Conditions préalables requises Patch Manager - AWS Systems Manager
Version de SSM AgentVersion PythonConnectivité à la source de correctifsAccès aux points de terminaison S3Autorisations d’installer les correctifs localementSystèmes d'exploitation pris en charge pour Patch Manager

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Conditions préalables requises Patch Manager

Assurez-vous que vous avez rempli les conditions requises avant d'utiliser Patch Manager un outil dans AWS Systems Manager.

Version de SSM Agent

La version 2.0.834.0 (ou version ultérieure) de SSM Agent doit être exécutée sur les nœuds gérés que vous souhaitez gérer avec Patch Manager.

Note

Une version mise à jour de SSM Agent est publiée chaque fois que de nouveaux outils sont ajoutés à Systems Manager ou que des mises à jour sont apportées à des outils existants. Le fait de ne pas utiliser la dernière version de l'agent peut empêcher votre nœud géré d'utiliser les différents outils et fonctionnalités de Systems Manager. C'est pourquoi nous vous recommandons d'automatiser le processus permettant de maintenir SSM Agent à jour sur vos machines. Pour plus d'informations, consultez Automatiser les mises à jour de SSM Agent. Inscrivez‑vous sur la page SSM Agent Release Notes du site Web de GitHub pour recevoir des notifications sur les mises à jour de SSM Agent.

Version Python

Pour macOS et la plupart des systèmes d'exploitation Linux (OSs), supporte Patch Manager actuellement les versions 2.6 à 3.10 de Python. Les AlmaLinux, Debian ServerRaspberry Pi OS, et Ubuntu Server OSs nécessitent une version prise en charge de Python 3 (3.0 - 3.10).

Connectivité à la source de correctifs

Si vos nœuds gérés ne sont pas directement connectés à Internet et que vous utilisez une instance d'Amazon Virtual Private Cloud (Amazon VPC) avec un point de terminaison VPC, vous devez vous assurer que les nœuds ont accès aux référentiels de correctifs sources. Sur les nœuds Linux, les correctifs sont généralement téléchargés à partir des référentiels distants configurés sur le nœud. Par conséquent, le nœud doit être en mesure de se connecter aux référentiels afin que les correctifs puissent être appliqués. Pour de plus amples informations, veuillez consulter Sélection des correctifs de sécurité.

CentOS et CentOS Stream : activez le drapeau EnableNonSecurity

Les nœuds gérés CentOS 6 et 7 utilisent Yum comme gestionnaire de package. CentOS 8 et CentOS Stream l'utilisation de DNF comme gestionnaire de package par les nœuds. Les deux gestionnaires de packages utilisent le concept d'un avis de mise à jour. Une notice de mise à jour est simplement un ensemble de packages qui corrigent des problèmes spécifiques.

Toutefois, CentOS et CentOS Stream les repos par défaut ne sont pas configurés avec un avis de mise à jour. Cela signifie que Patch Manager ne détecte pas les packages sur CentOS par défaut et CentOS Stream repos. Pour permettre au Patch Manager de traiter des packages qui ne sont pas contenus dans une notice de mise à jour, vous devez activer l'indicateur EnableNonSecurity dans les règles de référentiel de correctifs.

Windows Server : assurez la connectivité à Windows Update Catalog ou à Windows Server Update Services (WSUS)

Les nœuds gérés Windows Server doivent être en mesure de se connecter au catalogue Windows Update ou à Windows Server Update Services (WSUS). Vérifiez que vos nœuds sont connectés au catalogue Microsoft Update via une passerelle Internet, une instance NAT ou une passerelle NAT. Si vous utilisez WSUS, vérifiez que le nœud est connecté au serveur WSUS de votre environnement. Pour de plus amples informations, veuillez consulter Problème : le nœud géré n'a pas accès au catalogue Windows Update ou à WSUS.

Accès aux points de terminaison S3

Que vos nœuds gérés fonctionnent sur un réseau privé ou public, sans accès aux compartiments Amazon Simple Storage Service (Amazon S3) AWS gérés requis, les opérations de correction échouent. Pour obtenir des informations sur les compartiments S3 auxquels vos nœuds gérés doivent avoir accès, consultez SSM Agent communications avec des AWS compartiments S3 gérés et Améliorez la sécurité des EC2 instances en utilisant des points de terminaison VPC pour Systems Manager.

Autorisations d’installer les correctifs localement

Sur les systèmes d’exploitation Windows Server et Linux, Patch Manager assume les comptes d’utilisateur Administrateur et racine, respectivement, pour installer les correctifs.

Sur macOS, cependant, pour Brew et Brew Cask, Homebrew ne prend pas en charge l’exécution de ses commandes sous le compte d’utilisateur racine. Par conséquent, Patch Manager interroge et exécute les commandes Homebrew en tant que le propriétaire du répertoire Homebrew ou l’utilisateur valide appartenant au groupe de propriétaires du répertoire Homebrew. Par conséquent, pour pouvoir installer des correctifs, le propriétaire du répertoire homebrew doit également disposer des autorisations de propriétaire récursives pour le répertoire /usr/local.

Astuce

La commande suivante fournit cette autorisation à l’utilisateur spécifié :

sudo chown -R $USER:admin /usr/local

Systèmes d'exploitation pris en charge pour Patch Manager

L'Patch Manageroutil ne prend pas en charge les mêmes versions de systèmes d'exploitation que celles prises en charge par les autres outils de Systems Manager. Par exemple, Patch Manager ne prend pas en charge CentOS 6.3 ou Raspberry Pi OS OS 8 (Jessie). (Pour obtenir la liste complète des systèmes d'exploitation pris en charge par Systems Manager, consultez Systèmes d'exploitation pris en charge pour Systems Manager.) Par conséquent, assurez-vous que les nœuds gérés que vous souhaitez utiliser avec Patch Manager exécutent l'un des systèmes d'exploitation répertoriés dans le tableau suivant.

Note

Patch Manager s’appuie sur les référentiels de correctifs configurés sur un nœud géré, tels que Windows Update Catalog et Windows Server Update Services for Windows, pour récupérer les correctifs disponibles à installer. Par conséquent, pour les versions de systèmes d’exploitation en fin de vie (EOL), si aucune nouvelle mise à jour n’est disponible, Patch Manager peut ne pas être en mesure de signaler les nouvelles mises à jour. Cela peut être dû au fait qu’aucune nouvelle mise à jour n’est publiée par le gestionnaire de la distribution Linux, Microsoft ou Apple, ou au fait que le nœud géré ne dispose pas de la licence appropriée pour accéder aux nouvelles mises à jour.

Patch Manager rapporte le statut de conformité par rapport aux correctifs disponibles sur le nœud géré. Par conséquent, si une instance exécute un système d’exploitation EOL et qu’aucune mise à jour n’est disponible, Patch Manager peut indiquer que le nœud est conforme, en fonction des référentiels de correctifs configurés pour l’opération de correctifs.

Système d’exploitation Détails

Linux

  • AlmaLinux 8 x, 9 x

  • Amazon Linux 2012.03 à 2018.03

  • Amazon Linux 2 version 2.0 et toutes les versions ultérieures

  • Amazon Linux 2022

  • Amazon Linux 2023

  • CentOS 6.5–7.9, 8.x

  • CentOS Stream 8, 9

  • Debian Server 8.x, 9.x, 10.x, 11.x et 12.x

  • Oracle Linux 7.5–8.x, 9.x

  • Raspberry Pi OS (anciennement Raspbian) 9 (Stretch)

  • Red Hat Enterprise Linux(RHEL) 6,5 à 8 x, 9 x, 10. x

  • Rocky Linux 8.x, 9.x

  • SUSE Linux Enterprise Server (SLES) 12.0 et versions ultérieures 12.x ; 15.x

  • Ubuntu Server14,04 LTS, 16,04 LTS, 18,04 LTS, 20,04 LTS, 20,10 STR, 22,04 LTS, 23,04, 23,10, 24,04, 24,10 et 25,04
macOS

macOSest pris en charge uniquement pour EC2 les instances Amazon.

11.3.1; 11.4 à 11.7 (Big Sur)

12,0—12,7 (Monterey)

13,0—13,7 (Ventura)

14.x (Sonoma)

15.x (Sequoia)

mises à jour du système d'exploitation macOS

Patch Manager ne prend pas en charge les mises à jour ou les mises à niveau du système d’exploitation (SE) pour macOS, par exemple, de la version 12.x à la version 13.x ou de la version 13.1 à la version 13.2. Pour effectuer des mises à jour de la version du système d'exploitation sur macOS, nous vous recommandons d'utiliser les mécanismes intégrés de mise à niveau du système d'exploitation d'Apple. Pour plus d'informations, consultez Gestion des appareils (français non garanti) sur le site web de la documentation du développeur Apple.

Prise en charge de Homebrew

Patch Managernécessite que Homebrew, le système de gestion de progiciels open source, soit installé à l'un des emplacements d'installation par défaut suivants :

  • /usr/local/bin

  • /opt/homebrew/bin

Les opérations de correction utilisées Patch Manager ne fonctionnent pas correctement lorsque Homebrew n'est pas installé.

Homebrew a cessé de prendre en charge les macOS versions 10.14.x (Mojave) et 10.15.x (Catalina). Par conséquent, les opérations d'application de correctifs à l'aide de ces versions ne Patch Manager sont pas prises en charge.

Prise en charge de la région

macOSn'est pas pris en charge dans tous les cas Régions AWS. Pour plus d'informations sur le EC2 support Amazon pour les instances EC2 Mac macOS, consultez le guide de l' EC2 utilisateur Amazon pour les instances Mac.

Des appareils macOS Edge

SSM Agentpour les appareils AWS IoT Greengrass principaux n'est pas pris en charge surmacOS. Vous ne pouvez pas utiliser Patch Manager pour appliquer des correctifs aux appareils de périphérie macOS.

Windows

Windows Server 2008 à Windows Server 2025, y compris les versions R2.

Note

SSM Agentpour les appareils AWS IoT Greengrass principaux n'est pas pris en charge sous Windows 10. Vous ne pouvez pas utiliser Patch Manager pour appliquer des correctifs aux appareils de périphérie Windows 10.

Prise en charge de Windows Server 2008

Depuis le 14 janvier 2020, Windows Server 2008 n'est plus pris en charge pour les mises à jour de fonctions ou de sécurité de Microsoft. Les Amazon Machine Images (AMIs) héritées, pour Windows Server 2008 et 2008 R2, incluent toujours la version 2 de l'SSM Agent, mais Systems Manager ne prend plus officiellement en charge les versions 2008 et ne met plus à jour l'agent pour ces versions de Windows Server. En outre, SSM Agent version 3 peut ne pas être compatible avec toutes les opérations sur Windows Server 2008 et 2008 R2. La version finale officiellement prise en charge de l'SSM Agent pour les versions Windows Server 2008 est 2.3.1644.0.

Prise en charge de Windows Server 2012 et 2012 R2

Windows Server 2012 et 2012 R2 ont atteint la fin du support le 10 octobre 2023. Pour utiliser Patch Manager ces versions, nous vous recommandons également d'utiliser les mises à jour de sécurité étendues (ESUs) de Microsoft. Pour plus d’informations, consultez Windows Server 2012 et 2012 R2 atteignant la fin du support sur le site Web de Microsoft.