按需修补托管式节点 - Amazon Systems Manager
“立即补丁”的工作原理运行“立即修补”
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

按需修补托管式节点

使用Patch Manager（Amazon Systems Manager 中的一项工具）中的立即修补选项，您可以从 Systems Manager 控制台运行按需修补操作。这意味着您不必创建计划来更新托管式节点的合规性状态，或在不合规的节点上安装补丁。您也不需要在Patch Manager和 Maintenance Windows（Amazon Systems Manager 中的一项工具）之间切换 Systems Manager 控制台来设置或修改计划的补丁时段。

当您必须尽快在托管式节点上应用零日更新或安装其他关键补丁时，Patch now（立即修补）特别有用。

注意

每次仅支持按需修补一个 Amazon Web Services 账户 与 Amazon Web Services 区域 对。这不能用于基于补丁策略的修补操作。我们建议使用补丁策略来确保所有托管节点满足合规性。有关使用补丁策略的更多信息，请参阅 Quick Setup 中的补丁策略配置。

“立即补丁”的工作原理

要运行立即修补，您只需指定两个必需的设置：

  • 是仅扫描缺少的补丁，还是在托管式节点上扫描并安装补丁

  • 要在哪个托管式节点上运行该操作

当 Patch now（立即修补）操作运行时，其确定以与为其他修补操作选择的基准相同的方式使用哪个补丁基准。如果托管式节点与补丁组关联，则将使用为该组指定的补丁基准。如果托管式节点未与补丁组关联，则该操作使用的补丁基准为当前设置为托管式节点操作系统类型的默认补丁基准。这可以是预定义基准，也可以是您设置为默认基准的自定义基准。有关选择补丁基准的更多信息，请参阅 补丁组。

您可以为 Patch now（立即修补）指定的选项包括：选择修补后重启托管式节点的时间或是否重启托管式节点，指定 Amazon Simple Storage Service (Amazon S3) 存储桶来存储修补操作的日志数据，以及在修补期间将 Systems Manager 文档（SSM 文档）作为生命周期钩子运行。

“立即修补”的并发和错误阈值

适用于立即修补操作，并发和错误阈值选项由 Patch Manager 来处理。您无需指定一次修补多少个托管式节点，也不需要指定操作失败之前允许的错误数。在按需进行修补时，Patch Manager 将应用下表中描述的并发和错误阈值设置。

重要

以下阈值仅适用于 Scan and install 操作。对于 Scan 操作，Patch Manager 会尝试同时扫描多达 1000 个节点，并继续扫描，直到遇到多达 1000 个错误。

并发性：安装操作
Patch now（立即修补）操作中的托管式节点总数 一次扫描或修补的托管式节点数量
少于 25 1
25-100 5%
101 到 1000 8%
1000 以上 10%
错误阈值：安装操作
Patch now（立即修补）操作中的托管式节点总数 操作失败前允许的错误数
少于 25 1
25-100 5
101 到 1000 10
1000 以上 10

使用“立即修补”生命周期钩子

立即修补提供了在 Install 修补操作期间将 SSM 命令文档作为生命周期钩子运行的能力。您可以使用这些钩子执行诸如在修补之前关闭应用程序或在修补后或重启后对应用程序运行状况检查之类的任务。

有关使用生命周期钩子的更多信息，请参阅 用于修补的 SSM 命令文档：AWS-RunPatchBaselineWithHooks。

下表列出了适用于三个立即修补重启选项之一的可用生命周期钩子，以及每个钩子的示例用途。

生命周期钩子和示例用途
重启选项 钩子：安装前 钩子：安装后 钩子：退出时 钩子：计划重启后
如果需要，重启

在开始修补之前运行 SSM 文档。

示例用途：在修补过程开始之前安全地关闭应用程序。

在修补操作结束时和托管式节点重启前运行 SSM 文档。

示例用途：在潜在重启之前运行诸如安装第三方应用程序等操作。

修补操作完成后运行 SSM 文档，重新启动实例。

示例用途：确保应用程序在修补后按预期运行。

 不可用
不重启我的实例 同上。

在修补操作结束时运行 SSM 文档。

示例用途：确保应用程序在修补后按预期运行。

不可用

不可用

计划重启时间 同上。 与不重启我的实例相同。 不可用

在计划的重启完成后立即运行 SSM 文档。

示例用途：确保应用程序在重启后按预期运行。

运行“立即修补”

