Configurer l'application de correctifs pour les instances d'une organisation à l'aide de Quick Setup

Pour créer une politique de correctifs avec Quick Setup

1. Ouvrez la AWS Systems Manager console à l'adresse https://console.aws.amazon.com/systems-manager/.

   Si vous configurez l'application de correctifs pour une organisation, assurez-vous d'être connecté au compte de gestion de l'organisation. Vous ne pouvez pas configurer la politique à l'aide du compte d'administrateur délégué ou d'un compte membre.

2. Dans le volet de navigation, choisissez Quick Setup.

3. Sur la carte Patch Manager (Gestionnaire de correctifs), choisissez Create (Créer).

   Astuce

   Si vous avez déjà une ou plusieurs configurations dans votre compte, choisissez d'abord l'onglet Bibliothèque ou le bouton Créer dans la section Configurations pour afficher les cartes.

4. Pour Configuration name (Nom de configuration), saisissez un nom permettant d'identifier la politique de correctifs.

5. Dans la section Scanning and installation (Analyse et installation), sous Patch operation (Opération de correctif), choisissez si la politique de correctifs va Scan (Analyser) les cibles spécifiées ou Scan and install (Scanner et installer) des correctifs sur les cibles spécifiées.

6. Sous Scanning schedule (Planification d'analyse), choisissez Use recommended defaults (Utiliser les valeurs par défaut recommandées) ou Custom scan schedule (Planification d'analyse personnalisée). La planification d'analyse par défaut analysera vos cibles tous les jours à 1 h 00, UTC.

   • Si vous choisissez Custom scan schedule (Planification d'analyse personnalisée), sélectionnez la Scanning frequency (Fréquence d'analyse).

   • Si vous choisissez Daily (Quotidien), saisissez l'heure, au format UTC, à laquelle vous souhaitez analyser vos cibles.

   • Si vous choisissez Custom CRON Expression (Expression CRON personnalisée), saisissez la planification en tant que CRON expression (Expression CRON). Pour plus d'informations sur le formatage des expressions CRON pour Systems Manager, consultez la rubrique Référence : Expressions Cron et Rate pour Systems Manager.

     Sélectionnez également Wait to scan targets until first CRON interval (Attendre le premier intervalle CRON pour analyser les cibles). Par défaut, Patch Manager scanne immédiatement les nœuds lorsqu'ils deviennent des cibles.

7. Si vous avez choisi Scan and install (Analyser et installer), choisissez la Installation schedule (Planification d'installation) à utiliser lors de l'installation de correctifs sur les cibles spécifiées. Si vous choisissez Utiliser les valeurs par défaut recommandées, Patch Manager installera des correctifs hebdomadaires à 2 h 00 UTC le dimanche.

   • Si vous choisissez Custom install schedule (Planification d'installation personnalisée), sélectionnez la Installation frequency (Fréquence d'installation).

   • Si vous choisissez Daily (Quotidien), saisissez l'heure, au format UTC, à laquelle vous souhaitez installer des mises à jour sur vos cibles.

   • Si vous choisissez Custom CRON Expression (Expression CRON personnalisée), saisissez la planification en tant que CRON expression (Expression CRON). Pour plus d'informations sur le formatage des expressions CRON pour Systems Manager, consultez la rubrique Référence : Expressions Cron et Rate pour Systems Manager.

     Désactivez également Wait to install updates until first CRON interval (Attendre le premier intervalle CRON pour installer les mises à jour) pour installer immédiatement les mises à jour sur les nœuds lorsqu'ils deviennent des cibles. Par défaut, Patch Manager attend le premier intervalle CRON pour installer les mises à jour.

   • Choisissez Reboot if needed (Redémarrer si nécessaire) pour redémarrer les nœuds après l'installation du correctif. Le redémarrage après l'installation est recommandé, mais peut entraîner des problèmes de disponibilité.

8. Dans la section Patch baseline (Référentiel de correctifs), choisissez les référentiels de correctifs à utiliser lors de l'analyse et de la mise à jour de vos cibles.

   Par défaut, Patch Manager utilise les lignes de base de correctifs prédéfinies. Pour de plus amples informations, veuillez consulter Référentiels prédéfinis.

   Si vous choisissez une ligne de base de correctifs personnalisée, modifiez la ligne de base de correctifs sélectionnée pour les systèmes d'exploitation pour lesquels vous ne souhaitez pas utiliser une ligne de base de AWS correctifs prédéfinie.

   Note

   Si vous utilisez des points de terminaison d'un VPC pour vous connecter à Systems Manager, assurez-vous que votre stratégie de point de terminaison d'un VPC pour S3 autorise l'accès à ce compartiment S3. Pour de plus amples informations, veuillez consulter Autorisations pour le compartiment S3 de la politique de correctifs.

   Important

   Si vous utilisez une configuration de politique de correctifs dans Quick Setup, les mises à jour que vous apportez aux lignes de base de correctifs personnalisées sont synchronisées avec Quick Setup une fois par heure.

   Si une ligne de base de correctifs personnalisée référencée dans une politique de correctifs est supprimée, une bannière s'affiche sur le Quick Setup Page de détails de configuration pour votre politique de correctifs. La bannière vous informe que la politique de correctifs fait référence à un référentiel de correctifs qui n'existe plus et que les opérations d'application de correctifs suivantes échoueront. Dans ce cas, revenez au Quick Setup Sur la page Configurations, sélectionnez le Patch Manager configuration, puis choisissez Actions, Modifier la configuration. Le nom du référentiel de correctifs supprimé est surligné et vous devez sélectionner un nouveau référentiel de correctifs pour le système d'exploitation concerné.

9. (Facultatif) Dans la section Patching log storage (Application de correctifs au stockage des journaux), sélectionnez Write output to S3 bucket (Écrire la sortie dans le compartiment S3) pour stocker les journaux des opérations d'application de correctifs dans un compartiment Amazon S3.

   Note

   Si vous configurez une politique de correctifs pour une organisation, le compte de gestion de votre organisation doit disposer au moins d'autorisations en lecture seule pour ce compartiment. Toutes les unités organisationnelles incluses dans la politique doivent disposer d'un accès en écriture au compartiment. Pour plus d'informations sur l'octroi de l'accès aux compartiments à différents comptes, consultez l'Exemple 2 : propriétaire d'un compartiment accordant à ses utilisateurs des autorisations entre comptes sur un compartiment dans le Guide de l'utilisateur Amazon Simple Storage Service.

10. Choisissez Parcourir S3 pour sélectionner le compartiment dans lequel vous souhaitez stocker les sorties de journaux des correctifs. Le compte de gestion doit avoir un accès en lecture à ce compartiment. Tous les comptes et cibles non liés à la gestion configurés dans la section Targets (Cibles) doivent disposer d'un accès en écriture au compartiment S3 fourni à des fins de journalisation.

11. Dans la section Targets (Cibles), choisissez l'une des options suivantes pour identifier les comptes et les régions concernés par cette opération de politique de correctifs.

    Note

    Si vous travaillez avec un seul compte, les options permettant de travailler avec les organisations et les unités organisationnelles (OUs) ne sont pas disponibles. Vous pouvez choisir d’appliquer cette configuration à toutes les Régions AWS de votre compte ou uniquement aux régions que vous sélectionnez.

    Si vous avez déjà indiqué une région d'origine pour votre compte et que vous n'êtes pas encore connecté à la nouvelle Quick Setup expérience console, vous ne pouvez pas exclure cette région de la configuration de Targets.

    • Entire organization (Organisation entière) : tous les comptes et toutes les régions de votre organisation.

    • Personnalisé : uniquement les régions OUs et que vous spécifiez.

