SSM-Befehlsdokument zum Patchen: AWS-RunPatchBaseline

AWS Systems Manager unterstützt AWS-RunPatchBaseline, ein Systems Manager-Dokument (SSM-Dokument) für Patch Manager, eine Funktion von AWS Systems Manager. Dieses SSM-Dokument führt Patch-Operationen auf verwaltete Knoten sowohl für sicherheitsrelevante als auch für andere Arten von Updates durch. Wenn das Dokument ausgeführt wird, verwendet es die Patch-Baseline, die der „Standard“ für einen Betriebssystemtyp ist, wenn keine Patch-Gruppe angegeben ist. Andernfalls wird die Patch-Baseline verwendet, die der Patch-Gruppe zugeordnet ist. Informationen zu Patch-Gruppen finden Sie unter Patch-Gruppen.

Sie können das Dokument AWS-RunPatchBaseline verwenden, um Patches sowohl für Betriebssysteme als auch für Anwendungen durchzuführen. (Unter Windows Server ist der Anwendungssupport auf Updates für Microsoft-Anwendungen beschränkt.)

Dieses Dokument unterstützt von Linux, macOS und Windows Server verwaltete Knoten. Das Dokument führt die entsprechenden Aktionen für jede Plattform durch.

Windows Server

Auf von Windows Server verwaltete Knoten lädt das Dokument AWS-RunPatchBaseline ein PowerShell-Modul herunter und ruft es auf, das wiederum einen entsprechenden Snapshot der Patch-Baseline für den verwalteten Knoten herunterlädt. Dieser Patch-Baseline-Snapshot enthält eine Liste genehmigter Patches, die kompiliert werden, indem die Patch-Baseline auf einem WSUS-Server (Windows Server Update Services) abgefragt wird. Diese Liste wird an die Windows Update-API weitergeleitet, die das Herunterladen und Installieren des genehmigten Patches entsprechend steuert.

Linux

Auf Linux-verwalteten Knoten ruft das Dokument AWS-RunPatchBaseline ein Python-Modul auf, das wiederum einen entsprechenden Snapshot der Patch-Baseline für den verwalteten Knoten herunterlädt. Dieser Patch-Baseline-Snapshot verwendet die definierten Regeln und Listen der genehmigten und gesperrten Patches, um den entsprechenden Paketmanager für jeden Knoten-Typ anzutreiben:

• Von Amazon Linux 1, Amazon Linux 2, CentOS, Oracle Linux und RHEL 7 verwaltete Knoten verwenden YUM. Für YUM-Vorgänge erfordert Patch Manager Python 2.6 oder eine höhere unterstützte Version (2.6–3.10).

• Von RHEL 8 verwaltete Knoten verwenden DNF. Für DNF-Vorgänge erfordert Patch Manager eine unterstützte Version von Python 2 oder Python 3 (2.6–3.10). (Keine der beiden Versionen ist standardmäßig auf RHEL 8 installiert. Sie müssen die eine oder andere Version manuell installieren.)

• Debian Server, Raspberry Pi OS und Ubuntu Server-Instances verwenden APT. Für APT-Vorgänge erfordert Patch Manager eine unterstützte Version von Python 3 (3.0–3.10).

• Von SUSE Linux Enterprise Server verwaltete Knoten verwenden Zypper. Für Zypper-Vorgänge erfordert Patch Manager Python 2.6 oder eine höhere unterstützte Version (2.6–3.10).

macOS

Auf macOS-verwalteten Knoten ruft das Dokument AWS-RunPatchBaseline ein Python-Modul auf, das wiederum einen entsprechenden Snapshot der Patch-Baseline für den verwalteten Knoten herunterlädt. Als nächstes ruft ein Python-Subprozess die AWS Command Line Interface (AWS CLI) auf dem Knoten auf, um die Installations- und Updateinformationen für die angegebenen Paketmanager abzurufen und den entsprechenden Paketmanager für jedes Updatepaket anzutreiben.

Jeder Snapshot ist spezifisch für ein AWS-Konto, eine Patch-Gruppe, ein Betriebssystem und eine Snapshot-ID. Der Snapshot wird über eine vorsignierte Amazon Simple Storage Service (Amazon S3)-URL bereitgestellt, die 24 Stunden nach Erstellung des Snapshots abläuft. Wenn Sie jedoch denselben Snapshot-Inhalt auf andere verwaltete Knoten anwenden möchten, können Sie nach Ablauf der URL bis zu drei Tage nach Erstellung des Snapshots eine neue vorsignierte Amazon-S3-URL generieren. Verwenden Sie dazu den Befehl get-deployable-patch-snapshot-for-instance.

