La méthode préconisée un peu partout semble être sudo dpkg-reconfigure unattended-upgrades + répondre « No » dans l'interface semi-graphique (ncurses).

Comme elle le dit elle-même (« Replacing config file /etc/apt/apt.conf.d/20auto-upgrades with new version »), cette commande remplace le contenu de /etc/apt/apt.conf.d/20auto-upgrades par les deux lignes suivantes :

APT::Periodic::Update-Package-Lists "0";
APT::Periodic::Unattended-Upgrade "0";

Plus facile à puppetiser (fichier > commande). :)

Pourquoi désactiver les mises à jour automatiques d'Ubuntu ? Sécurité tout ça, c'pas bien de désactiver.

• Parce qu'elles provoquent une compétition malsaine (race condition) avec notre procédure de mise en service. Nous déployons une image disque contenant Ubuntu 20.04. Au premier démarrage, CRON (« @reboot ») lance, après une minute de temporisation (sleep 1m), notre script d'initialisation qui, entre autres, installe Puppet et ajoute la machine à notre domaine winwin Samba 4. Or, il arrive que les mises à jour automatiques se déclenchent avant. Auquel cas, Puppet n'est pas installé et la machine n'est pas ajoutée à notre domaine (car notre script installe les paquets nécessaires, krb5-utils, sssd-ad, etc.). C'est normal puisque toute utilisation d'apt / dpkg est exclusive (et heureusement) : « Waiting for cache lock: Could not get lock /var/lib/dpkg/lock-frontend. It is held by process 2921 (unattended-upgr)... ». On pourrait adapter notre script pour faire une boucle "tant qu'apt / dpkg est utilisé, j'attends" / "tant que tels logiciels ne sont pas installés, re-tenter" mais ça retarde la mise en service du poste alors que les mises à jour peuvent se faire plus tard, en arrière-plan, quand l'utilisateur du poste travaille ;
  
  
• Nous effectuons déjà les mises à jour depuis un script lancé par CRON à chaque démarrage (« @reboot »). Notre script effectue des actions complémentaires comme tenter de réparer apt / dpkg avec apt -y --fix-broken install et dpkg --configure -a et de lancer Puppet (raisons pour lesquelles nous ne laissons pas tourner l'agent toutes les 30 minutes). Ces actions garantissent le bon fonctionnement des mises à jour et de Puppet. Autant que ce script soit le seul à agir : en cas de problème, nous avons une seule source d'ennuis à analyser.

Pourquoi ne pas désinstaller le paquet unattended-upgrades ?

• Afin de rester le plus conforme possible à une Ubuntu standard / de base. Minimisation des ennuis potentiels.
  
  
• Espérance qu'unattended-upgrades affiche un message "màj en cours, ne pas éteindre" lorsque des mises à jour (via CRON, cf ci-dessus) ou des installations (via Puppet) seront en cours. D'après mes tests, cet espoir est vain.