• O AWS Systems Manager CloudWatch Dashboard não estará mais disponível a partir de 30 de abril de 2026. Os clientes podem continuar usando o console do Amazon CloudWatch para visualizar, criar e gerenciar os painéis do Amazon CloudWatch exatamente como fazem hoje. Para obter mais informações, consulte a [documentação do Amazon CloudWatch](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html).
# Como funcionam as regras de linha de base de patch em sistemas baseados no Linux
As regras na linha de base de patch para distribuições do Linux funcionam de forma diferente dependendo do tipo de distribuição. Ao contrário das atualizações de patch em nós gerenciados do Windows Server, as regras são avaliadas em cada nó para levar em conta os repositórios configurados na instância. O Patch Manager, uma ferramenta do AWS Systems Manager, usa o gerenciador de pacotes nativo para conduzir a instalação de patches aprovados pela lista de referência de patches.
Para tipos de sistema operacional baseados em Linux que relatem um nível de gravidade para patches, o Patch Manager usa o nível de gravidade relatado pelo editor do software para o aviso de atualização ou patch individual. O Patch Manager não deriva níveis de gravidade de fontes de terceiros, como o [Sistema comum de pontuação de vulnerabilidades](https://www.first.org/cvss/) (CVSS), ou a partir de métricas lançadas pelo [Banco de dados nacional de vulnerabilidades](https://nvd.nist.gov/vuln) (NVD).
**Topics**
+ [Como funcionam as regras de lista de referência de patches no Amazon Linux 2 e no Amazon Linux 2023](#linux-rules-amazon-linux)
+ [Como as regras de lista de referência de patches funcionam no CentOS Stream](#linux-rules-centos)
+ [Como as regras de lista de referência de patches funcionam no Debian Server](#linux-rules-debian)
+ [Como as regras de lista de referência de patches funcionam no macOS](#linux-rules-macos)
+ [Como as regras de lista de referência de patches funcionam no Oracle Linux](#linux-rules-oracle)
+ [Como as regras de lista de referência de patches funcionam no AlmaLinux, no RHEL e no Rocky Linux](#linux-rules-rhel)
+ [Como as regras de lista de referência de patches funcionam no SUSE Linux Enterprise Server](#linux-rules-sles)
+ [Como as regras de lista de referência de patches funcionam no Ubuntu Server](#linux-rules-ubuntu)
## Como funcionam as regras de lista de referência de patches no Amazon Linux 2 e no Amazon Linux 2023
**nota**
O Amazon Linux 2023 (AL2023) usa repositórios versionados que podem ser bloqueados em uma versão específica por meio de uma ou mais configurações do sistema. Para todas as operações de aplicação de patches nas instâncias do EC2 AL2023, o Patch Manager usa as versões mais recentes do repositório, independentemente da configuração do sistema. Para obter mais informações, consulte [Deterministic upgrades through versioned repositories](https://docs.aws.amazon.com/linux/al2023/ug/deterministic-upgrades.html) no *Amazon Linux 2023 User Guide*.
Em instâncias do Amazon Linux 2 e do Amazon Linux 2023, o processo de seleção de patches é o seguinte:
1. No nó gerenciado, a biblioteca do YUM (Amazon Linux 2) ou a biblioteca do DNF (Amazon Linux 2023) acessa o arquivo `updateinfo.xml` para cada repositório configurado.
Se nenhum arquivo `updateinfo.xml` for encontrado, a instalação dos patches depende das configurações de **Incluir atualizações não relacionadas a segurança** e **Autoaprovação**. Por exemplo, se forem permitidas atualizações não relacionadas à segurança, elas serão instaladas quando o tempo de autoaprovação chegar.
1. Toda notificação de atualização em `updateinfo.xml` inclui vários atributos que denotam as propriedades dos pacotes na notificação, tal como descrito na tabela a seguir.
**Atributos de notificação de atualização**
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/systems-manager/latest/userguide/patch-manager-linux-rules.html)
Para obter mais informações sobre os formatos aceitos de listas de patches aprovados e rejeitados, consulte [Sobre formatos de nomes de pacotes para listas de patches aprovados e rejeitados](patch-manager-approved-rejected-package-name-formats.md).
1. O produto do nó gerenciado é determinado pelo SSM Agent. Esse atributo corresponde ao valor do atributo de chave do [ProdutoPatchFilter no tipo de dados ](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_PatchFilter.html) da linha de base de patch.
