Patch Manager 疑难解 - Amazon Web Services Systems Manager
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

Patch Manager 疑难解

使用以下信息可帮助您排除 Patch Manager(Amazon Web Services Systems Manager。

对产品系列/产品对不匹配的故障排除

问题:在控制台中创建补丁基准时,您指定了产品系列和产品。例如,您可能选择:

  • 产品系列Office

    产品Office 2016

原因:如果您尝试使用不匹配的产品系列/产品对创建补丁基准,则会显示一条错误消息。以下是可能发生这种情况的原因:

  • 您选择了有效的产品系列/产品对,但随后删除了产品系列选择。

  • 您从 Obsolete or mismatched options (过时或不匹配的选项) 子列表中选择的产品,而不是 Available and matching options (可用和匹配选项) 子列表。

    商品中的商品过时或不匹配的选项子列表可能是通过开发工具包或错误输入的Amazon命令行界面 (AmazonCLI)create-patch-baseline命令。这可能意味着存在拼写错误或产品被分配到了错误的产品系列。如果为之前的补丁基准指定了某个产品,但该产品目前没有 Microsoft 提供的补丁,它也会出现在 Obsolete or mismatched options (过时或不匹配的选项) 子列表中。

解决方案:为避免控制台中出现此问题,请始终从 Currently available options (当前可用选项) 子列表中选择选项。

您也可以使用当前可用补丁的产品,方法是使用describe-patch-properties命令AmazonCLI 或DescribePatchPropertiesAPI 命令。

故障排除AWS-RunPatchBaseline输出返回HRESULT

问题:您收到类似如下内容的错误。

----------ERROR-------
Invoke-PatchBaselineOperation : Exception Details: An error occurred when 
attempting to search Windows Update.
Exception Level 1:
 Error Message: Exception from HRESULT: 0x80240437
 Stack Trace: at WUApiLib.IUpdateSearcher.Search(String criteria)..
(Windows updates)
11/22/2020 09:17:30 UTC | Info | Searching for Windows Updates.
11/22/2020 09:18:59 UTC | Error | Searching for updates resulted in error: Exception from HRESULT: 0x80240437
----------ERROR-------
failed to run commands: exit status 4294967295

原因:此输出表示本机 Windows 更新 API 无法运行修补操作。

解决方案:” 复选框HResult代码微软文档以确定解决错误的故障排除步骤。

故障排查实例无权访问 Windows 更新目录或 WSUS

问题:您收到类似如下内容的错误。

Downloading PatchBaselineOperations PowerShell module from https://s3.amazonaws.com/path_to_module.zip to C:\Windows\TEMP\Amazon.PatchBaselineOperations-1.29.zip.

Extracting PatchBaselineOperations zip file contents to temporary folder.

Verifying SHA 256 of the PatchBaselineOperations PowerShell module files.

Successfully downloaded and installed the PatchBaselineOperations PowerShell module.

Patch Summary for

PatchGroup :

BaselineId :

Baseline : null

SnapshotId :

RebootOption : RebootIfNeeded

OwnerInformation :

OperationType : Scan

OperationStartTime : 1970-01-01T00:00:00.0000000Z

OperationEndTime : 1970-01-01T00:00:00.0000000Z

InstalledCount : -1

InstalledRejectedCount : -1

InstalledPendingRebootCount : -1

InstalledOtherCount : -1

FailedCount : -1

MissingCount : -1

NotApplicableCount : -1

UnreportedNotApplicableCount : -1

EC2AMAZ-VL3099P - PatchBaselineOperations Assessment Results - 2020-12-30T20:59:46.169

----------ERROR-------

Invoke-PatchBaselineOperation : Exception Details: An error occurred when attempting to search Windows Update.

Exception Level 1:

Error Message: Exception from HRESULT: 0x80072EE2

Stack Trace: at WUApiLib.IUpdateSearcher.Search(String criteria)

at Amazon.Patch.Baseline.Operations.PatchNow.Implementations.WindowsUpdateAgent.SearchForUpdates(String

searchCriteria)

At C:\ProgramData\Amazon\SSM\InstanceData\i-02573cafcfEXAMPLE\document\orchestration\3d2d4864-04b7-4316-84fe-eafff1ea58

e3\PatchWindows\_script.ps1:230 char:13

+ $response = Invoke-PatchBaselineOperation -Operation Install -Snapsho ...

+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

+ CategoryInfo : OperationStopped: (Amazon.Patch.Ba...UpdateOperation:InstallWindowsUpdateOperation) [Inv

oke-PatchBaselineOperation], Exception

+ FullyQualifiedErrorId : Exception Level 1:

Error Message: Exception Details: An error occurred when attempting to search Windows Update.

