關於 AWS-RunPatchBaselineWithHooks SSM 文件 - AWS Systems Manager

關於 AWS-RunPatchBaselineWithHooks SSM 文件

AWS Systems Manager 支援 AWS-RunPatchBaselineWithHooks,Patch Manager 的 Systems Manager 文件 (SSM 文件) (AWS Systems Manager 功能)。此 SSM 文件在執行個體上執行與安全相關和其他更新類型的修補操作。

AWS-RunPatchBaselineWithHooks 在以下方面不同於 AWS-RunPatchBaseline

  • 包裝文件AWS-RunPatchBaselineWithHooksAWS-RunPatchBaseline 的包裝,並依賴 AWS-RunPatchBaseline 進行其操作。

  • Install 操作AWS-RunPatchBaselineWithHooks 支援在執行個體修補期間在指定點執行的生命週期掛鉤。由於修補程式安裝有時需要執行個體重新開機,因此修補操作會分為兩個事件,總共有三個支援自訂功能的掛鉤。第一個掛鉤是在 Install with NoReboot 操作之前。第二個掛鉤是在 Install with NoReboot 操作之後。執行個體重新開機後,第三個掛鉤可用。

  • 不支援自訂修補程式清單AWS-RunPatchBaselineWithHooks 不支援 InstallOverrideList 參數。

  • SSM Agent 支援AWS-RunPatchBaselineWithHooks 需要 SSM Agent 3.0.502 或更新版本安裝在要修補的執行個體上。

執行文件時,如果未指定修補程式群組,則會使用當前指定為作業系統類型之「預設」的修補基準。否則,它會使用與修補程式群組相關聯的修補基準。如需有關修補程式群組的資訊,請參閱 關於修補程式群組

您可以使用 AWS-RunPatchBaselineWithHooks 文件以套用適用於作業系統和應用程式的修補程式。(在 Windows 上,應用程式支援僅限於由 Microsoft 發佈的應用程式更新。)

本文件支援 Linux、macOS 和 Windows Server 執行個體。此文件會為各個平台執行適當的動作。

Linux

在 Linux 執行個體上,AWS-RunPatchBaselineWithHooks 文件下載並叫用 Python 模組,進而下載套用至執行個體的修補基準快照。此修補程式基線快照使用已定義的規則,以及已核准與已封鎖的修補程式清單,為各個執行個體類型推動適當的套件管理員:

  • Amazon Linux、Amazon Linux 2、CentOS、Oracle Linux 和 RHEL 7 執行個體使用 YUM。對於 YUM 操作,Patch Manager 要求 Python 2.6 或更新版本。

  • RHEL 8 執行個體使用 DNF。對於 DNF 操作,Patch Manager 需要 Python 2Python 3。(預設不會在 RHEL 8 上安裝兩個版本。您必須手動安裝其中一個。)

  • Debian Server 和 Ubuntu Server 執行個體使用 APT。對於 APT 操作,Patch Manager 需要 Python 3

  • SUSE Linux Enterprise Server 執行個體使用 Zypper。對於 Zypper 操作,Patch Manager 要求 Python 2.6 或更新版本。

macOS

在 macOS 執行個體上,AWS-RunPatchBaselineWithHooks 文件下載並叫用 Python 模組,進而下載套用至執行個體的修補基準快照。接下來,Python 子程序會在執行個體上叫用 CLI,以擷取指定套件管理工具的安裝和更新資訊,並為每個更新套件驅動適當的套件管理工具。

Windows

在 Windows Server 執行個體上,AWS-RunPatchBaselineWithHooks 文件會下載並叫用 PowerShell 模組,進而下載套用至執行個體的修補基準快照。此修補基準快照集包含已核准修補程式清單,這些修補程式是藉由查詢修補基準針對 Windows Server 更新服務 (WSUS) 伺服器進行編譯。此清單會傳遞至 Windows Update API,視需要控制下載和安裝核准的修補程式。

每個快照都是特定於 AWS 帳戶、修補程式群組、作業系統和快照 ID。快照是透過預先簽署的 Amazon Simple Storage Service (Amazon S3) URL 交付,快照會在建立後 24 小時過期。不過,URL 過期後,如果想要將相同的快照內容套用到其他執行個體,則您可以在建立快照後最多三天內產生新的預先簽署 Amazon S3 URL。若要這麼做,請使用 get-deployable-patch-snapshot-for-instance 命令。

