View a markdown version of this page

AWS Systems Manager Gestionnaire de correctifs - AWS Systems Manager
Comment peux-tu Gestionnaire de correctifs bénéficier à mon organisation ?Qui doit utiliser Gestionnaire de correctifs?Quelles sont les principales caractéristiques de Gestionnaire de correctifs?Qu'est-ce que la conformité dans Gestionnaire de correctifs?Composants principaux

• Le AWS Systems Manager CloudWatch tableau de bord ne sera plus disponible après le 30 avril 2026. Les clients peuvent continuer à utiliser CloudWatch la console Amazon pour consulter, créer et gérer leurs CloudWatch tableaux de bord Amazon, comme ils le font aujourd'hui. Pour plus d'informations, consultez la documentation Amazon CloudWatch Dashboard.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AWS Systems Manager Gestionnaire de correctifs

Patch Manager automatise le processus d’application de correctifs aux nœuds gérés, aussi bien pour les mises à jour liées à la sécurité que pour les autres types de mises à jour.

Note

Systems Manager prend en charge les politiques de correctifs dans Quick Setup, un outil d’ AWS Systems Manager. Nous recommandons d’utiliser des politiques de correctifs pour configurer vos opérations de correctifs. À l’aide d’une configuration de politique de correctifs unique, vous pouvez définir l’application de correctifs pour tous les comptes de toutes les régions de votre organisation ; uniquement pour les comptes et les régions de votre choix ; ou pour une seule paire compte-région. Pour de plus amples informations, veuillez consulter Configurations des politiques relatives aux correctifs dans Configuration rapide.

Vous pouvez utiliser Patch Manager pour appliquer des correctifs pour les systèmes d'exploitation et les applications. (Sur Windows Server, la prise en charge des applications est limitée à des mises à jour pour les applications publiées par Microsoft.) Vous pouvez utiliser Patch Manager pour installer des Service Packs sur les nœuds Windows et procéder à des mises à niveau mineures sur les nœuds Linux. Vous pouvez appliquer des correctifs aux flottes d'instances Amazon Elastic Compute Cloud (Amazon EC2), aux appareils de périphérie, aux serveurs sur site et aux machines virtuelles par type de système d'exploitation. Cela inclut les versions prises en charge de plusieurs systèmes d'exploitation, comme indiqué dans Gestionnaire de correctifs conditions préalables. Vous pouvez scanner les instances pour afficher uniquement le rapport des correctifs manquants, ou scanner et installer automatiquement les correctifs manquants. Pour vos premiers pas dans Patch Manager, ouvrez Systems Manager console. Dans le panneau de navigation, sélectionnez Patch Manager.

AWS ne teste pas les correctifs avant de les rendre disponibles dansPatch Manager. En outre, Patch Manager ne prend pas en charge la mise à niveau des versions majeures des systèmes d'exploitation, telles que Windows Server 2016 vers Windows Server 2019 ou Red Hat Enterprise Linux (RHEL) 7.0 vers RHEL 8.0.

Pour les types de systèmes Linux-based d'exploitation qui signalent un niveau de gravité pour les correctifs, Patch Manager utilise le niveau de gravité indiqué par l'éditeur du logiciel pour l'avis de mise à jour ou le correctif individuel. Patch Managerne détermine pas les niveaux de gravité à partir de sources tierces, telles que le Common Vulnerability Scoring System (CVSS), ni à partir de mesures publiées par la National Vulnerability Database (NVD).

Comment peux-tu Gestionnaire de correctifs bénéficier à mon organisation ?

Patch Manager automatise le processus d’application de correctifs aux nœuds gérés, aussi bien pour les mises à jour liées à la sécurité que pour les autres types de mises à jour. Il offre plusieurs avantages clés :

  • Contrôle centralisé des correctifs : avec les politiques de correctif, vous pouvez configurer des opérations d’application de correctifs récurrentes pour tous les comptes de toutes les régions de votre organisation, des comptes et des régions spécifiques, ou une seule paire compte-région.

  • Opérations d’application de correctifs flexibles : vous pouvez scanner les instances pour afficher uniquement le rapport des correctifs manquants, ou scanner et installer automatiquement les correctifs manquants.

