关于适用于修补实例的 SSM 文档 - Amazon Systems Manager
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

关于适用于修补实例的 SSM 文档

本主题介绍了八个可用的 Systems Manager 文档(SSM 文档),有助于您使托管实例始终获得最新的安全相关更新补丁。

我们建议在修补操作中仅使用这些文档中的五个。结合使用这五个 SSM 文档,您即可获得使用Amazon Systems Manager. 其中有四个文档是在四个早期 SSM 文档之后发布的,替换了这四个早期文档,代表了功能的扩展或整合。

这五个推荐的 SSM 文档是:

  • AWS-ConfigureWindowsUpdate

  • AWS-InstallWindowsUpdates

  • AWS-RunPatchBaseline

  • AWS-RunPatchBaselineAssociation

  • AWS-RunPatchBaselineWithHooks

四个传统 SSM 文档现在仍可在某些 Amazon Web Services 区域 ,但将来可能弃用,请包括:

  • AWS-ApplyPatchBaseline

  • AWS-FindWindowsUpdates

  • AWS-InstallMissingWindowsUpdates

  • AWS-InstallSpecificWindowsUpdates

请参考以下各节,了解有关如何在修补操作中使用这些 SSM 文档的更多信息。

建议在托管实例的修补操作中使用以下五个 SSM 文档。

支持配置基本的 Windows Update 功能,并使用它们来自动安装更新 (或关闭自动更新)。在所有中可用 Amazon Web Services 区域 .

此 SSM 文档将提示 Windows 更新下载并安装指定的更新,并根据需要重启实例。将此文档与State Manager,功能为Amazon Systems Manager,确保 Windows 更新保持其配置。您也可以使用手动运行它Run Command,功能为Amazon Systems Manager,以更改 Windows 更新配置。

本文档中的可用参数支持指定要安装的更新类别(或是否关闭自动更新),以及指定运行修补操作的星期几和时间。如果您不需要对 Windows 更新进行严格控制,也不需要收集合规性信息,则此 SSM 文档最为有用。

替换早期 SSM 文档:

在 Windows Server 实例上安装更新。在所有中可用 Amazon Web Services 区域 .

如果您希望安装指定更新 (使用 Include Kbs 参数),或希望安装特定类别或分类的补丁,但不需要补丁合规性信息,则此 SSM 文档可提供基本修补功能。

替换早期 SSM 文档:

  • AWS-FindWindowsUpdates

  • AWS-InstallMissingWindowsUpdates

  • AWS-InstallSpecificWindowsUpdates

这三个早期文档执行不同的功能,但您可以使用较新的 SSM 文档的不同参数设置得到同样的结果。AWS-InstallWindowsUpdates. 这些参数设置在 适用于修补实例的早期 SSM 文档 中进行了介绍。

在实例上安装补丁,或扫描实例以确定是否缺少任何符合条件的补丁。在所有中可用 Amazon Web Services 区域 .

AWS-RunPatchBaseline允许您使用指定为操作系统类型的 “默认” 的修补程序基准来控制修补程序批准。报告补丁合规性信息,您可以使用 Systems Manager 合规性工具进行查看。您可使用这些工具深入了解您的实例的补丁合规性状态,例如哪些实例缺少补丁,以及缺少哪些补丁。当您使用AWS-RunPatchBaseline时,修补程序合规性信息将使用PutInventoryAPI 命令。对于 Linux 操作系统,为来自实例上配置的默认源存储库和来自您在自定义补丁基准中指定的任何备用源存储库的补丁提供合规性信息。有关备用源存储库的更多信息,请参阅如何指定备用补丁源存储库 (Linux)。有关 Systems Manager 合规性工具的更多信息,请参阅。Amazon Systems Manager 合规性.

替换早期文档:

  • AWS-ApplyPatchBaseline

传统文档AWS-ApplyPatchBaseline仅适用于Windows Server实例,并且不支持应用程序修补。较新的AWS-RunPatchBaseline为 Windows 和 Linux 系统提供了同等支持。的 2.0.834.0 版本或更高版本SSM Agent是必需的,才能使用AWS-RunPatchBaseline文档.

有关的更多信息AWS-RunPatchBaselineSSM 文档,请参阅关于AWS-RunPatchBaselineSSM 文档.

在实例上安装补丁,或扫描实例以确定是否缺少任何符合条件的补丁。在所有商用中可用 Amazon Web Services 区域 .