在安裝所有已核准且適用的更新,並視需要重新啟動之後,會在執行個體上產生修補程式合規資訊,並回報 Patch Manager。

注意

如果在 AWS-RunPatchBaselineWithHooks 文件中將 RebootOption 參數設定為 NoReboot,則在執行 Patch Manager 後不會重新啟動執行個體。如需更多詳細資訊,請參閱 參數名稱:RebootOption

如需有關檢視修補程式合規資料的詳細資訊,請參閱關於修補程式合規

AWS-RunPatchBaselineWithHooks 操作步驟

AWS-RunPatchBaselineWithHooks 執行時,會進行下列步驟:

  1. 掃描 – 在執行個體上執行使用 AWS-RunPatchBaselineScan 操作,並產生並上傳合規報告。

  2. 確認本機修補程式狀態 – 執行指令碼,以確定將根據所選的操作和步驟 1 的 Scan 結果執行什麼步驟。

    1. 如果選取的操作為 Scan,則操作會標示為完成。操作結束。

    2. 如果選取的操作為 Install,則 Patch Manager 會評估步驟 1 的 Scan 結果,以確定接下來要執行的內容:

      1. 如果未偵測到遺漏的修補程式,且不需要擱置中的重新開機,則操作會直接進行到最後一個步驟 (步驟 8),其中包括您提供的掛鉤。兩者之間的任何步驟都會略過。

      2. 如果未偵測到遺漏的修補程式,但有所需的擱置中重新開機,且所選重新開啟選項為 NoReboot,則操作會直接進行到最後一個步驟 (步驟 8),其中包括您提供的掛鉤。兩者之間的任何步驟都會略過。

      3. 否則,操作會繼續至下一個步驟。

  3. 修補程式前掛鉤操作 - 您為第一個生命週期掛鉤 PreInstallHookDocName 提供的 SSM 文件在執行個體上執行。

  4. 使用 NoReboot 安裝 – 使用 AWS-RunPatchBaseline 且具有 NoReboot 重啟開機選項的 Install 操作在執行個體上執行,還會產生並上傳合規報告。

  5. 安裝後掛鉤操作 - 您為第二個生命週期掛鉤 PostInstallHookDocName 提供的 SSM 文件在執行個體上執行。

  6. 確認重新開機 - 執行指令碼以判斷執行個體是否需要重新開機,以及需要執行哪些步驟:

    1. 如果選取的重新開機選項為 NoReboot,則操作會直接進行到最後一個步驟 (步驟 8),其中包含您提供的掛鉤。兩者之間的任何步驟都會略過。

    2. 如果選取的重新開機選項為 RebootIfNeeded,則 Patch Manager 會檢查步驟 4 中所收集的庫存是否有所需之任何擱置中的重新開機。

      1. 如果找不到需要重新開機的修補程式,則執行個體修補操作即完成,且操作會直接進行到最後一個步驟 (步驟 8),其中包括您提供的掛鉤。兩者之間的任何步驟都會略過。

      2. 如果找到需要重新開機的修補程式,則操作會繼續執行下一個步驟。

  7. 重新開機和報告 – 具有 RebootIfNeeded 重啟開機選項的安裝操作在使用 AWS-RunPatchBaseline 的執行個體上執行,還會產生並上傳合規報告。

  8. 重新開機後掛鉤操作 - 您為第三個生命週期掛鉤 OnExitHookDocName 提供的 SSM 文件在執行個體上執行。

對於 Scan 操作,如果步驟 1 失敗,則執行文件的程序會停止並報告為失敗,儘管後續步驟會報告為成功。

對於 Install 操作,如果有任何 aws:runDocument 步驟在操作期間失敗,則這些步驟會報告為失敗,而且操作會直接進行到最後一個步驟 (步驟 8),其中包含您提供的掛鉤。兩者之間的任何步驟都會略過。此步驟會報告為失敗,最後一個步驟會報告其操作結果的狀態,而兩者之間的所有步驟都會報告為成功。

AWS-RunPatchBaselineWithHooks 參數

AWS-RunPatchBaselineWithHooks 支援六個參數。

Operation 參數是必要參數。

RebootOptionPreInstallHookDocNamePostInstallHookDocNameOnExitHookDocName 是選用參數。

Snapshot-ID 在技術上是選用的,但建議您在維護時段以外執行 AWS-RunPatchBaselineWithHooks 時,為其提供自訂值。當文件以維護時段操作的一部分執行時,讓 Patch Manager 自動提供值。

參數名稱:Operation

用量:必要。

選項Scan |Install

掃描

當您選擇 Scan 選項時,系統會使用 AWS-RunPatchBaseline 文件判斷執行個體的修補程式合規狀態,並將此資訊回報至 Patch Manager。Scan 不會提示要安裝的更新或需要重新啟動的執行個體。反之,此操作會識別遺漏哪些已核准且適用於執行個體的更新。