  • Rapports de conformité complets : après les opérations d’analyse, vous pouvez consulter des informations détaillées sur les nœuds gérés qui ne sont pas en conformité pour les correctifs et sur les correctifs manquants.

  • Cross-platform support  : Patch Manager prend en charge plusieurs systèmes d'exploitation, y compris diverses distributions LinuxmacOS, etWindows Server.

  • Référentiels de correctifs personnalisés : vous pouvez définir ce qui constitue la conformité des correctifs pour votre entreprise grâce à des référentiels de correctifs personnalisés qui spécifient les correctifs dont l’installation est approuvée.

  • Intégration à d'autres AWS services  : Patch Manager s'intègre à AWS Organizations, AWS Security Hub CSPM AWS CloudTrail, et AWS Config pour améliorer la gestion et la sécurité.

  • Mises à niveau déterministes : prise en charge des mises à niveau déterministes via des référentiels avec gestion des versions pour des systèmes d’exploitation comme Amazon Linux 2023.

Qui doit utiliser Gestionnaire de correctifs?

Patch Manager est conçu pour :

  • Administrateurs informatiques devant garantir la conformité des correctifs sur l’ensemble de leur parc de nœuds gérés

  • Responsables des opérations qui ont besoin d’une visibilité sur l’état de conformité des correctifs à travers l’ensemble de leur infrastructure

  • Architectes cloud qui souhaitent mettre en œuvre des solutions d’application de correctifs automatisées à grande échelle

  • DevOps les ingénieurs qui ont besoin d'intégrer l'application de correctifs dans leurs flux de travail opérationnels

  • Les organisations ayant des déploiements account/multi multirégionaux qui ont besoin d'une gestion centralisée des correctifs

  • Toute personne chargée de maintenir le niveau de sécurité et la santé opérationnelle des nœuds AWS gérés, des périphériques périphériques, des serveurs sur site et des machines virtuelles

Quelles sont les principales caractéristiques de Gestionnaire de correctifs?

Patch Manager propose plusieurs fonctionnalités clés :

  • Politiques relatives aux correctifs  : configurez les opérations d'application de correctifs dans plusieurs Comptes AWS régions à l'aide d'une politique unique grâce à l'intégration avec AWS Organizations.

  • Référentiels de correctifs personnalisés : définissez les règles d’approbation automatique des correctifs quelques jours après leur publication, ainsi que les listes des correctifs approuvés et refusés.

  • Plusieurs méthodes d’application de correctifs : choisissez entre les politiques de correctif, les fenêtres de maintenance et les opérations « Appliquer le correctif maintenant » à la demande pour répondre à vos besoins spécifiques.

  • Rapports de conformité : générez des rapports détaillés sur le statut de conformité des correctifs, qui peuvent être envoyés à un compartiment Amazon S3 au format CSV.

  • Cross-platform support  : appliquez des correctifs à la fois aux systèmes d'exploitation et aux applications sur Windows Server différentes distributions Linux, etmacOS.

  • Flexibilité de planification : définissez différents calendriers pour l’analyse et l’installation des correctifs à l’aide d’expressions CRON et de valeurs de déclenchement personnalisées.

  • Hooks de cycle de vie : exécutez des scripts personnalisés avant et après les opérations d’application de correctifs à l’aide des documents Systems Manager.

  • Focalisation sur la sécurité : par défaut, Patch Manager se concentre sur les mises à jour liées à la sécurité plutôt que sur l’installation de tous les correctifs disponibles.

  • Contrôle du débit : configurez la simultanéité et les seuils d’erreur pour les opérations d’application de correctifs afin de minimiser l’impact opérationnel.

Qu'est-ce que la conformité dans Gestionnaire de correctifs?

La référence en matière de conformité des correctifs pour les nœuds gérés de vos flottes Systems Manager n'est pas définie par AWS, par les fournisseurs de systèmes d'exploitation (OS) ou par des tiers tels que les sociétés de conseil en sécurité.

Vous définissez vous-même ce que signifie la conformité aux correctifs pour les nœuds gérés de votre organisation ou de votre compte dans un référentiel de correctifs. Un référentiel de correctifs est une configuration qui spécifie les règles selon lesquelles les correctifs doivent être installés sur un nœud géré. Un nœud géré est conforme en matière de correctifs lorsqu’il est à jour avec tous les correctifs qui répondent aux critères d’approbation que vous spécifiez dans la référentiel de correctifs.

