Documento di comando SSM per l'applicazione di patch: AWS-RunPatchBaselineAssociation

Come il documento AWS-RunPatchBaseline, AWS-RunPatchBaselineAssociation esegue operazioni di applicazione di patch sulle istanze per aggiornamenti correlati alla sicurezza e di altro tipo. È possibile utilizzare il documento AWS-RunPatchBaselineAssociation per applicare patch ai sistemi operativi e alle applicazioni. (In Windows Server, il supporto delle applicazioni è limitato ai soli aggiornamenti delle applicazioni Microsoft).

Questo documento supporta le istanze Amazon Elastic Compute Cloud (Amazon EC2) per Linux, macOS, e Windows Server. Non supporta nodi non EC2 in un ambiente ibrido e multicloud. Il documento eseguirà le operazioni opportune per ciascuna piattaforma, richiamando un modulo Python su Linux e le istanze macOS e un modulo PowerShell sulle istanze di Windows.

AWS-RunPatchBaselineAssociation, tuttavia, differisce da AWS-RunPatchBaseline nei seguenti modi:

Quando un valore di una coppia di chiavi di tag è stato specificato come parametro per il documento AWS-RunPatchBaselineAssociation, Patch Manager cerca una baseline delle patch personalizzata che corrisponda al tipo di sistema operativo ed è stata contrassegnata con la stessa coppia di chiavi di tag. Questa ricerca non è limitata alla base di patch predefinita corrente specificata o alla base assegnata a un gruppo di patch. Quando non viene trovata alcuna base con i tag specificati, Patch Manager cerca un gruppo di patch, se ne è stato specificato uno nel comando che esegue AWS-RunPatchBaselineAssociation. Quando nessun gruppo di patch viene abbinato, Patch Manager torna alla baseline delle patch predefinita corrente per l'account del sistema operativo.

Quando viene trovata più di una baseline delle patch con i tag specificati nel documentoAWS-RunPatchBaselineAssociation, Patch Manager restituisce un messaggio di errore che indica che solo una baseline delle patch ha la possibilità di essere contrassegnata con quel valore di chiave in modo che l'operazione continui.

Al termine di una scansione, o dopo che tutti gli aggiornamenti approvati e applicabili sono stati installati, con eventuali riavvii eseguiti, le informazioni sulla conformità delle patch sono generate su un'istanza e riportate al servizio Patch Compliance.

Per informazioni sulla visualizzazione dei dati di conformità delle patch, consulta Informazioni sulla conformità delle patch.

Parametri AWS-RunPatchBaselineAssociation

AWS-RunPatchBaselineAssociation supporta quattro parametri. I parametri Operation e AssociationId sono obbligatori. I parametri InstallOverrideList, RebootOption e BaselineTags sono facoltativi.

Nome parametro: Operation

Utilizzo: obbligatorio.

Opzioni: Scan | Install.

Nome parametro: BaselineTags

Utilizzo: facoltativo.

BaselineTags è un un key value di tag univoco, scelto e assegnato a una base di patch personalizzata. È possibile specificare uno o più valori per questo parametro. Sono validi entrambi dei seguenti formati:

Key=tag-key,Values=tag-value

Key=tag-key,Values=tag-value1,tag-value2,tag-value3

Il valore BaselineTags è utilizzato da Patch Manager per assicurare che una serie di istanze a cui vengono applicate le patch in un'unica operazione abbiano la stessa serie di patch approvate. Quando viene eseguita l'operazione di patch, Patch Manager controlla se una base di patch per il tipo di sistema operativo è contrassegnata con la stessa coppia di key value per BaselineTags. Se c'è una corrispondenza, viene utilizzata questa base di patch personalizzata. Se non esiste una corrispondenza, una baseline delle patch viene identificata in base a qualsiasi gruppo di patch specificato per l'operazione di applicazione di patch. Se non ce n'è alcuna, la base di patch predefinita gestita da AWS viene utilizzata per tale sistema operativo.

Requisiti di permesso aggiuntivi

Se utilizzi AWS-RunPatchBaselineAssociation nelle operazioni di applicazione di patch diverse da quelle configurate utilizzando Quick Setup, e desideri utilizzare l'opzione opzionale BaselineTags, è necessario aggiungere le seguenti autorizzazioni al profilo dell'istanza per istanze Amazon Elastic Compute Cloud (Amazon EC2).

{
    "Effect": "Allow",
    "Action": [
        "ssm:DescribePatchBaselines",
        "tag:GetResources"
    ],
    "Resource": "*"
},
{
    "Effect": "Allow",
    "Action": [
        "ssm:GetPatchBaseline",
        "ssm:DescribeEffectivePatchesForPatchBaseline"
    ],
    "Resource": "patch-baseline-arn"
}

Sostituisci patch-baseline-arn con l'Amazon Resource Name (ARN) della base di patch a cui desideri fornire l'accesso, nel formato arn:aws:ssm:us-east-2:123456789012:patchbaseline/pb-0c10e65780EXAMPLE.

