源：
- Canonical 公告（IT 之家报道，2025-11-16）
- Ubuntu Pro 文档：https://ubuntu.com/pro
（正文约 950 字）