      • Dans la OUs section Cible, sélectionnez l' OUs endroit où vous souhaitez configurer la politique de correctifs.

      • Dans la section Target Regions (Régions cibles), sélectionnez les régions dans lesquelles vous souhaitez appliquer la politique de correctifs.

    • Current account (Compte actuel) : seules les régions que vous spécifiez dans le compte auquel vous êtes actuellement connecté sont ciblées. Sélectionnez l'une des méthodes suivantes :

      • Current Region (Région actuelle) : seuls les nœuds gérés de la région sélectionnée dans la console sont ciblés.

      • Choose Regions (Choisir les régions) : choisissez les régions individuelles auxquelles appliquer la politique de correctifs.

12. Pour Choose how you want to target instances (Choisissez la manière dont vous souhaitez cibler les instances), choisissez l'une des options suivantes pour identifier les nœuds auxquels appliquer des correctifs :

    • Tous les nœuds gérés : tous les nœuds gérés dans les régions OUs et les régions sélectionnées.

    • Specify the resource group (Spécifier le groupe de ressources) : choisissez le nom d'un groupe de ressources dans la liste pour cibler les ressources qui lui sont associées.

      Note

      Actuellement, la sélection de groupes de ressources n'est prise en charge que pour les configurations à compte unique. Pour appliquer des correctifs aux ressources de plusieurs comptes, choisissez une autre option de ciblage.

    • Specify a node tag (Spécifier une balise de nœud) : seuls les nœuds balisés avec la paire clé-valeur que vous spécifiez sont corrigés dans tous les comptes et régions que vous avez ciblés.

    • Manual (Manuel) : choisissez manuellement les nœuds gérés parmi tous les comptes et régions spécifiés dans une liste.

      Note

      Cette option ne prend actuellement en charge que EC2 les instances Amazon.

13. Dans la section Rate control (Contrôle de taux), procédez comme suit :

    • Pour Concurrency (Simultanéité), saisissez un nombre ou un pourcentage de nœuds sur lesquels exécuter la politique de correctifs en même temps.

    • Dans Error threshold (Seuil d'erreur), saisissez le nombre ou le pourcentage de nœuds susceptibles de rencontrer une erreur avant que la politique de correctifs n'échoue.

14. (Facultatif) Sélectionnez Ajouter les politiques IAM requises aux profils d'instance existants affectés à vos instances.

    Cette sélection applique les politiques IAM créées par ce Quick Setup configuration aux nœuds auxquels un profil d'instance est déjà attaché (EC2 instances) ou un rôle de service (nœuds activés de manière hybride). Nous vous recommandons de sélectionner cette option lorsque vos nœuds gérés sont déjà associés à un profil d'instance ou à une fonction du service, mais que ce dernier ou cette dernière ne contient pas toutes les autorisations requises pour travailler avec Systems Manager.

    Votre sélection s'applique aux nœuds gérés créés ultérieurement dans les comptes et les régions auxquels cette configuration de politique de correctifs s'applique.

    Important

    Si vous ne cochez pas cette case mais que vous souhaitez Quick Setup pour appliquer des correctifs à vos nœuds gérés à l'aide de cette politique de correctifs, vous devez effectuer les opérations suivantes :

    Ajoutez des autorisations à votre profil d'instance IAM ou à votre Fonction du service IAM pour accéder au compartiment S3 créé pour votre politique de correctifs

    Balisez votre profil d'instance IAM ou votre fonction du service IAM avec une paire clé-valeur spécifique.

    Pour plus d’informations, veuillez consulter Cas 1 : utilisez votre propre profil d'instance ou rôle de service avec vos nœuds gérés au lieu d'un profil fourni par Quick Setup.

15. Sélectionnez Create (Créer).

    Pour vérifier l'état des correctifs après la création de la politique de correctifs, vous pouvez accéder à la configuration depuis le Quick Setuppage.