Nachdem alle genehmigten und zutreffenden Updates installiert und je nach Bedarf Neustarts durchgeführt wurden, werden Patch-Compliance-Informationen auf einem verwalteten Knoten generiert und wieder an Patch Manager gemeldet.

Weitere Informationen zum Anzeigen von Patch-Compliance-Daten finden Sie unter Info zu Patch Compliance.

AWS-RunPatchBaseline-Parameter

AWS-RunPatchBaseline unterstützt fünf Parameter. Der Parameter Operation muss angegeben werden. Die Parameter InstallOverrideList, BaselineOverride und RebootOption sind optional. Snapshot-ID ist technisch optional, wir empfehlen allerdings, dass Sie einen benutzerdefinierten Wert dafür angeben, wenn Sie AWS-RunPatchBaseline außerhalb von einem Wartungsfenster ausführen, und Patch Manager den Wert benutzerdefinierten automatisch angeben lassen, wenn das Dokument als Teil eines Wartungsfenstervorgangs ausgeführt wird.

Parametername: Operation

Nutzung: erforderlich.

Optionen: Scan | Install.

Parametername: AssociationId

Nutzung: optional.

AssociationId ist die ID einer vorhandenen Zuordnung in State Manager, einer Funktion von AWS Systems Manager. Es wird von Patch Manager verwendet, um einer angegebenen Zuordnung Compliance-Daten hinzuzufügen. Diese Zuordnung bezieht sich auf einen Patching-Vorgang, der in einer Patch-Richtlinie in Quick Setup eingerichtet ist.

Wenn Sie noch keine Zuordnung erstellt haben, die Sie verwenden möchten, können Sie eine erstellen, indem Sie den Befehl create-association ausführen.

Parametername: Snapshot ID

Nutzung: optional.

Snapshot ID ist eine eindeutige ID (GUID), die von Patch Manager verwendet wird, um sicherzustellen, dass ein Satz von verwalteten Knoten, für die in einer einzelnen Operation Patches durchgeführt werden, den genau gleichen Satz genehmigter Patches aufweist. Auch wenn der Parameter als optional definiert ist, hängen unsere Empfehlungen für bewährte Methoden davon ab, ob Sie AWS-RunPatchBaseline in einem Wartungsfenster, wie in der folgenden Tabelle beschrieben, ausführen.

Parametername: InstallOverrideList

Nutzung: optional.

Mit InstallOverrideList können Sie eine https-URL oder eine Amazon S3-PathStyle-URL zu einer Liste mit zu installierenden Patches angeben. Diese im YAML-Format geführte Patch-Installationsliste überschreibt die von der Standard-Patch-Baseline angegebenen Patches. Dies bietet Ihnen eine detalliertere Kontrolle darüber, welche Patches auf Ihren verwalteten Knoten installiert sind.

Das Verhalten des Patch-Vorgangs bei Verwendung des InstallOverrideList-Parameters unterscheidet sich zwischen Linux- und macOS-verwalteten Knoten und Windows Server-verwalteten Knoten. Unter Linux und macOS versucht Patch Manager, Patches aus der Patchliste InstallOverrideList anzuwenden, die in einem auf dem Knoten aktivierten Repository vorhanden sind, unabhängig davon, ob die Patches den Patch-Baseline-Regeln entsprechen oder nicht. Auf Windows Server-Knoten werden Patches in der InstallOverrideList-Patch-Liste jedoch nur angewendet, wenn sie auch den Patch-Baseline-Regeln entsprechen.

Beachten Sie, dass Compliance-Berichte Patch-Status entsprechend den Angaben in der Patch-Baseline wiedergeben, nicht entsprechend Ihren Angaben in einer InstallOverrideList-Liste von Patches. Mit anderen Worten: Scan-Operationen ignorieren den Parameter InstallOverrideList. Auf diese Weise wird sichergestellt, dass Compliance-Berichte den Patch-Status konsistent entsprechend der Richtlinie wiedergeben und nicht danach, was für eine bestimmte Patching-Operation genehmigt wurde.

Eine Beschreibung, wie Sie den Parameter InstallOverrideList verwenden können, um verschiedene Patch-Typen in verschiedenen Wartungsfenster-Zeitplänen auf eine Zielgruppe anzuwenden und gleichzeitig eine einzelne Patch-Baseline zu verwenden, finden Sie unter Beispielszenario für die Verwendung des Parameters „InstallOverrideList“ in AWS-RunPatchBaseline oder AWS-RunPatchBaselineAssociation.

