Wie sehe ich die Patches, die der Patch Manager auf meiner Amazon EC2-Instance installieren wird?

Kurzbeschreibung

Mit Patch Manager kannst du EC2-Instances scannen, um nur einen Bericht über fehlende Patches anzuzeigen, oder scannen und alle fehlenden Patches automatisch installieren. Patch Manager verwendet Patch-Baselines, die Regeln enthalten, um Patches innerhalb von Tagen nach ihrer Veröffentlichung automatisch zu genehmigen. Die Patch-Baselines enthalten auch eine Liste der genehmigten und abgelehnten Patches.

Um die Patches zu sehen, die der Patch Manager auf deinen Instances installieren wird, überprüfe den Patch-Compliance-Status, der auf der Patch-Baseline basiert. Patch Manager überprüft den Compliance-Status bei Scan-Vorgängen.

Lösung

Voraussetzung: Stelle sicher, dass du die Patch-Manager-Voraussetzungen einhältst.

Die Patch-Baseline überprüfen oder erstellen

Überprüfe die vordefinierte Patch-Baseline für jedes Betriebssystem (OS), das du verwendest.

Wenn die Standard-Baseline deine Anforderungen nicht erfüllt, erstelle eine benutzerdefinierte Patch-Baseline, um einen Standard-Satz von Patches für einen Instance-Typ zu definieren. Dann lege die benutzerdefinierte Baseline als Standard-Patch-Baseline fest.

(Optional) Organisiere Instances in Patch-Gruppen

Du kannst Tags verwenden, um deine Instances in Patch-Gruppen zu organisieren. Mit Patch-Gruppen wird die AWS-RunPatchBaseline-Automatisierung basierend auf den Patch-Baselines der Patch-Gruppe ausgeführt.

Hinweis: Wenn du keine Patch-Gruppe angibst, verwendet die AWS-RunPatchBaseline-Automatisierung die angegebene Patch-Baseline als Standard für den Betriebssystemtyp.

Bericht über den Patch-Compliance-Status überprüfen

Hinweis: Wenn du beim Ausführen von AWS Command Line Interface (AWS CLI)-Befehlen Fehler erhältst, lies Troubleshooting errors for the AWS CLI (Beheben von Fehlern für die AWS CLI). Stelle außerdem sicher, dass du die neueste Version der AWS CLI verwendest.

Zuerst führe einen Scan-Vorgang aus, um die geplanten Patches für deine Instances zu identifizieren. Wähle für den Patch-Vorgang Scannen. Um den Bericht über den Patch-Compliance-Status zu generieren, muss AWS-RunPatchBaseline mindestens einmal auf der Instance ausgeführt werden. Wenn du Probleme bei der Ausführung von AWS-RunPatchBaseline feststellst, lies Patch-Manager-Fehlerbehebung.

Führe dann die folgenden Schritte aus, um die AWS Systems Manager-Konsole zu verwenden, um den Bericht über den Patch-Compliance-Status zu überprüfen:

1. Öffne die Systems Manager-Konsole.
2. Wähle im Navigationsbereich Patch Manager aus.
3. Wähle die Registerkarte Reporting (Berichterstellung) und wähle dann die Instance aus, für die du fehlende Patches sehen möchtest.
4. Wähle Missing patches count (Anzahl der fehlenden Patches), um die Liste der fehlenden Patches anzuzeigen.
5. (Optional) Um Patch-Compliance-Berichte zu erstellen, generiere einen .csv-Patchbericht für einen einzelnen verwalteten Knoten oder für alle verwalteten Knoten.
6. Oder führe den folgenden AWS-CLI-Befehl describe-instance-patch-states aus, um die Anzahl der Patch-Compliance-Status abzurufen:

   aws ssm describe-instance-patch-states --instance-ids "InstanceID"

   Hinweis: Ersetze InstanceID durch deine Instance-ID. Die Befehlsausgabe enthält die Anzahl der fehlenden Patches. Wenn du bei der Ausführung des Befehls auf Probleme stößt, stelle sicher, dass deine AWS Identity and Access Management (IAM)-Richtlinie die Aktion DescribeInstancePatches zulässt.

Um die Patches zu identifizieren, die in der Baseline genehmigt sind, aber nicht auf der Instance installiert sind, führe den folgenden Befehl describe-instance-patches aus:

aws ssm describe-instance-patches --instance-id "InstanceID" --filters Key=State,Values=Missing --region RegionID

Hinweis: Ersetze InstanceID durch deine Instance-ID und RegionID durch deine AWS-Region.

Ähnliche Informationen

Problem: PatchBaselineOperations PowerShell Das Modul kann nicht heruntergeladen werden

Wie Sicherheitspatches ausgewählt werden

Wie Patches installiert werden

Aktualisieren oder Löschen einer benutzerdefinierten Patch-Baseline

Wie behebe ich einen fehlgeschlagenen Patch Manager (Linux)-Vorgang?