Comment résoudre les erreurs relatives à la politique de correctifs Quick Setup dans Systems Manager ?

Brève description

Lorsque vous utilisez la configuration rapide pour créer une politique de correctif afin de mettre à jour une instance Amazon EC2, l'un des messages d'erreur suivants peut s'afficher.

Instances Linux :

« Unable to download file from S3: s3://aws-quicksetup-patchpolicy-5433xxxxx141-xxxxx/baseline_overrides.json.
botocore.exceptions.ClientError: An error occurred (403) when calling the HeadObject operation: Forbidden
No IMDS credentials found on instance.failed to run commands: exit status 156 » (Impossible de télécharger le fichier depuis S3: s3://aws-quicksetup-patchpolicy-5433xxxxx141-xxxxx/baseline_overrides.json. botocore.exceptions.ClientError: Une erreur est survenue (403) lors de l’appel de l’opération HeadObject : Interdit)

Instances Windows, dans la section Erreur de la tâche de correctif :

« Invoke-PatchBaselineOperation : User: arn:aws:sts::5433xxxxx141:assumed-role/<IAM-Role>/i-xxxxxxxxxxxxxxxxx is not authorized to perform: s3:GetObject on resource:
« arn:aws:s3:::aws-quicksetup-patchpolicy-5433xxxxx141-xxxxx/baseline_overrides.json" with an explicit deny in a resource-based policy » (Invoke-PatchBaselineOperation : L’utilisateur : arn:aws:sts::5433xxxxx141:assumed-role//i-xxxxxxxxxxxxxxxxx n’est pas autorisé à effectuer : s3:GetObject sur la ressource : « arn:aws:s3:::aws-quicksetup-patchpolicy-5433xxxxx141-xxxxx/baseline_overrides.json" avec un refus explicite dans une politique basée sur la ressource)

Ce problème se produit lorsqu'une instance Amazon EC2 ne peut pas télécharger le remplacement de référence à partir d'un fichier en raison de problèmes d'autorisation. Lorsque vous créez une politique de correctif dans AWS Systems Manager, Quick Setup crée automatiquement un compartiment Amazon Simple Storage Service (Amazon S3). Quick Setup génère également un fichier de référentiel de correctifs, tel que aws-quicksetup-patchpolicy-123456789012-abcde, dans le compartiment.

Systems Manager utilise le fichier pour déterminer quels correctifs appliquer et comment gérer les opérations d'application de correctifs sur vos instances EC2.

Résolution

Vérifier les autorisations d'accès au compartiment S3

Pour appliquer une tâche de politique de correctif, vous devez ajouter les autorisations requises sur les instances pour accéder au compartiment Amazon S3.

Pour fournir des autorisations, effectuez l'une des actions suivantes :

• Utilisez votre propre profil d'instance ou rôle de service avec vos nœuds gérés au lieu de celui qui est fourni par Quick Setup.
• Utilisez des points de terminaison de cloud privé virtuel (VPC) pour vous connecter à Systems Manager.

Vérifier l'association que QuickSetup a appliquée à vos instances

Vérifiez que vous avez appliqué les associations adéquates à vos instances.

Sur la console AWS Systems Manager, vérifiez que vous avez appliqué les associations de State Manager, une fonctionnalité de Systems Manager, suivantes :

• Pour les instances Amazon EC2 : AWS-QuickSetup-PatchPolicy-AttachIAMToEc2Instance-[quick-setup-configuration-id]
• Pour les instances hybrides : AWS-QuickSetup-PatchPolicy-AttachIAMToHybridInstance-[quick-setup-configuration-id]

Procédez comme suit :

1. Ouvrez la console Systems Manager.
2. Dans le volet de navigation, choisissez State Manager.
3. Sur la page State Manager, sélectionnez votre association.
4. Sur la page Détails de l’association, sous Historique d’exécution, sélectionnez l'ID d'exécution le plus récent.
5. Vérifiez les cibles d'exécution de l'association pour vérifier que l'association s'est exécutée sur l'instance. Si l'exécution de l'association n'a pas été exécutée, vous devez utiliser la fonctionnalité Appliquer l'association maintenant pour appliquer manuellement l'association à l'instance.
6. Pour essayer à nouveau d'exécuter la politique de correctif, exécutez l'association AWS-QuickSetup-PatchPolicy-ScanForPatches-[quick-setup-configuration-id] de State Manager. Si l'exécution échoue, examinez la sortie pour déterminer pourquoi elle a échoué. Puis, remédiez aux problèmes liés à Patch Manager.

Informations connexes

Problème : Erreur « Invoke-PatchBaselineOperation : « Access Denied » (Accès refusé) ou « Unable to download file from S3" error for baseline_overrides.json (Impossible de télécharger le fichier depuis S3 » pour baseline_overrides.json)

Création d'une politique de correctif