動いているサーバーを、止めずに正しく更新する

# dnfのトランザクション履歴から、後で切り戻す起点のIDを控える
sudo dnf history list | head -5

# 主要サービスの現在の稼働状況を記録
systemctl is-active httpd postfix dovecot sshd cockpit.socket

# メール設定が構文的に正しいことを更新前にも確認しておく（比較の基準にする）
sudo postfix check
sudo doveconf -n > ~/dovecot_before.conf

# Webサーバーの設定をバックアップ
sudo cp -r /etc/httpd/conf.d /root/httpd_conf.d.bak.$(date +%Y%m%d)

影響範囲が狭いパッケージから適用する

後述の重要パッケージ（kernel・httpd・postfix・dovecot・openssh・cockpit・podman等）を除外して、残りをまとめて適用します。これにより「基本的なdnf更新自体は問題なく通るか」をまず確認できます。

sudo dnf upgrade --exclude=kernel* --exclude=httpd* --exclude=mod_ssl \
  --exclude=mod_lua --exclude=mod_http2 \
  --exclude=postfix --exclude=dovecot \
  --exclude=bind* --exclude=openssl* --exclude=glibc* \
  --exclude=openssh* --exclude=cockpit* --exclude=podman* -y

止められないサービス（メール等）を個別に適用する

ここが最も慎重に進めるべき工程です。1つ更新するごとに、必ず動作確認を挟みます。

sudo dnf upgrade postfix dovecot bind bind-utils bind-libs bind-license openssl openssl-libs glibc glibc-common glibc-all-langpacks glibc-gconv-extra -y

# glibcの更新は、稼働中プロセスがメモリ上の旧ライブラリを使い続けるため、
# 明示的な再起動が特に重要
sudo systemctl restart postfix dovecot

sudo postfix check
systemctl status postfix dovecot --no-pager

# 自分宛にテストメールを送り、実際に着信するか確認する

# maillogでこのパターンが出ていれば正常な一時拒否（postfixの不具合ではない）
sudo grep "PASS NEW\|450 4.3.2" /var/log/maillog | tail -n 20

Webサーバー関連を適用する

sudo dnf upgrade httpd httpd-core httpd-tools mod_ssl mod_http2 mod_lua -y
sudo apachectl configtest
sudo systemctl restart httpd

適用後、実際に公開URLへアクセスして表示を確認します。リバースプロキシ構成（Caddy等）を挟んでいる場合は、そちらのヘルスチェックも合わせて確認してください。

OpenSSHを適用する（最も慎重に）

sudo dnf upgrade openssh openssh-server openssh-clients -y
sudo sshd -t              # 設定の構文チェック（起動前に必ず）
sudo systemctl restart sshd

# 元のセッションはそのままに、別ターミナルから新規接続テスト
ssh ユーザー名@サーバーのIP "echo OK"

コンテナ基盤を適用する

Podman等でリバースプロキシやアプリケーションを運用している場合、関連パッケージの更新後にコンテナが正しく起動しているか確認します。

sudo dnf upgrade podman aardvark-dns passt -y
sudo systemctl status （コンテナのユニット名） --no-pager
# 各ドメインへの実際のHTTPS疎通も確認

復旧手段（Cockpit等）を最後に更新する

Cockpit（Web管理コンソール）は、Stage 4のSSH更新時の「保険」として使うため、それまでは意図的に古いバージョンのまま維持し、最後にまとめて更新します。

sudo dnf upgrade cockpit* -y
sudo systemctl restart cockpit.socket

カーネルを適用する（再起動を伴う・別の作業枠で）

カーネル更新は影響範囲が最も広く、再起動が必須です。他のStageとは別の日・別の時間枠で、十分な作業時間を確保してから行うことを推奨します。

sudo dnf upgrade kernel kernel-core kernel-modules kernel-modules-core kernel-tools kernel-tools-libs -y

uname -r                 # 現在稼働中のカーネルを確認
ls /boot/vmlinuz-*       # 起動可能なカーネルの一覧（レスキューカーネルも含め複数残っていれば安心）

sudo reboot

systemctl status httpd postfix dovecot sshd caddy cockpit.socket --no-pager
uname -r   # 新しいカーネルで起動しているか確認
dnf check-update   # 未適用パッケージが0件になっているか最終確認