Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

SSMDocumento di comando per l'applicazione di patch: AWS-RunPatchBaseline

AWS Systems Manager supportaAWS-RunPatchBaseline, un documento Systems Manager (SSMdocumento) perPatch Manager, una funzionalità di AWS Systems Manager. Questo SSM documento esegue operazioni di patching sui nodi gestiti sia per gli aggiornamenti relativi alla sicurezza che per altri tipi di aggiornamenti. Quando il documento viene eseguito, utilizza la base di patch specificata come “predefinita” per un tipo di sistema operativo se non è specificato alcun gruppo di patch. In caso contrario, utilizza la base di patch associata al gruppo di patch. Per informazioni sui gruppi di patch, consulta Gruppi di patch.

Puoi utilizzare il documento AWS-RunPatchBaseline per applicare patch ai sistemi operativi e alle applicazioni. (In Windows Server, il supporto delle applicazioni è limitato ai soli aggiornamenti delle applicazioni Microsoft).

Questo documento supporta Linux, macOS, e nodi gestiti Windows Server. Il documento eseguirà le operazioni adeguate per ciascuna piattaforma.

Windows Server

Nei nodi Windows Server gestiti, il AWS-RunPatchBaseline documento scarica e richiama un PowerShell modulo, che a sua volta scarica un'istantanea della linea di base della patch che si applica al nodo gestito. Questa istantanea della patch di base contiene un elenco di patch approvate che viene compilato interrogando la baseline della patch su un server Windows Server Update Services (). WSUS Questo elenco viene passato a Windows UpdateAPI, che controlla il download e l'installazione delle patch approvate in base alle esigenze.

Linux

Nei nodi gestiti Linux, il documento AWS-RunPatchBaseline consente di richiamare un modulo Python, che a sua volta scarica una snapshot della patch di base valida per il nodo gestito. Questa snapshot della patch di base utilizza le regole e gli elenchi specificati delle patch approvate e bloccate per controllare il programma di gestione dei pacchetti adeguato per ciascun tipo di nodo:

• Utilizzano i nodi gestiti Amazon Linux 1, Amazon Linux 2Oracle Linux, CentOS e RHEL 7. YUM Per YUM le operazioni, Patch Manager richiede Python 2.6 una versione successiva supportata (2.6 - 3.10).

• RHELUtilizzo DNF di 8 nodi gestiti. Per DNF le operazioni, Patch Manager richiede una versione supportata di Python 2 or Python 3 (2.6 - 3.10). (Nessuna versione è installata per impostazione predefinita su RHEL 8. È necessario installare l'una o l'altra manualmente).

• Debian Servere Raspberry Pi OS le Ubuntu Server istanze vengono utilizzate. APT Per APT le operazioni, Patch Manager richiede una versione supportata di Python 3 (3.0 - 3.10).

• I nodi gestiti SUSE Linux Enterprise Server utilizzano Zypper. Per le operazioni con Zypper, Patch Manager richiede Python 2.6 o una versione successiva supportata (2.6 - 3.10).

macOS

Nei nodi gestiti macOS, il documento AWS-RunPatchBaseline consente di scaricare e richiamare un modulo Python, che a sua volta scarica una snapshot della patch di base valida per il nodo. Successivamente, un sottoprocesso Python richiama il AWS Command Line Interface (AWS CLI) sul nodo per recuperare le informazioni di installazione e aggiornamento per i gestori di pacchetti specificati e per guidare il gestore di pacchetti appropriato per ogni pacchetto di aggiornamento.

Ogni istantanea è specifica per un gruppo di patch Account AWS, un sistema operativo e un ID di istantanea. Lo snapshot viene fornito tramite un Amazon Simple Storage Service (Amazon URL S3) predefinito, che scade 24 ore dopo la creazione dello snapshot. Dopo la URL scadenza, tuttavia, se desideri applicare lo stesso contenuto di snapshot ad altri nodi gestiti, puoi generare un nuovo Amazon S3 prefirmato URL fino a 3 giorni dopo la creazione dello snapshot. Per farlo, utilizzare il comando get-deployable-patch-snapshot-for-instance.

