• 2026 年 4 月 30 日之後， AWS Systems Manager CloudWatch Dashboard 將不再可用。客戶可以繼續使用 Amazon CloudWatch 主控台來檢視、建立和管理其 Amazon CloudWatch 儀表板，就像現在一樣。如需詳細資訊，請參閱 [Amazon CloudWatch Dashboard 文件](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html)。
本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 使用 Quick Setup 修補程式政策設定組織中執行個體的修補
使用 中的Quick Setup工具 AWS Systems Manager，您可以建立由 提供支援的修補程式政策Patch Manager。修補程式政策定義了在自動化修補 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體和其他受管節點時使用的排程和基準。使用單一修補程式政策組態，您可以定義為組織中多個 AWS 區域 的所有帳戶、僅您選擇的帳戶和區域或者單一帳戶-區域對進行修補。如需有關修補程式政策的詳細資訊，請參閱 [Quick Setup中的修補程式政策組態](patch-manager-policies.md)。
**先決條件**
若要使用 Quick Setup 定義節點的修補程式政策，則節點必須是*受管節點*。如需有關管理節點的詳細資訊，請參閱 [為組織設定 Systems Manager 統一主控台](systems-manager-setting-up-organizations.md)。
**重要**
**修補程式合規掃描方法**：Systems Manager 支援多種掃描受管節點的方法，可檢查修補程式合規情況。如果一次實作多個方法，則您看到的修補程式合規資訊永遠是最近一次掃描的結果。先前掃描的結果會覆寫。如果掃描方法使用不同的修補基準，且具有不同的核准規則，則修補程式合規資訊可能會意外變更。如需詳細資訊，請參閱[識別建立修補程式合規資料的執行](patch-manager-compliance-data-overwrites.md)。
**關聯合規狀態和修補程式政策**：Quick Setup 修補程式政策下受管節點的修補狀態符合該節點的 State Manager 關聯執行狀態。如果關聯執行狀態為 `Compliant`，受管節點的修補程式狀態也會標示為 `Compliant`。如果關聯執行狀態為 `Non-Compliant`，受管節點的修補程式狀態也會標示為 `Non-Compliant`。
## 修補程式政策組態支援的區域
下列區域目前支援 Quick Setup 中的修補程式政策組態：
+ 美國東部 (俄亥俄) (us-east-2)
+ 美國東部 (維吉尼亞北部) (us-east-1)
+ 美國西部 (加利佛尼亞北部) (us-west-1)
+ 美國西部 (奧勒岡) (us-west-2)
+ 亞太區域 (孟買) (ap-south-1)
+ 亞太區域 (首爾) (ap-northeast-2)
+ 亞太地區 (新加坡) (ap-southeast-1)
+ 亞太地區 (雪梨) (ap-southeast-2)
+ 亞太地區 (東京) (ap-northeast-1)
+ 加拿大 (中部) (ca-central-1)
+ 歐洲 (法蘭克福) (eu-central-1)
+ 歐洲 (愛爾蘭) (eu-west-1)
+ 歐洲 (倫敦) (eu-west-2)
+ 歐洲 (巴黎) (eu-west-3)
+ 歐洲 (斯德哥爾摩) (eu-north-1)
+ 南美洲 (聖保羅) (sa-east-1)
## 適用於修補程式政策 S3 儲存貯體的許可
建立修補程式政策時，Quick Setup 會建立一個包含名為 `baseline_overrides.json` 的檔案的 Amazon S3 儲存貯體。此檔案儲存您為修補程式政策指定之修補基準的相關資訊。
此儲存貯體的名稱格式為 `aws-quicksetup-patchpolicy-account-id-quick-setup-configuration-id`。
例如：`aws-quicksetup-patchpolicy-123456789012-abcde`
如果您為某個組織建立修補程式政策，則此儲存貯體會建立在該組織的管理帳戶中。
您必須向其他 AWS 資源提供使用 AWS Identity and Access Management (IAM) 政策存取此 S3 儲存貯體的許可，有兩種使用案例：
+ [情況 1：將您自己的而不是由 Quick Setup 提供的執行個體設定檔或服務角色連接至受管節點](#patch-policy-instance-profile-service-role)
