Quick Setup を使用して組織内のインスタンスのためにパッチ適用を設定する

Quick Setup でパッチポリシーを作成するには

1. AWS Systems Manager コンソール (https://console.aws.amazon.com/systems-manager/) を開きます。

   組織に対してパッチ適用をセットアップする場合は、その組織の管理アカウントにサインインしていることを確認してください。委任管理者アカウントまたはメンバーアカウントを使用してポリシーをセットアップすることはできません。

2. ナビゲーションペインで、Quick Setup を選択します。

3. [Patch Manager] (パッチマネージャー) で、[Create] (作成) を選択します。

   ヒント

   アカウントにすでに 1 つ以上の設定がある場合は、まず[設定] セクションで [ライブラリ] タブまたは [作成] ボタンを選択し、カードを表示します。

4. [Configuration name] (設定名) に、パッチポリシーを識別するための名前を入力します。

5. [Scanning and installation] (スキャンとインストール) セクションの [Patch operation] (パッチオペレーション) で、パッチポリシーでは、指定したターゲットを [Scan] (スキャン) するか、指定したターゲットにパッチを [Scan and install] (スキャンとインストール) するかを選択します。

6. [Scanning schedule] (スキャンのスケジュール) で、[Use recommended defaults] (推奨される既定値を使用) または [Custom scan schedule] (カスタムスキャンスケジュール) を選択します。デフォルトのスキャンスケジュールでは、毎日 UTC 午前 1:00 にターゲットをスキャンします。

   • [Custom scan schedule] (カスタムスキャンスケジュール) を選択した場合は、[Scanning frequency] (スキャンの頻度) を選択します。

   • [Daily] (毎日) を選択した場合は、ターゲットをスキャンする時刻を UTC で入力します。

   • [Custom CRON Expression] (カスタム CRON 式) を選択した場合は、スケジュールを [CRON expression] (CRON 式) として入力します。Systems Manager 用の CRON 式の形式については、「リファレンス: Systems Manager の Cron 式および rate 式」を参照してください。

     また、[Wait to scan targets until first CRON interval] (最初の CRON 間隔が経過してからターゲットをスキャンする) を選択します。デフォルトでは、Patch Manager はノードがターゲットになるとすぐにスキャンします。

7. [Scan and install] (スキャンとインストール) を選択した場合は、指定したターゲットにパッチをインストールするときに使用する [Installation schedule] (インストールスケジュール) を選択します。[Use recommended defaults] (推奨される既定値を使用) を選択すると、Patch Manager では毎週日曜日の午前 2 時 (UTC) にパッチがインストールされます。

   • [Custom install schedule] (カスタムインストールスケジュール) を選択した場合は、[Installation Frequency] (インストールの頻度) を選択します。

   • [Daily] (毎日) を選択した場合は、ターゲットに更新をインストールする時刻を UTC で入力します。

   • [Custom CRON expression] (カスタム CRON 式) を選択した場合は、スケジュールを [CRON expression] (CRON 式) として入力します。Systems Manager 用の CRON 式の形式については、「リファレンス: Systems Manager の Cron 式および rate 式」を参照してください。

     また、[Wait to install updates until first CRON interval] (最初の CRON 間隔が経過してから更新をインストールする) をオフにすると、ノードがターゲットになったらすぐに更新がインストールされます。デフォルトでは、Patch Manager は最初の CRON 間隔が経過してから更新をインストールします。

   • [Reboot if needed] (必要に応じて再起動) を選択すると、パッチのインストール後にノードが再起動されます。インストール後に再起動することをお勧めしますが、その間使用できなくなることが問題になる可能性があります。

8. [Patch baseline] (パッチベースライン) セクションで、ターゲットをスキャンして更新するときに使用するパッチベースラインを選択します。

   デフォルトでは、Patch Manager は定義済みのパッチベースラインを使用します。詳細については、「事前定義されたベースライン」を参照してください。

   [Custom patch baseline] (カスタムパッチベースライン) を選択した場合は、事前定義された AWS パッチベースラインを使用したくないオペレーティングシステム用に選択したパッチベースラインを変更します。

   注記

   VPC エンドポイントを使用して Systems Manager に接続する場合は、S3 の VPC エンドポイントポリシーでこの S3 バケットへのアクセスが許可されていることを確認してください。詳細については、「パッチポリシー S3 バケットの許可」を参照してください。

   重要

   Quick Setup でパッチポリシー設定を使用している場合、カスタムパッチベースラインに加えた更新は 1 時間に 1 回 Quick Setup と同期されます。

   パッチポリシーで参照されていたカスタムパッチベースラインを削除すると、Quick Setup のそのパッチポリシーについての [Configuration details] (設定の詳細) ページにバナーが表示されます。バナーには、パッチポリシーが既に存在しないパッチベースラインを参照していること、およびそれ以降のパッチ適用オペレーションができないことが示されます。この場合は、Quick Setup の [Configurations] (設定) ページに戻り、Patch Manager 設定を選択し、[Actions] (アクション)、[Edit configuration] (設定を編集) を選択します。削除されたパッチベースライン名が強調表示されます。影響を受けるオペレーティングシステム用の新しいパッチベースラインを選択する必要があります。

9. (オプション) [Patching log storage] (ログストレージにパッチ適用) セクションで、[Write output to S3 bucket] (出力を S3 バケットに書き込む) を選択し、パッチ適用オペレーションログを Amazon S3 バケットに保存します。

   注記

   組織のパッチポリシーを設定する場合、組織の管理アカウントには、少なくともこのバケットに対する読み取り専用アクセス許可が必要です。ポリシーに含まれるすべての組織ユニットには、バケットへの書き込みアクセス権が必要です。他のアカウントへのアクセス権をバケットに付与する方法については、「Amazon Simple Storage Service ユーザーガイド」の「例 2: バケット所有者がクロスアカウントのバケットのアクセス許可を付与する」を参照してください。

10. [S3 を参照] をクリックして、パッチログ出力を保存するバケットを選択します。管理アカウントには、このバケットへの読み取りアクセス権が必要です。[Targets] (ターゲット) セクションで設定された管理アカウント以外のアカウントとターゲットはすべて、ログ記録用に指定された S3 バケットへの書き込みアクセス権を持っている必要があります。

11. [Targets] (ターゲット) セクションで、次のいずれかを選択して、このパッチポリシーオペレーションのアカウントとリージョンを指定します。

    注記

    1 つのアカウントで作業している場合、組織や組織単位 (OU) を使用するオプションは利用できません。この設定をアカウント内のすべての AWS リージョン に適用するか、選択したリージョンのみに適用するかを選択できます。

    以前にアカウントにホームリージョンを指定していて、新しい Quick Setup コンソールエクスペリエンスにまだオンボードしていない場合、そのリージョンをターゲット設定から除外することはできません。

    • [Entire organization] (組織全体) – 組織内のすべてのアカウントとリージョン。

    • [Custom] (カスタム) – 指定した OU とリージョンのみ。

      • [Target OUs] (ターゲット OU) セクションで、パッチポリシーをセットアップする OU を選択します。

      • [Target Regions] (ターゲットリージョン) セクションで、パッチポリシーを適用するリージョンを選択します。

    • [Current account] (現在のアカウント) – 現在サインインしているアカウント内の指定したリージョンのみがターゲットになります。以下のうちのひとつを選択します。

      • [Current Region] (現在のリージョン) – コンソールで選択したリージョン内のマネージドノードのみがターゲットになります。

      • [Choose Regions] (リージョンを選択) – パッチポリシーを適用する個々のリージョンを選択します。

12. [Choose how you want to target instances] (インスタンスをどのようにターゲットにするかを選択) で、次のいずれかを選択して、パッチを適用するノードを指定します。

    • [All managed nodes] (すべての管理対象ノード) – 選択した OU とリージョンのすべてのマネージドノード。

    • [Specify the resource group] (リソースグループを指定) – 関連するリソースをターゲットにするリソースグループの名前をリストから選択します。

      注記

      現在、リソースグループの選択は、単一アカウント構成でのみサポートされています。複数のアカウントのリソースにパッチを適用するには、別のターゲットオプションを選択します。

    • [Specify a node tag] (ノードタグを指定) – 指定したキーと値のペアでタグ付けされたノードのみに、ターゲットにしたすべてのアカウントとリージョンでパッチが適用されます。

    • [Manual] (手動) – 指定されたすべてのアカウントとリージョンのマネージドノードをリストから手動で選択します。

      注記

      現在、このオプションは Amazon EC2 インスタンスのみをサポートしています。

13. [Rate control] (レート制御) セクションで、以下を行います。

    • [Concurrency] (同時実行数) に、パッチポリシーを同時に実行するノードの数または割合を入力します。

    • [Error threshold] (エラーのしきい値) を入力します。エラーが発生したノードの数または割合がこの値を超えると、パッチポリシーはエラーになります。

14. (オプション) [インスタンスにアタッチされている既存のインスタンスプロファイルに必要な IAM ポリシーを追加する] チェックボックスを選択します。

    この選択により、この Quick Setup 設定で作成された IAM ポリシーを、既にインスタンスプロファイルがアタッチされているノード (EC2 インスタンス) またはサービスロールがアタッチされているノード (ハイブリッドアクティベーションノード) に適用します。このオプションは、マネージドノードに既にインスタンスプロファイルまたはサービスロールがアタッチされているが、Systems Manager の操作に必要なすべての許可が含まれていない場合にこの選択をお勧めします。

    ここで選択した内容は、このパッチポリシー設定が適用されるアカウントとリージョンに後で作成されるマネージドノードに適用されます。

    重要

    このチェックボックスをオフにして、このパッチポリシーを使用してマネージドノードにパッチを Quick Setup に適用する場合は、次を実行する必要があります。

    パッチポリシー用に作成された S3 バケットにアクセスするための許可を IAM インスタンスプロファイルまたは IAM サービスロールに追加する

    IAM インスタンスプロファイルまたは IAM サービスロールに特定の key-value ペアをタグ付けします。

    詳細については、ケース 1: マネージドノードで、Quick Setup によって提供されるインスタンスプロファイルまたはサービスロールではなく、独自のインスタンスプロファイルまたはサービスロールを使用する を参照してください。

15. [Create] (作成) を選択します。

    パッチポリシーの作成後にパッチ適用ステータスを確認するには、Quick Setup ページから設定にアクセスします。