使用以下过程按需修补托管式节点。

要运行“立即修补”

  1. 访问 https://console.aws.amazon.com/systems-manager/，打开 Amazon Systems Manager 控制台。

  2. 在导航窗格中，选择 Patch Manager。

  3. 选择立即修补。

  4. 适用于修补操作，请选择以下选项之一：

    • Scan（扫描）：Patch Manager 查找托管式节点中缺少的补丁，但不进行安装。您可以在合规性控制面板中查看结果，或在你使用的其他工具中查看补丁合规性。

    • Scan and install（扫描并安装）：Patch Manager 查找并安装托管式节点中缺少的补丁。

  5. 仅在上一个步骤中选择扫描并安装时，使用此步骤。对于 重启选项，请选择以下选项之一：

    • Reboot if needed（如需要，则重启）：安装后，Patch Manager 仅在需要完成补丁安装时才会重启托管式节点。

    • Don't reboot my instances（不重启我的实例）：安装后，Patch Manager 不会重启托管式节点。当您在 Patch Manager 之外选择或管理重启时，您可以手动重启节点。

    • Schedule a reboot time（计划重启时间）：为 Patch Manager 重启托管式节点，指定日期、时间和 UTC 时区。在您运行立即修补操作时，计划的重启将在 State Manager 中列为关联内容，名称为 AWS-PatchRebootAssociation。

  6. 对于 要修补的实例，请选择以下任一项：

    • Patch all instances（修补所有实例）：在当前 Amazon Web Services 区域 中，Patch Manager 在 Amazon Web Services 账户 中的所有托管式节点上运行指定操作。

    • Patch only the target instances I specify（仅修补我指定的目标实例）：您可以指定要在下一步中作为目标的托管式节点。

  7. 仅在上一个步骤中选择仅修补我指定的目标实例时，使用此步骤。在 Target selection（目标选择）部分中，通过指定标签、手动选择节点或指定资源组，标识要在其上运行此操作的节点。

    注意

    如果未列出您希望看到的托管式节点，请参阅 排除托管式节点可用性的问题 以获取故障排除技巧。

    如果选择以资源组为目标，请注意，基于 Amazon CloudFormation 堆栈的资源组仍然必须使用默认 aws:cloudformation:stack-id 标签来标记。如果已删除，Patch Manager 可能无法确定属于资源组的托管式节点。

  8. （可选）对于补丁日志存储，如果要从此修补操作创建和保存日志，请选择用于存储日志的 S3 存储桶。

    注意

    授予将数据写入 S3 存储桶的能力的 S3 权限，是分配给实例的实例配置文件（适用于 EC2 实例）或 IAM 服务角色（混合激活的计算机）的权限，而不是执行此任务的 IAM 用户的权限。有关更多信息，请参阅配置 Systems Manager 所需的实例权限或在混合和多云环境中创建 Systems Manager 所需的 IAM 服务角色。此外，如果指定的 S3 存储桶位于不同的 Amazon Web Services 账户 中，请确保与该托管式节点关联的实例配置文件或 IAM 服务角色具有写入该存储桶的所需权限。

  9. （可选）如果要在修补操作的特定点期间将 SSM 文档作为生命周期钩子运行，请执行以下操作：

    • 选择使用生命周期钩子。

    • 对于每个可用钩子，选择要在操作的指定点运行的 SSM 文档：

      • 安装前

      • 安装后

      • 退出时

      • 计划重启后

      注意

      默认文档 AWS-Noop，不运行任何操作。

  10. 选择立即修补。

    打开 Association execution targets (关联执行目标)页面。[“立即修补”使用State Manager（Amazon Systems Manager 中的一项工具）中的关联进行操作。] 在 Operation summary（操作摘要）区域中，您可以监控指定托管式节点上的扫描或修补状态。