安裝

當您選擇 Install 選項,AWS-RunPatchBaselineWithHooks 會嘗試安裝執行個體上遺漏的已核准且適用的更新。在 Install 操作中產生的修補程式合規資訊不會列出任何遺失的更新,但如果因為任何原因導致未成功安裝更新,則可能會報告狀態為失敗的更新。每當更新安裝於執行個體時,執行個體將重新啟動,以確保安裝並啟動更新。(例外:如果 AWS-RunPatchBaselineWithHooks 文件中的 RebootOption 參數設為 NoReboot,執行個體不會在 Patch Manager 執行之後重新啟動。如需詳細資訊,請參閱 參數名稱:RebootOption。)

注意

如果在 Patch Manager 更新執行個體之前已安裝基準規則指定的修補程式,系統可能無法如預期重新開機。當使用者手動安裝修補程式,或由其他程式自動安裝 (例如 Ubuntu Server 上的 unattended-upgrades 套件) 時,就會發生這種情況。

參數名稱:Snapshot ID

用量:選用。

Snapshot ID 是 Patch Manager 使用的唯一 ID (GUID),確保在單一操作中修補的一組執行個體皆有一組完全相同的核准修補程式。雖然此參數定義為選用,但我們的最佳實務建議取決於您是否會在維護時段中執行 AWS-RunPatchBaselineWithHooks,如下表所述。

AWS-RunPatchBaselineWithHooks 最佳實務
模式 最佳實務 詳細資訊
在維護時段內執行 AWS-RunPatchBaselineWithHooks 請勿提供快照 ID。Patch Manager 將會為您提供。

若您使用維護時段執行 AWS-RunPatchBaselineWithHooks,您不應提供自己產生的快照 ID。在此案例中,Systems Manager 會根據維護時段執行 ID 提供 GUID 值。這可確保維護時段中所有 AWS-RunPatchBaselineWithHooks 呼叫皆使用正確的 ID。

如果您在此情況下指定值,請注意修補基準的快照可能不會保留超過 3 天。之後,即使您在快照過期後指定相同的 ID,仍將會產生新的快照。

在維護時段外執行 AWS-RunPatchBaselineWithHooks 為快照 ID¹ 產生及指定自訂 GUID 值。

如果您不是使用維護時段執行 AWS-RunPatchBaselineWithHooks,我們建議您為每個修補基準產生並指定唯一的快照 ID,特別是如果您在相同的操作中,在多個執行個體上執行 AWS-RunPatchBaselineWithHooks 文件時。如果您在此情況下沒有指定 ID,Systems Manager 將為命令傳送至的每個執行個體產生不同的快照 ID。這可能會導致在執行個體間指定不同的修補程式集合。

例如,假設您正在直接透過 Run Command (AWS Systems Manager 功能) 執行 AWS-RunPatchBaselineWithHooks 文件,並以 50 個執行個體群組為目標。指定自訂快照 ID 會產生單一基準快照,用於評估和修補所有執行個體,以確保它們最終處於一致的狀態。

¹您可以使用任何能產生 GUID 的工具來為快照 ID 參數產生一個值。例如,在 PowerShell,您可以使用 New-Guid cmdlet 產生 12345699-9405-4f69-bc5e-9315aEXAMPLE 格式的 GUID。

參數名稱:RebootOption

用量:選用。

選項: RebootIfNeeded | NoReboot

RebootIfNeeded

當您選擇 RebootIfNeeded 選項時,執行個體在下列情況下會重新開機:

  • Patch Manager 已安裝一或多個修補程式。

    Patch Manager 不會評估修補程式是否需要重新開機。即使修補程式不需要重新開機,系統也會重新開機。

  • Patch Manager 偵測到一或多個修補程式在 Install 操作期間狀態為 INSTALLED_PENDING_REBOOT

    INSTALLED_PENDING_REBOOT 狀態可能表示上次執行 NoReboot 作業時已選取 Install 選項。

    注意

    安裝於 Patch Manager 之外的修補程式,一律不會具有 INSTALLED_PENDING_REBOOT 狀態。

在這兩種情況下重新開機執行個體,可確保更新的套件會從記憶體中清除,並在所有作業系統中保持修補和重新開機行為一致。

NoReboot

當您選擇 NoReboot 選項時,即使執行個體在 Install 作業期間安裝了修補程式,Patch Manager 也不會重新啟動執行個體。如果您知道您的執行個體在套用修補程式之後不需要重新啟動,或是您在執行個體上執行的應用程式或程序不應因於修補操作重新啟動而中斷,則此選項非常有用。當您想要進一步控制執行個體重新啟動的時間時 (例如使用維護時段),此選項也很有用。

