關於修補程式群組 - AWS Systems Manager

關於修補程式群組

您可以使用修補程式群組,將執行個體與 Patch Manager (AWS Systems Manager 的一項功能) 中特定的修補基準關聯。修補程式群組會協助您根據相關的修補基準規則,確保您部署適當的修補程式至正確的執行個體組。修補程式群組也能協助您避免在充分測試之前即部署修補程式。例如,您可以為不同的環境建立修補程式群組 (例如,開發、測試和生產) 並將每個修補程式群組註冊到適當的修補程式基準。

注意

一個修補程式群組只能為每個作業系統類型註冊一個修補基準。

在您執行 AWS-RunPatchBaseline 時,可以使用其執行個體 ID 或標籤來定位受管執行個體。 然後,SSM Agent 和 Patch Manager 會根據您新增到執行個體的修補程式群組值來評估要使用的修補基準。

您可以使用 Amazon Elastic Compute Cloud (Amazon EC2) 標籤來建立修補程式群組。不同於 Systems Manager 上的其他標記案例,修補程式群組必須以標記金鑰定義:Patch Group (修補程式群組)。該金鑰區分大小寫。您可以指定任何值,例如「web servers」,但金鑰必須是 Patch Group (修補程式群組)

注意

一個執行個體只能存在於一個修補程式群組中。

在您建立修補程式群組並標記執行個體之後,您可以使用修補程式基準註冊修補程式群組。使用修補程式基準註冊修補程式群組,可確保修補程式群組中的執行個體使用相關修補程式基準中定義的規則。有關如何建立修補程式群組,以及將修補程式群組與修補基準建立關聯的詳細資訊,請參閱 使用修補群組Add a patch group to a patch baseline(新增修補程式群組至修補基準)。

若要檢視使用 AWS Command Line Interface (AWS CLI) 建立修補基準與修補程式群組的範例,請參閱 演練:修補伺服器環境 (AWS CLI)。如需有關 Amazon EC2 標籤的詳細資訊,請參閱《Amazon EC2 使用者指南》中的標記您的 Amazon EC2 資源相關文章。

運作方式

當系統執行將修補基準套用於執行個體的任務時,SSM Agent 會驗證是否為該執行個體定義了修補程式群組值。如果執行個體已指派給修補程式群組,則 Patch Manager 會驗證該群組註冊了哪一個修補基準。如果找到了該群組的修補基準,則 Patch Manager 會通知 SSM Agent 使用關聯的修補基準。如果執行個體未針對修補程式群組進行設定,則 Patch Manager 會自動通知 SSM Agent 已使用目前設定的預設修補基準。

下圖顯示 Systems Manager 將 Run Command 任務傳送到您的伺服器叢集,以使用 Patch Manager 進行修補時執行過程的一般範例。當維護時段設為使用 Patch Manager 向修補程式發送命令時,將使用類似的過程。

在此範例中,我們有三個 Windows Server EC2 執行個體群組已套用以下標籤:

EC2 執行個體群組 標籤

Group 1

key=OS,value=Windows

key=Patch Group,value=DEV

Group 2

key=OS,value=Windows

Group 3

key=OS,value=Windows

key=Patch Group,value=QA

在這個範例中,我們也有這兩個 Windows Server 修補基準:

修補程式基準 ID 預設 關聯的修補程式群組

pb-0123456789abcdef0

Default

pb-9876543210abcdef0

DEV

圖 1:修補作業處理流程一般範例


                        圖表顯示修補程式基準時如何判斷何時執行修補作業。

使用 Run Command (AWS Systems Manager 的一項功能) 和 Patch Manager 掃描或安裝修補程式的一般處理,如下所示:

  1. 傳送命令至修補程式:透過 Systems Manager 主控台、軟體開發套件、AWS Command Line Interface (AWS CLI),或 AWS Tools for Windows PowerShell 以使用文件 AWS-RunPatchBaseline 傳送 Run Command 任務。該圖顯示了透過定位標籤 key=OS,value=Windows 來修補受管執行個體的 Run Command 任務。

  2. 修補基準判定:SSM Agent 會驗證套用於 EC2 執行個體的修補程式群組標籤,並查詢 Patch Manager 以取得對應的修補基準。

    • 符合與修補程式基準關聯的修補程式群組值:

      1. 安裝在群組 1 中的 EC2 執行個體上的 SSM Agent 會接收步驟 1 中發出的命令以開始修補作業。SSM Agent 會驗證 EC2 執行個體是否已套用修補程式群組標籤值 DEV,並向 Patch Manager 查詢關聯的修補基準。

      2. Patch Manager 會確認修補基準 pb-9876543210abcdef0 已關聯修補程式群組 DEV,並通知 SSM Agent。

      3. SSM Agent 會根據在 pb-9876543210abcdef0 中設定的核准規則和例外狀況從 Patch Manager 擷取修補基準快照,然後繼續執行下一步驟。

    • 無新增至執行個體的修補程式群組標籤:

      1. 安裝在群組 2 中 EC2 執行個體上的 SSM Agent 會接收步驟 1 中發出的命令,以開始修補作業。SSM Agent 會驗證 EC2 執行個體未套用的 Patch Group 標記,因此,SSM Agent 會查詢 Patch Manager 以取得預設 Windows 修補基準。

      2. Patch Manager 會確認預設的 Windows Server 修補基準是 pb-0123456789abcdef0 並通知 SSM Agent。

      3. SSM Agent 會根據在預設修補程式基線 pb-0123456789abcdef0 中設定的核准規則和例外狀況,從 Patch Manager 擷取修補程式基線快照,然後繼續執行下一步驟。

    • 沒有符合與修補程式基準關聯的修補程式群組值:

      1. 安裝在群組 3 中的 EC2 執行個體上的 SSM Agent 會接收步驟 1 中發出的命令以開始修補作業。SSM Agent 會驗證 EC2 執行個體是否已套用修補程式群組標籤值 QA,並向 Patch Manager 查詢關聯的修補基準。

      2. Patch Manager 未找到與修補程式群組 QA 相關聯的修補基準。

      3. Patch Manager 會通知 SSM Agent 以使用預設的 Windows 修補基準 pb-0123456789abcdef0

      4. SSM Agent 會根據在預設修補程式基線 Patch Manager 中設定的核准規則和例外狀況,從 pb-0123456789abcdef0 擷取修補程式基線快照,然後繼續執行下一步驟。

  3. 修補程式掃描或安裝:在決定欲使用的適當修補程式基準後,SSM Agent 會根據步驟 1 中指定的作業值開始掃描或安裝修補程式。掃描或安裝的修補程式,是由 Patch Manager 提供的修補基準快照中所定義的核准規則和修補程式的例外狀況所判斷。