Dopo avere installato tutti gli aggiornamenti approvati e applicabili e dopo avere eseguito il riavvio, le informazioni sulla conformità delle patch vengono generate in un nodo gestito e trasferite a Patch Manager.

Per informazioni sulla visualizzazione dei dati di conformità delle patch, consulta Informazioni sulla conformità delle patch.

Parametri AWS-RunPatchBaseline

AWS-RunPatchBaseline supporta cinque parametri. Il parametro Operation è obbligatorio. I parametri InstallOverrideList, BaselineOverride e RebootOption sono facoltativi. Snapshot-ID è tecnicamente facoltativo, ma ti consigliamo di specificare un valore personalizzato quando esegui AWS-RunPatchBaseline esternamente alla finestra di manutenzione, Patch Manager può lasciare che Gestione patch fornisca il valore automaticamente quando il documento viene eseguito come parte di un'operazione della finestra di manutenzione.

Nome parametro: Operation

Utilizzo: obbligatorio.

Opzioni: Scan | Install.

Nome parametro: AssociationId

Utilizzo: facoltativo.

AssociationId è l'ID di un'associazione esistente in State Manager, una funzionalità di AWS Systems Manager. È usato da Patch Manager per aggiungere i dati di conformità a un'associazione specificata. Tale associazione è correlata a un'operazione di applicazione delle patch configurata in una policy di patch in Quick Setup.

Se non disponi già di un'associazione da utilizzare, puoi crearla eseguendo il comando create-association.

Nome parametro: Snapshot ID

Utilizzo: facoltativo.

Snapshot IDè un ID univoco (GUID) utilizzato da Patch Manager per garantire che un set di nodi gestiti a cui viene applicata una patch in un'unica operazione disponga tutti dello stesso identico set di patch approvate. Anche se il parametro è definito come facoltativo, la best practice dipende dal fatto che AWS-RunPatchBaseline sia o meno in esecuzione in una finestra di manutenzione, come descritto nella seguente tabella.

Nome parametro: InstallOverrideList

Utilizzo: facoltativo.

UtilizzandoInstallOverrideList, si specifica uno stile di percorso https URL o Amazon S3 URL per un elenco di patch da installare. Questo elenco di installazione delle patch, che conservi in YAML formato, sostituisce le patch specificate dalla linea di base delle patch predefinita corrente. Ciò ti consente di avere un controllo più granulare su quali patch vengono installate nei nodi gestiti.

Il comportamento dell'operazione di applicazione delle patch quando si utilizza il InstallOverrideList parametro differisce tra Linux e nodi gestiti e macOS nodi gestiti. Windows Server Su Linux &macOS, Patch Manager tenta di applicare le patch incluse nell'elenco delle InstallOverrideList patch presenti in qualsiasi repository abilitato sul nodo, indipendentemente dal fatto che le patch corrispondano o meno alle regole di base delle patch. Windows ServerSui nodi, tuttavia, le patch nell'elenco delle InstallOverrideList patch vengono applicate solo se corrispondono anche alle regole di base delle patch.

I report di conformità rispecchiano gli stati delle patch in base a quanto specificato nella base di patch, non ciò che hai specificato in un elenco InstallOverrideList di patch. In altre parole, le operazioni di scansione ignorano il parametro InstallOverrideList. In questo modo si garantisce che i report di conformità rispecchino in modo omogeneo gli stati delle patch in base alla policy anziché in base a quanto era stato approvato per una specifica operazione di applicazione di patch.

Per una descrizione di come potresti utilizzare il parametro InstallOverrideList per applicare diversi tipi di patch a un gruppo di destinazione in diverse pianificazioni delle finestre di manutenzione, pur utilizzando una singola base di patch, consulta Scenario di esempio per l'utilizzo del parametro InstallOverrideList in AWS-RunPatchBaseline o AWS-RunPatchBaselineAssociation.

