• AWS Systems Manager CloudWatch Dasbor tidak akan lagi tersedia setelah 30 April 2026. Pelanggan dapat terus menggunakan CloudWatch konsol Amazon untuk melihat, membuat, dan mengelola dasbor Amazon CloudWatch mereka, seperti yang mereka lakukan hari ini. Untuk informasi selengkapnya, lihat dokumentasi CloudWatch Dasbor Amazon.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Dokumen Perintah SSM untuk menambal: AWS-RunPatchBaselineAssociation

Seperti dokumen AWS-RunPatchBaseline, AWS-RunPatchBaselineAssociation melakukan operasi patching pada instans untuk jenis pembaruan terkait keamanan dan jenis pembaruan lainnya. Anda juga dapat menggunakan dokumen AWS-RunPatchBaselineAssociation untuk menerapkan patch untuk sistem operasi dan aplikasi. (Pada Windows Server, support aplikasi dibatasi pada pembaruan untuk aplikasi yang dirilis oleh Microsoft.)

Dokumen ini mendukung instans Amazon Elastic Compute Cloud (Amazon EC2) untuk Linux, macOS, dan Windows Server. Ini tidak mendukung node non-EC2 di lingkungan hybrid dan multic loud. Dokumen akan melakukan tindakan yang sesuai untuk setiap platform, memanggil modul Python di Linux dan macOS instance, dan PowerShell modul pada instance Windows.

Namun, AWS-RunPatchBaselineAssociation berbeda dari AWS-RunPatchBaseline dengan cara berikut:

Jika nilai pasangan kunci tag telah ditentukan sebagai parameter untuk AWS-RunPatchBaselineAssociation dokumen, Patch Manager cari baseline patch kustom yang cocok dengan jenis sistem operasi dan telah ditandai dengan pasangan tag-kunci yang sama. Pencarian ini tidak terbatas pada dasar patch default yang ditetapkan saat ini atau dasar yang ditetapkan ke grup patch. Jika tidak ada garis dasar yang ditemukan dengan tag yang ditentukan, Patch Manager selanjutnya mencari grup patch, jika ada yang ditentukan dalam perintah yang berjalanAWS-RunPatchBaselineAssociation. Jika tidak ada grup patch yang cocokPatch Manager, kembali ke baseline patch default saat ini untuk akun sistem operasi.

Jika lebih dari satu baseline patch ditemukan dengan tag yang ditentukan dalam AWS-RunPatchBaselineAssociation dokumen, Patch Manager mengembalikan pesan kesalahan yang menunjukkan bahwa hanya satu baseline patch yang dapat ditandai dengan pasangan nilai kunci tersebut agar operasi dapat dilanjutkan.

Setelah pemindaian selesai, atau setelah semua pembaruan yang disetujui dan berlaku telah diinstal, dengan reboot dilakukan seperlunya, informasi kepatuhan patch dihasilkan pada sebuah instans dan dilaporkan kembali ke layanan Patch Manager.

Untuk informasi tentang melihat data kepatuhan patch, lihat Tentang kepatuhan patch.

Parameter AWS-RunPatchBaselineAssociation

AWS-RunPatchBaselineAssociation support lima parameter. Parameter Operation dan AssociationId diperlukan. Parameter InstallOverrideList, RebootOption, dan BaselineTags bersifat opsional.

Nama parameter: Operasi

Penggunaan: Wajib.

Opsi: Scan | Install.

Nama parameter: BaselineTags

Penggunaan: Opsional.

BaselineTags adalah pasangan nilai kunci tag unik yang Anda pilih dan tetapkan ke dasar patch kustom individu. Anda dapat menentukan satu atau lebih nilai untuk parameter ini. Kedua format berikut ini valid:

Key=tag-key,Values=tag-value

Key=tag-key,Values=tag-value1,tag-value2,tag-value3

BaselineTagsNilai ini digunakan Patch Manager untuk memastikan bahwa satu set instance yang ditambal dalam satu operasi semuanya memiliki kumpulan patch yang disetujui yang sama persis. Saat operasi tambalan berjalan, periksa Patch Manager untuk melihat apakah baseline patch untuk jenis sistem operasi diberi tag dengan pasangan nilai kunci yang sama dengan yang Anda tentukan. BaselineTags Jika ada kecocokan, dasar patch kustom ini digunakan. Jika tidak ada kecocokan, dasar patch diidentifikasi menurut grup patch yang ditentukan untuk operasi patching tersebut. Jika tidak ada, baseline patch AWS standar terkelola untuk sistem operasi tersebut digunakan.

Persyaratan izin tambahan

Jika Anda menggunakan AWS-RunPatchBaselineAssociation operasi tambalan selain yang diatur menggunakanQuick Setup, dan Anda ingin menggunakan BaselineTags parameter opsional, Anda harus menambahkan izin berikut ke profil instans untuk instans Amazon Elastic Compute Cloud (Amazon EC2).

{
    "Effect": "Allow",
    "Action": [
        "ssm:DescribePatchBaselines",
        "tag:GetResources"
    ],
    "Resource": "*"
},
{
    "Effect": "Allow",
    "Action": [
        "ssm:GetPatchBaseline",
        "ssm:DescribeEffectivePatchesForPatchBaseline"
    ],
    "Resource": "patch-baseline-arn"
}

Ganti patch-baseline-arn dengan Nama Sumber Daya Amazon (ARN) dari baseline patch yang ingin Anda berikan akses, dalam formatarn:aws:ssm:us-east-2:123456789012:patchbaseline/pb-0c10e65780EXAMPLE.

