SSM ドキュメント AWS-RunPatchBaseline について - AWS Systems Manager

SSM ドキュメント AWS-RunPatchBaseline について

AWS Systems Manager がサポートするパッチマネージャーの SSM ドキュメント AWS-RunPatchBaseline では、セキュリティ関連および他のタイプの更新の両方について、インスタンスにセキュリティパッチを適用します。ドキュメントを実行すると、オペレーティングシステムタイプの「デフォルト」として現在指定されているパッチベースラインが使用されます。ドキュメント AWS-RunPatchBaseline を使用して、オペレーティングシステムとアプリケーションの両方にパッチを適用することができます。(Windows では、アプリケーションのサポートは、Microsoft アプリケーションの更新に制限されています。)

このドキュメントでは、Linux と Windows の両方のインスタンスをサポートしています。ドキュメントは、プラットフォーム別に適切なアクションを実行します。

注記

パッチマネージャーは、レガシーの SSM ドキュメント [AWS-ApplyPatchBaseline] もサポートしています。ただし、このドキュメントが対応するのは Windows インスタンスのみです。AWS-RunPatchBaseline を使用するようお勧めします。このドキュメントは、Linux と Windows の両方のインスタンスへのパッチ適用に対応しているためです。[AWS-RunPatchBaseline] ドキュメントを使用するには、バージョン 2.0.834.0 以降の SSM エージェント が必要です。

Windows

Windows Server インスタンスの場合、AWS-RunPatchBaseline ドキュメントは、PowerShell モジュールをダウンロードして呼び出します。これに伴って、インスタンスに適用するパッチベースラインのスナップショットがダウンロードされます。このパッチベースラインのスナップショットは、Windows Update API に渡され、ここで承認済みパッチのダウンロードとインストールが適切に制御されます。

Linux

Linux インスタンスの場合、AWS-RunPatchBaseline ドキュメントは、Python モジュールを呼び出します。これに伴って、インスタンスに適用するパッチベースラインのスナップショットがダウンロードされます。このパッチベースラインのスナップショットは、定義済みルールと、承認済みパッチおよび拒否済みパッチのリストを使用し、インスタンスタイプ別に適切なパッケージマネージャーを設定します。

  • Amazon Linux、Amazon Linux 2、CentOS、Oracle Linux、および RHEL 7 インスタンスでは YUM が使用されます。YUM オペレーションの場合、Patch Manager には Python 2.6 以降が必要です。

  • RHEL 8 インスタンスでは APT が使用されます。DNF オペレーションの場合、パッチマネージャーには Python 2 または Python 3 が必要です。(どちらのバージョンも RHEL 8 にはデフォルトでインストールされていません。どちらか一方を手動でインストールする必要があります。)

  • Debian および Ubuntu Server インスタンスは APT を使用します。APT オペレーションの場合、Patch Manager には Python 3 が必要です。

  • SUSE Linux Enterprise Server インスタンスは Zypper を使用します。Zypper オペレーションでは、パッチマネージャーには Python 2.6 以降が必要です。

すべての承認済み更新と該当する更新がインストールされ、必要に応じて再起動されると、パッチコンプライアンス情報がインスタンスで生成されて Patch Manager にレポートされます。

注記

AWS-RunPatchBaseline ドキュメントで RebootOption パラメータが NoReboot に設定されている場合、パッチマネージャーの実行後にインスタンスは再起動されません。詳細については、「パラメータ名: RebootOption」を参照してください。

パッチコンプライアンスデータの表示方法については、「パッチコンプライアンスについて」を参照してください。

AWS-RunPatchBaseline のパラメータ

AWS-RunPatchBaseline は 4 つのパラメータをサポートしています。Operation パラメータが必要です。InstallOverrideList パラメータと RebootOption パラメータはオプションです。Snapshot-ID は、厳密にはオプションですが、メンテナンスウィンドウ外で AWS-RunPatchBaseline を実行するときは、これにカスタム値を指定することをお勧めします。これにより、ドキュメントをメンテナンスウィンドウオペレーションの一部として実行するときに、この値がパッチマネージャーから自動的に渡されます。

パラメータ名: Operation

使用: 必須。

オプション: Scan | Install

スキャン

Scan オプションを選択すると、[AWS-RunPatchBaseline] はインスタンスのパッチコンプライアンス状態を確認し、この情報を Patch Manager に返します。Scan では、更新のインストールや、インスタンスの再起動を求めません。代わりに、承認済み更新でインスタンスに適用可能なものが見つからない個所を示します。

インストール

Install オプションを選択すると、[AWS-RunPatchBaseline] はインスタンスに見つからない承認済み更新と適用可能な更新のインストールを試行します。Install オペレーションの一部として生成されるパッチコンプライアンス情報には、見つからない更新は示されませんが、更新のインストールが何らかの原因で失敗した場合は「失敗」状態になっている更新がレポートされることがあります。更新がインスタンスにインストールされるたびに、インスタンスが再起動され、更新がインストールされて有効になっていることが確認されます。(Exception: If the RebootOption parameter is set to NoReboot in the AWS-RunPatchBaseline document, the instance is not rebooted after Patch Manager runs. For more information, see パラメータ名: RebootOption.)