1. Os pacotes são selecionados para a atualização de acordo com as seguintes diretrizes:
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/systems-manager/latest/userguide/patch-manager-linux-rules.html)
Para obter informações sobre valores de status de conformidade de patches, consulte [Valores de estados de conformidade de patches](patch-manager-compliance-states.md).
## Como as regras de lista de referência de patches funcionam no CentOS Stream
Os repositórios padrão do CentOS Stream não incluem um arquivo `updateinfo.xml`. No entanto, os repositórios personalizados criados ou usados por você podem incluir esse arquivo. Neste tópico, referências a `updateinfo.xml` se aplicam somente a esses repositórios personalizados.
No CentOS Stream, o processo de seleção de patches é como o seguinte:
1. Em um nó gerenciado, a biblioteca do DNF acessa o arquivo `updateinfo.xml`, se ele existir em um repositório personalizado, para cada repositório configurado.
Se nenhum `updateinfo.xml` for encontrado, o que sempre inclui o repositório padrão, a instalação dos patches depende das configurações de **Incluir atualizações não relacionadas a segurança** e **Autoaprovação**. Por exemplo, se forem permitidas atualizações não relacionadas à segurança, elas serão instaladas quando o tempo de autoaprovação chegar.
1. Se `updateinfo.xml` estiver presente, toda notificação de atualização no arquivo incluirá vários atributos que denotam as propriedades dos pacotes na notificação, tal como descrito na tabela a seguir.
**Atributos de notificação de atualização**
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/systems-manager/latest/userguide/patch-manager-linux-rules.html)
Para obter mais informações sobre os formatos aceitos de listas de patches aprovados e rejeitados, consulte [Sobre formatos de nomes de pacotes para listas de patches aprovados e rejeitados](patch-manager-approved-rejected-package-name-formats.md).
1. Em todos os casos, o produto do nó gerenciado é determinado pelo SSM Agent. Esse atributo corresponde ao valor do atributo de chave do [ProdutoPatchFilter no tipo de dados ](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_PatchFilter.html) da linha de base de patch.
1. Os pacotes são selecionados para a atualização de acordo com as seguintes diretrizes:
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/systems-manager/latest/userguide/patch-manager-linux-rules.html)
Para obter informações sobre valores de status de conformidade de patches, consulte [Valores de estados de conformidade de patches](patch-manager-compliance-states.md).
## Como as regras de lista de referência de patches funcionam no Debian Server
No Debian Server, o serviço de lista de referência de patches oferece filtragem nos campos *Prioridade* e *Seção*. Esses campos geralmente estão presentes em todos os pacotes do Debian Server. Para determinar se um patch é selecionado pela lista de referência de patches, o Patch Manager faz o seguinte:
1. Em sistemas Debian Server, o equivalente a `sudo apt-get update` é executado para atualizar a lista de pacotes disponíveis. Os repos não são configurados e os dados são extraídas dos repos configurados em uma lista `sources`.
1. Se uma atualização estiver disponível para o `python3-apt` (uma interface de biblioteca Python para `libapt`), ela será atualizada para a versão mais recente. (Este pacote não relacionado à segurança é atualizado mesmo se você não selecionou a opção **Include nonsecurity updates** (Incluir atualizações não relacionadas à segurança)).
1. Em seguida, as listas [https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_CreatePatchBaseline.html#systemsmanager-CreatePatchBaseline-request-GlobalFilters](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_CreatePatchBaseline.html#systemsmanager-CreatePatchBaseline-request-GlobalFilters), [https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_CreatePatchBaseline.html#EC2-CreatePatchBaseline-request-ApprovalRules](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_CreatePatchBaseline.html#EC2-CreatePatchBaseline-request-ApprovalRules), [https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_CreatePatchBaseline.html#EC2-CreatePatchBaseline-request-ApprovedPatches](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_CreatePatchBaseline.html#EC2-CreatePatchBaseline-request-ApprovedPatches) e [https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_CreatePatchBaseline.html#EC2-CreatePatchBaseline-request-RejectedPatches](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_CreatePatchBaseline.html#EC2-CreatePatchBaseline-request-RejectedPatches) são aplicadas.
