Perbarui patch untuk meningkatkan keamanan instans ECS - Elastic Compute Service

Pindai, instal, dan jadwalkan patch pada instans ECS dengan OOS Patch Management menggunakan garis dasar patch bawaan atau kustom.

Latar Belakang

Patch Management secara otomatis memperbarui patch keamanan dan lainnya untuk sistem operasi dan aplikasi. Layanan ini memindai atau menginstal patch berdasarkan garis dasar patch bawaan dari sistem operasi instans yang dipilih. Lihat Cara kerja manajer patch dan Garis dasar patch.

Patch Management mendukung mode Fix Now dan Scheduled Fix untuk skenario berikut.

Jenis manajemen patch	Skenario
Fix Now	Kerentanan tingkat tinggi: Segera pasang patch untuk mengurangi paparan ancaman dari kerentanan yang dapat menyebabkan intrusi sistem atau kebocoran data. Sistem inti: Terapkan pembaruan keamanan segera pada sistem yang menjalankan layanan penting bisnis atau memproses data sensitif. Eksploitasi yang diketahui: Segera pasang patch jika kerentanan tersebut telah banyak dieksploitasi, meskipun sistem Anda belum terpengaruh. Persyaratan kepatuhan: Pasang patch dalam tenggat waktu yang ditentukan untuk memenuhi regulasi industri atau regional.
Fix on a schedule	Kerentanan non-kritis: Jadwalkan pemasangan patch untuk kerentanan berisiko rendah selama jam sepi guna meminimalkan dampak terhadap bisnis. Stabilitas sistem: Di lingkungan besar atau kompleks, terapkan patch selama jendela pemeliharaan terencana untuk memungkinkan pengujian dan backup menyeluruh. Optimalisasi sumber daya: Jadwalkan operasi batch patch selama jam sepi, seperti akhir pekan atau malam hari, untuk mengoptimalkan penggunaan sumber daya O&M.

Prasyarat

Instans ECS menjalankan sistem operasi yang didukung oleh Patch Management. Lihat Sistem operasi yang didukung.

Akun memiliki izin berikut. Lihat Gunakan RAM untuk memberikan izin kepada OOS.

{
    "Policy": {
        "Version": "1",
        "Statement": [
            {
                "Action": [
                    "ecs:RebootInstance",
                    "ecs:DescribeInvocationResults",
                    "ecs:DescribeCloudAssistantStatus",
                    "ecs:DescribeInstances",
                    "ecs:DescribeInvocations",
                    "ecs:RunCommand"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             },
             {
                 "Action": [
                     "oos:ListInstancePatchStates"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
              }
      ]
   }
}

Prosedur

Contoh ini menggunakan mode Scheduled Fix. Untuk memperbarui patch segera, lihat Perbaikan segera.

Masuk ke CloudOps Orchestration Service (OOS) console.
Di panel navigasi kiri, pilih Server Management > Patch Management. Klik Scheduled Fix.
Pada bagian Basic Information, konfigurasikan parameter.

Parameter utama:
- Scheduled Task Type: Jadwal bagi OOS untuk memperbarui patch. Contoh: setiap hari pukul 00:00:00.
- Fix Operations:
  - Scan: Memindai setiap instans dan menghasilkan daftar patch yang belum terpasang.
  - Scan and Install: Memindai setiap instans, membandingkan patch yang ada dengan garis dasar patch, lalu menginstal patch yang disetujui namun belum terpasang.
- Whether to Create Snapshot for System Disk: Pilih Yes dan tentukan periode retensi snapshot.
- Allow restart: Apakah instans akan direstart setelah pemasangan patch.
  - Yes: Jika patch yang diinstal memerlukan restart, instans akan direstart.
  - No: Instans tidak direstart. Patch yang memerlukan restart tetap dalam status Pending.
- Permissions: Pilih Default Service-linked Role.
Klik Select Instances. Atur Resource Types ke ECS Instance lalu pilih instans target.
Pertahankan nilai bawaan pada bagian Advanced Options dan klik Immediate execution.
Pada kotak dialog Parameter Confirmation, konfirmasi parameter lalu klik OK.
Lihat detail tugas pembaruan patch.
1. Di halaman Patch Management, periksa kolom Status. Success menunjukkan tugas telah selesai.
2. Klik Execution ID atau Details di kolom Actions untuk melihat detail patch.

Referensi

CloudOps Orchestration Service (OOS) adalah platform O&M berbasis cloud gratis untuk mengotomatiskan tugas berulang, alur kerja berbasis event, operasi batch terjadwal, dan manajemen cross-region. OOS menstandarkan O&M dengan mengonversi playbook dan panduan menjadi templat (Operations as Code). Lihat Apa itu CloudOps Orchestration Service?.