注記

Patch Manager がインスタンスを更新するに、ベースラインルールで指定されたパッチがインストールされている場合、システムが予期したとおりに再起動しない可能性があります。この可能性があるのは、パッチがユーザーによって手動でインストールされたか、Ubuntu Server の unattended-upgrades パッケージなどの別のプログラムによって自動的にインストールされた場合です。

パラメータ名: Snapshot ID

使用: オプション。

Snapshot ID は、Patch Manager で使用する一意の ID (GUID) です。この ID により、1 回の操作でインスタンスのセットにパッチを適用した場合に、各インスタンスの承認済みパッチのセットが完全に同じであることを確認します。このパラメータは省略可能ですが、次の表に示すようにメンテナンスウィンドウで [AWS-RunPatchBaseline] を実行しているかどうかに応じて使用され、推奨されるベストプラクティスが異なります。

AWS-RunPatchBaseline のベストプラクティス
モード ベストプラクティス 詳細
メンテナンスウィンドウ内で AWS-RunPatchBaseline を実行する スナップショット ID を指定しません。代わりに Patch Manager から ID が提供されます。

メンテナンスウィンドウを使用して AWS-RunPatchBaseline を実行する場合は、独自に生成したスナップショット ID を指定しません。このシナリオでは、メンテナンスウィンドウの実行 ID に基づく GUID 値が Systems Manager から提供されます。これにより、そのメンテナンスウィンドウでは、[AWS-RunPatchBaseline] のすべての呼び出しで正しい ID が使用されます。

このシナリオで値を指定しないと、パッチベースラインのスナップショットは 24 時間以内に有効期限が切れる場合があります。スナップショットの有効期限が切れると、同じ ID を指定しても、別のスナップショットが生成されます。

メンテナンスウィンドウ外で AWS-RunPatchBaseline を実行する スナップショット ID のカスタム GUID 値を生成および指定します。¹

メンテナンスウィンドウを使用しないで AWS-RunPatchBaseline を実行する場合は、パッチベースラインごとに一意のスナップショット ID を生成し指定することをお勧めします (特に、同一の操作で AWS-RunPatchBaseline ドキュメントを複数のインスタンスで実行する場合)。このシナリオで ID を指定しないと、コマンドの送信先のインスタンスごとに異なるスナップショット ID が Systems Manager で生成されます。これにより、インスタンス間で異なるパッチセットが指定される場合があります。

たとえば、Run Command 経由で [AWS-RunPatchBaseline] ドキュメントを直接実行し、50 個のインスタンスのグループをターゲットにしているとします。カスタムスナップショット ID を指定すると、1 つのベースラインスナップショットが作成され、これがすべてのインスタンスの評価とパッチ適用に使用されるため、すべてのインスタンスの状態が一致します。

¹ スナップショット ID パラメータの値を生成するには、GUID を生成できる任意のツールを使用できます。たとえば、PowerShell では、New-Guid cmdlet を使用して 12345699-9405-4f69-bc5e-9315aEXAMPLE という形式の GUID を生成できます。

パラメータ名: InstallOverrideList

使用: オプション。

InstallOverrideList を使用すると、インストールするパッチのリストに対する https URL または Amazon Simple Storage Service (Amazon S3) パス形式の URL を指定できます。このパッチインストールリストは、YAML 形式で管理され、デフォルトのパッチベースラインで指定されたパッチを上書きします。これにより、どのインスタンスにどのパッチがインストールされているかを、より詳細にコントロールできます。

コンプライアンスレポートは、パッチの InstallOverrideList リストで指定するものではなく、パッチのベースラインで指定されているものに従ってパッチの状態が反映されることに注意してください。つまり、スキャンオペレーションは InstallOverrideList パラメータを無視します。これは、コンプライアンスレポートが、特定のパッチ適用オペレーションで承認されたものではなく、ポリシーに従ってパッチ状態を一貫して反映することを保証するためです。