**nota**
Como não é possível determinar de forma confiável as datas de lançamento dos pacotes de atualização do Debian Server, as opções de aprovação automática não são compatíveis com esse sistema operacional.
As regras de aprovação, no entanto, também dependem da seleção da opção **Include nonsecurity updates** (Incluir atualizações não relacionadas à segurança) ao criar ou atualizar pela última vez a lista de referência de patches.
Se nenhuma atualização que não seja de segurança for excluída, uma regra implícita será aplicada para selecionar apenas os pacotes com atualizações nos repositórios de segurança. Para cada pacote, a versão candidata do pacote (que geralmente é a versão mais recente) deve fazer parte de um repo de segurança. Neste caso, para o Debian Server, versões candidatas de patch são limitadas a patches incluídos nos seguintes repositórios:
Esses repositórios são nomeados da seguinte forma:
+ Debian Server 11: `debian-security bullseye`
+ Debian Server 12: `debian-security bookworm`
Se atualizações não relacionadas à segurança forem incluídas, os patches de outros repositórios também serão considerados.
Para obter mais informações sobre os formatos aceitos de listas de patches aprovados e rejeitados, consulte [Sobre formatos de nomes de pacotes para listas de patches aprovados e rejeitados](patch-manager-approved-rejected-package-name-formats.md).
Para visualizar o conteúdo dos campos *Priority* e *Section *, execute o comando `aptitude` a seguir:
**nota**
Pode ser necessário primeiro instalar o Aptitude nos sistemas Debian Server.
```
aptitude search -F '%p %P %s %t %V#' '~U'
```
Em resposta a esse comando, todos os pacotes atualizáveis são relatados no seguinte formato:
```
name, priority, section, archive, candidate version
```
Para obter informações sobre valores de status de conformidade de patches, consulte [Valores de estados de conformidade de patches](patch-manager-compliance-states.md).
## Como as regras de lista de referência de patches funcionam no macOS
No macOS, o processo de seleção de patches é como o seguinte:
1. Em um nó gerenciado, o Patch Manager acessa o conteúdo analisado do `InstallHistory.plist` e identifica nomes e versões de pacotes.
Para obter detalhes sobre o processo de análise, consulte a guia **macOS**em [Como os patches são instalados](patch-manager-installing-patches.md).
1. O produto do nó gerenciado é determinado pelo SSM Agent. Esse atributo corresponde ao valor do atributo de chave do [ProdutoPatchFilter no tipo de dados ](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_PatchFilter.html) da linha de base de patch.
1. Os pacotes são selecionados para a atualização de acordo com as seguintes diretrizes:
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/systems-manager/latest/userguide/patch-manager-linux-rules.html)
Para obter informações sobre valores de status de conformidade de patches, consulte [Valores de estados de conformidade de patches](patch-manager-compliance-states.md).
## Como as regras de lista de referência de patches funcionam no Oracle Linux
No Oracle Linux, o processo de seleção de patches é como o seguinte:
1. Em um nó gerenciado, a biblioteca do YUM acessa o arquivo `updateinfo.xml` para cada repositório configurado.
**nota**
O arquivo `updateinfo.xml` talvez não esteja disponível se o repo não for gerenciado pela Oracle. Se nenhum `updateinfo.xml` for encontrado, a instalação dos patches depende das configurações de **Incluir atualizações não relacionadas a segurança** e **Autoaprovação**. Por exemplo, se forem permitidas atualizações não relacionadas à segurança, elas serão instaladas quando o tempo de autoaprovação chegar.
1. Toda notificação de atualização em `updateinfo.xml` inclui vários atributos que denotam as propriedades dos pacotes na notificação, tal como descrito na tabela a seguir.
**Atributos de notificação de atualização**
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/systems-manager/latest/userguide/patch-manager-linux-rules.html)
Para obter mais informações sobre os formatos aceitos de listas de patches aprovados e rejeitados, consulte [Sobre formatos de nomes de pacotes para listas de patches aprovados e rejeitados](patch-manager-approved-rejected-package-name-formats.md).
1. O produto do nó gerenciado é determinado pelo SSM Agent. Esse atributo corresponde ao valor do atributo de chave do [ProdutoPatchFilter no tipo de dados ](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_PatchFilter.html) da linha de base de patch.
1. Os pacotes são selecionados para a atualização de acordo com as seguintes diretrizes:
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/systems-manager/latest/userguide/patch-manager-linux-rules.html)
Para obter informações sobre valores de status de conformidade de patches, consulte [Valores de estados de conformidade de patches](patch-manager-compliance-states.md).
## Como as regras de lista de referência de patches funcionam no AlmaLinux, no RHEL e no Rocky Linux
No AlmaLinux, no Red Hat Enterprise Linux (RHEL) e no Rocky Linux, o processo de seleção de patches é o seguinte:
1. Em um nó gerenciado, a biblioteca do YUM (RHEL 7) ou a biblioteca do DNF (AlmaLinux 8 e 9, RHEL 8, 9 e 10 e Rocky Linux 8 e 9) acessa o arquivo `updateinfo.xml` para cada repositório configurado.
**nota**
O arquivo `updateinfo.xml` talvez não esteja disponível se o repo não for gerenciado pela Red Hat. Se não for encontrado nenhum `updateinfo.xml`, nenhum patch será aplicado.
1. Toda notificação de atualização em `updateinfo.xml` inclui vários atributos que denotam as propriedades dos pacotes na notificação, tal como descrito na tabela a seguir.
**Atributos de notificação de atualização**
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/systems-manager/latest/userguide/patch-manager-linux-rules.html)
Para obter mais informações sobre os formatos aceitos de listas de patches aprovados e rejeitados, consulte [Sobre formatos de nomes de pacotes para listas de patches aprovados e rejeitados](patch-manager-approved-rejected-package-name-formats.md).
1. O produto do nó gerenciado é determinado pelo SSM Agent. Esse atributo corresponde ao valor do atributo de chave do [ProdutoPatchFilter no tipo de dados ](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_PatchFilter.html) da linha de base de patch.
1. Os pacotes são selecionados para a atualização de acordo com as seguintes diretrizes:
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/systems-manager/latest/userguide/patch-manager-linux-rules.html)
Para obter informações sobre valores de status de conformidade de patches, consulte [Valores de estados de conformidade de patches](patch-manager-compliance-states.md).
## Como as regras de lista de referência de patches funcionam no SUSE Linux Enterprise Server
No SLES, cada patch inclui os atributos a seguir, que identificam as propriedades dos pacotes no patch:
+ **Categoria**: corresponde ao valor do atributo de chave de **Classificação** no tipo de dados [https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_PatchFilter.html](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_PatchFilter.html) da lista de referência de patches. Denota o tipo de patch incluso na notificação de atualização.
Você pode exibir a lista de valores compatíveis usando o comando da AWS CLI, **[https://docs.aws.amazon.com/cli/latest/reference/ssm/describe-patch-properties.html](https://docs.aws.amazon.com/cli/latest/reference/ssm/describe-patch-properties.html)**, ou a operação **[https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_DescribePatchProperties.html](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_DescribePatchProperties.html)** da API. Você também pode visualizar a lista na área **Approval rules** (Regras de aprovação) da página **Create patch baseline** (Criar lista de referência do patch) ou da página **Edit patch baseline** (Editar lista de referência do patch) no console do Systems Manager.
+ **Gravidade**: corresponde ao valor do atributo de chave de **gravidade** no tipo de dados [https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_PatchFilter.html](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_PatchFilter.html) da lista de referência de patches. Indica o nível de severidade dos patches.
Você pode exibir a lista de valores compatíveis usando o comando da AWS CLI, **[https://docs.aws.amazon.com/cli/latest/reference/ssm/describe-patch-properties.html](https://docs.aws.amazon.com/cli/latest/reference/ssm/describe-patch-properties.html)**, ou a operação **[https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_DescribePatchProperties.html](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_DescribePatchProperties.html)** da API. Você também pode visualizar a lista na área **Approval rules** (Regras de aprovação) da página **Create patch baseline** (Criar lista de referência do patch) ou da página **Edit patch baseline** (Editar lista de referência do patch) no console do Systems Manager.
O produto do nó gerenciado é determinado pelo SSM Agent. Esse atributo corresponde ao valor do atributo de chave do **Produto** no tipo de dados [https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_PatchFilter.html](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_PatchFilter.html) da lista de referência de patches.
Para cada patch, a linha de base de patch é usada como filtro, permitindo que somente os pacotes qualificados sejam incluídos na atualização. Se vários pacotes forem aplicáveis depois de aplicar a definição da linha de base de patch, será usada a versão mais recente.
