Tutorial: aplicar patches a um ambiente de servidor (AWS CLI)

O procedimento a seguir descreve como aplicar patch a um ambiente de servidor usando uma linha de base de patch personalizada, grupos de patches e uma janela de manutenção.

Antes de começar

• Instale ou atualize o SSM Agent em seus nós gerenciados. Para aplicar patches a nós gerenciados do Linux, os nós devem estar em execução no SSM Agent versão 2.0.834.0 ou posterior. Para ter mais informações, consulte Atualização do SSM Agent por meio de Run Command.

• Configure as funções e permissões para a Maintenance Windows, um recurso do AWS Systems Manager. Para ter mais informações, consulte Configurar o Maintenance Windows.

• Instale e configure a AWS Command Line Interface (AWS CLI), caso ainda não o tenha feito.

  Para obter informações, consulte Instalar ou atualizar a versão mais recente da AWS CLI.

Para configurar o Patch Manager e aplicar patches aos nós gerenciados (linha de comando)

1. Execute o comando a seguir para criar uma lista de referência de patches para o Windows chamada Production-Baseline. Essa lista de referência de patches aprova patches para um ambiente de produção sete dias após o lançamento ou última atualização. Ou seja, marcamos a lista de referência de patches para indicar que é para um ambiente de produção.

   nota

   O parâmetro OperatingSystem e PatchFilters varia dependendo do sistema operacional dos nós gerenciados aos quais a lista de referência de patches se aplica. Para obter mais informações, consulte OperatingSystem e PatchFilter.

   Linux & macOS

   aws ssm create-patch-baseline \
       --name "Production-Baseline" \
       --operating-system "WINDOWS" \
       --tags "Key=Environment,Value=Production" \
       --approval-rules "PatchRules=[{PatchFilterGroup={PatchFilters=[{Key=MSRC_SEVERITY,Values=[Critical,Important]},{Key=CLASSIFICATION,Values=[SecurityUpdates,Updates,ServicePacks,UpdateRollups,CriticalUpdates]}]},ApproveAfterDays=7}]" \
       --description "Baseline containing all updates approved for production systems"

   Windows Server

   aws ssm create-patch-baseline ^
       --name "Production-Baseline" ^
       --operating-system "WINDOWS" ^
       --tags "Key=Environment,Value=Production" ^
       --approval-rules "PatchRules=[{PatchFilterGroup={PatchFilters=[{Key=MSRC_SEVERITY,Values=[Critical,Important]},{Key=CLASSIFICATION,Values=[SecurityUpdates,Updates,ServicePacks,UpdateRollups,CriticalUpdates]}]},ApproveAfterDays=7}]" ^
       --description "Baseline containing all updates approved for production systems"

   O sistema retorna informações como estas.

   {
      "BaselineId":"pb-0c10e65780EXAMPLE"
   }

2. Execute os comandos a seguir para registrar a linha de base de patch "Production-Baseline" para dois grupos de patches. Os grupos são chamados de "Database Servers" (Servidores de banco de dados) e "Front-End Servers" (Servidores front-end).

   Linux & macOS

   aws ssm register-patch-baseline-for-patch-group \
       --baseline-id pb-0c10e65780EXAMPLE \
       --patch-group "Database Servers"

   Windows Server

   aws ssm register-patch-baseline-for-patch-group ^
       --baseline-id pb-0c10e65780EXAMPLE ^
       --patch-group "Database Servers"

   O sistema retorna informações como estas.

   {
      "PatchGroup":"Database Servers",
      "BaselineId":"pb-0c10e65780EXAMPLE"
   }

   Linux & macOS

   aws ssm register-patch-baseline-for-patch-group \
       --baseline-id pb-0c10e65780EXAMPLE \
       --patch-group "Front-End Servers"

   Windows Server

   aws ssm register-patch-baseline-for-patch-group ^
       --baseline-id pb-0c10e65780EXAMPLE ^
       --patch-group "Front-End Servers"

   O sistema retorna informações como estas.

   {
      "PatchGroup":"Front-End Servers",
      "BaselineId":"pb-0c10e65780EXAMPLE"
   }

3. Execute os comandos a seguir para criar duas janelas de manutenção para os servidores de produção. A primeira janela é executada todas as terças-feiras às 22 horas. A segunda janela é executada todos os sábados às 22 horas. Além disso, a janela de manutenção é marcada para indicar que é para um ambiente de produção.