Exception Level 1:

Error Message: Exception from HRESULT: 0x80072EE2

Stack Trace: at WUApiLib.IUpdateSearcher.Search(String criteria)

at Amazon.Patch.Baseline.Operations.PatchNow.Implementations.WindowsUpdateAgent.SearchForUpdates(String searc

---Error truncated----

原因:此错误可能与 Windows 更新组件有关,或与 Windows 更新目录或 Windows 服务器更新服务 (WSUS) 缺乏连接。

解决方案:确认实例具有与微软更新目录通过 Internet 网关、NAT 网关或 NAT 实例。如果您使用的是 WSUS,请确认该实例已连接到环境中的 WSUS 服务器。如果可以连接到预期目标,请查看 Microsoft 文档中的其他潜在原因HResult 0x80072EE2。这可能表示操作系统级别问题。

故障排除修补程序基准模块不可下载

问题:您收到类似如下内容的错误。

Preparing to download PatchBaselineOperations PowerShell module from S3.
Downloading PatchBaselineOperations PowerShell module from https://s3.amazonaws.com/path_to_module.zip to C:\Windows\TEMP\Amazon.PatchBaselineOperations-1.29.zip.
----------ERROR-------

C:\ProgramData\Amazon\SSM\InstanceData\i-02573cafcfEXAMPLE\document\orchestration\aaaaaaaa-bbbb-cccc-dddd-4f6ed6bd5514\

PatchWindows\_script.ps1 : An error occurred when executing PatchBaselineOperations: Unable to connect to the remote server

+ CategoryInfo : NotSpecified: (:) [Write-Error], WriteErrorException

+ FullyQualifiedErrorId : Microsoft.PowerShell.Commands.WriteErrorException,_script.ps1

failed to run commands: exit status 4294967295

解决方案:检查 Amazon Simple Storage Service (Amazon S3) 的实例连接和权限。实例的 AWS Identity and Access Management (IAM) 角色必须使用关于 SSM 代理的最低 S3 存储桶权限。实例必须通过 Amazon S3 网关终端节点、NAT 网关或互联网网关与 Amazon S3 终端节点进行通信。有关 VPC 终端节点要求的更多信息Amazon Web Services Systems ManagerSSM 代理(SSM 代理),请参阅第 6 步:(可选)创建 Virtual Private Cloud 终端节点

缺少修补程序故障

问题AWS-RunPatchbaseline已成功完成,但缺少一些修补程序。

以下是一些常见原因及其解决方案。

原因 1:基线不起作用。

解决方案 1:要检查这是否是原因,请按照下列过程操作。

  1. 打开Amazon Web Services Systems Manager控制台位于https://console.aws.amazon.com/systems-manager/

  2. 在导航窗格中,选择Run Command

    -或者-

    如果Amazon Web Services Systems Manager首先打开主页,选择菜单图标( )打开导航窗格,然后选择Run Command

  3. 选择命令历史记录选项卡,然后选择要检查其基线的命令。

  4. 选择缺少修补程序的实例。

  5. Select步骤 1-输出并查找BaselineId值。

  6. 检查分配补丁基准配置,即修补程序基准的操作系统、产品名称、分类和严重性。

  7. 转至微软更新目录

  8. 搜索 Microsoft 知识库 (KB) 文章 ID(例如,KB3216916)。

  9. 验证产品匹配您的实例,然后选择相应的职务。新增更新详细信息窗口将打开。

  10. 概述” 选项卡中,分类MSRC 严重性必须与之前找到的修补程序基准配置匹配。

原因 2:已更换修补程序。

解决方案 2:要检查这一点是否为真,请使用以下过程。

  1. 转至微软更新目录

  2. 搜索 Microsoft 知识库 (KB) 文章 ID(例如,KB3216916)。

  3. 验证产品匹配您的实例,然后选择相应的职务。新增更新详细信息窗口将打开。

  4. 转至包详细信息选项卡。查找此更新已替换为以下更新:标头。

原因 3:相同的修补程序可能具有不同的知识库编号,因为 WSUS 和窗口联机更新由 Microsoft 处理为独立的发布渠道。

解决方案 3:检查补丁程序的资格。如果软件包在 WSUS 下不可用,请安装操作系统内部版本。如果该软件包适用于所有操作系统版本,请安装操作系统内部版本

联系 Amazon Web Services Support

如果您无法在本节中找到故障排除解决方案,或在Systems Manager 开发人员论坛并且如果你有Amazon Web Services Support计划与增强型技术 Support 一起使用,则可在Amazon Web Services Support

在您联系Amazon Web Services Support,收集以下内容:

  • SSM 代理日志

  • %PROGRAMDATA%\Amazon\PatchBaselineOperations\Logs,如如何安装补丁

  • Windows 更新日志:

    对于 Windows 2012 R2 及更高版本,使用%windir%/WindowsUpdate.log

    对于 Windows 2016 和更新版本,请首先运行Get-WindowsUpdateLog在使用%windir%/WindowsUpdate.log

  • 运行命令命令 ID、维护窗口 ID 或自动化执行 ID