¿Cómo soluciono los errores de la política de parches de Quick Setup en Systems Manager?

Descripción corta

Cuando utiliza Quick Setup para crear una política de parches para actualizar una instancia de Amazon EC2, es posible que se muestre uno de los siguientes mensajes de error.

Instancias de Linux:

«No se puede descargar el archivo desde S3: s3://aws-quicksetup-patchpolicy-5433xxxxx141-xxxxx/baseline_overrides.json.
botocore.exceptions.ClientError: Se produjo un error (403) al llamar a la operación HeadObject: Forbidden
No se han encontrado las credenciales de IMDS en la instancia. No se han podido ejecutar los comandos: estado de salida 156"

Instancias de Windows, en la sección Error de la tarea de parches:

«Invoke-PatchBaselineOperation: Usuario: arn:aws:sts::5433xxxxx141:assumed-role/<IAM-Role>/i-xxxxxxxxxxxxxxxxx is not authorized to perform: s3:GetObject en el recurso:
«arn:aws:s3:::aws-quicksetup-patchpolicy-5433xxxxx141-xxxxx/baseline_overrides.json» con una denegación explícita en una política basada en recursos»

Este problema se produce cuando una instancia de Amazon EC2 no puede descargar la anulación del valor de referencia de un archivo debido a problemas de permisos. Al crear una política de parches en AWS Systems Manager, Quick Setup crea automáticamente un bucket de Amazon Simple Storage Service (Amazon S3). Quick Setup también genera un archivo de valor referencia de parches, como aws-quicksetup-patchpolicy-123456789012-abcde, dentro del bucket.

Systems Manager usa el archivo para determinar qué parches aplicar y cómo administrar las operaciones de parches en las instancias de EC2.

Resolución

Verificación de los permisos para acceder al bucket de S3

Para aplicar una tarea de política de parches, debe agregar los permisos necesarios en las instancias para acceder al bucket de Amazon S3.

Para conceder permisos, lleve a cabo una de las siguientes acciones: 

• Use su propio perfil de instancia o rol de servicio con sus nodos administrados en lugar del que proporciona Quick Setup. 
• Use puntos de enlace de nube virtual privada (VPC) para conectarse a Systems Manager.

Revisión de la asociación que QuickSetup ha aplicado en sus instancias

Compruebe que ha aplicado las asociaciones correctas en sus instancias. 

En la consola de AWS Systems Manager, compruebe que ha aplicado las siguientes asociaciones de State Manager, una capacidad de Systems Manager:

• Para instancias de Amazon EC2: AWS-QuickSetup-PatchPolicy-AttachIAMToEc2Instance-[quick-setup-configuration-id]
• Para instancias híbridas: AWS-QuickSetup-PatchPolicy-AttachIAMToHybridInstance-[quick-setup-configuration-id]

Siga estos pasos:

1. Abra la consola de Systems Manager.
2. En el panel de navegación, seleccione State Manager.
3. En la página State Manager, seleccione su asociación.
4. En la página Detalles de la asociación, en Historial de ejecución, seleccione el ID de ejecución más reciente.
5. Revise los objetivos de ejecución de la asociación para comprobar que la asociación se ha ejecutado en la instancia. Si la ejecución de la asociación no se ha ejecutado, debe usar la característica Aplicar asociación ahora para aplicar manualmente la asociación a la instancia.
6. Para volver a intentar ejecutar la política de parches, ejecute la asociación AWS-QuickSetup-PatchPolicy-ScanForPatches-[quick-setup-configuration-id] de State Manager. Si la ejecución no se realiza correctamente, revise el resultado para determinar por qué ha fallado. A continuación, solucione los problemas del administrador de parches.

Información relacionada

Problema: error «Invoke-PatchBaselineOperation: acceso denegado» o error «No se puede descargar el archivo desde S3» para baseline_overrides.json

Creación de una política de parches