+ [情況 2：使用 VPC 端點連線至 Systems Manager](#patch-policy-vpc)
在這兩種情況下您所需要的許可政策都已呈現在下面的 [Quick Setup S3 儲存貯體的政策許可](#patch-policy-bucket-permissions) 一節中。
### 情況 1：將您自己的而不是由 Quick Setup 提供的執行個體設定檔或服務角色連接至受管節點
修補程式政策組態包含**將必要的 IAM 政策新增至連接至執行個體的現有執行個體設定檔**的選項。
如果您未選擇此選項，但想要 Quick Setup 使用此修補程式政策修補受管的節點，則必須實作下列項目：
+ IAM 受管政策 `AmazonSSMManagedInstanceCore` 必須連接至用於為受管節點提供 Systems Manager 許可的 [IAM 執行個體設定檔](setup-instance-permissions.md)或 [IAM 服務角色](hybrid-multicloud-service-role.md)。
+ 您必須將存取修補程式政策儲存貯體的許可作為內嵌政策新增至 IAM 執行個體設定檔或 IAM 服務角色。您可以向所有 `aws-quicksetup-patchpolicy` 儲存貯體或僅向針對您的組織或帳戶建立的特定儲存貯體提供萬用字元存取權，如先前的程式碼範例所示。
+ 您必須使用以下鍵值對標記 IAM 執行個體設定檔或 IAM 服務角色。
`Key: QSConfigId-quick-setup-configuration-id, Value: quick-setup-configuration-id`
*quick-setup-configuration-id* 代表套用至 AWS CloudFormation 堆疊的參數值，用於建立修補程式政策組態。若要擷取此 ID，請執行以下操作：
1. 在 https：//[https://console.aws.amazon.com/cloudformation](https://console.aws.amazon.com/cloudformation/) 開啟 CloudFormation 主控台。
1. 選取用來建立修補程式政策的堆疊名稱。名稱的格式為 `StackSet-AWS-QuickSetup-PatchPolicy-LA-q4bkg-52cd2f06-d0f9-499e-9818-d887cEXAMPLE`。
1. 選擇**參數**索引標籤。
1. 在**參數**清單的**鍵**欄中，找到鍵 **QSConfigurationId**。在同一列的**值**欄中，找到組態 ID，例如 `abcde`。
在此範例中，對於要套用至執行個體設定檔或服務角色的標籤，其鍵為 `QSConfigId-abcde`，且值為 `abcde`。
如需有關將標籤新增至 IAM 角色的資訊，請參閱《[IAM 使用者指南》中的標記 IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_tags_roles.html#id_tags_roles_procs-console)和管理[執行個體描述檔 (AWS CLI 或 AWS API) 上的標籤](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_tags_instance-profiles.html#id_tags_instance-profile_procs-cli-api)。 **
### 情況 2：使用 VPC 端點連線至 Systems Manager
如果您使用 VPC 端點連線至 Systems Manager，則您的 S3 VPC 端點政策必須允許存取 Quick Setup 修補程式政策 S3 儲存貯體。
如需將許可新增至 S3 VPC 端點政策的相關資訊，請參閱《Amazon S3 使用者指南》**中的[使用儲存貯體政策控制來自 VPC 端點的存取](https://docs.aws.amazon.com/AmazonS3/latest/userguide/example-bucket-policies-vpc-endpoint.html)一節。
### Quick Setup S3 儲存貯體的政策許可
您可以向所有 `aws-quicksetup-patchpolicy` 儲存貯體或僅向針對您的組織或帳戶建立的特定儲存貯體提供萬用字元存取權。若要為下述兩種情況提供必要的許可，請使用其中一種格式。
------
#### [ All patch policy buckets ]
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AccessToAllPatchPolicyRelatedBuckets",
"Effect": "Allow",
