Systems Manager を使用して複数の環境の Amazon EC2 ノードとハイブリッドノードにパッチを適用するためのメンテナンスウィンドウを設定する方法を教えてください。

簡単な説明

Windows へのパッチ適用を設定および管理するには、AWS Systems Manager の機能の 1 つである Patch Manager を使用してください。 

**注:**Windows では、仮想マシン (VM) とオンプレミスインスタンスで Microsoft がリリースしたアプリケーションにパッチを適用するには、アドバンスドインスタンス階層を有効にします。

解決策

前提条件

Amazon Elastic Compute Cloud (Amazon EC2) とハイブリッドインスタンスの前提条件は次のとおりです。

• Patch Manager がオペレーティングシステム (OS) をサポートしていることを確認してください。
• Amazon EC2 インスタンスまたはハイブリッドインスタンスが Systems Manager によって管理されている必要があります。つまり、インスタンスは [管理対象インスタンス] に表示され、SSM エージェントの ping ステータスは [オンライン] である必要があります。
• 最新バージョンの AWS Systems Manager エージェント (SSM エージェント) がインストールされていることを確認してください。詳細については、「SSM Agent のアップデートの自動化」を参照してください。
• インスタンスが Windows Server Update Services (WSUS)、Microsoft Update サーバー、または Linux リポジトリのパッチのソースにアクセスできることを確認してください。

ターゲットインスタンスは次のエンドポイントに接続する必要があります。

• Systems Manager エンドポイント
• ec2messages エンドポイント
• S3 エンドポイント

詳細については、「ステップ 2: VPC エンドポイントを作成する」を参照してください。

パッチ操作方法の設定

利用可能なパッチ処理方法の概要については、「AWS Systems Manager Patch Manager」を参照して、パッチ操作方法を確認してください。

Patch Manager での作業

まず、使用する各 OS タイプの AWS 定義済みパッチベースラインが要件を満たしていることを確認します。定義済みのパッチベースラインが要件を満たしていない場合は、カスタムパッチベースラインを作成します。管理ノードタイプの標準パッチセットを定義するパッチベースラインを使用し、それをデフォルトとして設定します。

**注:**Amazon EC2 タグを使用して管理対象ノードをパッチグループにまとめるのがベストプラクティスです。

次に、次の手順のいずれかを実行します。

Systems Manager の機能であるクイックセットアップでパッチポリシーを設定します。クイックセットアップを使用すると、組織全体、一部の組織単位 (OU)、または単一の AWS アカウントに対して、不足しているパッチをスケジュールに従ってインストールできます。

または

Run Command (AWS Systems Manager の機能、タスクタイプ) で、Systems Manager ドキュメント (SSM ドキュメント) の AWS-RunPatchBaseline を使用するメンテナンスウィンドウを作成します。メンテナンスウィンドウを使用してパッチを適用するには、Systems Manager コンソールで次の手順を実行します。

1. メンテナンスウィンドウを作成します。
2. メンテナンスウィンドウにターゲットを割り当てます。
3. タスク (AWS-RunPatchBaseline) をメンテナンスウィンドウに割り当てます。
4. Run Command オペレーションで AWS-RunPatchBasline を手動で実行します。
5. [今すぐパッチ] オプションを使用して、手動でノードにパッチをオンデマンドで適用します。

必ずパッチを監視してコンプライアンスを確認し、障害を調査してください。

関連情報

AWS Systems Manager Automation による一元的なマルチアカウントとマルチリージョンのパッチ適用

AWS Systems Manager Automation による一元的なマルチアカウントとマルチリージョンのパッチ適用のスケジューリング

AWS Systems Manager Patch Manager を使用した Windows EC2 インスタンスのパッチ適用

インスタンスが Systems Manager Compliance ダッシュボードで非準拠と表示されるのはなぜですか?