Utilizzo del BaselineOverride parametro

È possibile definire le preferenze di applicazione delle patch in fase di esecuzione utilizzando la funzionalità di sostituzione della linea di base inPatch Manager, una funzionalità di. AWS Systems Manager Per farlo, specificare un bucket Amazon Simple Storage Service (Amazon S3) contenente un oggetto JSON con un elenco delle basi di patch. L'operazione di applicazione delle patch utilizza le baseline fornite nell'oggetto JSON che corrispondono al sistema operativo host anziché applicare le regole dalla base di patch predefinita.

Nota

Tranne quando un'operazione di patching utilizza una policy di patch, l'utilizzo del BaselineOverride parametro non sovrascrive la conformità delle patch della linea di base fornita nel parametro. I risultati di output vengono registrati nei log di Stdout da, una funzionalità di. Run Command AWS Systems Manager I risultati stampano solo i pacchetti contrassegnati come NON_COMPLIANT. Ciò significa che il pacchetto è contrassegnato come Missing, Failed, InstalledRejected, oppure InstalledPendingReboot.

Tuttavia, quando un'operazione di patch utilizza una policy di patch, il sistema passa il parametro override dal bucket S3 associato e il valore di conformità viene aggiornato per il nodo gestito. Per ulteriori informazioni sui comportamenti delle policy relative alle patch, consulta. Utilizzo delle policy di patch di Quick Setup

Utilizzo dell'override della base di patch con i parametri Id snapshot o Install Override List

Esistono due casi in cui l'override della base di patch ha un comportamento degno di nota.

Utilizzo simultaneo dell'override della baseline e dell'ID snapshot

Gli ID snapshot assicurano che tutti i nodi gestiti di un particolare comando di applicazione delle patch applichino tutte la stessa cosa. Ad esempio, se si esegue la patch di 1.000 nodi contemporaneamente, le patch saranno le stesse.

Quando si utilizzano sia un ID snapshot che un'override della base di patch, l'ID snapshot ha la precedenza sull'override della base di patch. Le regole di sostituzione della baseline verranno comunque utilizzate, ma verranno valutate una sola volta. Nell'esempio precedente, le patch tra i 1.000 nodi gestiti saranno sempre le stesse. Se, a metà dell'operazione di applicazione di patch, è stato modificato il file JSON nel bucket S3 di riferimento per essere diverso, le patch applicate saranno comunque le stesse. Questo perché è stato fornito l'ID snapshot.

Utilizzo simultaneo di override della baseline e Install Override List

Non puoi utilizzare questi due parametri nello stesso momento. Il documento di applicazione delle patch non va a buon fine se vengono forniti entrambi i parametri e non esegue alcuna scansione o installazione nel nodo gestito.

Esempi di codice

Il seguente esempio di codice per Python mostra come generare l'override della base di patch.

import boto3
import json

ssm = boto3.client('ssm')
s3 = boto3.resource('s3')
s3_bucket_name = 'my-baseline-override-bucket'
s3_file_name = 'MyBaselineOverride.json'
baseline_ids_to_export = ['pb-0000000000000000', 'pb-0000000000000001']

baseline_overrides = []
for baseline_id in baseline_ids_to_export:
    baseline_overrides.append(ssm.get_patch_baseline(
        BaselineId=baseline_id
    ))

json_content = json.dumps(baseline_overrides, indent=4, sort_keys=True, default=str)
s3.Object(bucket_name=s3_bucket_name, key=s3_file_name).put(Body=json_content)

Ciò produce un'override della base di patch simile alla seguente.

[
    {
        "ApprovalRules": {
            "PatchRules": [
                {
                    "ApproveAfterDays": 0, 
                    "ComplianceLevel": "UNSPECIFIED", 
                    "EnableNonSecurity": false, 
                    "PatchFilterGroup": {
                        "PatchFilters": [
                            {
                                "Key": "PRODUCT", 
                                "Values": [
                                    "*"
                                ]
                            }, 
                            {
                                "Key": "CLASSIFICATION", 
                                "Values": [
                                    "*"
                                ]
                            }, 
                            {
                                "Key": "SEVERITY", 
                                "Values": [
                                    "*"
                                ]
                            }
                        ]
                    }
                }
            ]
        }, 
        "ApprovedPatches": [], 
        "ApprovedPatchesComplianceLevel": "UNSPECIFIED", 
        "ApprovedPatchesEnableNonSecurity": false, 
        "GlobalFilters": {
            "PatchFilters": []
        }, 
        "OperatingSystem": "AMAZON_LINUX_2", 
        "RejectedPatches": [], 
        "RejectedPatchesAction": "ALLOW_AS_DEPENDENCY", 
        "Sources": []
    }, 
    {
        "ApprovalRules": {
            "PatchRules": [
                {
                    "ApproveUntilDate": "2021-01-06", 
                    "ComplianceLevel": "UNSPECIFIED", 
                    "EnableNonSecurity": true, 
                    "PatchFilterGroup": {
                        "PatchFilters": [
                            {
                                "Key": "PRODUCT", 
                                "Values": [
                                    "*"
                                ]
                            }, 
                            {
                                "Key": "CLASSIFICATION", 
                                "Values": [
                                    "*"
                                ]
                            }, 
                            {
                                "Key": "SEVERITY", 
                                "Values": [
                                    "*"
                                ]
                            }
                        ]
                    }
                }
            ]
        }, 
        "ApprovedPatches": [
            "open-ssl*"
        ], 
        "ApprovedPatchesComplianceLevel": "UNSPECIFIED", 
        "ApprovedPatchesEnableNonSecurity": false, 
        "GlobalFilters": {
            "PatchFilters": []
        }, 
        "OperatingSystem": "CENTOS", 
        "RejectedPatches": [
            "python*"
        ], 
        "RejectedPatchesAction": "ALLOW_AS_DEPENDENCY", 
        "Sources": []
    }
]