"Action": "s3:GetObject",
"Resource": "arn:aws:s3:::aws-quicksetup-patchpolicy-*"
}
]
}
```
------
------
#### [ Specific patch policy bucket ]
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AccessToMyPatchPolicyRelatedBucket",
"Effect": "Allow",
"Action": "s3:GetObject",
"Resource": "arn:aws:s3:::aws-quicksetup-patchpolicy-111122223333-quick-setup-configuration-id"
}
]
}
```
------
**注意**
建立修補程式政策組態後，您可以在 S3 主控台中找到儲存貯體的完整名稱。例如：`aws-quicksetup-patchpolicy-123456789012-abcde`
------
## 修補程式政策作業中的隨機修補基準 ID
修補程式政策的修補作業會使用 `AWS-RunPatchBaseline` SSM 命令文件中的 `BaselineOverride` 參數。
當您使用 `AWS-RunPatchBaseline` 進行修補程式政策*以外*的修補時，您可以使用 `BaselineOverride` 來指定作業期間要使用的與指定的預設值不同的修補基準清單。您可以在名為 `baseline_overrides.json` 的檔案中建立此清單，然後手動將其新增至您擁有的一個 Amazon S3 儲存貯體，如 [使用 BaselineOverride 參數](patch-manager-baselineoverride-parameter.md) 中所述。
然而，對於以修補程式政策為基礎的修補作業，Systems Manager 會自動建立 S3 儲存貯體並在其中新增 `baseline_overrides.json` 檔案。然後，每次 Quick Setup 執行修補操作 (使用 Run Command 工具) 時，系統都會為每個修補基準產生一個隨機 ID。每個修補程式政策修補作業的這個 ID 都不同，而且您無法在您的帳戶中儲存或存取它所代表的修補基準。
因此，您不會在修補日誌中看到組態中選取的修補基準的 ID。這適用於您可能選取的 AWS 受管修補程式基準和自訂修補程式基準。日誌中報告的基準 ID 是針對該特定修補作業產生的基準 ID。
此外，如果您嘗試在 Patch Manager 中檢視有關使用隨機 ID 產生之修補基準的詳細資訊，則系統會報告該修補基準不存在。這是預期會出現的行為，可以忽略。
## 建立修補程式政策
若要建立修補程式政策，請在 Systems Manager 主控台執行下列任務。
**使用 Quick Setup 建立修補程式政策**
1. 在 https：//[https://console.aws.amazon.com/systems-manager/](https://console.aws.amazon.com/systems-manager/) 開啟 AWS Systems Manager 主控台。
如果您要設定為組織進行修補，請確保您已登入到組織的管理帳戶。您無法使用委派管理員帳戶或成員帳戶來設定政策。
1. 在導覽窗格中，選擇 **Quick Setup**。
1. 在 **Patch Manager** (修補程式管理員) 卡上，選擇 **Create** (建立)。
**提示**
如果您的帳戶中已有一或多個組態，請先選擇**程式庫**索引標籤或**組態**區段中的**建立**按鈕，以檢視卡。
1. 對於 **Configuration name** (組態名稱)，請輸入名稱以協助識別修補程式政策。
1. 在 **Scanning and installation** (掃描和安裝) 區段的 **Patch operation** (修補程式操作) 下，選擇修補程式政策是要 **Scan** (掃描) 指定的目標，還是在指定目標上 **Scan and install** (掃描並安裝) 修補程式。
1. 在 **Scanning schedule** (掃描排程) 下，選擇 **Use recommended defaults** (使用建議的預設值) 或 **Custom scan schedule** (自訂掃描排程)。預設的掃描排程每天會在凌晨 1 點 (UTC) 掃描您的目標。
+ 如果您選擇 **Custom scan schedule** (自訂掃描排程)，則請選取 **Scanning frequency** (掃描頻率)。
+ 如果您選擇 **Daily** (每日)，則請輸入您要掃描目標的時間 (UTC)。
