AWS Systems Manager
用户指南
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

关于适用于修补实例的 SSM 文档

本主题介绍了目前可用的七个 SSM 文档,有助于您使托管实例始终获得最新的安全相关更新补丁。

目前,我们建议在修补操作中仅使用这些文档中的三个。结合使用这三个 SSM 文档,您即可获得使用 AWS Systems Manager 进行修补的全部选项。其中有两个文档是在四个早期 SSM 文档之后发布的,替换了这四个早期文档,对功能进行了扩展和整合。

这三个推荐的 SSM 文档是:

  • AWS-ConfigureWindowsUpdate

  • AWS-InstallWindowsUpdates

  • AWS-RunPatchBaseline

四个早期 SSM 文档现在仍可使用,但将来可能弃用,它们是:

  • AWS-ApplyPatchBaseline

  • AWS-FindWindowsUpdates

  • AWS-InstallMissingWindowsUpdates

  • AWS-InstallSpecificWindowsUpdates

请参考以下各节,了解有关如何在修补操作中使用这些 SSM 文档的更多信息。

建议在进行托管实例的修补操作时使用以下三个 SSM 文档。

支持配置基本的 Windows 更新功能,并使用它们来自动安装更新 (或禁用自动更新)。在所有 AWS 区域中可用。

此 SSM 文档将提示 Windows 更新下载并安装指定的更新,并根据需要重启实例。请将此文档与 状态管理器 结合使用,确保 Windows 更新保持其配置。您也可以使用 Run Command 手动运行它,以更改 Windows 更新配置。

本文档中的可用参数支持指定要安装的更新类别 (或是否禁用自动更新),还支持指定在星期几的什么时间运行修补操作。如果您不需要对 Windows 更新进行严格控制,也不需要收集合规性信息,则此 SSM 文档最为有用。

替换早期 SSM 文档:

在 Windows 实例上安装更新。在所有 AWS 区域中可用。

如果您希望安装指定更新 (使用 Include Kbs 参数),或希望安装特定类别或分类的补丁,但不需要补丁合规性信息,则此 SSM 文档可提供基本修补功能。

替换早期 SSM 文档:

  • AWS-FindWindowsUpdates

  • AWS-InstallMissingWindowsUpdates

  • AWS-InstallSpecificWindowsUpdates

这三个早期文档执行不同的功能,但您可以使用较新的 SSM 文档 AWS-InstallWindowsUpdates 的不同参数设置得到同样的结果。这些参数设置在 适用于修补实例的早期 SSM 文档 中进行了介绍。

在实例上安装补丁,或扫描实例以确定是否缺少任何符合条件的补丁。在所有 AWS 区域中可用。

可通过 AWS-RunPatchBaseline 使用补丁基准控制对补丁的审批。报告补丁合规性信息,您可以使用 Systems Manager 合规性工具进行查看。您可使用这些工具深入了解您的实例的补丁合规性状态,例如哪些实例缺少补丁,以及缺少哪些补丁。对于 Linux 操作系统,为来自实例上配置的默认源存储库和来自您在自定义补丁基准中指定的任何备用源存储库的补丁提供合规性信息。有关备用源存储库的更多信息,请参阅如何指定备用补丁源存储库 (Linux)。有关 Systems Manager 合规性工具的更多信息,请参阅 AWS Systems Manager 配置合规性

替换早期文档:

  • AWS-ApplyPatchBaseline

旧文档 AWS-ApplyPatchBaseline 仅适用于 Windows 实例,不提供应用程序修补支持。较新的 AWS-RunPatchBaseline 对 Windows 和 Linux 系统提供了同等支持。要使用 AWS-RunPatchBaseline 文档,需要 SSM 代理 版本 2.0.834.0 或更高版本。

有关 AWS-RunPatchBaseline SSM 文档的更多信息,请参阅 关于 SSM 文档 AWS-RunPatchBaseline

适用于修补实例的早期 SSM 文档

在进行修补操作时仍可使用以下四个 SSM 文档。但是,将来它们可能会被弃用,因此不建议使用。请使用 适用于修补实例的推荐 SSM 文档 中介绍的文档。

AWS-ApplyPatchBaseline

仅支持 Windows 实例,但不包括对在其替换文档 AWS-RunPatchBaseline 中找到的修补应用程序的支持。在 2017 年 8 月之后推出的 AWS 区域中不提供。

注意

此 SSM 文档的替换文档 AWS-RunPatchBaseline 需要版本 2.0.834.0 或更高版本的 SSM 代理。可以使用 AWS-UpdateSSMAgent 文档将您的实例更新为代理的最新版本。

AWS-FindWindowsUpdates

AWS-InstallWindowsUpdates 替换,新文档可执行所有相同的操作。在 2017 年 4 月之后推出的 AWS 区域中不提供。

要得到与这个早期 SSM 文档相同的结果,请使用推荐的替换文档 AWS-InstallWindowsUpdates 的以下参数配置:

  • Action = Scan

  • Allow Reboot = False

AWS-InstallMissingWindowsUpdates

AWS-InstallWindowsUpdates 替换,新文档可执行所有相同的操作。在 2017 年 4 月之后推出的所有 AWS 区域中均不提供。

要得到与这个早期 SSM 文档相同的结果,请使用推荐的替换文档 AWS-InstallWindowsUpdates 的以下参数配置:

  • Action = Install

  • Allow Reboot = True

AWS-InstallSpecificWindowsUpdates

AWS-InstallWindowsUpdates 替换,新文档可执行所有相同的操作。在 2017 年 4 月之后推出的所有 AWS 区域中均不提供。

要得到与这个早期 SSM 文档相同的结果,请使用推荐的替换文档 AWS-InstallWindowsUpdates 的以下参数配置:

  • Action = Install

  • Allow Reboot = True

  • Include Kbs = KB 文章的逗号分隔列表