À propos des groupes de correctifs

Important

Les groupes de correctifs ne sont pas utilisés dans les opérations d'application de correctifs basées sur des politiques de correctifs. Pour obtenir des informations sur l'utilisation des politiques de correctifs, consultez la rubrique Utilisation des stratégies de correctifs Quick Setup.

Vous pouvez utiliser un groupe de correctifs pour associer des nœuds gérés à un référentiel de correctifs spécifique dans la fonctionnalité Patch Manager d'AWS Systems Manager. Les groupes de correctifs vous permettent de vous assurer que vous déployez les correctifs appropriés, conformément aux règles de référentiel de correctifs associées, pour le groupe de nœuds adéquat. Les groupes de correctifs peuvent également vous aider à éviter le déploiement de correctifs avant qu'ils aient été testés correctement. Par exemple, vous pouvez créer des groupes de correctifs pour différents environnements (par exemple, développement, test ou production) et enregistrer chaque groupe de correctifs dans un référentiel de correctifs appropriée.

Lorsque vous exécutez AWS-RunPatchBaseline, vous pouvez cibler les nœuds gérés à l'aide de leur ID ou de leurs balises. SSM Agent et Patch Manager déterminent alors quel est le référentiel de correctifs à utiliser en fonction de la valeur de groupe de correctifs que vous avez ajoutée au nœud géré.

Vous créez un groupe de correctifs en utilisant des balises Amazon Elastic Compute Cloud (Amazon EC2). Contrairement à d'autres scénarios de balisage dans Systems Manager, un groupe de correctifs doit être défini avec la clé de balise Patch Group ou PatchGroup. La clé est sensible à la casse. Vous pouvez spécifier n'importe quelle valeur pour vous aider à identifier et à cibler les ressources de ce groupe, par exemple « serveurs web » ou « US-EAST-PROD », cependant la clé doit être Patch Group ou PatchGroup.

Après avoir créé un groupe de correctifs et attribué des balises aux nœuds gérés, vous pouvez enregistrer le groupe de correctifs auprès d'un référentiel de correctifs. L'enregistrement du groupe de correctifs auprès d'un référentiel de correctifs garantit que les nœuds du groupe de correctifs utiliseront les règles définies dans le référentiel de correctifs associé.

Pour de plus amples informations sur la création d'un groupe de correctifs et son association à un référentiel de correctifs, consultez Utilisation des groupes de correctifs et Ajout d'un groupe de correctifs à un référentiel de correctifs.

Pour voir un exemple de création d'un référentiel de correctifs et de groupes de correctifs à l'aide de l'AWS Command Line Interface (AWS CLI), consultez Didacticiel : application de correctifs à un environnement de serveur (AWS CLI). Pour plus d'informations sur les balises Amazon EC2, consultez Balisage de vos ressources Amazon EC2 dans le Guide de l'utilisateur Amazon EC2 pour les instances Linux.

Comment ça marche

Lorsque le système applique un référentiel de correctifs à un nœud géré, SSM Agent vérifie si une valeur de groupe de correctifs est définie pour le nœud. Si le nœud est attribué à un groupe de correctifs, Patch Manager vérifie alors quel référentiel de correctifs est enregistré pour ce groupe. S'il existe un référentiel de correctifs pour ce groupe, Patch Manager demande à l'SSM Agent de l'utiliser. Si un nœud n'est attribué à aucun groupe de correctifs, Patch Manager demande automatiquement à SSM Agent d'utiliser le référentiel de correctifs par défaut.

Important

Un nœud géré ne peut appartenir qu'à un seul groupe de correctifs.

Un groupe de correctifs peut être enregistré avec un seule référentiel de correctifs pour chaque type de système d'exploitation.

Vous ne pouvez pas appliquer la Patch Group balise (avec un espace) à une instance Amazon EC2 si l'option Autoriser les balises dans les métadonnées d'instance est activée sur celle-ci. L'autorisation des identifications dans les métadonnées d'instance empêche les noms de clés d'identification de contenir des espaces. Si vous avez autorisé les balises dans les métadonnées des instances EC2, vous devez utiliser la clé de la balise PatchGroup (sans espace).

Le schéma suivant illustre un exemple général des processus exécutés par Systems Manager lors de l'envoi à votre parc de serveurs d'une tâche Run Command d'application de correctifs à l'aide du Patch Manager. Un processus similaire est utilisé lorsqu'une fenêtre de maintenance est configurée pour envoyer une commande d'application de correctifs à l'aide du Patch Manager.

Cet exemple illustre trois groupes d'instances EC2 pour Windows Server avec les balises suivantes appliquées :

Groupe d'instances EC2	Étiquettes
Groupe 1	key=OS,value=Windows key=PatchGroup,value=DEV
Groupe 2	key=OS,value=Windows
Groupe 3	key=OS,value=Windows key=PatchGroup,value=QA

Dans cet exemple, nous avons également ces deux référentiels de correctifs Windows Server :

ID de référence de correctif	Par défaut	Groupe de correctifs associé
pb-0123456789abcdef0	Oui	Default
pb-9876543210abcdef0	Non	DEV

Diagramme 1 : Exemple général de flux de processus d'opérations d'application de correctifs

Le schéma suivant montre comment Patch Manager détermine les référentiel de correctifs utiliser dans les opérations d'application de correctifs.

La procédure générale d'analyse ou d'installation des correctifs à l'aide de Run Command, une des fonctionnalités de AWS Systems Manager et de Patch Manager se présente comme suit :

1. Envoi d'une commande de correctif : utilisez la console Systems Manager, le kit SDK, l'AWS Command Line Interface (AWS CLI) ou AWS Tools for Windows PowerShell pour envoyer une tâche Run Command à l'aide du document AWS-RunPatchBaseline. Le diagramme illustre une tâche Run Command d'application de correctifs aux instances gérées en ciblant la balise key=OS,value=Windows.

2. Détermination du référentiel de correctifs : SSM Agent vérifie les balises de groupe de correctifs appliquées à l'instance EC2 et interroge Patch Manager concernant le référentiel de correctifs correspondante.

   • Mise en correspondance de la valeur du groupe de correctifs associée avec le référentiel de correctifs:

     1. L'SSM Agent, qui est installé sur les instances EC2 dans un groupe, reçoit la commande émise à l'étape 1 lui indiquant de lancer une opération d'application de correctifs. L'SSM Agent vérifie que la valeur-balise de groupe de correctifs appliquée aux instances EC2 est DEV et interroge Patch Manager concernant le référentiel de correctifs associée.

     2. Patch Manager vérifie que le référentiel de correctifs pb-9876543210abcdef0 est associée au groupe de correctifs DEV et informe l'SSM Agent.

     3. L'SSM Agent récupère un instantané de référentiel de correctifs depuis Patch Manager en fonction des règles d'approbation et des exceptions configurées dans pb-9876543210abcdef0, puis passe à l'étape suivante.

   • Aucune balise de groupe de correctifs n'est ajoutée à l'instance :

     1. SSM Agent, qui est installé sur les instances EC2 du groupe deux, reçoit la commande émise à l'étape 1 pour commencer une opération de correction. SSM Agent valide que les instances EC2 n'ont pas de balise Patch Group ou PatchGroup appliquée et, par conséquent, SSM Agent demande Patch Manager la ligne de base de correction Windows par défaut.

     2. Patch Manager vérifie que le référentiel de correctifs Windows Server par défaut est pb-0123456789abcdef0 et en avertit l'SSM Agent.

     3. L'SSM Agent récupère un instantané de référentiel de correctifs depuis Patch Manager en fonction des règles d'approbation et des exceptions configurées dans le référentiel de correctifs par défaut pb-0123456789abcdef0, puis passe à l'étape suivante.

   • Aucune valeur de groupe de correctifs correspondante n'est associée à un référentiel de correctifs:

     1. L'SSM Agent, qui est installé sur les instances EC2 du groupe trois, reçoit la commande émise à l'étape 1 lui indiquant de lancer une opération d'application de correctifs. L'SSM Agent vérifie que la valeur-balise de groupe de correctifs appliquée aux instances EC2 est QA et interroge Patch Manager concernant le référentiel de correctifs associée.

     2. Patch Manager ne trouve aucun référentiel de correctifs associée au groupe QA.

     3. Patch Manager demande à l'SSM Agent d'utiliser le référentiel de correctifs Windows par défaut pb-0123456789abcdef0.

     4. L'SSM Agent récupère un instantané de référentiel de correctifs depuis Patch Manager en fonction des règles d'approbation et des exceptions configurées dans le référentiel de correctifs par défaut pb-0123456789abcdef0, puis passe à l'étape suivante.

3. Recherche ou installation des correctifs : Après avoir déterminé le référentiel de correctifs appropriée à utiliser, l'SSM Agent commence à rechercher ou à installer les correctifs en fonction de la valeur d'opération spécifiée à l'étape 1. Les correctifs qui sont recherchés ou installés sont déterminés par les règles d'approbation et les exceptions de correctifs définies dans l'instantané de référentiel de correctifs fourni par Patch Manager.

Plus d'informations

• Comprendre les valeurs d'état de conformité des correctifs