Service-Software-Updates in Amazon OpenSearch Service

Anmerkung

Erläuterungen zu den Änderungen und Ergänzungen, die in jedem größeren (nicht Patch-) Service-Software-Update vorgenommen wurden, finden Sie in den Versionshinweisen.

Amazon OpenSearch Service veröffentlicht regelmäßig Service-Software-Updates, die Funktionen hinzufügen oder Ihre Domains anderweitig verbessern. Das Feld Notifications (Benachrichtigungen) in der Konsole ist der einfachste Weg, um festzustellen, ob ein Update verfügbar ist oder um den Status eines Updates zu überprüfen. Jede Benachrichtigung enthält Details zum Service-Software-Update. Alle Service-Softwareupdates verwenden Blau/Grün-Bereitstellungen, um Ausfallzeiten zu minimieren.

Service-Software-Updates unterscheiden sich von OpenSearch Versions-Upgrades. Informationen zum Upgrade auf eine neuere Version von finden Sie OpenSearchunter Aktualisieren von Amazon- OpenSearch Service-Domains.

Optionale und erforderliche Updates

OpenSearch Der Service verfügt über zwei große Kategorien von Service-Software-Updates:

Optionale Updates

Optionale Service-Software-Updates enthalten im Allgemeinen Verbesserungen und Unterstützung für neue Funktionen oder Funktionen. Optionale Updates werden auf Ihren Domains nicht erzwungen und es gibt keine feste Frist, um sie zu installieren. Die Verfügbarkeit des Updates wird per E-Mail und Konsolenbenachrichtigung mitgeteilt. Sie können wählen, ob Sie das Update sofort anwenden oder es auf ein geeigneteres Datum und eine angemessenere Uhrzeit verschieben möchten. Sie können sie auch während des Zeitfensters außerhalb der Spitzenlast der Domain planen. Die meisten Softwareupdates sind optional.

Unabhängig davon, ob Sie ein Update planen oder nicht, aktualisiert OpenSearch Service Ihre Servicesoftware automatisch für Sie, wenn Sie eine Änderung an der Domain vornehmen, die eine Blau/Grün-Bereitstellung verursacht.

Sie können Ihre Domain so konfigurieren, dass optionale Updates außerhalb der Spitzenzeiten automatisch angewendet werden. Wenn diese Option aktiviert ist, wartet OpenSearch Service mindestens 13 Tage ab dem Zeitpunkt, an dem ein optionales Update verfügbar ist, und plant dann das Update nach 72 Stunden (drei Tagen). Sie erhalten eine Konsolenbenachrichtigung, wenn das Update geplant ist, und Sie können wählen, ob Sie es für einen späteren Zeitpunkt verschieben möchten.

Um automatische Softwareupdates zu aktivieren, wählen Sie Automatisches Softwareupdate aktivieren, wenn Sie Ihre Domain erstellen oder aktualisieren. Um dieselbe Einstellung mit der zu konfigurieren AWS CLI, legen true Sie --software-update-options beim Erstellen oder Aktualisieren Ihrer Domain auf fest.

Erforderliche Aktualisierungen

Zu den erforderlichen Service-Softwareupdates gehören im Allgemeinen kritische Sicherheitskorrekturen oder andere obligatorische Updates, um die kontinuierliche Integrität und Funktionalität Ihrer Domain sicherzustellen. Beispiele für erforderliche Updates sind Log4j Common Vulnerabilities and Exposures (CVEs) und die Durchsetzung von Instance Metadata Service Version 2 (IMDSv2). Die Anzahl der obligatorischen Updates in einem Jahr beträgt normalerweise weniger als drei.

OpenSearch Der Service plant diese Updates automatisch und benachrichtigt Sie 72 Stunden (drei Tage) vor der geplanten Aktualisierung per E-Mail und Konsolenbenachrichtigung. Sie können wählen, ob Sie das Update sofort anwenden oder es auf ein geeigneteres Datum und eine angemessenere Uhrzeit innerhalb des zulässigen Zeitrahmens verschieben möchten. Sie können sie auch im nächsten Zeitfenster außerhalb der Spitzenlast der Domäne planen. Wenn Sie keine Maßnahmen für ein erforderliches Update ergreifen und keine Domänenänderungen vornehmen, die eine Blau/Grün-Bereitstellung verursachen, kann OpenSearch Service das Update jederzeit innerhalb des Zeitfensters außerhalb der Spitzenlast der Domäne über die angegebene Frist (in der Regel 14 Tage nach Verfügbarkeit) hinaus initiieren.

Unabhängig davon, wann das Update geplant ist, aktualisiert OpenSearch Service Ihre Domain automatisch für Sie, wenn Sie eine Änderung an der Domain vornehmen, die eine Blau/Grün-Bereitstellung verursacht.

Patch-Updates

Bei Service-Softwareversionen, die mit „-P“ und einer Nummer enden, wie etwa R20211203-P4, handelt es sich um Patch-Versionen. Patches werden vermutlich Leistungsverbesserungen, kleinere Bugfixes und Behebungen von Sicherheitslücken oder Verbesserungen der Sicherheitslage beinhalten. Patch-Versionen enthalten keine neuen Funktionen oder bahnbrechenden Änderungen und haben im Allgemeinen keine direkten oder spürbaren Auswirkungen auf die Benutzer. Die Service-Software-Benachrichtigung informiert Sie darüber, ob eine Patch-Version optional oder obligatorisch ist.

Überlegungen

Beachten Sie beim Aktualisieren Ihrer Domain folgende Punkte:

• Durch die manuelle Aktualisierung Ihrer Domain können Sie die Vorteile neuer Funktionen schneller nutzen. Wenn Sie Aktualisieren wählen, platziert Service die Anforderung in einer Warteschlange und beginnt mit der Aktualisierung, wenn es Zeit hat. OpenSearch

• Wenn Sie ein Service-Software-Update initiieren, sendet OpenSearch Service eine Benachrichtigung, wenn das Update gestartet wird und wenn es abgeschlossen ist.

• Software-Updates verwenden Blau/Grün-Bereitstellungen, um Ausfallzeiten zu minimieren. Aktualisierungen können die dedizierten Hauptknoten eines Clusters vorübergehend belasten. Stellen Sie daher sicher, dass ausreichende Kapazität für den zugeordneten Overhead beibehalten wird.

• Aktualisierungen werden normalerweise innerhalb von Minuten abgeschlossen, können aber auch mehrere Stunden oder sogar Tage dauern, wenn Ihr System stark ausgelastet ist. Erwägen Sie, Ihre Domain während des konfigurierten Zeitfensters außerhalb der Spitzenlast zu aktualisieren, um lange Aktualisierungszeiträume zu vermeiden.

Starten eines Service-Software-Updates

Sie können ein Service-Software-Update über die OpenSearch Servicekonsole, die AWS CLIoder eines der SDKs anfordern.

Konsole

So fordern Sie ein Service-Software-Update an

1. Öffnen Sie die Amazon- OpenSearch Service-Konsole unter https://console.aws.amazon.com/aos/home.

2. Wählen Sie den Domänennamen aus, um dessen Konfiguration zu öffnen.

3. Wählen Sie Aktionen, Aktualisieren und eine der folgenden Optionen aus:

   • Update jetzt anwenden – plant sofort, dass die Aktion in der aktuellen Stunde ausgeführt wird, wenn Kapazität verfügbar ist. Wenn keine Kapazität verfügbar ist, stellen wir andere verfügbare Zeitfenster zur Auswahl zur Verfügung.

   • Planen Sie es im Out-Peak-Fenster – Nur verfügbar, wenn das Out-Peak-Fenster für die Domain aktiviert ist. Plant die Aktualisierung, die während des konfigurierten Zeitfensters außerhalb der Spitzenlast der Domain stattfindet. Es gibt keine Garantie dafür, dass das Update im nächsten unmittelbaren Zeitfenster durchgeführt wird. Abhängig von der Kapazität kann dies in nachfolgenden Tagen passieren. Weitere Informationen finden Sie unter Planen von Software-Updates in Zeiten außerhalb der Spitzenzeiten.

   • Zeitplan für ein bestimmtes Datum und eine bestimmte Uhrzeit – Plant die Aktualisierung für ein bestimmtes Datum und eine bestimmte Uhrzeit. Wenn die von Ihnen angegebene Zeit aus Kapazitätsgründen nicht verfügbar ist, können Sie einen anderen Zeitraum auswählen.

   Wenn Sie das Update für ein späteres Datum planen (innerhalb oder außerhalb des Zeitfensters außerhalb der Spitze der Domain), können Sie es jederzeit verschieben. Anweisungen finden Sie unter Neuplanung von Aktionen.

4. Wählen Sie Bestätigen aus.

AWS CLI

Senden Sie eine start-service-software-update AWS CLI Anfrage, um ein Service-Software-Update zu initiieren. In diesem Beispiel wird die Aktualisierung sofort zur Warteschlange hinzugefügt:

aws opensearch start-service-software-update \
  --domain-name my-domain \
  --schedule-at "NOW"

Antwort:

{
    "ServiceSoftwareOptions": {
        "CurrentVersion": "R20220928-P1",
        "NewVersion": "R20220928-P2",
        "UpdateAvailable": true,
        "Cancellable": true,
        "UpdateStatus": "PENDING_UPDATE",
        "Description": "",
        "AutomatedUpdateDate": "1969-12-31T16:00:00-08:00",
        "OptionalDeployment": true
    }
}

Tipp

Nachdem Sie ein Update angefordert haben, haben Sie ein kurzes Zeitfenster, in dem Sie es abbrechen können. Die Dauer dieses PENDING_UPDATE Zustands kann stark variieren und hängt von Ihrem AWS-Region und der Anzahl der gleichzeitigen Updates ab, die der OpenSearch Service durchführt. Um ein Update abzubrechen, verwenden Sie die -Konsole oder den -cancel-service-software-update AWS CLI Befehl.

Wenn die Anforderung mit einem fehlschlägtBaseException, bedeutet dies, dass die von Ihnen angegebene Zeit aus Kapazitätsgründen nicht verfügbar ist und Sie eine andere Zeit angeben müssen. OpenSearch Der Service bietet alternative verfügbare Slot-Vorschläge in der Antwort.

AWS SDKs

Dieses Python-Beispielskript verwendet die Methoden describe_domain und start_service_software_update aus dem , AWS SDK for Python (Boto3) um zu überprüfen, ob eine Domain für ein Service-Software-Update in Frage kommt, und startet in diesem Fall das Update. Sie müssen einen Wert für domain_name angeben.

import boto3
from botocore.config import Config
import time

# Build the client using the default credential configuration.
# You can use the CLI and run 'aws configure' to set access key, secret
# key, and default region.

my_config = Config(
    # Optionally lets you specify a Region other than your default.
    region_name='us-east-1'
)

domain_name = ''  # The name of the domain to check and update

client = boto3.client('opensearch', config=my_config)


def getUpdateStatus(client):
    """Determines whether the domain is eligible for an update"""
    response = client.describe_domain(
        DomainName=domain_name
    )
    sso = response['DomainStatus']['ServiceSoftwareOptions']
    if sso['UpdateStatus'] == 'ELIGIBLE':
        print('Domain [' + domain_name + '] is eligible for a service software update from version ' +
              sso['CurrentVersion'] + ' to version ' + sso['NewVersion'])
        updateDomain(client)
    else:
        print('Domain is not eligible for an update at this time.')


def updateDomain(client):
    """Starts a service software update for the eligible domain"""
    response = client.start_service_software_update(
        DomainName=domain_name
    )
    print('Updating domain [' + domain_name + '] to version ' +
          response['ServiceSoftwareOptions']['NewVersion'] + '...')
    waitForUpdate(client)


def waitForUpdate(client):
    """Waits for the domain to finish updating"""
    response = client.describe_domain(
        DomainName=domain_name
    )
    status = response['DomainStatus']['ServiceSoftwareOptions']['UpdateStatus']
    if status == 'PENDING_UPDATE' or status == 'IN_PROGRESS':
        time.sleep(30)
        waitForUpdate(client)
    elif status == 'COMPLETED':
        print('Domain [' + domain_name +
              '] successfully updated to the latest software version')
    else:
        print('Domain is not currently being updated.')

def main():
    getUpdateStatus(client)

Planen von Software-Updates in Zeiten außerhalb der Spitzenzeiten

Jede nach dem 16. Februar 2023 erstellte OpenSearch Service-Domain hat ein tägliches 10-Stunden-Fenster zwischen 22:00 Uhr und 8:00 Uhr Ortszeit, für die wir das außerhalb der Hauptverkehrszeit liegende Fenster in Betracht ziehen. OpenSearch Der Service verwendet dieses Fenster, um Service-Software-Updates für die Domain zu planen. Aktualisierungen außerhalb der Spitzenzeiten tragen dazu bei, die Belastung der dedizierten Hauptknoten eines Clusters während Zeiträumen mit höherem Datenverkehr zu minimieren. Der OpenSearch Service kann ohne Ihre Zustimmung keine Aktualisierungen außerhalb dieses 10-Stunden-Fensters initiieren.

• Für optional eUpdates benachrichtigt OpenSearch Service Sie über die Verfügbarkeit des Updates und fordert Sie auf, das Update in einem bevorstehenden Zeitfenster außerhalb der Spitzenzeiten zu planen.

• Für erforderliche Updates plant OpenSearch Service die Aktualisierung automatisch während eines bevorstehenden Zeitfensters außerhalb der Spitzenzeiten und benachrichtigt Sie drei Tage im Voraus. Sie können die Aktualisierung (für innerhalb oder außerhalb des Zeitfensters außerhalb der Spitzenlast) verschieben, jedoch nur innerhalb des erforderlichen Zeitrahmens, damit die Aktualisierung abgeschlossen werden kann.

Für jede Domain können Sie die Standardstartzeit um 22:00 Uhr mit einer benutzerdefinierten Zeit überschreiben. Anweisungen finden Sie unter Konfigurieren eines benutzerdefinierten Fensters außerhalb der Spitzenlast.

Konsole

So planen Sie ein Update während eines bevorstehenden Zeitfensters außerhalb der Spitzenzeiten

1. Öffnen Sie die Amazon- OpenSearch Service-Konsole unter https://console.aws.amazon.com/aos/home.

2. Wählen Sie den Domänennamen aus, um dessen Konfiguration zu öffnen.

3. Wählen Sie Aktionen, Aktualisieren.

4. Wählen Sie Planen im Fenster außerhalb der Spitzenzeiten aus.

5. Wählen Sie Bestätigen aus.

Sie können die geplante Aktion auf der Registerkarte Off-Peak-Fenster anzeigen und sie jederzeit neu planen. Siehe Anzeigen geplanter Aktionen.

CLI

Um ein Update während eines bevorstehenden Fensters außerhalb der Spitzenzeiten mit der zu planen AWS CLI, senden Sie eine -StartServiceSoftwareUpdateAnforderung und geben Sie OFF_PEAK_WINDOW für den ---schedule-atParameter an:

aws opensearch start-service-software-update \
  --domain-name my-domain \
  --schedule-at "OFF_PEAK_WINDOW"

Überwachen von Service-Software-Updates

OpenSearch Der Service sendet eine Benachrichtigung, wenn ein Service-Software-Update verfügbar, erforderlich, gestartet, abgeschlossen oder fehlgeschlagen ist. Sie können diese Benachrichtigungen im Bereich Benachrichtigungen der OpenSearch Servicekonsole anzeigen. Der Schweregrad der Benachrichtigung istInformational, wenn das Update optional ist undHigh wenn es erforderlich ist.

OpenSearch Der Service sendet auch Service-Softwareereignisse an Amazon EventBridge. Sie können verwenden, EventBridge um Regeln zu konfigurieren, die eine E-Mail senden oder eine bestimmte Aktion ausführen, wenn ein Ereignis empfangen wird. Ein Beispiel-Walkthrough finden Sie unte Tutorial: Senden von Amazon-SNS-Warnungen für verfügbare Softwareupdates.

Informationen zum Format der einzelnen Service-Software-Ereignisse, die an Amazon gesendet werden EventBridge, finden Sie unter Aktualisieren der Software.

Wenn Domains nicht für ein Update in Frage kommen

Ihre Domain ist für ein Service-Software-Update nicht berechtigt, wenn sie sich in einem der folgenden Zustände befindet:

Status	Beschreibung
Domain in Verarbeitung	Die Domain befindet sich in der Mitte einer Konfigurationsänderung. Überprüfen Sie die Update-Berechtigung, nachdem die Operation abgeschlossen ist.
Roter Cluster-Status	Ein oder mehrere Indizes im Cluster sind rot. Fehlerbehandlungsschritte finden Sie unter Roter Cluster-Status.
Hohe Fehlerrate	Der OpenSearch Cluster gibt eine große Anzahl von 5xx-Fehlern zurück, wenn er versucht, Anfragen zu verarbeiten. Dieses Problem ist in der Regel das Ergebnis zu vieler gleichzeitiger Lese- oder Schreibanforderungen. Erwägen Sie, den Datenverkehr zu dem Cluster zu reduzieren oder Ihre Domain zu skalieren.
Split brain	Split brain bedeutet, dass Ihr OpenSearch Cluster über mehr als einen Hauptknoten verfügt und sich in zwei Cluster aufgeteilt hat, die sich nicht von selbst wieder hinzufügen. Sie können split brain vermeiden, indem Sie die empfohlene Anzahl der dedizierten Hauptknoten verwenden. Für Hilfe zur Wiederherstellung von split brain wenden Sie sich an AWS Support.
Problem mit der Amazon Cognito Integration	Ihre Domain verwendet die Authentifizierung für OpenSearch Dashboards und OpenSearch der Service kann keine oder mehrere Amazon Cognito-Ressourcen finden. Dieses Problem tritt in der Regel auf, wenn der Amazon-Cognito-Benutzerpool fehlt. Um das Problem zu beheben, erstellen Sie die fehlende Ressource neu und konfigurieren Sie die OpenSearch Service-Domain für ihre Verwendung.
Andere -Service-Probleme	Probleme mit dem OpenSearch Service selbst können dazu führen, dass Ihre Domain als nicht für ein Update berechtigt angezeigt wird. Wenn keine der vorangehenden Bedingungen für Ihre Domain gelten und das Problem mehr als einen Tag bestehen bleibt, wenden Sie sich bitte an AWS Support.