   Linux & macOS

   aws ssm create-maintenance-window \
       --name "Production-Tuesdays" \
       --tags "Key=Environment,Value=Production" \
       --schedule "cron(0 0 22 ? * TUE *)" \
       --duration 1 \
       --cutoff 0 \
       --no-allow-unassociated-targets

   Windows Server

   aws ssm create-maintenance-window ^
       --name "Production-Tuesdays" ^
       --tags "Key=Environment,Value=Production" ^
       --schedule "cron(0 0 22 ? * TUE *)" ^
       --duration 1 ^
       --cutoff 0 ^
       --no-allow-unassociated-targets

   O sistema retorna informações como estas.

   {
      "WindowId":"mw-0c50858d01EXAMPLE"
   }

   Linux & macOS

   aws ssm create-maintenance-window \
       --name "Production-Saturdays" \
       --tags "Key=Environment,Value=Production" \
       --schedule "cron(0 0 22 ? * SAT *)" \
       --duration 2 \
       --cutoff 0 \
       --no-allow-unassociated-targets

   Windows Server

   aws ssm create-maintenance-window ^
       --name "Production-Saturdays" ^
       --tags "Key=Environment,Value=Production" ^
       --schedule "cron(0 0 22 ? * SAT *)" ^
       --duration 2 ^
       --cutoff 0 ^
       --no-allow-unassociated-targets

   O sistema retorna informações como estas.

   {
      "WindowId":"mw-9a8b7c6d5eEXAMPLE"
   }

4. Execute os comandos a seguir para registrar os grupos de patches de servidores Database e Front-End com suas respectivas janelas de manutenção.

   Linux & macOS

   aws ssm register-target-with-maintenance-window \
       --window-id mw-0c50858d01EXAMPLE \
       --targets "Key=tag:PatchGroup,Values=Database Servers" \
       --owner-information "Database Servers" \
       --resource-type "INSTANCE"

   Windows Server

   aws ssm register-target-with-maintenance-window ^
       --window-id mw-0c50858d01EXAMPLE ^
       --targets "Key=tag:PatchGroup,Values=Database Servers" ^
       --owner-information "Database Servers" ^
       --resource-type "INSTANCE"

   O sistema retorna informações como estas.

   {
      "WindowTargetId":"e32eecb2-646c-4f4b-8ed1-205fbEXAMPLE"
   }

   Linux & macOS

   aws ssm register-target-with-maintenance-window \
   --window-id mw-9a8b7c6d5eEXAMPLE \
   --targets "Key=tag:PatchGroup,Values=Front-End Servers" \
   --owner-information "Front-End Servers" \
   --resource-type "INSTANCE"

   Windows Server

   aws ssm register-target-with-maintenance-window ^
       --window-id mw-9a8b7c6d5eEXAMPLE ^
       --targets "Key=tag:PatchGroup,Values=Front-End Servers" ^
       --owner-information "Front-End Servers" ^
       --resource-type "INSTANCE"

   O sistema retorna informações como estas.

   {
      "WindowTargetId":"faa01c41-1d57-496c-ba77-ff9caEXAMPLE"
   }

5. Execute os comandos a seguir para registrar uma tarefa de patch que instala atualizações ausentes nos servidores Database e Front-End durante suas respectivas janelas de manutenção.

   Linux & macOS

   aws ssm register-task-with-maintenance-window \
       --window-id mw-0c50858d01EXAMPLE \
       --targets "Key=WindowTargetIds,Values=e32eecb2-646c-4f4b-8ed1-205fbEXAMPLE" \
       --task-arn "AWS-RunPatchBaseline" \
       --service-role-arn "arn:aws:iam::123456789012:role/MW-Role" \
       --task-type "RUN_COMMAND" \
       --max-concurrency 2 \
       --max-errors 1 \
       --priority 1 \
       --task-invocation-parameters "RunCommand={Parameters={Operation=Install}}"

   Windows Server

   aws ssm register-task-with-maintenance-window ^
       --window-id mw-0c50858d01EXAMPLE ^
       --targets "Key=WindowTargetIds,Values=e32eecb2-646c-4f4b-8ed1-205fbEXAMPLE" ^
       --task-arn "AWS-RunPatchBaseline" ^
       --service-role-arn "arn:aws:iam::123456789012:role/MW-Role" ^
       --task-type "RUN_COMMAND" ^
       --max-concurrency 2 ^
       --max-errors 1 ^
       --priority 1 ^
       --task-invocation-parameters "RunCommand={Parameters={Operation=Install}}"

   O sistema retorna informações como estas.