Gültige URL-Formate

Gültige YAML-Inhaltsformate

Die Formate, die Sie verwenden, um Patches in Ihrer Liste anzugeben, hängen von dem Betriebssystem Ihres verwalteten Knoten ab. Das allgemeine Format lautet jedoch folgendermaßen:

patches:
    - 
        id: '{patch-d}'
        title: '{patch-title}'
        {additional-fields}:{values}

Sie können zwar zusätzliche Felder in der YAML-Datei bereitstellen, diese werden jedoch während der Patch-Operationen ignoriert.

Darüber hinaus empfehlen wir zu überprüfen, ob das Format Ihrer YAML-Datei gültig ist, bevor Sie die Liste in Ihrem S3-Bucket hinzufügen oder aktualisieren. Weitere Informationen zum YAML-Format finden Sie unter yaml.org. Für Validierungstool-Optionen suchen Sie im Internet nach „yaml format validators“ durch.

Linux

id

Das Feld id ist ein Pflichtfeld. Verwenden Sie es, um Patches mit Paketnamen und Architektur anzugeben. Beispiel: 'dhclient.x86_64'. Sie können Platzhalter in der ID verwenden, um mehrere Pakete anzugeben. Zum Beispiel 'dhcp*' und 'dhcp*1.*'.

Title

Das Feld Titel ist optional, es bietet jedoch auf Linux-Systemen zusätzliche Filterfunktionen. Wenn Sie Titel verwenden, sollte er die Versionsinformationen des Pakets in einem der folgenden Formate enthalten:

YUM/SUSE Linux Enterprise Server (SLES):

{name}.{architecture}:{epoch}:{version}-{release}

APT

{name}.{architecture}:{version}

Für Linux-Patch-Titel können Sie einen oder mehrere Platzhalter in beliebigen Positionen verwenden, um die Anzahl der Paketzuordnungen zu erhöhen. Beispiel: '*32:9.8.2-0.*.rc1.57.amzn1'.

Beispielsweise:

• apt-Paketversion 1.2.25 ist derzeit auf Ihrem verwalteten Knoten installiert, aber Version 1.2.27 ist jetzt verfügbar.

• Fügen Sie die apt.amd64-Version 1.2.27 der Liste hinzu. Sie ist abhängig von apt utils.amd64 Version 1.2.27, aber apt-utils.amd64 Version 1.2.25 ist in der Liste angegeben.

In diesem Fall wird apt Version 1.2.27 von Installation ausgeschlossen und als „Failed-NonCompliant“ gemeldet.

Windows Server

id

Das Feld id ist ein Pflichtfeld. Verwenden Sie es, um Patches mit Microsoft Knowledge Base-IDs (z. B. KB2736693) und Microsoft Security Bulletins-IDs (z. B. MS17-023) festzulegen.

Alle anderen Felder, die Sie in einer Patch-Liste für Windows bereitstellen möchten, sind optional und dienen nur zu Ihrer eigenen Information. Sie können zusätzlichen Felder verwenden, wie z. B. Titel, Klassifizierung, Schweregrad oder andere Angaben für detailliertere Informationen über die angegebenen Patches.

macOS

id

Das Feld id ist ein Pflichtfeld. Der Wert für das Feld id kann entweder mit einem {package-name}.{package-version}-Format oder einem {package_name}-Format bereitgestellt werden.

Patch-Beispiellisten

Parametername: RebootOption

Nutzung: optional.

Optionen: RebootIfNeeded | NoReboot

Standardwert: RebootIfNeeded

Datei zum Nachverfolgen der Patch-Installation: Um die Patch-Installation nachzuverfolgen, insbesondere von Patches, die seit dem letzten Neustart des Systems installiert wurden, erstellt Systems Manager eine Datei auf dem verwalteten Knoten.

Diese Tracking-Datei wird an den folgenden Speicherorten auf Ihren verwalteten Knoten gespeichert:

Parametername: BaselineOverride

Nutzung: optional.

Sie können Patching-Voreinstellungen zur Laufzeit mit dem BaselineOverride-Parameter definieren. Diese Baseline-Überschreibung wird als JSON-Objekt in einem S3-Bucket beibehalten. Sie stellt sicher, dass Patchvorgänge die bereitgestellten Baselines verwenden, die dem Host-Betriebssystem entsprechen, anstatt die Regeln aus der Standard-Patch-Baseline anzuwenden

Weitere Informationen zur Verwendung des Parameters BaselineOverride finden Sie unter Verwenden des Parameters BaselineOverride.