Elastic Compute Service:Update patches to improve ECS instance security

Contexto

O Patch Management atualiza automaticamente patches de segurança e outros patches para sistemas operacionais e aplicações. Ele escaneia ou instale patches com base na baseline de patch padrão do sistema operacional da instância selecionada. Consulte How a patch manager works e Patch baseline.

O Patch Management oferece os modos Fix Now e Scheduled Fix para os cenários a seguir.

Pré-requisitos

• As instâncias ECS execute sistemas operacionais compatíveis com o Patch Management. Consulte Supported operating systems.

• A conta possui as permissões a seguir. Consulte Use RAM to grant permissions to OOS.

  {
      "Policy": {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "ecs:RebootInstance",
                      "ecs:DescribeInvocationResults",
                      "ecs:DescribeCloudAssistantStatus",
                      "ecs:DescribeInstances",
                      "ecs:DescribeInvocations",
                      "ecs:RunCommand"
                   ],
                   "Resource": "*",
                   "Effect": "Allow"
               },
               {
                   "Action": [
                       "oos:ListInstancePatchStates"
                   ],
                   "Resource": "*",
                   "Effect": "Allow"
                }
        ]
     }
  }

Procedimento

Este exemplo usa o modo Scheduled Fix. Para atualize patches imediatamente, consulte Immediate fix.

1. Faça logon no console do CloudOps Orchestration service (OOS).

2. No painel de navegação à esquerda, escolha Server Management > Patch Management. No cartão Scheduled Fix, clique em Use.

3. Na seção Basic Information, configure os parâmetros.

   Parâmetros principais:

   • Scheduled Task Type: o agendamento para o OOS atualize patches. Exemplo: todos os dias às 0:00:00.

   • Fix Operations:

     • Scan: escaneia cada instância e gera uma lista de patches ausentes.

     • Scan and Install: escaneia cada instância, compara os patches existentes com a baseline de patch e instale os patches aprovados ausentes.

   • Whether to Create Snapshot for System Disk: selecione Yes e especifique um período de retenção do snapshot.

   • Allow restart: indica se a instância deve ser reiniciada após a aplicação dos patches.

     • Sim: se um patch instalado exigir reinicialização, a instância será reiniciada.

     • Não: a instância não será reiniciada. Patches que exigem reinicialização permanecerão no status Pending.

   • Permissions: selecione Default Service-linked Role.

4. Clique em Select Instances. Defina Resource Types como ECS Instance e selecione as instâncias desejadas.

5. Mantenha os valores padrão na seção Advanced Options e clique em Execute Now.

6. Na caixa de diálogo Parameter Confirmation, confirme os parâmetros e clique em OK.

   A caixa de diálogo contém as seguintes informações principais:

   • Modo de execução: Automatic execution

   • Operações de risco: RunCommand, RebootInstance, RebootDesktops (envolve reinicialização de instâncias; prossiga com cautela)

   • Alvos da execução: 4 instâncias na região China (Beijing)

   • Tipo de recurso: ALIYUN::ECS::Instance

7. Visualize os detalhes da tarefa de atualize de patches.

   1. Na página Patch Management, verifique a coluna Status. Success indica que a tarefa foi concluída.

   2. Clique em Execution ID ou em Details na coluna Actions para ver os detalhes dos patches.

      A página de detalhes da execução exibe as seguintes informações:

      • Informações básicas: ID de execução, modo de execução (execução automática), status da execução (bem-sucedido), região e nome do modelo (como Configure patch baselines for ECS instances in batches).

      • Informações da tarefa: método de configuração da baseline de patch (como scan), crie de snapshot do disco do sistema, reinicialização, tipo de recurso e IDs das instâncias de destino.

      • Etapas e resultados da execução: o lado esquerdo mostra o status de cada etapa. Selecione a aba Patches para ver as estatísticas de patches (todos, instalados, não instalados, instalados com reinicialização pendente, falha na instalação, instalados não conformes com a baseline de patch, patches rejeitados instalados) e a lista detalhada de patches.

Referências

O CloudOps Orchestration service (OOS) é uma plataforma gratuita de O&M baseada em cloud para automatizar tarefas repetitivas, fluxos de trabalho orientados a eventos, operações em lote agendadas e gerenciamento entre regiões. O OOS padroniza as operações de O&M ao converter playbooks e guias em modelos (Operations as Code). Consulte What is CloudOps Orchestration service?.