単一のパッチベースラインを使用しながら、InstallOverrideList パラメータを使用して、異なるメンテナンスウィンドウスケジュールで異なるタイプのパッチをターゲットグループに適用する方法の詳細については、「AWS-RunPatchBaseline で InstallOverrideList パラメータを使用するサンプルシナリオ」を参照してください。

有効な URL 形式

  • https URL 形式:

    https://s3.amazonaws.com/DOC-EXAMPLE-BUCKET/my-windows-override-list.yaml
  • Amazon S3 パス形式の URL:

    s3://DOC-EXAMPLE-BUCKET/my-windows-override-list.yaml

有効な YAML コンテンツ形式

リストにパッチを指定するために使用する書式は、インスタンスのオペレーティングシステムによって異なります。ただし、一般的な形式は次のとおりです。

patches: - id: '{patch-d}' title: '{patch-title}' {additional-fields}:{values}

YAML ファイルにフィールドを追加することはできますが、パッチオペレーション中は無視されます。

さらに、S3 バケットのリストを追加または更新する前に、YAML ファイルのフォーマットが有効であることを確認することをお勧めします。YAML 形式の詳細については、yaml.org を参照してください。検証ツールのオプションについては、ウェブで「yaml 形式の検証」を検索します。

  • Linux

    id

    id フィールドは必須です。これにより、パッケージ名とアーキテクチャを使用してパッチを指定します。例: 'dhclient.x86_64'。ID にワイルドカードを使用すると、複数のパッケージを指定できます。例: 'dhcp*' および 'dhcp*1.*'

    役職

    title フィールドはオプションですが、Linux システムでは追加のフィルタリング機能を提供します。title を使用する場合は、次のいずれかの形式でパッケージのバージョン情報を含める必要があります。

    YUM/SUSE Linux Enterprise Server (SLES):

    {name}.{architecture}:{epoch}:{version}-{release}

    APT

    {name}.{architecture}:{version}

    Linux のパッチタイトルでは、任意の位置に 1 つ以上のワイルドカードを使用して一致するパッケージの数を拡張することができます。例: '*32:9.8.2-0.*.rc1.57.amzn1'

    以下に例を示します。

    • apt パッケージのバージョン 1.2.25 が現在インスタンスにインストールされていますが、バージョン 1.2.27 が利用できるようになりました。

    • apt.amd64 バージョン 1.2.27 をパッチリストに追加します。これは apt utils.amd64 バージョン 1.2.27 に依存しますが、apt-utils.amd64 バージョン 1.2.25 がリストで指定されています。

    この場合、apt バージョン 1.2.27 のインストールはブロックされ、「Failed-NonCompliant」として報告されます。

  • Microsoft Windows

    id

    id フィールドは必須です。Microsoft Knowledge Base ID (KB2736693 など) および Microsoft Security Bulletin ID (MS17-023 など) を使用してパッチを指定する場合に使用します。

    Windows 用のパッチリストで提供する他のフィールドはオプションであり、情報提供のみを目的としています。特定のパッチに関する詳細情報を提供するために、titleclassificationseverity などの追加フィールドを使用することができます。

その他のフィールド

Linux 用のパッチリストで提供する他のフィールドはオプションであり、情報提供のみを目的としています。特定のパッチに関する詳細情報を提供するために、classificationseverity などの追加フィールドを使用することができます。

サンプルパッチリスト

  • Amazon Linux

    patches: - id: 'kernel.x86_64' - id: 'bind*.x86_64' title: '32:9.8.2-0.62.rc1.57.amzn1' - id: 'glibc*' - id: 'dhclient*' title: '*12:4.1.1-53.P1.28.amzn1' - id: 'dhcp*' title: '*10:3.1.1-50.P1.26.amzn1'
  • CentOS

    patches: - id: 'kernel.x86_64' - id: 'bind*.x86_64' title: '32:9.8.2-0.62.rc1.57.amzn1' - id: 'glibc*' - id: 'dhclient*' title: '*12:4.1.1-53.P1.28.amzn1' - id: 'dhcp*' title: '*10:3.1.1-50.P1.26.amzn1'
  • Debian

    patches: - id: 'apparmor.amd64' title: '2.10.95-0ubuntu2.9' - id: 'cryptsetup.amd64' title: '*2:1.6.6-5ubuntu2.1' - id: 'cryptsetup-bin.*' title: '*2:1.6.6-5ubuntu2.1' - id: 'apt.amd64' title: '*1.2.27' - id: 'apt-utils.amd64' title: '*1.2.25'
  • Oracle Linux

