Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

SSMDokumen perintah untuk menambal: AWS-RunPatchBaselineAssociation

Seperti dokumen AWS-RunPatchBaseline, AWS-RunPatchBaselineAssociation melakukan operasi patching pada instans untuk jenis pembaruan terkait keamanan dan jenis pembaruan lainnya. Anda juga dapat menggunakan dokumen AWS-RunPatchBaselineAssociation untuk menerapkan patch untuk sistem operasi dan aplikasi. (Pada Windows Server, dukungan aplikasi terbatas pada pembaruan untuk aplikasi yang dirilis oleh Microsoft.)

Dokumen ini mendukung instans Amazon Elastic Compute Cloud (AmazonEC2) untuk Linux, macOS, dan Windows Server. Ini tidak mendukung EC2 non-node dalam lingkungan hybrid dan multicloud. Dokumen akan melakukan tindakan yang sesuai untuk setiap platform, memanggil modul Python di Linux dan macOS instance, dan PowerShell modul pada instance Windows.

Namun, AWS-RunPatchBaselineAssociation berbeda dari AWS-RunPatchBaseline dengan cara berikut:

Jika nilai tag key pair telah ditetapkan sebagai parameter untuk AWS-RunPatchBaselineAssociation dokumen, Patch Manager mencari baseline patch khusus yang cocok dengan jenis sistem operasi dan telah ditandai dengan pasangan tag-key yang sama. Pencarian ini tidak terbatas pada dasar patch default yang ditetapkan saat ini atau dasar yang ditetapkan ke grup patch. Jika tidak ada baseline yang ditemukan dengan tag yang ditentukan, Patch Manager berikutnya mencari grup tambalan, jika ada yang ditentukan dalam perintah yang berjalanAWS-RunPatchBaselineAssociation. Jika tidak ada grup tambalan yang cocok, Patch Manager kembali ke baseline patch default saat ini untuk akun sistem operasi.

Jika lebih dari satu baseline patch ditemukan dengan tag yang ditentukan dalam dokumen, AWS-RunPatchBaselineAssociation Patch Manager mengembalikan pesan kesalahan yang menunjukkan bahwa hanya satu baseline patch yang dapat ditandai dengan pasangan kunci-nilai tersebut agar operasi dapat dilanjutkan.

Setelah pemindaian selesai, atau setelah semua pembaruan yang disetujui dan berlaku telah diinstal, dengan reboot dilakukan seperlunya, informasi kepatuhan patch dihasilkan pada sebuah instans dan dilaporkan kembali ke layanan Patch Manager.

Untuk informasi tentang melihat data kepatuhan patch, lihat Tentang kepatuhan patch.

Parameter AWS-RunPatchBaselineAssociation

AWS-RunPatchBaselineAssociation mendukung empat parameter. Parameter Operation dan AssociationId diperlukan. Parameter InstallOverrideList, RebootOption, dan BaselineTags bersifat opsional.

Nama parameter: Operation

Penggunaan: Wajib.

Opsi: Scan | Install.

Nama parameter: BaselineTags

Penggunaan: Opsional.

BaselineTags adalah pasangan nilai kunci tag unik yang Anda pilih dan tetapkan ke dasar patch kustom individu. Anda dapat menentukan satu atau lebih nilai untuk parameter ini. Kedua format berikut ini valid:

Key=tag-key,Values=tag-value

Key=tag-key,Values=tag-value1,tag-value2,tag-value3

BaselineTagsNilai tersebut digunakan oleh Patch Manager untuk memastikan bahwa satu set instance yang ditambal dalam satu operasi semuanya memiliki set patch yang disetujui yang sama persis. Saat operasi penambalan berjalan, Patch Manager memeriksa untuk melihat apakah garis dasar tambalan untuk jenis sistem operasi ditandai dengan pasangan nilai kunci yang sama yang Anda tentukan. BaselineTags Jika ada kecocokan, dasar patch kustom ini digunakan. Jika tidak ada kecocokan, dasar patch diidentifikasi menurut grup patch yang ditentukan untuk operasi patching tersebut. Jika tidak ada, baseline patch standar AWS terkelola untuk sistem operasi itu digunakan.

Persyaratan izin tambahan

Jika Anda menggunakan AWS-RunPatchBaselineAssociation dalam operasi penambalan selain yang disiapkan menggunakan Quick Setup, dan Anda ingin menggunakan BaselineTags parameter opsional, Anda harus menambahkan izin berikut ke profil instans untuk instans Amazon Elastic Compute Cloud EC2 (Amazon).

{
    "Effect": "Allow",
    "Action": [
        "ssm:DescribePatchBaselines",
        "tag:GetResources"
    ],
    "Resource": "*"
},
{
    "Effect": "Allow",
    "Action": [
        "ssm:GetPatchBaseline",
        "ssm:DescribeEffectivePatchesForPatchBaseline"
    ],
    "Resource": "patch-baseline-arn"
}

Ganti patch-baseline-arn dengan Amazon Resource Name (ARN) dari baseline patch yang ingin Anda berikan akses, dalam format. arn:aws:ssm:us-east-2:123456789012:patchbaseline/pb-0c10e65780EXAMPLE

Nama parameter: AssociationId

Penggunaan: Wajib.

