本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
创建自定义补丁基准 (Linux)
使用以下过程为 Linux 实例创建自定义补丁基准。
有关为 macOS 实例创建补丁基准的信息,请参阅创建自定义补丁基准 (macOS)。有关为 Windows 实例创建补丁基准的信息,请参阅创建自定义补丁基准 (Windows)。
为 Linux 实例创建自定义补丁基准
-
通过以下网址打开 AWS Systems Manager 控制台:https://console.amazonaws.cn/systems-manager/
。 -
在导航窗格中,选择 Patch Manager。
-或者-
如果 AWS Systems Manager 主页首先打开,请选择菜单图标 (
) 以打开导航窗格,然后选择 Patch Manager。
-
选择创建补丁基准。
-
在 Name (名称) 中,输入新补丁基准的名称,例如,
MyRHELPatchBaseline
。 -
(可选)对于 Description (描述),输入此补丁基准的描述。
-
对于 Operating system (操作系统),选择操作系统,例如
Red Hat Enterprise Linux
。 -
如果要在创建后即开始将此补丁基准用作所选操作系统的默认项,请选中 Set this patch baseline as the default patch baseline for
operating system name
实例。有关将现有补丁基准设置为默认项的信息,请参阅 将现有补丁基准设置为默认项。
-
在 Approval rules for operating-systems (操作系统的批准规则) 部分,使用字段创建一个或多个自动批准规则。
-
产品:审批规则适用于的操作系统的版本,例如
RedhatEnterpriseLinux7.4
。 默认选择为All
。 -
分类:批准规则适用于的补丁的类型,例如
Security
或Enhancement
。 默认选择为All
。提示 您可以配置补丁基准来控制是否安装 Linux 的次要版本升级,如 RHEL 7.8。次要版本升级可由 Patch Manager 自动安装,前提是更新在适当的存储库中可用。
对于 Linux 操作系统,次要版本升级的分类方式不一致。它们可以分类为错误修复或安全更新,或者不分类,即使在同一内核版本中也是如此。以下是控制补丁基准是否安装这些补丁的几个选项。
-
选项 1:用于确保在可用时安装次要版本升级的最广泛的批准规则是将 Classification (分类) 指定为
All
(*),然后选择 Include nonsecurity updates (包括非安全性更新) 选项。 -
选项 2:要确保已安装操作系统版本的补丁,您可以使用通配符 (*) 在基准的 Patch exceptions (补丁例外) 部分中指定其内核格式。例如,RHEL 7.* 的内核格式为
kernel-3.10.0-*.el7.x86_64
。在补丁基准的
kernel-3.10.0-*.el7.x86_64
Approved patches (已批准的补丁) 列表中输入 ,以确保所有补丁(包括次要版本升级)都应用于 RHEL 7.* 实例。(如果您知道次要版本补丁的确切程序包名称,则可以输入此名称。) -
选项 3:通过使用 文档中的 InstallOverrideList
AWS-RunPatchBaseline
参数,您可以最大程度地控制对托管实例应用哪些补丁(包括次要版本升级)。有关更多信息,请参阅关于 AWS-RunPatchBaseline SSM 文档。
-
-
严重性:规则适用于的补丁的严重性值,例如
Critical
。 默认选择为All
。 -
自动批准:用于选择补丁以进行自动审批的方法。
注意 由于无法可靠地确定 Ubuntu Server 的更新程序包的发布日期,因此此操作系统不支持自动批准选项。
-
在指定天数后批准补丁:在发布补丁后到自动批准补丁之前需等待的天数。Patch Manager可以输入零 (0) 到 100 的任何整数。
-
批准在特定日期之前发布的补丁:补丁发布日期,Patch Manager 自动应用在该日期或之前发布的所有补丁。例如,如果指定 2020 年 7 月 7 日,则不会自动安装在 2020 年 7 月 8 日或之后发布的任何补丁。
-
-
(可选)合规性报告:要分配给基准批准的补丁的严重性级别,例如
