Patching für Instanzen in einer Organisation konfigurieren

So erstellen Sie eine Patch-Richtlinie mit Quick Setup

1. Öffnen Sie die Konsole unter. AWS Systems Manager https://console.aws.amazon.com/systems-manager/

   Wenn Sie das Patchen für eine Organisation einrichten, stellen Sie sicher, dass Sie beim Verwaltungskonto der Organisation angemeldet sind. Sie können die Richtlinie nicht mit dem delegierten Administratorkonto oder einem Mitgliedskonto einrichten.

2. Wählen Sie im Navigationsbereich Quick Setup aus.

3. Wählen Sie auf der Karte Patch Manager (Patch-Manager) die Option Create (Erstellen) aus.

   Tipp

   Wenn Sie bereits eine oder mehrere Konfigurationen in Ihrem Konto haben, wählen Sie zunächst die Registerkarte Bibliothek oder die Schaltfläche Erstellen im Abschnitt Konfigurationen, um die Karten anzuzeigen.

4. Geben Sie für Configuration name (Konfigurationsname) einen Namen ein, um die Patch-Richtlinie zu identifizieren.

5. Wählen Sie im Abschnitt Scanning and installation (Scannen und Installation) unter Patch operation (Patching-Vorgang) aus, ob die Patch-Richtlinie die angegebenen Ziele Scan (Scannen) oder Patches auf den angegebenen Zielen Scan and install (Scannen und installieren) soll.

6. Wählen Sie unter Scanning schedule (Scan-Zeitplan) die Option Use recommended defaults (Empfohlene Standardwerte verwenden) oder Custom scan schedule (Benutzerdefinierter Scan-Zeitplan) aus. Der standardmäßige Scan-Zeitplan scannt Ihre Ziele täglich um 1:00 UhrUTC.

   • Wenn Sie Custom scan schedule (Benutzerdefinierten Scan-Zeitplan) auswählen, wählen Sie die Scanning frequency (Scan-Frequenz) aus.

   • Wenn Sie Täglich wählen, geben Sie in das Feld die Uhrzeit einUTC, zu der Sie Ihre Ziele scannen möchten.

   • Wenn Sie Benutzerdefinierter CRON Ausdruck wählen, geben Sie den Zeitplan als CRONAusdruck ein. Weitere Informationen zur Formatierung von CRON Ausdrücken für Systems Manager finden Sie unterReferenz: Cron- und Rate-Ausdrücke für System Manager.

     Wählen Sie außerdem die Option Mit dem Scannen von Zielen bis zum ersten CRON Intervall warten. Standardmäßig scannt Patch Manager Knoten sofort, sobald diese zu Zielen werden.

7. Wenn Sie Scan and install (Scannen und installieren) gewählt haben, wählen Sie den Installation schedule (Installationszeitplan) aus, der beim Installieren von Patches auf den angegebenen Zielen verwendet werden soll. Wenn Sie „Empfohlene Standardwerte verwenden“ wählen, Patch Manager werden wöchentliche Patches am Sonntag um 2:00 Uhr UTC installiert.

   • Wenn Sie Custom install schedule (Benutzerdefinierter Installationszeitplan) auswählen, wählen Sie die Installation Frequency (Installationsfrequenz).

   • Wenn Sie Täglich wählen, geben Sie die Uhrzeit ein, zu der Sie Updates auf Ihren Zielen installieren möchten. UTC

   • Wenn Sie Benutzerdefinierter CRON Ausdruck wählen, geben Sie den Zeitplan als CRONAusdruck ein. Weitere Informationen zur Formatierung von CRON Ausdrücken für Systems Manager finden Sie unterReferenz: Cron- und Rate-Ausdrücke für System Manager.

     Deaktivieren Sie außerdem die Option Mit der Installation von Updates bis zum ersten CRON Intervall warten, um Updates sofort auf den Knoten zu installieren, sobald diese zu Zielen werden. Patch ManagerWartet standardmäßig bis zum ersten CRON Intervall, um Updates zu installieren.

   • Wählen Sie Reboot if needed (Bei Bedarf neu starten), um die Knoten nach der Patch-Installation neu zu starten. Ein Neustart nach der Installation wird empfohlen, kann jedoch zu Verfügbarkeitsproblemen führen.

8. Wählen Sie im Abschnitt Patch baseline (Patch-Baseline) die Patch-Baselines aus, die beim Scannen und Aktualisieren Ihrer Ziele verwendet werden sollen.

   Patch Manager verwendet standardmäßig die vordefinierten Patch-Baselines. Weitere Informationen finden Sie unter Vordefinierte Baselines.

   Wenn Sie Benutzerdefinierte Patch-Baseline wählen, ändern Sie die ausgewählte Patch-Baseline für Betriebssysteme, für die Sie keine vordefinierte AWS Patch-Baseline verwenden möchten.

   Anmerkung

   Wenn Sie VPC Endpunkte verwenden, um eine Verbindung zu Systems Manager herzustellen, stellen Sie sicher, dass Ihre VPC Endpunktrichtlinie für S3 den Zugriff auf diesen S3-Bucket zulässt. Weitere Informationen finden Sie unter Berechtigungen für den S3-Bucket mit der Patch-Richtlinie.

   Wichtig

   Wenn Sie eine Patch-Richtlinienkonfiguration in Quick Setup verwenden, werden Aktualisierungen, die Sie an benutzerdefinierten Patch-Baselines vornehmen, einmal pro Stunde mit Quick Setup synchronisiert.

   Wenn eine benutzerdefinierte Patch-Baseline gelöscht wird, auf die in einer Patch-Richtlinie verwiesen wurde, wird auf der Seite mit den Quick Setup-Configuration details (Konfigurationsdetails) ein Banner für Ihre Patch-Richtlinie angezeigt. Das Banner informiert Sie darüber, dass die Patch-Richtlinie auf eine nicht mehr vorhandene Patch-Baseline verweist und nachfolgende Patching-Vorgänge fehlschlagen werden. Kehren Sie in diesem Fall zur Seite Quick Setup-Configurations (Konfigurationen) zurück, wählen Sie die Patch Manager-Konfiguration aus und wählen Sie Actions (Aktionen), Edit configuration (Konfiguration bearbeiten). Der Name der gelöschten Patch-Baseline wird hervorgehoben, und Sie müssen eine neue Patch-Baseline für das betroffene Betriebssystem auswählen.

9. (Optional) Wählen Sie im Abschnitt Patching log storage (Patching-Protokollspeicherung) die Option Write output to S3 bucket (Ausgabe in S3-Bucket schreiben) aus, um Patch-Vorgangsprotokolle in einem Amazon-S3-Bucket zu speichern.

   Anmerkung

   Wenn Sie eine Patch-Richtlinie für eine Organisation einrichten, muss das Verwaltungskonto Ihrer Organisation mindestens über schreibgeschützte Berechtigungen für diesen Bucket verfügen. Alle in der Richtlinie enthaltenen Organisationseinheiten müssen über Schreibzugriff auf den Bucket verfügen. Informationen zum Gewähren von Bucket-Zugriff auf verschiedene Konten finden Sie unter Beispiel 2: Bucket-Besitzer, der kontoübergreifende Bucket-Berechtigungen gewährt im Benutzerhandbuch zu Amazon Simple Storage Service.

10. Wählen Sie S3 durchsuchen, um den Bucket auszuwählen, in dem Sie die Patch-Protokoll-Ausgabe speichern möchten. Das Verwaltungskonto muss über Lesezugriff auf diesen Bucket verfügen. Alle Nicht-Verwaltungskonten und Ziele, die im Abschnitt Targets (Ziele) konfiguriert sind, müssen für die Protokollierung über Schreibzugriff auf den bereitgestellten S3-Bucket verfügen.

11. Wählen Sie im Abschnitt Targets (Ziele) eine der folgenden Optionen aus, um die Konten und Regionen für diesen Patch-Richtlinienvorgang zu identifizieren.

    Anmerkung

    Wenn Sie mit einem einzigen Konto arbeiten, sind Optionen für die Arbeit mit Organisationen und Organisationseinheiten (OUs) nicht verfügbar. Sie können wählen, ob Sie diese Konfiguration auf alle AWS-Regionen in Ihrem Konto oder nur auf die von Ihnen ausgewählten Regionen anwenden möchten.

    Wenn Sie zuvor eine Heimatregion für Ihr Konto angegeben haben und das neue Quick Setup Konsolenerlebnis noch nicht genutzt haben, können Sie diese Region nicht aus der Targets-Konfiguration ausschließen.

    • Entire organization (Gesamte Organisation) – Alle Konten und Regionen in Ihrer Organisation.

    • Benutzerdefiniert — Nur die Regionen OUs und Regionen, die Sie angeben.

      • Wählen Sie im OUs Bereich Ziel den OUs Ort aus, an dem Sie die Patch-Richtlinie einrichten möchten.

      • Wählen Sie im Abschnitt Target Regions (Zielregionen) die Regionen aus, in denen Sie die Patch-Richtlinie anwenden möchten.

    • Current account (Aktuelles Konto) – Nur die Regionen, die Sie in dem Konto angeben, bei dem Sie derzeit angemeldet sind, werden als Ziel ausgewählt. Wählen Sie eine der folgenden Optionen aus:

      • Current Region (Aktuelle Region) – Nur verwaltete Knoten in der Region, die in der Konsole ausgewählt wurde, werden als Ziel ausgewählt.

      • Choose Regions (Regionen auswählen) – Wählen Sie die einzelnen Regionen aus, auf die die Patch-Richtlinie angewendet werden soll.

12. Wählen Sie unter Choose how you want to target instances (Wählen Sie, wie Sie Instances anvisieren möchten) eine der folgenden Möglichkeiten, um die Knoten zu identifizieren, die gepatcht werden sollen:

    • Alle verwalteten Knoten — Alle verwalteten Knoten in den ausgewählten OUs und Regionen.

    • Specify the resource group (Angabe der Ressourcengruppe) – Wählen Sie den Namen einer Ressourcengruppe aus der Liste, um die ihr zugeordneten Ressourcen anzuvisieren.

      Anmerkung

      Derzeit wird die Auswahl von Ressourcengruppen nur für Einzelkontokonfigurationen unterstützt. Um Ressourcen in mehreren Konten zu patchen, wählen Sie eine andere Zieloption.

    • Specify a node tag (Angabe eines Knoten-Tags) – Nur Knoten, die mit dem von Ihnen angegebenen Schlüssel-Wert-Paar gekennzeichnet sind, werden in allen von Ihnen ausgewählten Konten und Regionen gepatcht.

    • Manual (Manuell) – Wählen Sie verwaltete Knoten aus allen angegebenen Konten und Regionen manuell aus einer Liste aus.

      Anmerkung

      Diese Option unterstützt derzeit nur EC2 Amazon-Instances.

13. Gehen Sie im Abschnitt Rate control (Ratensteuerung) wie folgt vor:

    • Geben Sie für Concurrency (Gleichzeitigkeit) eine Anzahl oder einen Prozentsatz von Knoten ein, auf denen die Patch-Richtlinie gleichzeitig ausgeführt werden soll.

    • Geben Sie für Error threshold (Fehlerschwellenwert) die Anzahl oder den Prozentsatz der Knoten ein, bei denen ein Fehler auftreten kann, bevor die Patch-Richtlinie fehlschlägt.

14. (Optional) Aktivieren Sie das Kontrollkästchen Erforderliche IAM Richtlinien zu vorhandenen Instance-Profilen hinzufügen, die mit Ihren Instances verknüpft sind.

    Diese Auswahl wendet die mit dieser Quick Setup Konfiguration erstellten IAM Richtlinien auf Knoten an, denen bereits ein Instanzprofil (EC2Instanzen) oder eine Servicerolle (hybridaktivierte Knoten) zugewiesen ist. Wir empfehlen diese Auswahl, wenn Ihre verwalteten Knoten bereits über ein Instance-Profil oder eine Servicerolle verfügen, die jedoch nicht alle Berechtigungen enthalten, die für die Arbeit mit Systems Manager erforderlich sind.

    Ihre Auswahl hier wird auf verwaltete Knoten angewendet, die später in den Konten und Regionen erstellt werden, für die diese Patch-Richtlinienkonfiguration gilt.

    Wichtig

    Wenn Sie dieses Kontrollkästchen nicht aktivieren, aber möchten, dass Quick Setup Ihre verwalteten Knoten mit dieser Richtlinie patcht, müssen Sie Folgendes tun:

    Fügen Sie Ihrem IAMInstanzprofil oder Ihrer IAMServicerolle Berechtigungen hinzu, um auf den S3-Bucket zuzugreifen, der für Ihre Patch-Richtlinie erstellt wurde

    Kennzeichnen Sie Ihr IAM Instanzprofil oder Ihre IAM Servicerolle mit einem bestimmten Schlüssel-Wert-Paar.

    Weitere Informationen finden Sie unter Fall 1: Verwenden Sie Ihr eigenes Instance-Profil oder Ihre eigene Servicerolle mit Ihren verwalteten Knoten, anstatt eines von Quick Setup bereitgestellten.

15. Wählen Sie Create (Erstellen) aus.

    Um den Patch-Status zu überprüfen, nachdem die Patch-Richtlinie erstellt wurde, können Sie über die Quick Setup-Seite auf die Konfiguration zugreifen.