Nome parametro: AssociationId

Utilizzo: obbligatorio.

AssociationId è l'ID di un'associazione esistente in State Manager, una funzionalità di AWS Systems Manager. È usato da Patch Manager per aggiungere i dati di conformità a un'associazione specificata. Questa associazione è correlata a un'operazione Scan di patch abilitata in una configurazione di gestione host creata in Quick Setup. Inviando i risultati dell'applicazione di patch come dati di conformità dell'associazione anziché dati di conformità dell'inventario, le informazioni di conformità dell'inventario esistenti per le istanze non vengono sovrascritte dopo un'operazione di applicazione di patch né per altri ID di associazione. Se non disponi già di un'associazione da utilizzare, è possibile crearla eseguendo il comando create-association. Per esempio:

Linux & macOS

aws ssm create-association \
    --name "AWS-RunPatchBaselineAssociation" \
    --association-name "MyPatchHostConfigAssociation" \
    --targets "Key=instanceids,Values=[i-02573cafcfEXAMPLE,i-07782c72faEXAMPLE,i-07782c72faEXAMPLE]" \
    --parameters "Operation=Scan" \
    --schedule-expression "cron(0 */30 * * * ? *)" \
    --sync-compliance "MANUAL" \
    --region us-east-2

Windows Server

aws ssm create-association ^
    --name "AWS-RunPatchBaselineAssociation" ^
    --association-name "MyPatchHostConfigAssociation" ^
    --targets "Key=instanceids,Values=[i-02573cafcfEXAMPLE,i-07782c72faEXAMPLE,i-07782c72faEXAMPLE]" ^
    --parameters "Operation=Scan" ^
    --schedule-expression "cron(0 */30 * * * ? *)" ^
    --sync-compliance "MANUAL" ^
    --region us-east-2

Nome parametro: InstallOverrideList

Utilizzo: facoltativo.

Utilizzando InstallOverrideList, è possibile specificare un URL https o un URL in stile percorso Amazon Simple Storage Service (Amazon S3) per un elenco delle patch da installare. Questo elenco di installazione delle patch, gestito in formato YAML, sostituisce le patch specificate dalla base di patch predefinita corrente. Ciò consente di avere un controllo più granulare su quali patch vengono installate nelle istanze.

Il comportamento dell'applicazione di patch quando si utilizza il parametro InstallOverrideList, differisce tra nodi gestiti da Linux e macOS o da Windows Server. Su Linux e macOS, Patch Manager tenta di applicare le patch incluse nell'elenco InstallOverrideList delle patch presenti in qualsiasi repository abilitato sul nodo, indipendentemente dal fatto che corrispondano o meno alle regole della baseline delle patch. Sui nodi di Windows Server, tuttavia, le patch nell'elenco InstallOverrideList vengono applicate solo quando corrispondono anche alle regole della baseline delle patch.

I report di conformità rispecchiano gli stati delle patch in base a quanto specificato nella base di patch, non ciò che hai specificato in un elenco InstallOverrideList di patch. In altre parole, le operazioni di scansione ignorano il parametro InstallOverrideList. In questo modo si garantisce che i report di conformità rispecchino in modo omogeneo gli stati delle patch in base alla policy anziché in base a quanto era stato approvato per una specifica operazione di applicazione di patch.

Formati URL validi

Formati dei contenuti YAML validi

I formati utilizzati per specificare le patch nell'elenco variano in base al sistema operativo dell'istanza. Il formato generale, tuttavia, è quello riportato di seguito:

patches:
    - 
        id: '{patch-d}'
        title: '{patch-title}'
        {additional-fields}:{values}

Benché sia possibile specificare altri campi nel file YAML, questi verranno ignorati durante le operazioni delle patch.

Inoltre, è consigliabile verificare che il formato del file YAML sia valido prima di aggiungere o aggiornare l'elenco nel bucket S3. Per ulteriori informazioni sul formato YAML, consulta yaml.org. Per le opzioni degli strumento di convalida, effettua la ricerca sul Web di "convalida formato yaml".

Altri campi

Tutti gli altri campi che intendi fornire in un elenco di patch per Linux sono facoltativi e hanno unicamente scopo informativo. È possibile utilizzare altri campi, come classification, severity o qualsiasi altro per fornire informazioni più dettagliate sulle patch specificate.

Elenchi di patch di esempio

Nome parametro: RebootOption

Utilizzo: facoltativo.

Opzioni: RebootIfNeeded | NoReboot

Default: RebootIfNeeded

File di monitoraggio dell'installazione delle patch: per tenere traccia dell'installazione delle patch, in particolare delle patch installate dopo l'ultimo riavvio del sistema, Systems Manager mantiene un file nell'istanza gestita.

Questo file di monitoraggio viene archiviato nei seguenti percorsi nelle istanze gestite: