Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Kernel Live Patching est activé AL2

Kernel Live Patching for vous AL2 permet d'appliquer une vulnérabilité de sécurité spécifique et des correctifs de bogues critiques à un noyau Linux en cours d'exécution, sans redémarrage ni interruption de l'exécution des applications. Cela vous permet de bénéficier d'une meilleure disponibilité des services et des applications, tout en appliquant ces correctifs jusqu'à ce que le système puisse être redémarré.

Pour plus d'informations sur Kernel Live Patching pour AL2 023, consultez Kernel Live Patching on AL2 023 dans le Guide de l'utilisateur Amazon Linux 2023.

AWS publie deux types de patchs dynamiques du noyau pour AL2 :

AWS fournit des correctifs dynamiques du AL2 noyau pour une version du noyau jusqu'à 3 mois après sa publication. Après la période de 3 mois, vous devez effectuer une mise à jour vers une version ultérieure du noyau pour continuer à recevoir les correctifs à chaud du noyau.

AL2 les correctifs dynamiques du noyau sont disponibles sous forme de packages RPM signés dans les AL2 référentiels existants. Les correctifs peuvent être installés sur des instances individuelles à l'aide des flux de travail yum existants, ou ils peuvent être installés sur un groupe d'instances gérées à l'aide de AWS Systems Manager.

L'activation de Kernel Live Patching AL2 est fournie sans frais supplémentaires.

Configurations et conditions préalables prises en charge

Kernel Live Patching est pris en charge sur les EC2 instances Amazon et les machines virtuelles sur site en cours d'exécution. AL2

Pour utiliser Kernel Live Patching sur Kernel AL2, vous devez utiliser :

Exigences des politiques

Pour télécharger des packages depuis les référentiels Amazon Linux, Amazon EC2 doit avoir accès à des compartiments Amazon S3 appartenant au service. Si vous utilisez un point de terminaison Amazon Virtual Private Cloud (VPC) pour Amazon S3 dans votre environnement, vous devez vous assurer que votre politique de point de terminaison d’un VPC autorise l’accès à ces compartiments publics.

Le tableau décrit chacun des compartiments Amazon S3 auxquels il EC2 peut être nécessaire d'accéder pour Kernel Live Patching.

La politique suivante illustre comment restreindre l’accès aux identités et aux ressources qui appartiennent à votre organisation et fournir l’accès aux compartiments Amazon S3 requis pour le Kernel Live Patching. Remplacezregion, principal-org-id et resource-org-id par les valeurs de votre organisation.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "AllowRequestsByOrgsIdentitiesToOrgsResources",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "principal-org-id",
          "aws:ResourceOrgID": "resource-org-id"
        }
      }
    },
    {
      "Sid": "AllowAccessToAmazonLinuxAMIRepositories",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::packages.region.amazonaws.com/*",
        "arn:aws:s3:::repo.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux-2-repos-region/*"
      ]
    }
  ]
}
    

Utiliser l’application Kernel Live Patching

Vous pouvez activer et utiliser Kernel Live Patching sur des instances individuelles à l'aide de la ligne de commande de l'instance elle-même, ou vous pouvez activer et utiliser Kernel Live Patching sur un groupe d'instances gérées à l'aide de AWS Systems Manager.

Les sections suivantes expliquent comment activer et utiliser Kernel Live Patching sur des instances individuelles à l’aide de la ligne de commande.

Pour plus d'informations sur l'activation et l'utilisation du Kernel Live Patching sur un groupe d'instances gérées, consultez la section Utiliser le Kernel Live Patching sur les AL2 instances dans le Guide de l'AWS Systems Manager utilisateur.

Activer Kernel Live Patching

Kernel Live Patching est désactivé par défaut sur AL2. Pour utiliser l’application Kernel Live Patching, vous devez installer le plug-in yum pour Kernel Live Patching et activer la fonctionnalité Kernel Live Patching.

Conditions préalables

Kernel Live Patching nécessite binutils. Si vous n’avez pas binutils installé, installez-le à l’aide de la commande suivante :

$ sudo yum install binutils

Afficher les correctifs à chaud du noyau disponibles

Les alertes de sécurité Amazon Linux sont publiées dans le Centre de sécurité Amazon Linux. Pour plus d'informations sur les alertes AL2 de sécurité, qui incluent les alertes relatives aux correctifs actifs du noyau, consultez le centre de sécurité Amazon Linux. Les correctifs Kernel Live sont préfixés avec ALASLIVEPATCH. Le Centre de sécurité Amazon Linux peut ne pas répertorier les correctifs à chaud du noyau qui corrigent les bogues.

Vous pouvez également découvrir les correctifs dynamiques du noyau disponibles pour les alertes et à CVEs l'aide de la ligne de commande.

Pour répertorier tous les correctifs à chaud du noyau disponibles pour les avis

Utilisez la commande suivante.

$ yum updateinfo list

Voici un exemple de sortie.

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motd
ALAS2LIVEPATCH-2020-002 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
ALAS2LIVEPATCH-2020-005 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

Pour répertorier tous les correctifs dynamiques du noyau disponibles pour CVEs

Utilisez la commande suivante de l’.

$ yum updateinfo list cves

Voici un exemple de sortie.

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motdamzn2-core/2/x86_64 | 2.4 kB 00:00:00 
CVE-2019-15918 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2019-20096 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2020-8648 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

Appliquer des correctifs à chaud du noyau

Vous appliquez les correctifs à chaud du noyau en utilisant le gestionnaire de paquets yum de la même manière que vous appliquez les mises à jour régulières. Le plugin yum pour Kernel Live Patching gère les correctifs dynamiques du noyau qui peuvent être appliqués.

Vous pouvez choisir d’appliquer un correctif à chaud du noyau spécifique ou d’appliquer tous les correctifs à chaud du noyau disponibles avec vos mises à jour de sécurité régulières.

Pour appliquer les correctifs à chaud du noyau disponibles avec vos mises à jour de sécurité régulières

Utilisez la commande suivante.

$ sudo yum update --security

Omettre l’option --securityd’inclure les corrections de bogues.

Afficher les correctifs à chaud du noyau appliqués

Pour afficher les correctifs à chaud du noyau appliqués

Utilisez la commande suivante.

$ kpatch list

La commande renvoie une liste des correctifs à chaud du noyau des mise à jour de sécurité chargés et installés. Voici un exemple de sortie.

Loaded patch modules:
livepatch_cifs_lease_buffer_len [enabled]
livepatch_CVE_2019_20096 [enabled]
livepatch_CVE_2020_8648 [enabled]
	
Installed patch modules:
livepatch_cifs_lease_buffer_len (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2019_20096 (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2020_8648 (5.10.102-99.473.amzn2.x86_64)

Désactiver Kernel Live Patching

Si vous n’avez plus besoin d’utiliser Kernel Live Patching, vous pouvez le désactiver à tout moment.

Limitations

Kernel Live Patching présente les limitations suivantes :

Questions fréquentes (FAQ)

Pour les questions fréquemment posées sur Kernel Live Patching for AL2, consultez la FAQ sur les correctifs Kernel Live d'Amazon Linux 2.