Nama parameter: AssociationId

Penggunaan: Wajib.

AssociationIdadalah ID dari asosiasi yang ada diState Manager. Ini digunakan oleh Patch Manager untuk menambahkan data kepatuhan ke asosiasi tertentu. Asosiasi ini terkait dengan Scan operasi patch yang diaktifkan dalam konfigurasi Manajemen Host yang dibuat di Quick Setup. Dengan mengirimkan hasil patching sebagai data kepatuhan asosiasi, bukan data kepatuhan inventaris, informasi kepatuhan inventaris yang ada untuk instans Anda tidak ditimpa setelah operasi patching, atau untuk ID asosiasi lainnya. Jika Anda belum memiliki asosiasi yang ingin Anda gunakan, Anda dapat membuatnya dengan menjalankan create-association perintah. Contoh:

Linux & macOS

aws ssm create-association \
    --name "AWS-RunPatchBaselineAssociation" \
    --association-name "MyPatchHostConfigAssociation" \
    --targets "Key=instanceids,Values=[i-02573cafcfEXAMPLE,i-07782c72faEXAMPLE,i-07782c72faEXAMPLE]" \
    --parameters "Operation=Scan" \
    --schedule-expression "cron(0 */30 * * * ? *)" \
    --sync-compliance "MANUAL" \
    --region us-east-2

Windows Server

aws ssm create-association ^
    --name "AWS-RunPatchBaselineAssociation" ^
    --association-name "MyPatchHostConfigAssociation" ^
    --targets "Key=instanceids,Values=[i-02573cafcfEXAMPLE,i-07782c72faEXAMPLE,i-07782c72faEXAMPLE]" ^
    --parameters "Operation=Scan" ^
    --schedule-expression "cron(0 */30 * * * ? *)" ^
    --sync-compliance "MANUAL" ^
    --region us-east-2

Nama parameter: InstallOverrideList

Penggunaan: Opsional.

Dengan menggunakan InstallOverrideList, Anda menentukan URL https atau URL ala jalur Amazon Simple Storage Service (Amazon S3) ke daftar patch yang akan diinstal. Daftar instalasi patch ini, yang Anda pertahankan dalam format YAML, menggantikan patch yang ditentukan oleh dasar patch default saat ini. Hal ini memberikan Anda kendali yang lebih terperinci atas patch apa yang diinstal pada instans Anda.

Perilaku operasi tambalan saat menggunakan InstallOverrideList parameter berbeda antara Linux & node terkel macOS ola dan node terkel Windows Server ola. Di Linux &macOS, Patch Manager mencoba menerapkan patch yang disertakan dalam daftar InstallOverrideList patch yang ada di repositori apa pun yang diaktifkan pada node, apakah patch tersebut cocok dengan aturan dasar patch atau tidak. Namun, pada Windows Server node, patch dalam daftar InstallOverrideList patch diterapkan hanya jika mereka juga cocok dengan aturan dasar patch.

Pada Linux & macOS node terkelola, patch yang InstallOverrideList ditentukan di dalam diterapkan hanya sebagai pembaruan untuk paket yang sudah diinstal pada node. Jika patch InstallOverrideList termasuk untuk paket yang saat ini tidak diinstal pada node, patch tersebut tidak diinstal.

Sadarilah bahwa laporan kepatuhan mencerminkan status patch berdasarkan apa yang ditentukan dalam dasar patch, bukan apa yang Anda tentukan dalam daftar patch InstallOverrideList. Dengan kata lain, operasi Pemindaian mengabaikan parameter InstallOverrideList. Hal ini untuk memastikan bahwa laporan kepatuhan secara konsisten mencerminkan keadaan patch berdasarkan kebijakan daripada apa yang disetujui untuk operasi patching tertentu.

Format URL yang valid

Format konten YAML yang valid

Format yang Anda gunakan untuk menentukan patch dalam daftar Anda tergantung pada sistem operasi instans Anda. Namun, format yang umum adalah seperti berikut ini:

patches:
    - 
        id: '{patch-d}'
        title: '{patch-title}'
        {additional-fields}:{values}

Meskipun Anda dapat memberikan bidang tambahan dalam file YAML Anda, mereka diabaikan selama operasi patch.

Selain itu, kami merekomendasikan untuk memverifikasi bahwa format file YAML Anda valid sebelum menambahkan atau memperbarui daftar di bucket S3 Anda. Untuk informasi lebih lanjut tentang format YAML, lihat yaml.org. Untuk pilihan alat validasi, lakukan pencarian web untuk "validator format yaml".

Bidang Lainnya

Bidang lain yang ingin Anda berikan dalam daftar patch untuk Linux bersifat opsional dan hanya digunakan sebagai informasi Anda sendiri. Anda dapat menggunakan bidang tambahan seperti klasifikasi, tingkat kepelikan, atau yang lainnya untuk memberikan informasi lebih detail tentang patch yang ditentukan.

Contoh daftar patch

Nama parameter: RebootOption

Penggunaan: Opsional.

Pilihan: RebootIfNeeded | NoReboot

Default: RebootIfNeeded

File pelacakan instalasi patch: Untuk melacak instalasi patch, terutama patch yang telah diinstal sejak reboot sistem terakhir kali, Systems Manager mempertahankan file pada instans terkelola.

file pelacakan ini disimpan di lokasi-lokasi berikut ini pada instans terkelola Anda: