Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

SSMBefehlsdokument für das Patchen: AWS-RunPatchBaselineAssociation

Wie das AWS-RunPatchBaseline-Dokument führt auch AWS-RunPatchBaselineAssociation Patching-Operationen auf Instances für sicherheitsrelevante und andere Arten von Updates aus. Sie können das Dokument AWS-RunPatchBaselineAssociation auch verwenden, um Patches sowohl für Betriebssysteme als auch für Anwendungen durchzuführen. (Am Windows Server, die Anwendungsunterstützung ist auf Updates für von Microsoft veröffentlichte Anwendungen beschränkt.)

Dieses Dokument unterstützt Amazon Elastic Compute Cloud (AmazonEC2) -Instances für Linux, macOS, und Windows Server. In einer Hybrid- und Multi-Cloud-Umgebung werden keine EC2 Knoten unterstützt. Das Dokument führt die entsprechenden Aktionen für jede Plattform durch und ruft ein Python-Modul unter Linux auf und macOS Instanzen und ein PowerShell Modul auf Windows-Instanzen.

AWS-RunPatchBaselineAssociation unterscheidet sich jedoch auf folgende Weise von AWS-RunPatchBaseline:

Wenn ein Tag-Schlüsselpaarwert als Parameter für das AWS-RunPatchBaselineAssociation Dokument angegeben wurde, Patch Manager sucht nach einer benutzerdefinierten Patch-Baseline, die dem Betriebssystemtyp entspricht und mit demselben Tag-Schlüsselpaar gekennzeichnet wurde. Diese Suche ist nicht auf die aktuell angegebene Standard-Patch-Baseline oder die Baseline beschränkt, die einer Patch-Gruppe zugewiesen ist. Wenn keine Baseline mit den angegebenen Tags gefunden wird, Patch Manager als Nächstes sucht nach einer Patch-Gruppe, falls eine in dem ausgeführten Befehl angegeben wurdeAWS-RunPatchBaselineAssociation. Wenn keine Patch-Gruppe gefunden wurde, Patch Manager greift auf die aktuelle Standard-Patch-Baseline für das Betriebssystemkonto zurück.

Wenn mehr als eine Patch-Baseline mit den im AWS-RunPatchBaselineAssociation Dokument angegebenen Tags gefunden wird, Patch Manager gibt eine Fehlermeldung zurück, die angibt, dass nur eine Patch-Baseline mit diesem Schlüssel-Wert-Paar markiert werden kann, damit der Vorgang fortgesetzt werden kann.

Nachdem der Scan abgeschlossen wurde oder alle genehmigten und zutreffenden Updates installiert und je nach Bedarf Neustarts durchgeführt wurden, werden Patch-Compliance-Informationen auf einer Instance generiert und wieder an den Patchmanager-Service gemeldet.

Weitere Informationen zum Anzeigen von Patch-Compliance-Daten finden Sie unter Info zu Patch Compliance.

AWS-RunPatchBaselineAssociation parameters

AWS-RunPatchBaselineAssociation unterstützt vier Parameter. Die Parameter Operation und AssociationId müssen angegeben werden. Die Parameter InstallOverrideList, RebootOption und BaselineTags sind optional.

Parametername: Operation

Nutzung: erforderlich.

Optionen: Scan | Install.

Parametername: BaselineTags

Nutzung: optional.

BaselineTags ist ein eindeutiges Tag-Schlüssel-Wert-Paar, das Sie auswählen und einer individuellen benutzerdefinierten Patch-Baseline zuweisen. Sie können einen oder mehrere Werte für diesen Parameter angeben. Beider der folgenden Formate sind gültig:

Key=tag-key,Values=tag-value

Key=tag-key,Values=tag-value1,tag-value2,tag-value3

Der BaselineTags Wert wird verwendet von Patch Manager um sicherzustellen, dass eine Gruppe von Instanzen, die in einem einzigen Vorgang gepatcht werden, alle über exakt dieselben genehmigten Patches verfügen. Wenn der Patch-Vorgang ausgeführt wird, Patch Manager überprüft, ob eine Patch-Baseline für den Betriebssystemtyp mit demselben Schlüssel-Wert-Paar gekennzeichnet ist, für das Sie angegeben haben. BaselineTags Wenn eine Übereinstimmung vorliegt, wird diese benutzerdefinierte Patch-Baseline verwendet. Wenn keine Übereinstimmung vorliegt, wird eine Patch-Baseline anhand einer beliebigen Patchgruppe identifiziert, die für die Patching-Operation angegeben wurde. Wenn keine vorhanden ist, wird die AWS verwaltete vordefinierte Patch-Baseline für dieses Betriebssystem verwendet.

Zusätzliche Berechtigungsanforderungen

Wenn Sie AWS-RunPatchBaselineAssociation bei anderen Patchvorgängen als denen, die mit eingerichtet wurden, Quick Setup, und wenn Sie den optionalen BaselineTags Parameter verwenden möchten, müssen Sie dem Instance-Profil für Amazon Elastic Compute Cloud (AmazonEC2) -Instances die folgenden Berechtigungen hinzufügen.

{
    "Effect": "Allow",
    "Action": [
        "ssm:DescribePatchBaselines",
        "tag:GetResources"
    ],
    "Resource": "*"
},
{
    "Effect": "Allow",
    "Action": [
        "ssm:GetPatchBaseline",
        "ssm:DescribeEffectivePatchesForPatchBaseline"
    ],
    "Resource": "patch-baseline-arn"
}

Ersetzen patch-baseline-arn mit dem Amazon-Ressourcennamen (ARN) der Patch-Baseline, auf die Sie Zugriff gewähren möchten, im Formatarn:aws:ssm:us-east-2:123456789012:patchbaseline/pb-0c10e65780EXAMPLE.

