Patch Manager 修補操作成功後，為什麼我的 Amazon EC2 Windows 執行個體仍缺少修補程式？

簡短描述

您的 Windows 執行個體可能因以下原因缺少修補程式：

• 修補程式不適用於執行個體的作業系統 (OS) 類型。
• Microsoft 知識庫 (KB) 套件詳細資訊與基準組態不符。
• 已發行較新的修補程式。
• Windows Server Update Services (WSUS) 發行通道不提供該修補程式。
• 執行個體已安裝該修補程式。

解決方法

**注意：**如果您在執行 AWS Command Line Interface (AWS CLI) 命令時收到錯誤訊息，請參閱對 AWS CLI 錯誤進行疑難排解。此外，請確定您使用的是最新的 AWS CLI 版本。確認您已在本機或執行個體上安裝 AWS Tools for PowerShell。

檢查修補程式是否適用於執行個體的 OS 類型

請完成以下步驟：

1. 若要識別受管節點的 OS，請參閱 Microsoft 網站上的尋找 Windows 裝置的相關資訊。
2. 開啟 Microsoft 網站上的 Microsoft 更新目錄。
3. 在搜尋列中輸入修補程式 ID，搜尋 Microsoft KB 文章 ID。
4. 在 Product (產品) 下，檢查是否有您節點的 OS。並非所有修補程式都適用於所有 OS。

檢查 KB 分類、嚴重性和發行日期是否符合基準組態

若要檢查 KB 套件詳細資訊，請完成以下步驟：

1. 開啟 AWS Systems Manager 主控台。
2. 在導覽窗格中，選擇 Run Command (執行命令)。
3. 選擇 Command history (命令歷史記錄) 索引標籤。
4. 選擇 AWS-RunPatchBaseline 操作的 Command ID (命令 ID)，然後選取受管節點。
5. 選擇 Output (輸出)，然後檢閱 Baseline 參數中的組態。
   分類、嚴重性和核准延遲日期必須符合 Microsoft 網站上 Microsoft 更新目錄中的套件詳細資訊。如果您使用預設修補基準，且修補程式分類與基準不同，則必須建立自訂修補基準。

若要檢查 Patch Manager 是否已核准特定 KB，請執行以下 describe-effective-patches-for-patch-baseline AWS CLI 命令：

aws ssm describe-effective-patches-for-patch-baseline --baseline-id pb-abdce123456789fgh --query "EffectivePatches[][Patch][?KbNumber=='KB1234567'][]"

**注意：**將 KB1234567 替換為您的 KB 編號，並將 pb-abdce123456789fgh 替換為修補基準 ID。

檢查是否已發行較新的修補程式

請完成以下步驟。

1. 開啟 Microsoft 網站上的 Microsoft 更新目錄。
2. 在搜尋列中輸入修補程式 ID，搜尋 Microsoft KB 文章 ID。
3. 在 Product (產品) 下，於受管節點的 OS，選取 Title (標題) 以開啟 Update Details (更新詳細資訊) 視窗。
4. 選擇 Package Details (套件詳細資訊) 索引標籤。
5. 在 This update has been replaced by the following updates (此更新已由以下更新替換) 下，檢查是否有新的修補程式。如果有較新的修補程式可用，您可以手動安裝該修補程式。或者，等待 Systems Manager 將修補程式新增至修補程式清單後，由 Patch Manager 自動安裝該修補程式。

檢查 WSUS 發行通道是否提供該修補程式

針對 Windows OS，Patch Manager 會擷取 Microsoft 發佈至 Microsoft Update 且 WSUS 自動提供的可用更新清單。如果 WSUS 發行通道不提供該修補程式，Patch Manager 就不會使用該修補程式。

若要確認修補程式是否可用，請完成以下步驟：

1. 開啟 Microsoft 網站上的 Microsoft 更新目錄。
2. 在搜尋列中輸入修補程式 ID，搜尋 Microsoft KB 文章 ID。
3. 在 More Information (更多資訊) 下，選擇支援文章。例如，請參閱 Microsoft 網站上的 2022 年 7 月 12 日—KB5015808 (OS 組建 14393.5246)。
4. 在 Microsoft 支援文章的 Install this update (安裝此更新) 下，檢查 Release Channel (發行通道)。確認 Available (可用) 欄中，Windows Server Update Services (WSUS) (Windows Server 更新服務 (WSUS)) 顯示為 Yes (是)。如果無法透過 WSUS 取得修補程式，則必須使用其他通道下載並安裝更新。

檢查執行個體是否已安裝修補程式

如果您已在執行個體上手動安裝修補程式，就無法透過 Patch Manager 更新該修補程式。

若要檢查執行個體是否已安裝修補程式，請使用以下其中一種方法。

檢查 Windows Update OS 日誌

若要取得已安裝更新的清單，請使用 Get-Hotfix PowerShell 命令或 PSWindowsUpdate 單元。

以下範例命令使用 PSWindowsUpdate 單元，將 WindowsUpdates.txt 檔案下載至您的桌面：

Install-Module PSWindowsUpdateGet-WUHistory | ForEach-Object { new-object psobject -Property @{Date = $_.Date; KB = $_.KB; Title = ($_ | Select-Object -ExpandProperty Title) } } | Out-File $env:UserProfile\Desktop\WindowsUpdates.txt

如需 Get-Hotfix 命令的相關資訊，請參閱 Microsoft 網站上的 Get-HotFix。

檢查 Fleet Manager 主控台

完成以下步驟，以使用 AWS Systems Manager 的 Fleet Manager 功能，檢查執行個體上是否已安裝修補程式：

1. 開啟 Systems Manager console (Systems Manager 主控台)。
2. 在導覽窗格中，選擇 Fleet Manager。
3. 選擇受管節點，然後選擇 Node overview (節點概觀)。
4. 在 Patches (修補程式) 下，搜尋修補程式 ID。

執行 describe-instance-patches 命令

若要在無需登入執行個體的情況下檢查修補程式是否已安裝，請執行以下 describe-instance-patches 命令：

aws ssm describe-instance-patches --instance-id "i-12345abcdef12345" --filters "Key=KBId,Values=KB1234567"

**注意：**將 i-12345abcdef12345 替換為您的執行個體 ID，並將 KB1234567 替換為修補程式 ID。