Notez que la conformité à un référentiel de correctifs ne signifie pas nécessairement qu’un nœud géré est sécurisé. Conforme signifie que les correctifs définis par la référentiel de correctifs qui sont à la fois disponibles et approuvés ont été installés sur le nœud. La sécurité globale d’un nœud géré est déterminée par de nombreux facteurs extérieurs au-delà de la portée de Patch Manager. Pour de plus amples informations, veuillez consulter Sécurité dans AWS Systems Manager.

Chaque référentiel de correctifs est une configuration pour un type de système d’exploitation (OS) pris en charge spécifique, comme Red Hat Enterprise Linux (RHEL), macOS ou Windows Server. Un référentiel de correctifs peut définir des règles d’application de correctifs pour toutes les versions prises en charge d’un système d’exploitation ou être limité à celles que vous spécifiez, comme RHEL 7.8. et RHEL 9.3.

Dans un référentiel de correctifs, vous pouvez spécifier que tous les correctifs de certaines classifications et de certains niveaux de gravité sont approuvés pour l’installation. Par exemple, vous pouvez inclure tous les correctifs classés comme Security, mais exclure d’autres classifications, comme Bugfix ou Enhancement. Et vous pouvez inclure tous les correctifs dont la gravité est Critical et en exclure d’autres, comme Important et Moderate.

Vous pouvez également définir des correctifs de manière explicite dans un référentiel de correctifs en ajoutant leurs identifiants à des listes de correctifs spécifiques à approuver ou à rejeter, par exemple KB2736693 pour Windows Server ou dbus.x86_64:1:1.12.28-1.amzn2023.0.1 pour Amazon Linux 2023 (AL2023). Vous pouvez éventuellement spécifier un certain nombre de jours d’attente pour l’application d’un correctif une fois qu’un correctif est disponible. Pour Linux et macOS, vous avez la possibilité de spécifier une liste externe de correctifs à des fins de conformité (une liste de remplacement d’installation) au lieu de ceux définis par les règles du référentiel de correctifs.

Lorsqu’une opération d’application de correctifs est exécutée, Patch Manager compare les correctifs actuellement appliqués à un nœud géré à ceux qui doivent être appliqués conformément aux règles définies dans le référentiel de correctifs ou une liste de remplacement d’installation. Vous pouvez faire en sorte que Patch Manager n'affiche qu'un rapport sur les correctifs manquants (une opération Scan), ou que Patch Manager installe automatiquement tous les correctifs manquants sur un nœud géré (une opération Scan and install).

Note

Les données de conformité des correctifs constituent un instantané de la dernière opération de correction réussie. Chaque rapport de conformité contient un temps de capture qui indique à quel moment l'état de conformité a été calculé. Lors de l'examen des données de conformité, tenez compte du temps de capture pour déterminer si l'opération a été exécutée comme prévu.

Patch Manager fournit des référentiels de correctifs prédéfinis que vous pouvez utiliser pour vos opérations d’application de correctifs ; toutefois, ces configurations prédéfinies sont fournies à titre d’exemple et non en tant que meilleures pratiques recommandées. Nous vous recommandons de créer vos propres référentiels de correctifs personnalisés afin de mieux contrôler ce qui constitue la conformité des correctifs pour votre flotte.

Pour plus d’informations sur les référentiels de correctifs, consultez les rubriques suivantes :

Composants principaux

Avant de commencer à utiliser l’outil Patch Manager, vous devez vous familiariser avec certains des composants et fonctionnalités principaux des opérations d’application de correctifs de l’outil.

Références de correctifs

Patch Manager utilise des référentiels de correctifs qui incluent les règles d'approbation automatique des correctifs quelques jours après leur publication, ainsi que des listes facultatives des correctifs approuvés et refusés. Lorsqu'une opération d'application de correctifs est exécutée, Patch Manager compare les correctifs actuellement appliqués à un nœud géré à ceux qui doivent être appliqués conformément aux règles définies dans le référentiel de correctifs. Vous pouvez faire en sorte que Patch Manager n'affiche qu'un rapport sur les correctifs manquants (une opération Scan), ou que Patch Manager installe automatiquement tous les correctifs manquants sur un nœud géré (une opération Scan and install).