Formati validi URL

Formati di contenuto validi YAML

I formati utilizzati per specificare le patch nell'elenco variano in base al sistema operativo del tuo nodo gestito. Il formato generale, tuttavia, è quello riportato di seguito:

patches:
    - 
        id: '{patch-d}'
        title: '{patch-title}'
        {additional-fields}:{values}

Sebbene sia possibile fornire campi aggiuntivi nel YAML file, questi vengono ignorati durante le operazioni di patch.

Inoltre, ti consigliamo di verificare che il formato del YAML file sia valido prima di aggiungere o aggiornare l'elenco nel bucket S3. Per ulteriori informazioni sul YAML formato, consulta yaml.org. Per le opzioni degli strumento di convalida, effettua la ricerca sul Web di "convalida formato yaml".

Linux

id

Il campo id è obbligatorio. Utilizzalo per specificare le patch con l'architettura e il nome del pacchetto. Ad esempio: 'dhclient.x86_64'. Negli id, puoi utilizzare i caratteri jolly per indicare più pacchetti. Ad esempio: 'dhcp*' ed 'dhcp*1.*'.

Title

Il campo titolo è facoltativo, ma nei sistemi Linux offre funzionalità di filtraggio aggiuntive. Se utilizzi titolo, il campo deve includere le informazioni sulla versione del pacchetto in uno dei seguenti formati:

YUM/SUSE Linux Enterprise Server (SLES):

{name}.{architecture}:{epoch}:{version}-{release}

APT

{name}.{architecture}:{version}

Per i titoli delle patch di Linux, puoi utilizzare uno o più caratteri jolly in qualsiasi posizione per ampliare il numero di corrispondenze dei pacchetti. Ad esempio: '*32:9.8.2-0.*.rc1.57.amzn1'.

Ad esempio:

• Il pacchetto apt versione 1.2.25 è correntemente installato nel nodo gestito, ma ora è disponibile la versione 1.2.27.

• Puoi aggiungere apt.amd64 versione 1.2.27 all'elenco delle patch. Dipende da apt-utils.amd64 versione 1.2.27, ma apt-utils.amd64 versione 1.2.25 viene specificato nell'elenco.

In questo caso, la versione 1.2.27 di apt verrà bloccata dall'installazione e riportata come «Failed-». NonCompliant

Windows Server

id

Il campo id è obbligatorio. Utilizzatelo per specificare le patch utilizzando Microsoft Knowledge Base IDs (ad esempioKB2736693) e Microsoft Security Bulletin IDs (ad esempio, MS17 -023).

Tutti gli altri campi che intendi fornire in un elenco di patch per Windows sono facoltativi e hanno unicamente scopo informativo. Puoi utilizzare altri campi, come title, classification, severity o qualsiasi altro per fornire informazioni più dettagliate sulle patch specificate.

macOS

id

Il campo id è obbligatorio. Il valore per il campo id può essere fornito utilizzando un formato {package-name}.{package-version} o un formato {package_name}.

Elenchi di patch di esempio

Nome parametro: RebootOption

Utilizzo: facoltativo.

Opzioni: RebootIfNeeded | NoReboot

Default: RebootIfNeeded

File di monitoraggio dell'installazione delle patch: per tenere traccia dell'installazione delle patch, in particolare delle patch installate dopo l'ultimo riavvio del sistema, Systems Manager mantiene un file nel nodo gestito.

Questo file di monitoraggio viene archiviato nei seguenti percorsi nei nodi gestiti:

Nome parametro: BaselineOverride

Utilizzo: facoltativo.

È possibile definire le preferenze per l'applicazione di patch in runtime (fase di esecuzione) utilizzando il parametro BaselineOverride. Questa override di base viene mantenuta come JSON oggetto in un bucket S3. Garantisce che le operazioni di applicazione delle patch utilizzino le baseline fornite che corrispondono al sistema operativo host anziché applicare le norme dalla base di patch predefinita

Per ulteriori informazioni su come utilizzare il parametro BaselineOverride, consulta Utilizzo del BaselineOverride parametro.