   {
      "WindowTaskId":"4f7ca192-7e9a-40fe-9192-5cb15EXAMPLE"
   }

   Linux & macOS

   aws ssm register-task-with-maintenance-window \
       --window-id mw-9a8b7c6d5eEXAMPLE \
       --targets "Key=WindowTargetIds,Values=faa01c41-1d57-496c-ba77-ff9caEXAMPLE" \
       --task-arn "AWS-RunPatchBaseline" \
       --service-role-arn "arn:aws:iam::123456789012:role/MW-Role" \
       --task-type "RUN_COMMAND" \
       --max-concurrency 2 \
       --max-errors 1 \
       --priority 1 \
       --task-invocation-parameters "RunCommand={Parameters={Operation=Install}}"

   Windows Server

   aws ssm register-task-with-maintenance-window ^
       --window-id mw-9a8b7c6d5eEXAMPLE ^
       --targets "Key=WindowTargetIds,Values=faa01c41-1d57-496c-ba77-ff9caEXAMPLE" ^
       --task-arn "AWS-RunPatchBaseline" ^
       --service-role-arn "arn:aws:iam::123456789012:role/MW-Role" ^
       --task-type "RUN_COMMAND" ^
       --max-concurrency 2 ^
       --max-errors 1 ^
       --priority 1 ^
       --task-invocation-parameters "RunCommand={Parameters={Operation=Install}}"

   O sistema retorna informações como estas.

   {
      "WindowTaskId":"8a5c4629-31b0-4edd-8aea-33698EXAMPLE"
   }

6. Execute o seguinte comando para obter o resumo de conformidade de patch de alto nível para um grupo de patches. O resumo de conformidade de patches de alto nível inclui o número de nós gerenciados com patches nos respectivos estados do patch.

   nota

   Durante a primeira janela de manutenção é normal que zeros apareçam como o número de nós gerenciados no resumo, até que a tarefa de aplicação do patch seja executada.

   Linux & macOS

   aws ssm describe-patch-group-state \
       --patch-group "Database Servers"

   Windows Server

   aws ssm describe-patch-group-state ^
       --patch-group "Database Servers"

   O sistema retorna informações como estas.

   {
      "Instances": number,
      "InstancesWithFailedPatches": number,
      "InstancesWithInstalledOtherPatches": number,
      "InstancesWithInstalledPatches": number,
      "InstancesWithInstalledPendingRebootPatches": number,
      "InstancesWithInstalledRejectedPatches": number,
      "InstancesWithMissingPatches": number,
      "InstancesWithNotApplicablePatches": number,
      "InstancesWithUnreportedNotApplicablePatches": number
   }

7. Execute o seguinte comando para obter os estados de resumo de patches por nó gerenciado para um grupo de patches. O resumo por nó gerenciado inclui vários patches nos respectivos estados de patch por instância para um grupo de patches.

   Linux & macOS

   aws ssm describe-instance-patch-states-for-patch-group \
       --patch-group "Database Servers"

   Windows Server

   aws ssm describe-instance-patch-states-for-patch-group ^
       --patch-group "Database Servers"

   O sistema retorna informações como estas.

   {
      "InstancePatchStates": [ 
         { 
            "BaselineId": "string",
            "FailedCount": number,
            "InstalledCount": number,
            "InstalledOtherCount": number,
            "InstalledPendingRebootCount": number,
            "InstalledRejectedCount": number,
            "InstallOverrideList": "string",
            "InstanceId": "string",
            "LastNoRebootInstallOperationTime": number,
            "MissingCount": number,
            "NotApplicableCount": number,
            "Operation": "string",
            "OperationEndTime": number,
            "OperationStartTime": number,
            "OwnerInformation": "string",
            "PatchGroup": "string",
            "RebootOption": "string",
            "SnapshotId": "string",
            "UnreportedNotApplicableCount": number
         }
      ]
   }

Para obter exemplos de outros comandos da AWS CLI que você pode usar nas tarefas de configuração do Patch Manager, consulte Trabalhar com o Patch ManagerAWS CLI.