Wie behebe ich Quick Setup-Patch-Richtlinienfehler in Systems Manager?

Kurzbeschreibung

Wenn du Quick Setup verwendest, um eine Patch-Richtlinie zum Aktualisieren einer Amazon EC2-Instance zu erstellen, erhältst du möglicherweise eine der folgenden Fehlermeldungen.

Linux-Instances:

„Unable to download file from S3: s3://aws-quicksetup-patchpolicy-5433xxxxx141-xxxxx/baseline_overrides.json.
botocore.exceptions.ClientError: An error occurred (403) when calling the HeadObject operation: Forbidden
No IMDS credentials found on instance.failed to run commands: exit status 156“

Windows-Instances, im Abschnitt Fehler der Patch-Aufgabe:

„Invoke-PatchBaselineOperation: User: arn:aws:sts::5433xxxxx141:assumed-role/<IAM-Role>/i-xxxxxxxxxxxxxxxxx is not authorized to perform: s3:GetObject on resource:
„arn:aws:s3:::aws-quicksetup-patchpolicy-5433xxxxx141-xxxxx/baseline_overrides.json" with an explicit deny in a resource-based policy“

Dieses Problem tritt auf, wenn eine Amazon EC2-Instance die Baseline-Überschreibung aufgrund von Berechtigungsproblemen nicht aus einer Datei herunterladen kann. Wenn du eine Patch-Richtlinie in AWS Systems Manager erstellst, erstellt Quick Setup automatisch einen Amazon Simple Storage Service (Amazon S3)-Bucket. Quick Setup generiert innerhalb des Buckets auch eine Patch-Baseline-Datei, z. B. aws-quicksetup-patchpolicy-123456789012-abcde.

Systems Manager verwendet die Datei, um zu ermitteln, welche Patches angewendet werden müssen und wie die Patching-Vorgänge auf deinen EC2-Instances verwaltet werden.

Lösung

Überprüfe die Berechtigungen für den Zugriff auf den S3-Bucket

Um eine Patch-Richtlinien-Aufgabe anzuwenden, musst du den Instances die erforderlichen Berechtigungen für den Zugriff auf den Amazon S3-Bucket hinzufügen.

Führe eine der folgenden Aktionen aus, um Berechtigungen zu gewähren:

• Verwende dein eigenes Instance-Profil oder deine eigene Servicerolle für deine verwalteten Knoten, anstatt eines/einer, das/die von Quick Setup bereitgestellt wird.
• Verwende Virtual Private Cloud (VPC)-Endpunkte, um eine Verbindung zu Systems Manager herzustellen.

Überprüfe die Zuordnung, die Quick Setup auf deine Instances angewendet hat

Stelle sicher, dass du die richtigen Zuordnungen auf deine Instances angewendet hast.

Überprüfe auf der AWS Systems Manager-Konsole, ob du die folgenden State Manager-Zuordnungen, eine Funktion von Systems Manager, angewendet hast:

• Für Amazon EC2-Instances: AWS-QuickSetup-PatchPolicy-AttachIAMToEc2Instance-[quick-setup-configuration-id]
• Für Hybrid-Instances: AWS-QuickSetup-PatchPolicy-AttachIAMToHybridInstance-[quick-setup-configuration-id]

Führe die folgenden Schritte aus:

1. Öffne die Systems Manager-Konsole.
2. Wähle im linken Navigationsbereich Landesleiter aus.
3. Wähle auf der Seite State Manager deine Zuordnung aus.
4. Wähle auf der Seite mit den Zuordnungsdetails unter Ausführungsverlauf die letzte Ausführungs-ID aus.
5. Überprüfe die Ziele der Zuordnungsausführung, um sicherzustellen, dass die Zuordnung auf der Instance ausgeführt wurde. Wenn die Zuordnungsausführung nicht ausgeführt wurde, musst du die Funktion Zuordnung jetzt anwenden verwenden, um die Zuordnung manuell auf die Instance anzuwenden.
6. Um die Ausführung der Patch-Richtlinie erneut zu versuchen, führe die AWS-QuickSetup-PatchPolicy-ScanForPatches-[quick-setup-configuration-id] aus. Wenn die Ausführung nicht erfolgreich ist, überprüfe die Ausgabe, um festzustellen, warum sie fehlgeschlagen ist. Führe dann Problembehebungen für Patch Manager durch.

Ähnliche Informationen

Problem: Fehler „Invoke-PatchBaselineOperation : Access Denied“ oder Fehler „Unable to download file from S3“ für baseline_overrides.json

Eine Patch-Richtlinie erstellen