Parametername: AssociationId

Nutzung: erforderlich.

AssociationIdist die ID einer bestehenden Assoziation in State Manager, eine Fähigkeit von AWS Systems Manager. Es wird verwendet von Patch Manager um einer bestimmten Zuordnung Konformitätsdaten hinzuzufügen. Diese Zuordnung bezieht sich auf einen Scan Patch-Vorgang, der in einer Host Management-Konfiguration aktiviert wurde, die in erstellt wurde Quick Setup. Indem Sie die Patching-Ergebnisse als Zuordnungs-Compliance-Daten statt als Inventar-Compliance-Daten senden, werden bestehende Inventar-Compliance-Informationen für Ihre Instances weder nach einem Patchvorgang noch bei anderen Zuordnungen überschrieben. IDs Wenn Sie noch keine Zuordnung haben, die Sie verwenden möchten, können Sie eine erstellen, indem Sie den folgenden Befehl ausführen create-associationder Befehl. Beispielsweise:

Linux & macOS

aws ssm create-association \
    --name "AWS-RunPatchBaselineAssociation" \
    --association-name "MyPatchHostConfigAssociation" \
    --targets "Key=instanceids,Values=[i-02573cafcfEXAMPLE,i-07782c72faEXAMPLE,i-07782c72faEXAMPLE]" \
    --parameters "Operation=Scan" \
    --schedule-expression "cron(0 */30 * * * ? *)" \
    --sync-compliance "MANUAL" \
    --region us-east-2

Windows Server

aws ssm create-association ^
    --name "AWS-RunPatchBaselineAssociation" ^
    --association-name "MyPatchHostConfigAssociation" ^
    --targets "Key=instanceids,Values=[i-02573cafcfEXAMPLE,i-07782c72faEXAMPLE,i-07782c72faEXAMPLE]" ^
    --parameters "Operation=Scan" ^
    --schedule-expression "cron(0 */30 * * * ? *)" ^
    --sync-compliance "MANUAL" ^
    --region us-east-2

Parametername: InstallOverrideList

Nutzung: optional.

Mit InstallOverrideList geben Sie einen https URL - oder Amazon Simple Storage Service (Amazon S3) -Pfadstil URL zu einer Liste von zu installierenden Patches an. Diese Patch-Installationsliste, deren YAML Format Sie beibehalten, setzt die in der aktuellen Standard-Patch-Baseline angegebenen Patches außer Kraft. Dies bietet Ihnen eine differenziertere Kontrolle darüber, welche Patches auf Ihren Instances installiert sind.

Das Verhalten des Patch-Vorgangs bei Verwendung des InstallOverrideList Parameters unterscheidet sich zwischen Linux und macOS verwaltete Knoten und Windows Server verwaltete Knoten. Unter Linux & macOS, Patch Manager versucht, in der InstallOverrideList Patch-Liste enthaltene Patches anzuwenden, die in einem beliebigen Repository vorhanden sind, das auf dem Knoten aktiviert ist, unabhängig davon, ob die Patches den Patch-Baseline-Regeln entsprechen oder nicht. Ein Windows Server Knoten, Patches in der InstallOverrideList Patch-Liste werden jedoch nur angewendet, wenn sie auch den Patch-Baseline-Regeln entsprechen.

Beachten Sie, dass Compliance-Berichte Patch-Status entsprechend den Angaben in der Patch-Baseline wiedergeben, nicht entsprechend Ihren Angaben in einer InstallOverrideList-Liste von Patches. Mit anderen Worten: Scan-Operationen ignorieren den Parameter InstallOverrideList. Auf diese Weise wird sichergestellt, dass Compliance-Berichte den Patch-Status konsistent entsprechend der Richtlinie wiedergeben und nicht danach, was für eine bestimmte Patching-Operation genehmigt wurde.

Gültige URL Formate

Gültige Inhaltsformate YAML

Die Formate, die Sie verwenden, um Patches in Ihrer Liste anzugeben, hängen von dem Betriebssystem Ihrer Instance ab. Das allgemeine Format lautet jedoch folgendermaßen:

patches:
    - 
        id: '{patch-d}'
        title: '{patch-title}'
        {additional-fields}:{values}

Sie können zwar zusätzliche Felder in Ihrer YAML Datei angeben, diese werden jedoch bei Patch-Vorgängen ignoriert.

Darüber hinaus empfehlen wir, zu überprüfen, ob das Format Ihrer YAML Datei gültig ist, bevor Sie die Liste in Ihrem S3-Bucket hinzufügen oder aktualisieren. Weitere Informationen zum YAML Format finden Sie unter yaml.org. Für Validierungstool-Optionen suchen Sie im Internet nach "yaml format validators" durch.

Andere Felder

Alle anderen Felder, die Sie in einer Patch-Liste für Linux bereitstellen möchten, sind optional und dienen nur zu Ihrer eigenen Information. Sie können zusätzlichen Felder verwenden, wie z. B. Klassifizierung, Schweregrad oder andere Angaben für detailliertere Informationen über die angegebenen Patches.

Patch-Beispiellisten

Parametername: RebootOption

Nutzung: optional.

Optionen: RebootIfNeeded | NoReboot

Standardwert: RebootIfNeeded

Datei zum Nachverfolgen der Patch-Installation (Tracking-Datei): Um die Patch-Installation nachzuverfolgen, insbesondere von Patches, die seit dem letzten Neustart des Systems installiert wurden, erstellt Systems Manager eine Datei auf der verwalteten Instance.

Diese Tracking-Datei wird an den folgenden Speicherorten auf Ihren verwalteten Instances gespeichert: