パッチ更新による ECS インスタンスのセキュリティ向上 - Elastic Compute Service

OOS パッチ管理では、デフォルトまたはカスタムのパッチベースラインを使用して、ECS インスタンスのパッチをスキャン、インストール、およびスケジュール設定します。

背景情報

パッチ管理は、オペレーティングシステムおよびアプリケーションのセキュリティパッチやその他のパッチを自動的に更新します。選択されたインスタンスのオペレーティングシステムのデフォルトのパッチベースラインに基づいて、パッチをスキャンまたはインストールします。詳細については、「パッチマネージャーの仕組み」および「パッチベースライン」をご参照ください。

パッチ管理は、以下のシナリオ向けに [今すぐ修正] モードと [スケジュールによる修正] モードをサポートしています。

パッチ管理タイプ	シナリオ
[今すぐ修正]	高リスクの脆弱性：システムへの侵入やデータ侵害につながる可能性のある脆弱性による脅威を低減するため、即時にパッチを適用します。コアシステム：ビジネスクリティカルなサービスを実行している、または機密データを処理しているシステムには、セキュリティ更新プログラムを迅速に適用します。既知のエクスプロイト：脆弱性が広く悪用されている場合、たとえ自社のシステムがまだ影響を受けていなくても、即時にパッチを適用します。コンプライアンス要件：業界や地域の規制を満たすため、指定された期間内に脆弱性にパッチを適用します。
[スケジュールによる修正]	重要でない脆弱性：ビジネスへの影響を最小限に抑えるため、リスクの低い脆弱性に対するパッチ適用をオフピーク時にスケジュールします。システムの安定性：大規模または複雑な環境では、徹底的なテストとバックアップを可能にするため、計画的なメンテナンス期間中にパッチを展開します。リソースの最適化：O&M リソースを最適化するため、週末や夜間などのオフピーク時にバッチパッチをスケジュールします。

前提条件

ECS インスタンスは、パッチ管理でサポートされているオペレーティングシステム上で実行する必要があります。詳細については、「サポートされているオペレーティングシステム」をご参照ください。

アカウントには、次の権限があります。詳細については、「RAM を使用して OOS に権限を付与する」をご参照ください。

{
    "Policy": {
        "Version": "1",
        "Statement": [
            {
                "Action": [
                    "ecs:RebootInstance",
                    "ecs:DescribeInvocationResults",
                    "ecs:DescribeCloudAssistantStatus",
                    "ecs:DescribeInstances",
                    "ecs:DescribeInvocations",
                    "ecs:RunCommand"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             },
             {
                 "Action": [
                     "oos:ListInstancePatchStates"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
              }
      ]
   }
}

手順

この例では、Scheduled Fix モードを使用します。パッチをすぐに更新するには、「即時修正」をご参照ください。

CloudOps Orchestration Service (OOS) コンソールにログインします。
ナビゲーションペインで、[サーバー管理] > [パッチ管理] を選択します。 [スケジュールによる修正] をクリックします。
基本情報 セクションで、パラメーターを設定します。

主なパラメーター：
- [スケジュールタスクタイプ]：パッチを更新するスケジュール。例：毎日 0:00:00。
- [修正操作]：
  - [スキャン]：各インスタンスをスキャンし、不足しているパッチのリストを生成します。
  - [スキャンとインストール]：各インスタンスをスキャンし、既存のパッチをパッチベースラインと比較し、不足している承認済みパッチをインストールします。
- [システムディスクのスナップショットを作成するかどうか]：はいを選択し、スナップショットの保持期間を指定します。
- [再起動を許可]：パッチ適用後にインスタンスを再起動するかどうか。
  - はい：インストール済みのパッチが再起動を必要とする場合、インスタンスは再起動されます。
  - いいえ：インスタンスは再起動されません。再起動が必要なパッチは保留状態のままになります。
- 権限：[デフォルトのサービスリンクロール] を選択します。
インスタンスの選択 をクリックします。 リソースタイプ を ECS インスタンス に設定し、ターゲットインスタンスを選択します。
詳細オプション セクションはデフォルト値のままにし、即時実行 をクリックします。
[パラメーターの確認] ダイアログボックスで、パラメーターを確認し、OK をクリックします。
パッチ更新タスクの詳細を表示します。
1. [パッチ管理] ページで、ステータス 列を確認します。 [][成功] はタスクが完了したことを示します。
2. 操作列で、[エグゼキューション ID] または詳細をクリックして、パッチの詳細を表示します。

Elastic Compute Service:パッチ更新による ECS インスタンスのセキュリティ向上

背景情報

前提条件

手順

関連情報