更新補丁以提高ECS執行個體系統的安全性 - Elastic Compute Service

大多數企業在管理IT資產時通常會對其設定一些合規要求，要求及時修複系統漏洞以避免安全攻擊，或者要求軟體包的版本始終保持最新。在這種情況下，補丁管理就顯得尤為重要。當您有掃描或安裝補丁的需求，或者基於預設補丁基準安裝補丁以及在補丁基準中進行定製，系統營運管理的ECS補丁管理操作可以輕鬆解決這些問題。

背景資訊

補丁管理可以使用安全相關更新及其他更新類型自動更新補丁，您可以使用補丁管理來應用作業系統和應用程式的補丁。掃描或安裝補丁時，系統會根據所選執行個體對應作業系統的預設補丁基準進行掃描或安裝。更多補丁管理及補丁基準說明，請參見補丁管理原理介紹和補丁基準。

補丁管理支援立即修複和定時修複，適用於不同的業務情境。具體說明如下：

補丁管理類型	適用情境
立即修複	高危漏洞：當發現的漏洞被評估為高度危險，可能導致系統被輕易入侵或資料泄露時，應立即修複補丁以減少風險暴露時間。關鍵系統：對於運行核心業務運行或涉及敏感資訊處理的關鍵系統，任何安全更新都應儘快實施，確保系統的持續安全運行。已知攻擊利用：如果得知某一漏洞已經被廣泛利用，即使該漏洞尚未直接影響到系統，也應立即採取行動，防止成為下一個受害者。合規要求：在某些行業或地區，法律法規可能要求在特定時間內對特定類型的漏洞進行修補，以滿足合規性要求。
定時修複	非緊急漏洞：對於評級較低，短期內不太可能被利用的漏洞，可以安排在非高峰時段或維護視窗內進行，減少對業務的影響。系統穩定性考量：在某些大規模或複雜的IT環境中，未經充分測試直接部署補丁可能引發相容性問題，導致系統不穩定。因此，選擇在計劃的維護期間統一部署，可以預留時間進行充分的測試和備份。資源最佳化：如果組織資源有限，特別是營運人力緊張時，集中安排在特定時間（如周末、夜間）進行批量補丁安裝，可以更高效地利用資源。

前提條件

待更新補丁的ECS執行個體需滿足補丁管理支援的作業系統，更多資訊，請參見補丁管理目前支援的作業系統列表。

執行更新補丁操作的帳號需要授予以下許可權，具體操作，請參見為OOS服務設定RAM許可權。

{
    "Policy": {
        "Version": "1",
        "Statement": [
            {
                "Action": [
                    "ecs:RebootInstance",
                    "ecs:DescribeInvocationResults",
                    "ecs:DescribeCloudAssistantStatus",
                    "ecs:DescribeInstances",
                    "ecs:DescribeInvocations",
                    "ecs:RunCommand"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
             },
             {
                 "Action": [
                     "oos:ListInstancePatchStates"
                 ],
                 "Resource": "*",
                 "Effect": "Allow"
              }
      ]
   }
}

操作步驟

本操作以定時修複補丁為例介紹如何更新補丁，您也可以通過立即修複方式更新。具體操作，請參見立即修複。

登入CloudOps Orchestration Service (OOS)控制台。
在左側導覽列，選擇伺服器管理 > 補丁管理，然後單擊定時修複。
在基本資料地區，設定基本修複參數。
請注意以下參數，其他參數說明，請參考頁面提示。
- 定時類型：定時修複補丁的執行方式，例如每天0:00:00執行。
- 修複操作：
  - 掃描：掃描每個目標執行個體並產生缺失補丁的列表以供您審查。
  - 掃描並安裝：掃描每個目標執行個體，並將其已安裝的補丁與補丁基準中的已批准補丁的列表進行比較。下載並安裝所有執行個體中缺少的已批准補丁。
- 是否為系統硬碟建立快照：選擇是，並設定快照保留天數。
- 是否重啟執行個體：根據業務需求選擇是否重啟。
  - 是：如果安裝的有需要重啟生效的補丁，則會重啟ECS執行個體。
  - 否：不會重啟ECS執行個體。如果安裝的有需要重啟生效的補丁，補丁不會生效且狀態為安裝待重啟。
- 執行使用到的許可權來源：選擇預設服務關聯角色。
單擊選擇執行個體，資源類型選擇ECS執行個體，然後選擇需要更新補丁的執行個體。
進階選項保持預設，然後單擊立即執行。
在彈出的參數確認對話方塊，確認需要定時修複補丁的相關資訊，然後單擊確定。
查看更新補丁任務執行詳情。
1. 在補丁管理頁面，查看更新補丁任務狀態，當任務狀態為成功時，說明更新補丁任務已完成。
2. 單擊任務執行ID或任務操作列的詳情，即可查看更新補丁詳情。

Elastic Compute Service：更新補丁以提高ECS執行個體系統的安全性

背景資訊

前提條件

操作步驟

相關文檔