关于适用于修补实例的 SSM 文档 - AWS Systems Manager
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

关于适用于修补实例的 SSM 文档

本主题介绍了目前可用的八个 Systems Manager 文档(SSM 文档),有助于您使托管实例始终获得最新的安全相关更新补丁。

目前,我们建议在修补操作中仅使用这些文档中的五个。结合使用这五个 SSM 文档,您即可获得使用 AWS Systems Manager 进行修补的全部选项。其中有四个文档发布晚于它们取代的四个早期 SSM 文档,代表功能的扩展或整合。

推荐的五个 SSM 文档是:

  • AWS-ConfigureWindowsUpdate

  • AWS-InstallWindowsUpdates

  • AWS-RunPatchBaseline

  • AWS RunPatchBaseline 关联

  • AWS Security Patch 基准(带挂钩)

四个传统 SSM 文档现在仍可在某些 AWS 区域中使用,但将来可能弃用,它们是:

  • AWS-ApplyPatchBaseline

  • AWS-FindWindowsUpdates

  • AWS-InstallMissingWindowsUpdates

  • AWS-InstallSpecificWindowsUpdates

请参考以下各节,了解有关如何在修补操作中使用这些 SSM 文档的更多信息。

建议在托管实例修补操作中使用以下五个 SSM 文档。

支持配置基本的 Windows 更新功能,并使用它们来自动安装更新 (或禁用自动更新)。在所有 AWS 区域中可用。

此 SSM 文档将提示 Windows 更新下载并安装指定的更新,并根据需要重启实例。将此文档与 AWS Systems Manager 的功能结合使用,确保 Windows Update 保持其配置。您也可以使用 RunCommage(AWS Systems Manager 的功能)手动运行它,以更改 Windows 更新配置。

本文档中的可用参数支持指定要安装的更新类别 (或是否禁用自动更新),还支持指定在星期几的什么时间运行修补操作。如果您不需要对 Windows 更新进行严格控制,也不需要收集合规性信息,则此 SSM 文档最为有用。

替换早期 SSM 文档:

将更新安装在 Windows Server 实例。在所有 AWS 区域中可用。

如果您希望安装指定更新 (使用 Include Kbs 参数),或希望安装特定类别或分类的补丁,但不需要补丁合规性信息,则此 SSM 文档可提供基本修补功能。

替换早期 SSM 文档:

  • AWS-FindWindowsUpdates

  • AWS-InstallMissingWindowsUpdates

  • AWS-InstallSpecificWindowsUpdates

这三个早期文档执行不同的功能,但您可以使用较新的 SSM 文档 AWS-InstallWindowsUpdates 的不同参数设置得到同样的结果。这些参数设置在 适用于修补实例的早期 SSM 文档 中进行了介绍。

在实例上安装补丁,或扫描实例以确定是否缺少任何符合条件的补丁。在所有 AWS 区域中可用。

AWS-RunPatchBaseline使您能够使用当前指定为操作系统类型的 “默认” 的修补程序基准来控制修补程序批准。报告补丁合规性信息,您可以使用 Systems Manager 合规性工具进行查看。您可使用这些工具深入了解您的实例的补丁合规性状态,例如哪些实例缺少补丁,以及缺少哪些补丁。当您使用AWS-RunPatchBaseline时,修补程序合规性信息将使用PutInventoryAPI 命令。对于 Linux 操作系统,为来自实例上配置的默认源存储库和来自您在自定义补丁基准中指定的任何备用源存储库的补丁提供合规性信息。有关备用源存储库的更多信息,请参阅如何指定备用补丁源存储库 (Linux)。有关 Systems Manager 合规性工具的更多信息,请参阅AWS Systems Manager 合规性

替换早期文档:

  • AWS-ApplyPatchBaseline

传统文档AWS-ApplyPatchBaseline仅适用于 Windows Server 实例,不提供应用程序修补支持。较新的 AWS-RunPatchBaseline 对 Windows 和 Linux 系统提供了同等支持。要使用 SSM 代理程序 2.0.834.0 或更高版本,需要 SSM 代理程序版本 2.0.834.0 或更高版本。AWS-RunPatchBaseline文档.