AssociationIdadalah ID dari asosiasi yang ada di State Manager, kemampuan AWS Systems Manager. Ini digunakan oleh Patch Manager untuk menambahkan data kepatuhan ke asosiasi tertentu. Asosiasi ini terkait dengan Scan operasi tambalan yang diaktifkan dalam konfigurasi Manajemen Host yang dibuat di Quick Setup. Dengan mengirimkan hasil penambalan sebagai data kepatuhan asosiasi alih-alih data kepatuhan inventaris, informasi kepatuhan inventaris yang ada untuk instans Anda tidak ditimpa setelah operasi penambalan, atau untuk asosiasi lainnya. IDs Jika Anda belum memiliki asosiasi yang ingin Anda gunakan, Anda dapat membuatnya dengan menjalankan create-associationperintah. Sebagai contoh:

Linux & macOS

aws ssm create-association \
    --name "AWS-RunPatchBaselineAssociation" \
    --association-name "MyPatchHostConfigAssociation" \
    --targets "Key=instanceids,Values=[i-02573cafcfEXAMPLE,i-07782c72faEXAMPLE,i-07782c72faEXAMPLE]" \
    --parameters "Operation=Scan" \
    --schedule-expression "cron(0 */30 * * * ? *)" \
    --sync-compliance "MANUAL" \
    --region us-east-2

Windows Server

aws ssm create-association ^
    --name "AWS-RunPatchBaselineAssociation" ^
    --association-name "MyPatchHostConfigAssociation" ^
    --targets "Key=instanceids,Values=[i-02573cafcfEXAMPLE,i-07782c72faEXAMPLE,i-07782c72faEXAMPLE]" ^
    --parameters "Operation=Scan" ^
    --schedule-expression "cron(0 */30 * * * ? *)" ^
    --sync-compliance "MANUAL" ^
    --region us-east-2

Nama parameter: InstallOverrideList

Penggunaan: Opsional.

Dengan menggunakanInstallOverrideList, Anda menentukan https URL atau Amazon Simple Storage Service (Amazon S3) URL gaya jalur ke daftar tambalan yang akan diinstal. Daftar instalasi patch ini, yang Anda pertahankan dalam YAML format, mengesampingkan tambalan yang ditentukan oleh baseline patch default saat ini. Hal ini memberikan Anda kendali yang lebih terperinci atas patch apa yang diinstal pada instans Anda.

Perilaku operasi patching saat menggunakan InstallOverrideList parameter berbeda antara Linux & macOS node terkelola dan Windows Server node terkelola. Di Linux & macOS, Patch Manager mencoba menerapkan tambalan yang disertakan dalam daftar InstallOverrideList tambalan yang ada di repositori apa pun yang diaktifkan pada node, apakah tambalan cocok dengan aturan dasar tambalan atau tidak. Pada Windows Server node, bagaimanapun, tambalan dalam daftar InstallOverrideList tambalan diterapkan hanya jika mereka juga cocok dengan aturan dasar patch.

Sadarilah bahwa laporan kepatuhan mencerminkan status patch berdasarkan apa yang ditentukan dalam dasar patch, bukan apa yang Anda tentukan dalam daftar patch InstallOverrideList. Dengan kata lain, operasi Pemindaian mengabaikan parameter InstallOverrideList. Hal ini untuk memastikan bahwa laporan kepatuhan secara konsisten mencerminkan keadaan patch berdasarkan kebijakan daripada apa yang disetujui untuk operasi patching tertentu.

URLFormat yang valid

Format YAML konten yang valid

Format yang Anda gunakan untuk menentukan patch dalam daftar Anda tergantung pada sistem operasi instans Anda. Namun, format yang umum adalah seperti berikut ini:

patches:
    - 
        id: '{patch-d}'
        title: '{patch-title}'
        {additional-fields}:{values}

Meskipun Anda dapat memberikan bidang tambahan dalam YAML file Anda, mereka diabaikan selama operasi tambalan.

Selain itu, kami sarankan untuk memverifikasi bahwa format YAML file Anda valid sebelum menambahkan atau memperbarui daftar di bucket S3 Anda. Untuk informasi selengkapnya tentang YAML format, lihat yaml.org. Untuk pilihan alat validasi, lakukan pencarian web untuk "validator format yaml".

Bidang Lainnya

Bidang lain yang ingin Anda berikan dalam daftar patch untuk Linux bersifat opsional dan hanya digunakan sebagai informasi Anda sendiri. Anda dapat menggunakan bidang tambahan seperti klasifikasi, tingkat kepelikan, atau yang lainnya untuk memberikan informasi lebih detail tentang patch yang ditentukan.

Contoh daftar tambalan

Nama parameter: RebootOption

Penggunaan: Opsional.

Pilihan: RebootIfNeeded | NoReboot

Default: RebootIfNeeded

File pelacakan instalasi patch: Untuk melacak instalasi patch, terutama patch yang telah diinstal sejak reboot sistem terakhir kali, Systems Manager mempertahankan file pada instans terkelola.

file pelacakan ini disimpan di lokasi-lokasi berikut ini pada instans terkelola Anda: