Important
Les groupes de correctifs ne sont pas utilisés dans les opérations d'application de correctifs basées sur des politiques de correctifs. Pour obtenir des informations sur l'utilisation des politiques de correctifs, consultez la rubrique Configurations de la politique de correctifs dans Quick Setup.
Vous pouvez utiliser un groupe de correctifs pour associer des nœuds gérés à un référentiel de correctifs spécifique dans la fonctionnalité Patch Manager d'AWS Systems Manager. Les groupes de correctifs vous permettent de vous assurer que vous déployez les correctifs appropriés, conformément aux règles de référentiel de correctifs associées, pour le groupe de nœuds adéquat. Les groupes de correctifs peuvent également vous aider à éviter le déploiement de correctifs avant qu'ils aient été testés correctement. Par exemple, vous pouvez créer des groupes de correctifs pour différents environnements (par exemple, développement, test ou production) et enregistrer chaque groupe de correctifs dans un référentiel de correctifs appropriée.
Lorsque vous exécutez AWS-RunPatchBaseline
, vous pouvez cibler les nœuds gérés à l'aide de leur ID ou de leurs balises. SSM Agent et Patch Manager déterminent alors quel est le référentiel de correctifs à utiliser en fonction de la valeur de groupe de correctifs que vous avez ajoutée au nœud géré.
Vous créez un groupe de correctifs en utilisant des balises Amazon Elastic Compute Cloud (Amazon EC2). Contrairement à d'autres scénarios de balisage dans Systems Manager, un groupe de correctifs doit être défini avec la clé de balise Patch Group
ou PatchGroup
. La clé est sensible à la casse. Vous pouvez spécifier n'importe quelle valeur pour vous aider à identifier et à cibler les ressources de ce groupe, par exemple « serveurs web » ou « US-EAST-PROD », cependant la clé doit être Patch Group
ou PatchGroup
.
Après avoir créé un groupe de correctifs et attribué des balises aux nœuds gérés, vous pouvez enregistrer le groupe de correctifs auprès d'un référentiel de correctifs. L'enregistrement du groupe de correctifs auprès d'un référentiel de correctifs garantit que les nœuds du groupe de correctifs utiliseront les règles définies dans le référentiel de correctifs associé.
Pour de plus amples informations sur la création d'un groupe de correctifs et son association à un référentiel de correctifs, consultez Création et gestion de groupes de correctifs et Ajout d'un groupe de correctifs à un référentiel de correctifs.
Pour voir un exemple de création d'un référentiel de correctifs et de groupes de correctifs à l'aide de l'AWS Command Line Interface (AWS CLI), consultez Tutoriel : Corriger un environnement de serveur à l’aide de l’application AWS CLI. Pour de plus amples informations sur les balises Amazon EC2, veuillez consulter Baliser vos ressources Amazon EC2 dans le Guide de l’utilisateur Amazon EC2.
Comment ça marche
Lorsque le système applique un référentiel de correctifs à un nœud géré, SSM Agent vérifie si une valeur de groupe de correctifs est définie pour le nœud. Si le nœud est attribué à un groupe de correctifs, Patch Manager vérifie alors quel référentiel de correctifs est enregistré pour ce groupe. S'il existe un référentiel de correctifs pour ce groupe, Patch Manager demande à l'SSM Agent de l'utiliser. Si un nœud n'est attribué à aucun groupe de correctifs, Patch Manager demande automatiquement à SSM Agent d'utiliser le référentiel de correctifs par défaut.
Important
Un nœud géré ne peut appartenir qu'à un seul groupe de correctifs.
Un groupe de correctifs peut être enregistré avec un seule référentiel de correctifs pour chaque type de système d'exploitation.
Vous ne pouvez pas appliquer la Patch Group
balise (avec un espace) à une instance Amazon EC2 si l'option Autoriser les balises dans les métadonnées d'instance est activée sur celle-ci. L'autorisation des identifications dans les métadonnées d'instance empêche les noms de clés d'identification de contenir des espaces. Si vous avez autorisé les balises dans les métadonnées des instances EC2, vous devez utiliser la clé de la balise PatchGroup
(sans espace).
Diagramme 1 : Exemple général de flux de processus d'opérations d'application de correctifs
L’illustration suivante présente un exemple général des processus exécutés par Systems Manager lors de l’envoi à votre parc de serveurs d’une tâche Run Command d’application de correctifs à l’aide du Patch Manager. Ces processus déterminent les référentiels de correctifs à utiliser dans les opérations de correctifs. (Un processus similaire est utilisé lorsqu’une fenêtre de maintenance est configurée pour envoyer une commande d’application de correctifs à l’aide du Patch Manager.)
Le processus complet est expliqué sous l’illustration.
Cet exemple illustre trois groupes d'instances EC2 pour Windows Server avec les balises suivantes appliquées :
Groupe d'instances EC2 | Balises |
---|---|
Groupe 1 |
|
Groupe 2 |
|
Groupe 3 |
|
Dans cet exemple, nous avons également ces deux référentiels de correctifs Windows Server :
ID de référence de correctif | Par défaut | Groupe de correctifs associé |
---|---|---|
|
Oui |
|
|
Non |
|
La procédure générale d'analyse ou d'installation des correctifs à l'aide de Run Command, une des fonctionnalités de AWS Systems Manager et de Patch Manager se présente comme suit :
-
Envoi d'une commande de correctif : utilisez la console Systems Manager, le kit SDK, l'AWS Command Line Interface (AWS CLI) ou AWS Tools for Windows PowerShell pour envoyer une tâche Run Command à l'aide du document
AWS-RunPatchBaseline
. Le diagramme illustre une tâche Run Command d'application de correctifs aux instances gérées en ciblant la balisekey=OS,value=Windows
. -
Détermination du référentiel de correctifs : SSM Agent vérifie les balises de groupe de correctifs appliquées à l'instance EC2 et interroge Patch Manager concernant le référentiel de correctifs correspondante.
-
Mise en correspondance de la valeur du groupe de correctifs associée avec le référentiel de correctifs:
-
L'SSM Agent, qui est installé sur les instances EC2 dans un groupe, reçoit la commande émise à l'étape 1 lui indiquant de lancer une opération d'application de correctifs. L'SSM Agent vérifie que la valeur-balise de groupe de correctifs appliquée aux instances EC2 est
DEV
et interroge Patch Manager concernant le référentiel de correctifs associée. -
Patch Manager vérifie que le référentiel de correctifs
pb-9876543210abcdef0
est associée au groupe de correctifsDEV
et informe l'SSM Agent. -
L'SSM Agent récupère un instantané de référentiel de correctifs depuis Patch Manager en fonction des règles d'approbation et des exceptions configurées dans
pb-9876543210abcdef0
, puis passe à l'étape suivante.
-
-
Aucune balise de groupe de correctifs n'est ajoutée à l'instance :
-
SSM Agent, qui est installé sur les instances EC2 du groupe deux, reçoit la commande émise à l'étape 1 pour commencer une opération de correction. SSM Agent valide que les instances EC2 n'ont pas de balise
Patch Group
ouPatchGroup
appliquée et, par conséquent, SSM Agent demande Patch Manager la ligne de base de correction Windows par défaut. -
Patch Manager vérifie que le référentiel de correctifs Windows Server par défaut est
pb-0123456789abcdef0
et en avertit l'SSM Agent. -
L'SSM Agent récupère un instantané de référentiel de correctifs depuis Patch Manager en fonction des règles d'approbation et des exceptions configurées dans le référentiel de correctifs par défaut
pb-0123456789abcdef0
, puis passe à l'étape suivante.
-
-
Aucune valeur de groupe de correctifs correspondante n'est associée à un référentiel de correctifs:
-
L'SSM Agent, qui est installé sur les instances EC2 du groupe trois, reçoit la commande émise à l'étape 1 lui indiquant de lancer une opération d'application de correctifs. L'SSM Agent vérifie que la valeur-balise de groupe de correctifs appliquée aux instances EC2 est
QA
et interroge Patch Manager concernant le référentiel de correctifs associée. -
Patch Manager ne trouve aucun référentiel de correctifs associée au groupe
QA
. -
Patch Manager demande à l'SSM Agent d'utiliser le référentiel de correctifs Windows par défaut
pb-0123456789abcdef0
. -
L'SSM Agent récupère un instantané de référentiel de correctifs depuis Patch Manager en fonction des règles d'approbation et des exceptions configurées dans le référentiel de correctifs par défaut
pb-0123456789abcdef0
, puis passe à l'étape suivante.
-
-
-
Recherche ou installation des correctifs : Après avoir déterminé le référentiel de correctifs appropriée à utiliser, l'SSM Agent commence à rechercher ou à installer les correctifs en fonction de la valeur d'opération spécifiée à l'étape 1. Les correctifs qui sont recherchés ou installés sont déterminés par les règles d'approbation et les exceptions de correctifs définies dans l'instantané de référentiel de correctifs fourni par Patch Manager.
- Plus d'informations