AWS-RunPatchBaselineAssociation不同于AWS-RunPatchBaseline以几个重要的方式:

  • AWS-RunPatchBaselineAssociation主要用于使用Quick Setup,功能为Amazon Systems Manager. (当使用Quick Setup主机管理配置类型(如果选择每天扫描实例以查找缺少的补丁,系统使用AWS-RunPatchBaselineAssociation用于操作。)

    但是,在大多数情况下,在设置自己的修补操作时,应选择AWS-RunPatchBaseline或者AWS-RunPatchBaselineWithHooks而非AWS-RunPatchBaselineAssociation.

    有关更多信息,请参阅以下主题:

  • AWS-RunPatchBaselineAssociation支持使用标签来标识运行时要用于一组目标的修补程序基线。

  • 对于使用AWS-RunPatchBaselineAssociation,修补程序合规性数据将按照特定的State Manager关联。时收集的修补程序合规性数据AWS-RunPatchBaselineAssociation运行记录使用PutComplianceItemsAPI 命令而不是PutInventory命令。这样可以防止覆盖与此特定关联无关的合规性数据。

    对于 Linux 操作系统,为来自实例上配置的默认源存储库和来自您在自定义补丁基准中指定的任何备用源存储库的补丁提供合规性信息。有关备用源存储库的更多信息,请参阅如何指定备用补丁源存储库 (Linux)。有关 Systems Manager 合规性工具的更多信息,请参阅。Amazon Systems Manager 合规性.

替换早期文档:

有关的更多信息AWS-RunPatchBaselineAssociationSSM 文档,请参阅关于AWS-RunPatchBaselineAssociationSSM 文档 .

在实例上安装补丁,或扫描实例以确定是否缺少任何符合条件的补丁,使用可选的挂接,可以使用修补周期的三个点运行 SSM 文档。在所有商用中可用 Amazon Web Services 区域 .

AWS-RunPatchBaselineWithHooks不同于AWS-RunPatchBaseline在其Installoperation.

AWS-RunPatchBaselineWithHooks支持在实例修补期间在指定点运行的生命周期挂钩。由于修补程序安装有时需要重新启动实例,因此修补操作分为两个事件,共有三个支持自定义功能的挂接。第一个挂钩位于Install with NoRebootoperation. 第二个钩子是Install with NoRebootoperation. 实例重新启动后,第三个挂接可用。

替换早期文档:

有关的更多信息AWS-RunPatchBaselineWithHooksSSM 文档,请参阅关于AWS-RunPatchBaselineWithHooksSSM 文档.

适用于修补实例的早期 SSM 文档

在进行修补操作时仍可使用以下四个 SSM 文档。 Amazon Web Services 区域 . 但是,将来它们可能会被弃用,因此不建议使用。请使用 适用于修补实例的推荐 SSM 文档 中介绍的文档。

AWS-ApplyPatchBaseline

仅支持Windows Server实例,但不包括对在其替换文档中找到的修补应用程序的支持,AWS-RunPatchBaseline. 在中不可用 Amazon Web Services 区域 于 2017 年 8 月之后推出。

注意

这个 SSM 文档的替代品AWS-RunPatchBaseline,需要版本 2.0.834.0 或更高版本的SSM Agent. 您可以使用AWS-UpdateSSMAgent文档将您的实例更新为最新版本的代理。

AWS-FindWindowsUpdates

已被 取代AWS-InstallWindowsUpdates,它可执行所有相同的操作。在中不可用 Amazon Web Services 区域 在 2017 年 4 月之后推出。

要得到与这个早期 SSM 文档相同的结果,请使用推荐的替换文档的以下参数配置:AWS-InstallWindowsUpdates

  • Action = Scan

  • Allow Reboot = False

AWS-InstallMissingWindowsUpdates

已被 取代AWS-InstallWindowsUpdates,它可执行所有相同的操作。不提供任何 Amazon Web Services 区域 在 2017 年 4 月之后推出。

要得到与这个早期 SSM 文档相同的结果,请使用推荐的替换文档的以下参数配置:AWS-InstallWindowsUpdates

  • Action = Install

  • Allow Reboot = True

AWS-InstallSpecificWindowsUpdates

已被 取代AWS-InstallWindowsUpdates,它可执行所有相同的操作。不提供任何 Amazon Web Services 区域 在 2017 年 4 月之后推出。

要得到与这个早期 SSM 文档相同的结果,请使用推荐的替换文档的以下参数配置:AWS-InstallWindowsUpdates

  • Action = Install

  • Allow Reboot = True

  • Include Kbs = KB 文章的逗号分隔列表