+ 如果您選擇 **Custom CRON Expression** (自訂 CRON 運算式)，則請將排程輸入為 **CRON expression** (CRON 運算式)。如需有關格式化 Systems Manager 的 CRON 運算式的詳細資訊，請參閱 [參考：Systems Manager 的 Cron 和 Rate 運算式](reference-cron-and-rate-expressions.md)。
此外，請選取 **Wait to scan targets until first CRON interval** (等待掃描目標，直到第一個 CRON 間隔為止)。依預設，Patch Manager 會在節點變為目標時立即進行掃描。
1. 如果您選擇 **Scan and install** (掃描並安裝)，則請選擇將修補程式安裝到指定目標時要使用的 **Installation schedule** (安裝排程)。如果您選擇 **Use recommended defaults** (使用建議的預設值)，則 Patch Manager 每週會在星期日凌晨 2 點 (UTC) 安裝修補程式。
+ 如果您選擇 **Custom install schedule** (自訂安裝排程)，請選取 **Installation Frequency** (安裝頻率)。
+ 如果您選擇 **Daily** (每日)，請輸入您要在目標上安裝更新的時間 (UTC)。
+ 如果您選擇 **Custom CRON expression** (自訂 CRON 運算式)，請將排程輸入為 **CRON expression** (CRON 運算式)。如需有關格式化 Systems Manager 的 CRON 運算式的詳細資訊，請參閱 [參考：Systems Manager 的 Cron 和 Rate 運算式](reference-cron-and-rate-expressions.md)。
此外，請清除 **Wait to install updates until first CRON interval** (等待安裝更新，直到第一個 CRON 間隔)，以便在節點變為目標時立即在節點上安裝更新。依預設，Patch Manager 會等到第一個 CRON 間隔才能安裝更新。
+ 請選擇 **Reboot if needed** (必要時重新啟動)，在安裝修補程式之後重新啟動節點 建議在安裝後重新啟動，但可能會導致可用性問題。
1. 在 **Patch baseline** (修補基準) 中，選擇掃描和更新目標時要使用的修補基準。
依預設，Patch Manager 會使用預先定義的修補基準。如需詳細資訊，請參閱[預先定義的基準](patch-manager-predefined-and-custom-patch-baselines.md#patch-manager-baselines-pre-defined)。
如果您選擇**自訂修補程式基準**，請變更您不想使用預先定義修補程式基準之作業系統的所選 AWS 修補程式基準。
**注意**
如果您使用 VPC 端點連線至 Systems Manager，請確保您的 S3 VPC 端點政策允許存取該 S3 儲存貯體。如需詳細資訊，請參閱[適用於修補程式政策 S3 儲存貯體的許可](#patch-policy-s3-bucket-permissions)。
**重要**
如果您在 Quick Setup 中使用[修補程式政策組態](patch-manager-policies.md)，則您對自訂修補基準所做的更新會每小時與 Quick Setup 同步一次。
如果刪除修補程式政策中參照的自訂修補基準，則修補程式政策的 Quick Setup **Configuration details** (組態詳細資訊) 頁面上會顯示橫幅。此橫幅會通知您修補程式政策參照修補基準不再存在，而後續的修補操作將會失敗。在此情況下，請返回到 Quick Setup **Configurations** (組態) 頁面，選取 Patch Manager 組態，然後選擇 **Actions** (動作)、**Edit configuration** (編輯組態)。刪除的修補基準名稱會反白顯示，您必須為受影響的作業系統選取新的修補基準。
1. (選用) 在 **Patching log storage** (修補日誌存放區) 區段中，選取 **Write output to S3 bucket** (將輸出寫入 S3 儲存貯體) 以將修補程式操作日誌存放在 Amazon S3 儲存貯體中。
**注意**
如果您要為組織設定修補程式政策，則組織的管理帳戶必須至少擁有此儲存貯體的唯讀許可。政策中包含的所有組織單位都必須擁有該儲存貯體的寫入存取權。如需有關授予儲存貯體存取權給不同帳戶的資訊，請參閱《Amazon Simple Storage Service 使用者指南》**中的[範例 2：儲存貯體擁有者授予跨帳戶儲存貯體許可](https://docs.aws.amazon.com/AmazonS3/latest/userguide/example-walkthroughs-managing-access-example2.html)。