Méthodes de fonctionnement d'application de correctifs

Patch Manager propose actuellement quatre méthodes d'exécution des opérations Scan et Scan and install :

  • (Recommandé) Une politique de correctifs configurée dans Quick Setup — Sur la base de l'intégration avec AWS Organizations, une politique de correctifs unique peut définir des calendriers d'application des correctifs et des bases de référence pour les correctifs pour l'ensemble de l'organisation, y compris pour plusieurs comptes Comptes AWS et pour tous Régions AWS ces comptes. Une politique de correctifs peut également cibler uniquement certaines unités d'organisation (UO) d'une organisation. Vous pouvez utiliser une seule politique de correctifs pour effectuer des analyses et des installations selon des planifications différentes. Pour plus d’informations, consultez Configurez l'application de correctifs pour les instances d'une organisation à l'aide d'un Configuration rapide politique en matière de correctifs et Configurations des politiques relatives aux correctifs dans Configuration rapide.

  • Une option de gestion des hôtes configurée dans Quick Setup — Les configurations de gestion des hôtes sont également prises en charge par l'intégration avec AWS Organizations, ce qui permet d'exécuter une opération de correction pour l'ensemble d'une organisation. Toutefois, cette option se limite à rechercher les correctifs manquants à l'aide du référentiel de correctifs par défaut actuel et à fournir des résultats dans des rapports de conformité. Cette méthode de fonctionnement ne permet pas d'installer de correctifs. Pour de plus amples informations, veuillez consulter Configurez la gestion des hôtes Amazon EC2 à l'aide Configuration rapide.

  • Fenêtre de maintenance pour exécuter une tâche de correctif Scan ou Install : une fenêtre de maintenance, que vous configurez dans l’outil Systems Manager appelé Maintenance Windows, peut être configurée pour exécuter différents types de tâches selon une planification que vous définissez. Une tâche de type Run Command peut être utilisée pour exécuter des tâches Scan ou Scan and install sur un ensemble de nœuds gérés de votre choix. Chaque tâche de fenêtre de maintenance ne peut cibler que des nœuds gérés en une seule Compte AWSRégion AWS paire. Pour de plus amples informations, veuillez consulter Tutoriel : créer une fenêtre de maintenance pour l’application de correctifs à l’aide de la console.

  • Opération Corriger maintenant à la demande dans Patch Manager : l’option Corriger maintenant vous permet de contourner les configurations de planification lorsque vous devez appliquer des correctifs à des nœuds gérés le plus rapidement possible. À l'aide de Patch now, vous pouvez spécifier s'il faut exécuter l'opération Scan ou Scan and install et sur quels nœuds gérés l'exécuter. Vous pouvez également choisir d’exécuter les documents Systems Manager (documents SSM) en tant que hooks de cycle de vie lors de l’application de correctifs. Chaque opération Patch now ne peut cibler que des nœuds gérés appartenant à une seule Compte AWSRégion AWS paire. Pour de plus amples informations, veuillez consulter Application de correctifs sur les nœuds gérés à la demande.

Rapports de conformité

Après une opération Scan, vous pouvez utiliser la console Systems Manager pour afficher des informations sur les nœuds gérés qui ne sont pas conformes aux correctifs et sur les correctifs manquants sur chacun de ces nœuds. Vous pouvez également générer des rapports de conformité des correctifs au format .csv, qui sont envoyés à un compartiment Amazon Simple Storage Service (Amazon S3) de votre choix. Vous pouvez générer des rapports ponctuels ou selon un calendrier régulier. Pour un nœud géré individuel, les rapports contiennent les détails de tous les correctifs relatifs à ce nœud. Pour un ensemble de nœuds gérés, le rapport contient seulement un résumé indiquant le nombre de correctifs manquants. Une fois le rapport généré, vous pouvez utiliser un outil tel qu'Amazon Quick pour importer et analyser les données. Pour de plus amples informations, veuillez consulter Utilisation des rapports de conformité des correctifs.

Note

Un élément de conformité généré par l'utilisation d'une politique de correctifs a le type d'exécution PatchPolicy. Un élément de conformité qui n'est pas généré lors d'une opération de politique de correctifs a le type d'exécution Command.

Intégrations

Patch Managers'intègre aux autres éléments suivants Services AWS :

Rubriques