Come posso risolvere gli errori relativi alla policy di patch della Configurazione rapida in Systems Manager?

Breve descrizione

Quando utilizzi la Configurazione rapida per creare una policy di patch e aggiornare un'istanza Amazon EC2, potresti ricevere uno dei seguenti messaggi di errore.

Istanze Linux:

"Unable to download file from S3: s3://aws-quicksetup-patchpolicy-5433xxxxx141-xxxxx/baseline_overrides.json.
botocore.exceptions.ClientError: An error occurred (403) when calling the HeadObject operation: Forbidden
No IMDS credentials found on instance.failed to run commands: exit status 156"

Istanze Windows, nella sezione Errore dell'attività di patch:

"Invoke-PatchBaselineOperation : User: arn:aws:sts::5433xxxxx141:assumed-role/<IAM-Role>/i-xxxxxxxxxxxxxxxxx is not authorized to perform: s3:GetObject on resource:
"arn:aws:s3:::aws-quicksetup-patchpolicy-5433xxxxx141-xxxxx/baseline_overrides.json" with an explicit deny in a resource-based policy"

Il problema si verifica quando un'istanza Amazon EC2 non può scaricare l'override della baseline da un file a causa di problemi di autorizzazione. Quando crei una policy di patch in AWS Systems Manager, la Configurazione rapida crea automaticamente un bucket Amazon Simple Storage Service (Amazon S3). La Configurazione rapida genera anche nel bucket un file di baseline delle patch, ad esempio aws-quicksetup-patchpolicy-123456789012-abcde.

Systems Manager utilizza il file per determinare quali patch applicare e come gestire le operazioni di patching nelle istanze EC2.

Risoluzione

Verifica le autorizzazioni per accedere al bucket S3

Per applicare un'attività di policy di patch, devi aggiungere le autorizzazioni richieste sulle istanze per accedere al bucket Amazon S3.

Per fornire le autorizzazioni, esegui una delle seguenti azioni:

• Utilizza il tuo profilo dell'istanza o ruolo di servizio con i tuoi nodi gestiti anziché quello fornito dalla Configurazione rapida.
• Utilizza gli endpoint del cloud privato virtuale (VPC) per connetterti a Systems Manager.

Esamina l'associazione applicata dalla Configurazione rapida alle istanze

Verifica di aver applicato le associazioni corrette alle istanze.

Nella console di AWS Systems Manager, verifica di aver applicato le seguenti associazioni di State Manager, una funzionalità di Systems Manager:

• Per le istanze Amazon EC2: AWS-QuickSetup-PatchPolicy-AttachIAMToEc2Instance-[quick-setup-configuration-id]
• Per le istanze ibride: AWS-QuickSetup-PatchPolicy-AttachIAMToHybridInstance-[quick-setup-configuration-id]

Completa i seguenti passaggi:

1. Apri la console Systems Manager.
2. Nel pannello di navigazione, scegli State Manager.
3. Nella pagina State Manager, seleziona l'associazione.
4. Nella pagina Dettagli dell'associazione, in Cronologia di esecuzione, seleziona l'ID dell'esecuzione più recente.
5. Esamina le destinazioni dell'esecuzione dell'associazione per verificare che l'associazione sia stata eseguita sull'istanza. Se non è stata eseguita, devi utilizzare la funzionalità Applica l'associazione ora per applicare manualmente l'associazione all'istanza.
6. Per riprovare a eseguire la policy di patch, esegui l'associazione di State Manager AWS-QuickSetup-PatchPolicy-ScanForPatches-[quick-setup-configuration-id]. Se l'esecuzione non ha esito positivo, esamina l'output per determinare il motivo dell'errore. Consulta anche Risoluzione dei problemi della Gestione patch.

Informazioni correlate

Problema: "Invoke-PatchBaselineOperation : Access Denied" error or "Unable to download file from S3" error for baseline_overrides.json

Creazione di una policy di patch