注意

如果您選擇 NoReboot 選項並安裝修補程式,則會為修補程式指定 InstalledPendingReboot 的狀態。但是,執行個體本身會標示為 Non-Compliant。重新開機並執行 Scan 操作之後,執行個體狀態會更新為 Compliant

修補程式安裝追蹤檔案:若要追蹤修補程式安裝,特別是自上次系統重新啟動後已安裝的修補程式,Systems Manager 會在受管執行個體上維護檔案。

重要

請勿刪除或修改追蹤檔案。如果此檔案已刪除或損毀,則執行個體的修補程式合規報告會不正確。如果發生此情況,請重新啟動執行個體並執行修補程式掃描作業以還原檔案。

此追蹤檔案存放於受管執行個體的下列位置:

  • Linux 作業系統:

    • /var/log/amazon/ssm/patch-configuration/patch-states-configuration.json

    • /var/log/amazon/ssm/patch-configuration/patch-inventory-from-last-operation.json

  • Windows Server 作業系統:

    • C:\ProgramData\Amazon\PatchBaselineOperations\State\PatchStatesConfiguration.json

    • C:\ProgramData\Amazon\PatchBaselineOperations\State\PatchInventoryFromLastOperation.json

參數名稱:PreInstallHookDocName

用量:選用。

預設: AWS-Noop.

提供給 PreInstallHookDocName 參數的值是您所選 SSM 文件的名稱或 Amazon 資源名稱 (ARN)。您可以提供 AWS 受管文件的名稱,或您已建立或已與您共用之自訂 SSM 文件的名稱或 ARN。(若是來自不同 AWS 帳戶 且已與您共用的 SSM 文件,您必須指定完整資源 ARN,例如 aws:arn:ssm:us-east-2:123456789012:document/MySharedDocument。)

您指定的 SSM 文件會在 Install 操作之前執行,並執行 SSM Agent 支援的任何動作,例如用於在執行個體上執行修補之前進行應用程式運作狀態檢查的 shell 指令碼。(如需動作清單,請參閱 Systems Manager 命令文件外掛程式參考)。預設 SSM 文件名稱為 AWS-Noop,它不會對執行個體執行任何操作。

如需建立自訂 SSM 文件的詳細資訊,請參閱 建立 SSM 文件

參數名稱:PostInstallHookDocName

用量:選用。

預設: AWS-Noop.

提供給 PostInstallHookDocName 參數的值是您所選 SSM 文件的名稱或 Amazon 資源名稱 (ARN)。您可以提供 AWS 受管文件的名稱,或您已建立或已與您共用之自訂 SSM 文件的名稱或 ARN。(若是來自不同 AWS 帳戶 且已與您共用的 SSM 文件,您必須指定完整資源 ARN,例如 aws:arn:ssm:us-east-2:123456789012:document/MySharedDocument。)

Install with NoReboot 操作之後執行您指定的 SSM 文件,還會執行 SSM Agent 支援的任何操作,例如重新開機前安裝第三方更新的 shell 指令碼。(如需動作清單,請參閱 Systems Manager 命令文件外掛程式參考)。預設 SSM 文件名稱為 AWS-Noop,它不會對執行個體執行任何操作。

如需建立自訂 SSM 文件的詳細資訊,請參閱 建立 SSM 文件

參數名稱:OnExitHookDocName

用量:選用。

預設: AWS-Noop.

提供給 OnExitHookDocName 參數的值是您所選 SSM 文件的名稱或 Amazon 資源名稱 (ARN)。您可以提供 AWS 受管文件的名稱,或您已建立或已與您共用之自訂 SSM 文件的名稱或 ARN。(若是來自不同 AWS 帳戶 且已與您共用的 SSM 文件,您必須指定完整資源 ARN,例如 aws:arn:ssm:us-east-2:123456789012:document/MySharedDocument。)

您指定的 SSM 文件會在執行個體重新開機操作之後執行,並執行 SSM Agent 支援的任何動作,例如用於在修補操作完成之後確認執行個體運作狀態的 shell 指令碼。(如需動作清單,請參閱 Systems Manager 命令文件外掛程式參考)。預設 SSM 文件名稱為 AWS-Noop,它不會對執行個體執行任何操作。

如需建立自訂 SSM 文件的詳細資訊,請參閱 建立 SSM 文件