High
。注意 如果有已批准的补丁报告为缺失,则在 Compliance reporting (合规性报告) 中选择的选项(如
Critical
或Medium
)将确定违反合规性的严重性。 -
包括非安全性更新:选中该复选框可安装源存储库中提供的非安全性 Linux 操作系统补丁以及与安全性相关的补丁。
注意 对于 SUSE Linux Enterprise Server (SLES),无需选中此复选框,因为 SLES 实例上默认安装针对安全性和非安全性问题的补丁。有关更多信息,请参阅如何选择安全性补丁中的 SLES 内容。
有关在自定义补丁基准中使用批准规则的更多信息,请参阅关于自定义基准。
-
-
如果要明确批准除满足批准规则的补丁外的任何补丁,请在 Patch exceptions (补丁例外) 部分执行以下操作:
-
对于 Approved patches (已批准的补丁),输入要批准的补丁的逗号分隔列表。
注意 有关批准的修补程序和拒绝的修补程序列表的接受格式的信息,请参阅 关于已批准补丁和已拒绝补丁列表的软件包名称格式。
-
(可选)对于 Approved patches compliance level (已批准补丁合规性级别),为列表中的补丁分配合规性级别。
-
如果您指定的任何已批准的补丁与安全性无关,请选中 Approved patches include non-security updates (已批准的补丁包括除安全性之外的更新) 复选框,以便在您的 Linux 操作系统上安装这些补丁。
-
-
如果要明确拒绝除满足批准规则的补丁外的任何补丁,请在 Patch exceptions (补丁例外) 部分执行以下操作:
-
对于 Rejected patches (已拒绝的补丁),输入要拒绝的补丁的逗号分隔列表。
注意 有关批准的修补程序和拒绝的修补程序列表的接受格式的信息,请参阅 关于已批准补丁和已拒绝补丁列表的软件包名称格式。
-
对于 Rejected patches action (已拒绝的补丁操作),选择 Patch Manager 要对 Rejected patches (已拒绝的补丁) 列表中包含的补丁执行的操作。
-
允许作为依赖项:仅当 Rejected patches (已拒绝的补丁) 列表中的软件包是另一个软件包的依赖项时,才会安装它。它被视为符合补丁基准,并且它的状态报告为 InstalledOther。 这是未指定选项时的默认操作。
-
数据块:在任何情况下,都不会安装 Rejected patches (已拒绝的补丁) 列表中的软件包以及包含它们作为依赖项的软件包。如果在将软件包添加到 Rejected patches (已拒绝的补丁) 列表之前已安装软件包,则将其视为不符合补丁基准,并且其状态将报告为 InstalledRejected。
-
-
-
(可选)如果要为不同版本的操作系统(如 AmazonLinux2016.03 和 AmazonLinux2017.09)指定备用补丁存储库,请为 Patch sources (补丁源) 部分中的每个产品执行以下操作:
-
在 Name (名称) 中,输入名称以帮助您标识源配置。
-
在 Product (产品) 中,选择补丁源存储库适用于的操作系统的版本,例如
RedhatEnterpriseLinux7.4
。 -
在 Configuration (配置) 中,按以下格式输入要使用的 yum 存储库配置的值:
[main] name=
MyCustomRepository
baseurl=https://my-custom-repository
enabled=1提示 有关可用于 yum 存储库配置的其他选项的信息,请参阅 dnf.conf(5)
。 选择添加其他来源来为每个其他操作系统版本指定源存储库,最多 20 个。
有关备用源补丁存储库的更多信息,请参阅如何指定备用补丁源存储库 (Linux)。
-
-
(可选)对于管理标签,将一个或多个标签键名称/值对应用到补丁基准。
标签是您分配给资源的可选元数据。标签可让您按各种标准(如用途、所有者或环境)对资源进行分类。例如,您可能想要标记补丁基准来确定其指定的补丁的严重性级别、它适用的操作系统系列以及环境类型。在这种情况下,您可以指定类似于以下键名称/值对的标签:
-
Key=PatchSeverity,Value=Critical
-
Key=OS,Value=RHEL
-
Key=Environment,Value=Production
-
-
选择创建补丁基准。