.csv パッチコンプライアンスレポートの生成

AWS Systems Manager コンソールを使用して、任意の Amazon Simple Storage Service (Amazon S3) バケットに .csv ファイルとして保存されるパッチコンプライアンスレポートを生成できます。オンデマンドレポートを 1 つだけ生成することも、レポートを自動的に生成するスケジュールを指定することもできます。

レポートは、単一のマネージドノードに対して、または選択した AWS アカウント および AWS リージョン のすべてのマネージドノードに対して生成することができます。単一のノードの場合、レポートには、非準拠のノードに関連するパッチの ID など、包括的な詳細が含まれます。すべてのマネージドノードに関するレポートでは、非準拠ノードのパッチ概要情報と数のみが表示されます。

レポートが生成されたら、Amazon QuickSight などのツールを使用してデータをインポートおよび分析できます。Amazon QuickSight は、インタラクティブなビジュアル環境で情報を探索および解釈するために使用できるビジネスインテリジェンス (BI) サービスです。詳細については、「Amazon QuickSight ユーザーガイド」を参照してください。

レポートが生成されたときに通知を送信するために使用する Amazon Simple Notification Service (Amazon SNS) トピックを指定することもできます。

パッチコンプライアンスレポートを生成するためのサービスロール

レポートを初めて生成する場合、Systems Manager は、S3 へのエクスポートプロセスに使用する AWS-SystemsManager-PatchSummaryExportRole という名前のオートメーション仮定ロールを作成します。

{
    "Effect": "Allow",
    "Action": [
        "kms:GenerateDataKey"
    ],
    "Resource": "role-arn"
}

スケジュールに基づいてレポートを初めて生成する際に、Systems Manager は、エクスポートプロセスに使用するサービスロール AWS-SystemsManager-PatchSummaryExportRole (まだ作成されていない場合) とともに、AWS-EventBridge-Start-SSMAutomationRole という名前の別のサービスロールを作成します。AWS-EventBridge-Start-SSMAutomationRole は、Amazon EventBridge を有効にしてランブック AWS-ExportPatchReportToS3 を使用してオートメーションを開始できるようにします。

これらのポリシーとロールを変更することはお勧めしません。変更することにより、パッチコンプライアンスレポートの生成が失敗する可能性があります。詳細については、「」を参照してくださいパッチコンプライアンスレポートの生成のトラブルシューティング

生成されたパッチコンプライアンスレポートには何が含まれていますか?

このトピックでは、指定された S3 バケットに生成およびダウンロードされるパッチコンプライアンスレポートに含まれるコンテンツの種類について説明します。

単一マネージドノードのパッチコンプライアンスレポートの生成

AWS アカウント の単一マネージドノードのパッチ概要レポートを生成するには、以下の手順を実行します。単一マネージドノードのレポートには、コンプライアンス違反の各パッチの詳細 (パッチ名やIDなど) が表示されます。

生成されたレポートの履歴の表示については、「パッチコンプライアンスレポートの履歴の表示」を参照してください。

作成したレポートスケジュールの詳細を表示する方法については、「パッチコンプライアンスレポートのスケジュールの表示」を参照してください。

すべてのマネージドノードのパッチコンプライアンスレポートの生成

AWS アカウント のすべてのマネージドノードのパッチ概要レポートを生成するには、以下の手順を実行します。すべてのマネージドノードのレポートには、どのノードがコンプライアンス違反であるか、非準拠のパッチの数が表示されます。パッチの名前やその他の識別子は提供しません。これらの追加の詳細情報を確認するには、単一のマネージドノードのパッチコンプライアンスレポートを生成できます。詳細については、このトピックの前半の「単一マネージドノードのパッチコンプライアンスレポートの生成」を参照してください。

生成されたレポートの履歴の表示については、「パッチコンプライアンスレポートの履歴の表示」を参照してください。

作成したレポートスケジュールの詳細を表示する方法については、「パッチコンプライアンスレポートのスケジュールの表示」を参照してください。

パッチコンプライアンスレポートの履歴の表示

このトピックの情報は、 で生成されたパッチコンプライアンスレポートの詳細を表示するのに役立ちますAWS アカウント

パッチコンプライアンスレポートのスケジュールの表示

このトピックの情報は、 で作成されるパッチコンプライアンスレポートのスケジュールの詳細を表示するのに役立ちますAWS アカウント

パッチコンプライアンスレポートの生成のトラブルシューティング

以下の情報は、AWS Systems Manager の一機能である Patch Manager でパッチコンプライアンスレポートを生成する際に発生する問題のトラブルシューティングに役立ちます。

AWS-SystemsManager-PatchManagerExportRolePolicy ポリシーが壊れているというメッセージが表示される

問題: AWS-SystemsManager-PatchManagerExportRolePolicy が破損していることを示す、次のようなエラーメッセージが表示されます。

An error occurred while updating the AWS-SystemsManager-PatchManagerExportRolePolicy
policy. If you have edited the policy, you might need to delete the policy, and any 
role that uses it, then try again. Systems Manager recreates the roles and policies 
you have deleted.

パッチコンプライアンスポリシーまたはロールを削除した後、スケジュールされたレポートが正常に生成されない

問題: レポートを初めて生成する際、Systems Manager は、エクスポートプロセスに使用するサービスロールとポリシー (AWS-SystemsManager-PatchSummaryExportRole および AWS-SystemsManager-PatchManagerExportRolePolicy) を作成します。スケジュールに基づいてレポートを初めて生成する際、Systems Manager は、別のサービスロールとポリシー (AWS-EventBridge-Start-SSMAutomationRole および AWS-EventBridge-Start-SSMAutomationRolePolicy) を作成します。Amazon EventBridge では、ランブック -AWSExportPatchReportToS3 を使用してオートメーションを開始します。

これらのポリシーまたはロールのいずれかを削除すると、スケジュールと指定した S3 バケットと Amazon SNS トピックの間の接続が失われる可能性があります。