    patches: - id: 'audit-libs.x86_64' title: '*2.8.5-4.el7' - id: 'curl.x86_64' title: '*.el7' - id: 'grub2.x86_64' title: 'grub2.x86_64:1:2.02-0.81.0.1.el7' - id: 'grub2.x86_64' title: 'grub2.x86_64:1:*-0.81.0.1.el7'
  • Red Hat Enterprise Linux (RHEL)

    patches: - id: 'NetworkManager.x86_64' title: '*1:1.10.2-14.el7_5' - id: 'NetworkManager-*.x86_64' title: '*1:1.10.2-14.el7_5' - id: 'audit.x86_64' title: '*0:2.8.1-3.el7' - id: 'dhclient.x86_64' title: '*.el7_5.1' - id: 'dhcp*.x86_64' title: '*12:5.2.5-68.el7'
  • SUSE Linux Enterprise Server (SLES)

    patches: - id: 'amazon-ssm-agent.x86_64' - id: 'binutils' title: '*0:2.26.1-9.12.1' - id: 'glibc*.x86_64' title: '*2.19*' - id: 'dhcp*' title: '0:4.3.3-9.1' - id: 'lib*'
  • Ubuntu Server

    patches: - id: 'apparmor.amd64' title: '2.10.95-0ubuntu2.9' - id: 'cryptsetup.amd64' title: '*2:1.6.6-5ubuntu2.1' - id: 'cryptsetup-bin.*' title: '*2:1.6.6-5ubuntu2.1' - id: 'apt.amd64' title: '*1.2.27' - id: 'apt-utils.amd64' title: '*1.2.25'
  • Windows

    patches: - id: 'KB4284819' title: '2018-06 Cumulative Update for Windows Server 2016 (1709) for x64-based Systems (KB4284819)' - id: 'KB4284833' - id: 'KB4284835' title: '2018-06 Cumulative Update for Windows Server 2016 (1803) for x64-based Systems (KB4284835)' - id: 'KB4284880' - id: 'KB4338814'

パラメータ名: RebootOption

使用: オプション。

オプション: RebootIfNeeded | NoReboot

RebootIfNeeded

RebootIfNeeded オプションを選択すると、パッチマネージャーが新しいパッチをインストールした場合、または Install オペレーション中にステータスが INSTALLED_PENDING_REBOOT になっているパッチを検出した場合、インスタンスは再起動されます。INSTALLED_PENDING_REBOOT ステータスは、Install オペレーションを最後に実行したときに NoReboot オプションが選択されていたことを意味します。(パッチマネージャーの外部にインストールされたパッチは、ステータスが INSTALLED_PENDING_REBOOT になることはありません。)

注記

RebootIfNeeded オプションを選択した場合、パッチマネージャーはパッチに伴って再起動が必要かどうかを評価しません。パッケージが見つからない場合やステータスが INSTALLED_PENDING_REBOOT になっているパッケージがある場合は、必ず再起動されます。

NoReboot

NoReboot オプションを選択すると、パッチマネージャーが Install オペレーション中にパッチをインストールした場合でも、インスタンスは再起動されません。このオプションは、パッチ適用後にインスタンスを再起動する必要がないことがわかっている場合や、パッチ適用操作の再起動によって中断されないアプリケーションまたはプロセスがインスタンスで実行されている場合に便利です。また、メンテナンスウィンドウを使用するなど、インスタンスの再起動のタイミングをより詳細に制御する場合にも役立ちます。

注記

パッチがインストールされている場合に NoReboot オプションを選択すると、ステータス InstalledPendingReboot がパッチに割り当てられます。ただし、インスタンス自体は Non-Compliant としてマークされます。再起動が発生し、Scan 操作が実行されると、インスタンスのステータスは Compliant に更新されます。

パッチのインストール追跡ファイル: パッチ (特にシステムの最後の再起動以降にインストールされたパッチ) のインストールを追跡するために、Systems Manager は、マネージドインスタンスのファイルを管理します。

重要

追跡ファイルを削除または変更しないでください。このファイルを削除または破損すると、インスタンスのパッチコンプライアンスレポートが不正確になります。ファイルを削除または破損した場合は、インスタンスを再起動し、パッチのスキャンオペレーションを実行してファイルを復元します。

この追跡ファイルは、マネージドインスタンスの以下の場所に保存されます。

  • Linux オペレーティングシステム: /var/log/amazon/ssm/patch-configuration/patch-states-configuration.json

  • Windows Server オペレーティングシステム: C:\ProgramData\Amazon\PatchBaselineOperations\State\PatchStatesConfiguration.json