Para obter mais informações sobre os formatos aceitos de listas de patches aprovados e rejeitados, consulte [Sobre formatos de nomes de pacotes para listas de patches aprovados e rejeitados](patch-manager-approved-rejected-package-name-formats.md).
## Como as regras de lista de referência de patches funcionam no Ubuntu Server
No Ubuntu Server, o serviço de lista de referência de patches oferece filtragem nos campos *Prioridade* e *Seção*. Esses campos geralmente estão presentes em todos os pacotes do Ubuntu Server. Para determinar se um patch é selecionado pela lista de referência de patches, o Patch Manager faz o seguinte:
1. Em sistemas Ubuntu Server, o equivalente a `sudo apt-get update` é executado para atualizar a lista de pacotes disponíveis. Os repos não são configurados e os dados são extraídas dos repos configurados em uma lista `sources`.
1. Se uma atualização estiver disponível para o `python3-apt` (uma interface de biblioteca Python para `libapt`), ela será atualizada para a versão mais recente. (Este pacote não relacionado à segurança é atualizado mesmo se você não selecionou a opção **Include nonsecurity updates** (Incluir atualizações não relacionadas à segurança)).
1. Em seguida, as listas [https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_CreatePatchBaseline.html#systemsmanager-CreatePatchBaseline-request-GlobalFilters](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_CreatePatchBaseline.html#systemsmanager-CreatePatchBaseline-request-GlobalFilters), [https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_CreatePatchBaseline.html#EC2-CreatePatchBaseline-request-ApprovalRules](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_CreatePatchBaseline.html#EC2-CreatePatchBaseline-request-ApprovalRules), [https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_CreatePatchBaseline.html#EC2-CreatePatchBaseline-request-ApprovedPatches](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_CreatePatchBaseline.html#EC2-CreatePatchBaseline-request-ApprovedPatches) e [https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_CreatePatchBaseline.html#EC2-CreatePatchBaseline-request-RejectedPatches](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_CreatePatchBaseline.html#EC2-CreatePatchBaseline-request-RejectedPatches) são aplicadas.
**nota**
Como não é possível determinar de forma confiável as datas de lançamento dos pacotes de atualização do Ubuntu Server, as opções de aprovação automática não são compatíveis com esse sistema operacional.
As regras de aprovação, no entanto, também dependem da seleção da opção **Include nonsecurity updates** (Incluir atualizações não relacionadas à segurança) ao criar ou atualizar pela última vez a lista de referência de patches.
Se nenhuma atualização que não seja de segurança for excluída, uma regra implícita será aplicada para selecionar apenas os pacotes com atualizações nos repositórios de segurança. Para cada pacote, a versão candidata do pacote (que geralmente é a versão mais recente) deve fazer parte de um repo de segurança. Neste caso, para o Ubuntu Server, versões candidatas de patch são limitadas a patches incluídos nos seguintes repositórios:
+ Ubuntu Server 16.04 LTS: `xenial-security`
+ Ubuntu Server 18.04 LTS: `bionic-security`
+ Ubuntu Server 20.04 LTS: `focal-security`
+ Ubuntu Server 22.04 LTS (`jammy-security`)
+ Ubuntu Server 24.04 LTS (`noble-security`)
+ Ubuntu Server 25.04 (`plucky-security`)
Se atualizações não relacionadas à segurança forem incluídas, os patches de outros repositórios também serão considerados.
Para obter mais informações sobre os formatos aceitos de listas de patches aprovados e rejeitados, consulte [Sobre formatos de nomes de pacotes para listas de patches aprovados e rejeitados](patch-manager-approved-rejected-package-name-formats.md).
Para visualizar o conteúdo dos campos *Priority* e *Section *, execute o comando `aptitude` a seguir:
**nota**
Pode ser necessário primeiro instalar o Aptitude em sistemas Ubuntu Server 16.
```
aptitude search -F '%p %P %s %t %V#' '~U'
```
Em resposta a esse comando, todos os pacotes atualizáveis são relatados no seguinte formato:
```
name, priority, section, archive, candidate version
```
Para obter informações sobre valores de status de conformidade de patches, consulte [Valores de estados de conformidade de patches](patch-manager-compliance-states.md).