本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

AL2 上的核心即時修補

適用於 AL2 的 Kernel Live Patching 可讓您將特定安全性漏洞和關鍵錯誤修補程式套用至執行中的 Linux 核心，而不會重新啟動或中斷執行中的應用程式。這可讓您受益於改善的服務和應用程式可用性，同時套用這些修正，直到系統可以重新啟動為止。

如需 AL2023 的 Kernel Live Patching 相關資訊，請參閱《Amazon Linux 2023 使用者指南》中的 AL2023 上的 Kernel Live Patching。

AWS為 AL2 發行兩種類型的核心即時修補程式：

AWS提供 AL2 核心版本的核心即時修補程式，最長可達發行後 3 個月。在 3 個月期間之後，您必須更新至更新的核心版本，才能繼續接收核心即時修補程式。

AL2 核心即時修補程式在現有 AL2 儲存庫中以簽章的 RPM 套件的形式提供。這些修補程式可以使用現有的 yum 工作流程安裝在個別執行個體上，也可以使用AWS Systems Manager 安裝在受管執行個體群組上。

在 AL2 上提供 Kernel Live Patching，無需額外費用。

支援的組態和先決條件

執行 AL22 的 Amazon EC2 執行個體和內部部署虛擬機器支援 Kernel Live Patching。

若要在 AL2 上使用核心即時修補，您必須使用：

政策要求

若要從 Amazon Linux 儲存庫下載套件，Amazon EC2 需要存取服務擁有的 Amazon S3 儲存貯體。如果您在環境中使用適用於 Amazon S3 的 Amazon 虛擬私有雲端 (VPC) 端點，則需要確保您的 VPC 端點政策允許存取這些公有儲存貯體。

下表說明對於 Kernel Live Patching，EC2 可能需要存取的每個 Amazon S3 儲存貯體。

下方政策會說明如何限制存取屬於您組織的 Amazon S3 儲存貯體的身分和資源，並提供 Kernel Live Patching 所需的 Amazon S3 儲存貯體的存取權限。使用您組織的值取代 region、principal-org-id 以及 resource-org-id。

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowRequestsByOrgsIdentitiesToOrgsResources",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "principal-org-id",
          "aws:ResourceOrgID": "resource-org-id"
        }
      }
    },
    {
      "Sid": "AllowAccessToAmazonLinuxAMIRepositories",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::packages.region.amazonaws.com/*",
        "arn:aws:s3:::repo.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux-2-repos-region/*"
      ]
    }
  ]
}
    

使用 Kernel Live Patching

您可以使用執行個體本身的命令列在個別執行個體上啟用和使用 Kernel Live Patching，也可以使用AWS Systems Manager 在受管執行個體群組上啟用和使用 Kernel Live Patching。

下列各節說明如何透過命令列在個別執行個體上啟用並使用 Kernel Live Patching。

如需在一組受管執行個體上啟用和使用核心即時修補的詳細資訊，請參閱AWS Systems Manager《 使用者指南》中的在 AL2 執行個體上使用核心即時修補。

啟用 Kernel Live Patching

AL2 上的核心即時修補預設為停用。若要使用即時修補，您必須安裝 Kernel Live Patching 的 yum 外掛程式，並啟用即時修補功能。

先決條件

Kernel Live Patching 需要 binutils。如果您未安裝 binutils，請使用下列命令進行安裝：

$ sudo yum install binutils

檢視可用的核心即時修補程式

Amazon Linux 安全性警示會發佈至資訊 Amazon Linux 安全中心。如需 AL2 安全提醒的詳細資訊，包括核心即時修補程式的提醒，請參閱 Amazon Linux 安全中心。核心即時修補程式的字首為 ALASLIVEPATCH。Amazon Linux 安全中心可能不會列出解決錯誤的核心即時修補程式。

您也可以使用命令列來探索建議和 CVE 的可用核心即時修補程式。

列出所有可用的核心即時修補程式以供建議使用

使用下列命令。

$ yum updateinfo list

下面顯示了範例輸出。

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motd
ALAS2LIVEPATCH-2020-002 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
ALAS2LIVEPATCH-2020-005 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

列出 CVE 的所有可用核心即時修補程式

使用下列命令。

$ yum updateinfo list cves

下面顯示了範例輸出。

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motdamzn2-core/2/x86_64 | 2.4 kB 00:00:00 
CVE-2019-15918 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2019-20096 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2020-8648 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

套用核心即時修補程式

您可以使用 yum 套件管理員來套用核心即時修補程式，方法與套用定期更新相同。適用於 Kernel Live Patching 的 yum 外掛程式會管理可供套用的核心即時修補程式。

您可以選擇套用特定的核心即時修補程式，或套用任何可用的核心即時修補程式，以及定期的安全性更新。

套用任何可用的核心即時修補程式，以及您的定期安全性更新

使用下列命令。

$ sudo yum update --security

省略包含錯誤修正的 --security 選項。

檢視套用的核心即時修補程式

檢視套用的核心即時修補程式

使用下列命令。

$ kpatch list

此命令會傳回已載入及已安裝的安全性更新核心即時修補程式清單。下列為範例輸出。

Loaded patch modules:
livepatch_cifs_lease_buffer_len [enabled]
livepatch_CVE_2019_20096 [enabled]
livepatch_CVE_2020_8648 [enabled]
	
Installed patch modules:
livepatch_cifs_lease_buffer_len (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2019_20096 (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2020_8648 (5.10.102-99.473.amzn2.x86_64)

停用核心即時修補

如果您不再需要使用 Kernel Live Patching，您可以隨時停用它。

限制

Kernel Live Patching 有以下限制：

常見問答集

如需 AL2 核心即時修補的常見問題，請參閱 Amazon Linux 2 核心即時修補常見問答集。