1. 選擇**瀏覽 S3** 以選取要儲存修補程式日誌輸出的儲存貯體。管理帳戶必須擁有此儲存貯體的讀取存取權。在 **Targets** (目標) 區段中設定的所有非管理帳戶和目標都必須擁有對所提供的 S3 儲存貯體的寫入存取權以進行記錄。
1. 在 **Targets** (目標) 區段中，選擇下列其中一個選項，以識別此修補程式政策操作的帳戶和區域。
**注意**
如果您使用單一帳戶，則無法使用組織和組織單位 (OU) 的選項。您可以選擇是要將此組態套用至帳戶中的所有 AWS 區域 ，還是僅套用至您選擇的區域。
如果先前為帳戶指定了主區域，但尚未加入 Quick Setup 的新主控台體驗，則無法將該區域排除在**目標**組態之外。
+ **Entire organization** (整個組織) – 組織中的所有帳戶和區域。
+ **Custom** (自訂) – 僅您指定的 OU 與區域。
+ 在 **Target OUs** (目標 OU) 區段中，選取您要設定修補程式政策的 OU。
+ 在 **Target Regions** (目標區域) 區段中，選取您要套用修補程式政策的區域。
+ **Current account** (目前帳戶) – 只有您在目前登入的帳戶中指定的區域才會成為目標。選擇下列其中一項：
+ **Current Region** (目前區域) – 只有在主控台中選取的區域中的受管節點才能成為目標。
+ **Choose Regions** (選擇區域) – 選擇要套用修補程式政策的個別區域。
1. 對於 **Choose how you want to target instances** (選擇將執行個體設為目標的方式)，選擇下列其中一個選項：
+ **All managed nodes** (所有受管節點) – 所選 OU 與區域中的所有受管節點。
+ **Specify the resource group** (指定資源群組) – 從清單中選擇資源群組的名稱，將其關聯資源設為目標。
**注意**
目前，只有單一帳號組態支援選取資源群組。若要修補多個帳戶中的資源，請選擇不同的鎖定目標選項。
+ **Specify a node tag** (指定節點標籤) – 僅在您將其設為目標的所有帳戶和區域中修補標記有您指定之金鑰值對的節點。
+ **Manual** (手動) – 從清單中手動選擇所有指定帳號和區域中的受管節點。
**注意**
此選項目前僅支援 Amazon EC2 執行個體。您可以在修補程式政策組態中手動新增最多 25 個執行個體。
1. 在 **Rate control** (速率控制) 區段中，執行下列操作：
+ 針對 **Concurrency** (並行)，輸入要同時執行修補程式政策的節點數目或百分比。
+ 針對 **Error threshold** (錯誤閾值)，輸入修補程式政策失敗之前可能會發生錯誤的節點數目或百分比。
1. (選用) 選取**將必要的 IAM 政策新增至連接至執行個體的現有執行個體設定檔**核取方塊。
此選項會將此 Quick Setup 組態建立的 IAM 政策套用至已連接執行個體設定檔 (EC2 執行個體) 或服務角色的節點 (啟用混合模式節點)。當您的受管節點已連接執行個體設定檔或服務角色時，建議選取此選項，但其不包含使用 Systems Manager 所需的所有許可。
您在此選取的項目會套用至稍後在帳戶和區域 (其會套用此修補程式政策組態) 中建立的受管節點。
**重要**
如果您未選取此核取方塊，但想要 Quick Setup 使用此修補程式政策修補受管節點，則必須執行下列動作：
將存取為修補程式政策建立之 S3 儲存貯體的許可新增至 [IAM 執行個體設定檔](setup-instance-permissions.md)或 [IAM 服務角色](hybrid-multicloud-service-role.md)
使用特定的鍵值對標記您的 IAM 執行個體設定檔或 IAM 服務角色。
如需相關資訊，請參閱[情況 1：將您自己的而不是由 Quick Setup 提供的執行個體設定檔或服務角色連接至受管節點](#patch-policy-instance-profile-service-role)。
1. 選擇**建立**。
若要在建立修補程式政策之後檢閱修補狀態，您可以從 [https://console.aws.amazon.com/systems-manager/quick-setup](https://console.aws.amazon.com/systems-manager/quick-setup) 頁面存取組態。