有关 AWS-RunPatchBaseline SSM 文档的更多信息,请参阅 关于 AWS-RunPatchBaseline SSM 文档

在实例上安装补丁,或扫描实例以确定是否缺少任何符合条件的补丁。在所有商业 AWS 区域提供。

AWS RunPatchBaseline 关联不同于AWS-RunPatchBaseline因为它支持使用标签来标识运行时要用于一组目标的修补程序基线。此外,修补程序合规性数据是根据特定的状态管理器关联编译的。收集的修补程序合规性数据AWS RunPatchBaseline 关联运行记录使用PutComplianceItemsAPI 命令而不是PutInventory命令。这样可以防止覆盖与此特定关联无关的合规性数据。

对于 Linux 操作系统,为来自实例上配置的默认源存储库和来自您在自定义补丁基准中指定的任何备用源存储库的补丁提供合规性信息。有关备用源存储库的更多信息,请参阅如何指定备用补丁源存储库 (Linux)。有关 Systems Manager 合规性工具的更多信息,请参阅AWS Systems Manager 合规性

替换早期文档:

有关的更多信息AWS RunPatchBaseline 关联SSM 文档,请参阅关于 AWS 运行补丁程序基准关联 SSM 文档

在实例上安装补丁,或扫描实例以确定是否缺少任何符合条件的补丁,使用可选挂接在修补周期内可用于在修补周期三点运行 SSM 文档。在所有商业 AWS 区域提供。

AWS Security Patch 基准(带挂钩)不同于AWS-RunPatchBaseline在其安装操作中。

AWS Security Patch 基准(带挂钩)支持在实例修补期间在指定点运行的生命周期挂钩。由于修补程序安装有时需要重新启动实例,因此修补操作分为两个事件,共有三个支持自定义功能的挂接。第一个挂钩位于Install with NoRebootoperation. 第二个钩子是Install with NoRebootoperation. 实例重新启动后,第三个挂接可用。

替换早期文档:

有关的更多信息AWS Security Patch 基准(带挂钩)SSM 文档,请参阅关于 AWS 运行的带挂钩的补丁程序基线 SSM 文档

适用于修补实例的早期 SSM 文档

在进行修补操作时仍可在某些 AWS 区域中使用以下四个 SSM 文档。但是,将来它们可能会被弃用,因此不建议使用。请使用 适用于修补实例的推荐 SSM 文档 中介绍的文档。

AWS-ApplyPatchBaseline

仅支持 Windows Server 实例,但不包括对在其替换文档中找到的修补应用程序的支持,AWS-RunPatchBaseline。在 2017 年 8 月之后推出的 AWS 区域中不提供。

注意

这个 SSM 文档的替换,AWS-RunPatchBaseline需要 2.0.834.0 或更高版本的 SSM 代理。可以使用 AWS-UpdateSSMAgent 文档将您的实例更新为代理的最新版本。

AWS-FindWindowsUpdates

AWS-InstallWindowsUpdates 替换,新文档可执行所有相同的操作。在 2017 年 4 月之后推出的 AWS 区域中不提供。

要得到与这个早期 SSM 文档相同的结果,请使用推荐的替换文档 AWS-InstallWindowsUpdates 的以下参数配置:

  • Action = Scan

  • Allow Reboot = False

AWS-InstallMissingWindowsUpdates

AWS-InstallWindowsUpdates 替换,新文档可执行所有相同的操作。在 2017 年 4 月之后推出的所有 AWS 区域中均不提供。

要得到与这个早期 SSM 文档相同的结果,请使用推荐的替换文档 AWS-InstallWindowsUpdates 的以下参数配置:

  • Action = Install

  • Allow Reboot = True

AWS-InstallSpecificWindowsUpdates

AWS-InstallWindowsUpdates 替换,新文档可执行所有相同的操作。在 2017 年 4 月之后推出的所有 AWS 区域中均不提供。

要得到与这个早期 SSM 文档相同的结果,请使用推荐的替换文档 AWS-InstallWindowsUpdates 的以下参数配置:

  • Action = Install

  • Allow Reboot = True

  • Include Kbs = comma-separated list of KB articles