Gruppi di patch

È possibile utilizzare un gruppo di patch per associare i nodi gestiti a una patch di base specifica, Patch Manager, una funzionalità di AWS Systems Manager. I gruppi di patch garantiscono che vengano distribuite le patch appropriate, in base alle regole delle basi di patch associate, al set di nodi corretto. Inoltre aiutano a non distribuire le patch non adeguatamente verificate. Ad esempio, è possibile creare gruppi di patch per ambienti diversi (di sviluppo, di test e di produzione) e registrare ciascun gruppo con una base di patch appropriata.

Quando si esegue AWS-RunPatchBaseline, è possibile specificare come target i nodi gestiti utilizzando il relativo ID nodo o i tag. SSM Agent e Patch Manager quindi valutano quale patch di base utilizzare in base al valore del gruppo di patch aggiunto al nodo gestito.

È possibile creare un gruppo di patch utilizzando i tag Amazon Elastic Compute Cloud (Amazon EC2). A differenza di altri scenari di tagging di Systems Manager, un gruppo di patch deve essere definito con la chiave del tag Patch Group o PatchGroup. La chiave prevede la distinzione fra lettere maiuscole e minuscole. È possibile specificare un qualsiasi valore per identificare e indirizzare le risorse in quel gruppo, ad esempio "server web" o "US-EAST-PROD", ma la chiave deve essere Patch Group o PatchGroup.

Dopo avere creato un gruppo di patch e i nodi gestiti dei tag, è possibile registrare il gruppo di patch in una patch di base. La registrazione del gruppo di patch con una patch di base garantisce che i nodi all'interno del gruppo di patch utilizzino le regole definite nella base di patch associata.

Per ulteriori informazioni su come creare un gruppo di patch e associarlo a una base di patch, consulta Creazione e gestione di gruppi di patch e Aggiungere un gruppo di patch a una base di patch.

Per visualizzare un esempio di creazione di una base di patch e di gruppi di patch con AWS Command Line Interface (AWS CLI), consulta Tutorial: applicazione di patch in un ambiente server con AWS CLI. Per ulteriori informazioni sui tag Amazon EC2, consulta la sezione relativa al Tagging delle risorse Amazon EC2 nella Guida per l'utente di Amazon EC2.

Come funziona

Quando il sistema esegue l'attività di applicazione di una patch di base a un nodo gestito, SSM Agent verifica che per il nodo sia definito un valore del gruppo di patch. Se il nodo è assegnato a un gruppo di patch, Patch Manager verifica quale patch di base è stata registrata per il gruppo. Se per il gruppo viene rilevata una base di patch, Patch Manager comunica a SSM Agent di utilizzare la base di patch associata. Se un nodo non è configurato per un gruppo di patch, Patch Manager comunica automaticamente a SSM Agent di utilizzare la patch di base di default attualmente configurata.

Diagramma 1: esempio generale del flusso di elaborazione delle operazioni di applicazione di patch

L'immagine seguente mostra un esempio generale dei processi eseguiti da Systems Manager quando invia un'attività Run Command al parco di server per applicare le patch utilizzando Patch Manager. Questi processi determinano quali patch di base utilizzare nelle operazioni di patch. (Un processo analogo viene utilizzato quando una finestra di manutenzione viene configurata per l'invio di un comando di applicazione patch utilizzando Patch Manager.)

L'intero processo è spiegato sotto l'illustrazione.

In questo esempio abbiamo tre gruppi di istanze EC2 di Windows Server con i seguenti tag applicati:

Per questo esempio abbiamo anche le due basi di patch Windows Server seguenti:

Il processo generale per la scansione o l'installazione di patch con Run Command, una funzionalità di AWS Systems Manager, e Patch Manager è il seguente: