Mengidentifikasi node terkelola yang tidak sesuai

O node ut-of-compliance terkelola diidentifikasi ketika salah satu dari dua AWS Systems Manager dokumen (dokumen SSM) dijalankan. Dokumen-dokumen SSM ini mereferensikan baseline patch yang sesuai untuk setiap node terkelolaPatch Manager, kemampuan. AWS Systems Manager Mereka kemudian mengevaluasi status patch dari node terkelola dan kemudian membuat hasil kepatuhan tersedia untuk Anda.

Ada dua dokumen SSM yang digunakan untuk mengidentifikasi atau memperbarui node terkelola yang tidak sesuai: dan. AWS-RunPatchBaseline AWS-RunPatchBaselineAssociation Masing-masing digunakan oleh proses yang berbeda, dan hasil kepatuhan mereka tersedia melalui saluran yang berbeda. Tabel berikut ini menguraikan perbedaan antara dokumen-dokumen ini.

catatan

Data kepatuhan tambalan dari Patch Manager dapat dikirim keAWS Security Hub. Security Hub memberi Anda pandangan komprehensif tentang pemberitahuan keamanan prioritas tinggi dan status kepatuhan Anda. Hub juga memantau status patching armada Anda. Untuk informasi selengkapnya, lihat Integrasi dengan Patch ManagerAWS Security Hub.

	AWS-RunPatchBaseline	AWS-RunPatchBaselineAssociation
Proses yang menggunakan dokumen	Patch on demand - Anda dapat memindai atau menambal node yang dikelola sesuai permintaan menggunakan opsi Patch now. Untuk informasi, lihat Menambal node terkelola sesuai permintaan. Kebijakan Quick Setup patch Systems Manager — Anda dapat membuat konfigurasi tambalanQuick Setup, kemampuanAWS Systems Manager, yang dapat memindai atau menginstal tambalan yang hilang pada jadwal terpisah untuk seluruh organisasi, subset unit organisasi, atau satu. Akun AWS Untuk informasi, lihat Konfigurasikan penambalan untuk instance dalam organisasi. Jalankan perintah — Anda dapat menjalankan AWS-RunPatchBaseline secara manual dalam operasi diRun Command, kemampuanAWS Systems Manager. Untuk informasi, lihat Menjalankan perintah dari konsol. Jendela pemeliharaan - Anda dapat membuat jendela pemeliharaan yang menggunakan dokumen SSM AWS-RunPatchBaseline dalam tipe Run Command tugas. Untuk informasi, lihat Walkthrough: Membuat jendela pemeliharaan untuk menambal (konsol).	Manajemen Quick Setup Host Systems Manager — Anda dapat mengaktifkan opsi konfigurasi Manajemen Host Quick Setup untuk memindai instans terkelola untuk kepatuhan patch setiap hari. Untuk informasi, lihat Siapkan manajemen EC2 host Amazon. Systems Manager Explorer— Bila Anda mengizinkanExplorer, kemampuanAWS Systems Manager, itu secara teratur memindai instans terkelola Anda untuk kepatuhan patch dan hasil laporan di dasbor. Explorer
Format data hasil pemindaian patch	Setelah AWS-RunPatchBaseline berjalan, Patch Manager mengirimkan AWS:PatchSummary objek ke Inventory, kemampuanAWS Systems Manager.	Setelah AWS-RunPatchBaselineAssociation berjalan, Patch Manager mengirimkan AWS:ComplianceItem objek ke Systems Manager Inventory.
Melihat laporan kepatuhan patch di konsol	Anda dapat melihat informasi kepatuhan patch untuk proses yang menggunakan AWS-RunPatchBaseline dalam Kepatuhan Konfigurasi Systems Manager dan Bekerja dengan node terkelola. Untuk informasi selengkapnya, lihat Melihat hasil kepatuhan patch.	Jika digunakan Quick Setup untuk memindai instans terkelola untuk kepatuhan tambalan, Anda dapat melihat laporan kepatuhan di Systems Manager State Manager, yang dapat diakses menggunakan tombol Lihat hasil diQuick Setup. Jika Anda menggunakannya Explorer untuk memindai instans terkelola untuk kepatuhan tambalan, Anda dapat melihat laporan kepatuhan di keduanya Explorer dan Systems Manager OpsCenter.
Perintah AWS CLI untuk melihat hasil kepatuhan patch	Untuk proses yang digunakanAWS-RunPatchBaseline, Anda dapat menggunakan AWS CLI perintah berikut untuk melihat informasi ringkasan tentang tambalan pada node terkelola. describe-instance-patch-states describe-instance-patch-states-for-patch-group describe-patch-group-state	Untuk proses yang menggunakan AWS-RunPatchBaselineAssociation, Anda dapat menggunakan perintah AWS CLI berikut ini untuk melihat informasi ringkasan tentang patch pada sebuah instans. list-compliance-items
Operasi patching	Untuk proses yang menggunakan AWS-RunPatchBaseline, Anda menentukan apakah Anda ingin operasi untuk menjalankan operasi Scan saja, atau operasi Scan and install. Jika tujuan Anda adalah mengidentifikasi node terkelola yang tidak sesuai dan tidak memperbaikinya, jalankan hanya operasi. Scan	Quick Setupdan Explorer proses, yang menggunakanAWS-RunPatchBaselineAssociation, hanya menjalankan Scan operasi.
Info selengkapnya	Tentang AWS-RunPatchBaseline SSM dokumen	Tentang AWS-RunPatchBaselineAssociation SSM dokumen

Untuk informasi tentang berbagai keadaan kepatuhan patch yang mungkin Anda lihat dilaporkan, lihat Memahami nilai keadaan kepatuhan patch

Untuk informasi tentang remediasi node terkelola yang tidak sesuai dengan patch, lihatMenambal node terkelola yang tidak sesuai.