Perché nella mia istanza Amazon EC2 Windows manca una patch anche dopo un'operazione di patching di Gestione patch che si è conclusa in maniera corretta?

Breve descrizione

La patch in un'istanza di Windows potrebbe mancare per i seguenti motivi:

• La patch non è applicabile al tipo di sistema operativo dell'istanza.
• I dettagli del pacchetto Microsoft Knowledge Base (KB) non corrispondono alla configurazione di base.
• È già stata rilasciata una patch successiva.
• La patch non è disponibile nel canale di rilascio di Windows Server Update Services (WSUS).
• La patch è già installata nell'istanza.

Risoluzione

Nota: se ricevi errori quando esegui i comandi dell'Interfaccia della linea di comando AWS (AWS CLI), consulta Risoluzione degli errori per AWS CLI. Inoltre, assicurati di utilizzare la versione più recente di AWS CLI. Verifica di aver installato Strumenti AWS per PowerShell sul computer locale o nell'istanza.

Verifica se la patch è applicabile al tipo di sistema operativo dell'istanza

Completa i seguenti passaggi:

1. Per identificare il sistema operativo del nodo gestito, consulta Trovare informazioni sul dispositivo Windows sul sito web Microsoft.
2. Apri il catalogo di Microsoft Update sul sito web Microsoft.
3. Inserisci l'ID della patch nella barra di ricerca per cercare gli ID degli articoli di Microsoft KB.
4. In Prodotto, controlla il sistema operativo del nodo. Non tutte le patch si applicano a tutti i sistemi operativi.

Verifica se la classificazione, la gravità e la data di rilascio del pacchetto KB corrispondono alla configurazione di base

Completa i seguenti passaggi per verificare i dettagli del pacchetto KB:

1. Apri la console AWS Systems Manager.
2. Nel pannello di navigazione, scegli Esegui comando.
3. Scegli la scheda Cronologia comandi.
4. Scegli l'ID comando per l'operazione AWS-RunPatchBaseline, quindi seleziona il nodo gestito.
5. Scegli Output e analizza la configurazione nel parametro Baseline.
   La classificazione, la gravità e la data di ritardo dell'approvazione devono corrispondere ai dettagli del pacchetto disponibili nel catalogo di Microsoft Update sul sito Web Microsoft. Se utilizzi la baseline delle patch predefinita e la classificazione delle patch è diversa dalla baseline, devi creare una baseline delle patch personalizzata.

Per verificare se Gestione patch ha approvato un KB specifico, esegui questo comando AWS CLI describe-effective-patches-for-patch-baseline:

aws ssm describe-effective-patches-for-patch-baseline --baseline-id pb-abdce123456789fgh --query "EffectivePatches[][Patch][?KbNumber=='KB1234567'][]"

Nota: sostituisci KB1234567 con il numero del tuo pacchetto KB e pb-abdce123456789fgh con l'ID della baseline delle patch.

Controlla se è già stata rilasciata una patch successiva

Completa i seguenti passaggi.

1. Apri il catalogo di Microsoft Update sul sito web Microsoft.
2. Inserisci l'ID della patch nella barra di ricerca per cercare gli ID degli articoli di Microsoft KB.
3. In Prodotto, per il sistema operativo del nodo gestito, seleziona Titolo per aprire la finestra Dettagli dell'aggiornamento.
4. Scegli la scheda Dettagli del pacchetto.
5. In This update has been replaced by the following updates (Questo aggiornamento è stato sostituito dai seguenti aggiornamenti), controlla se è disponibile una nuova patch. Se è disponibile una patch successiva, puoi installarla manualmente. Oppure attendi che Gestione patch la installi automaticamente dopo che Systems Manager ha aggiunto la patch all'elenco delle patch.

Verifica se la patch è disponibile nel canale di rilascio di WSUS

Per il sistema operativo Windows, Gestione patch recupera un elenco di aggiornamenti disponibili che Microsoft pubblica su Microsoft Update e sono automaticamente disponibili per WSUS. Se la patch non è disponibile nel canale di rilascio di WSUS, Gestione patch non la utilizza.

Per verificare la disponibilità della patch, completa i seguenti passaggi:

1. Apri il catalogo di Microsoft Update sul sito web Microsoft.
2. Inserisci l'ID della patch nella barra di ricerca per cercare gli ID degli articoli di Microsoft KB.
3. In Ulteriori informazioni, scegli l'articolo di supporto. Per un esempio, consulta 12 luglio 2022 - KB5015808 (build del sistema operativo 14393.5246) sul sito web Microsoft.
4. Nell'articolo del supporto Microsoft, in Installa questo aggiornamento, controlla il Canale di rilascio. Verifica che la colonna Disponibile per Windows Server Update Services (WSUS) riporti Sì. Se la patch non è disponibile tramite WSUS, devi utilizzare un altro canale per scaricare e installare l'aggiornamento.

Verifica se hai già installato la patch nell'istanza

Se hai già installato manualmente una patch nell'istanza, non puoi aggiornarla tramite Gestione patch.

Per verificare se la patch è già installata nell'istanza, utilizza uno dei seguenti metodi.

Controlla i log del sistema operativo per Windows Update

Per ottenere l'elenco degli aggiornamenti installati, utilizzare il comando PowerShell Get-Hotfix o il modulo PSWindowsUpdate.

L'esempio di comando seguente utilizza il modulo PSWindowsUpdate per scaricare il file WindowsUpdates.txt sul desktop:

Install-Module PSWindowsUpdateGet-WUHistory | ForEach-Object { new-object psobject -Property @{Date = $_.Date; KB = $_.KB; Title = ($_ | Select-Object -ExpandProperty Title) } } | Out-File $env:UserProfile\Desktop\WindowsUpdates.txt

Per informazioni sul comando Get-Hotfix, consulta Get-HotFix sul sito web Microsoft.

Controlla la console Gestione dei gruppi di nodi

Completa i seguenti passaggi per utilizzare Gestione dei gruppi di nodi, una funzionalità di AWS Systems Manager, per verificare se hai già installato la patch nell'istanza:

1. Apri la console Systems Manager.
2. Nel pannello di navigazione, scegli Gestione dei gruppi di nodi.
3. Scegli il nodo gestito, quindi scegli Panoramica dei nodi.
4. In Patch, cerca l'ID della patch.

Esegui il comando describe-instance-patches

Per verificare se la patch è installata senza accedere all'istanza, esegui questo comando describe-instance-patches:

aws ssm describe-instance-patches --instance-id "i-12345abcdef12345" --filters "Key=KBId,Values=KB1234567"

Nota: sostituisci i-12345abcdef12345 con l'ID della tua istanza e KB1234567 con l'ID della patch.