Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Penambalan Langsung Kernel di AL2

Kernel Live Patching for AL2 memungkinkan Anda menerapkan kerentanan keamanan tertentu dan patch bug kritis ke kernel Linux yang sedang berjalan, tanpa reboot atau gangguan pada aplikasi yang sedang berjalan. Ini memungkinkan Anda mendapatkan keuntungan dari peningkatan ketersediaan layanan dan aplikasi, sambil menerapkan perbaikan ini hingga sistem dapat di-boot ulang.

Untuk informasi tentang Kernel Live Patching untuk AL2 023, lihat Kernel Live Patching di AL2 023 di Panduan Pengguna Amazon Linux 2023.

AWS merilis dua jenis tambalan langsung kernel untuk AL2:

AWS menyediakan tambalan langsung kernel untuk versi AL2 kernel hingga 3 bulan setelah dirilis. Setelah periode 3 bulan, Anda harus memperbarui ke versi kernel berikutnya untuk terus menerima live patch kernel.

AL2 tambalan langsung kernel tersedia sebagai paket RPM yang ditandatangani di AL2 repositori yang ada. Patch dapat diinstal pada instance individual menggunakan alur kerja yum yang ada, atau dapat diinstal pada sekelompok instance terkelola menggunakan Systems Manager. AWS

Kernel Live Patching on AL2 disediakan tanpa biaya tambahan.

Konfigurasi dan prasyarat yang didukung

Kernel Live Patching didukung pada EC2 instans Amazon dan mesin virtual lokal yang berjalan. AL2

Untuk menggunakan Kernel Live Patching aktif AL2, Anda harus menggunakan:

Persyaratan Kebijakan

Untuk mengunduh paket dari repositori Amazon Linux, Amazon EC2 memerlukan akses ke bucket Amazon S3 milik layanan. Jika Anda menggunakan titik akhir cloud privat virtual (VPC) Amazon untuk Amazon S3 di lingkungan Anda, Anda perlu memastikan bahwa kebijakan titik akhir VPC Anda memungkinkan akses ke bucket publik tersebut.

Tabel ini menjelaskan setiap bucket Amazon S3 yang EC2 mungkin perlu diakses untuk Kernel Live Patching.

Kebijakan berikut menggambarkan cara membatasi akses ke identitas dan sumber daya milik organisasi Anda dan memberikan akses ke bucket Amazon S3 yang diperlukan untuk Kernel Live Patching. Gantiregion, principal-org-id dan resource-org-id dengan nilai-nilai organisasi Anda.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "AllowRequestsByOrgsIdentitiesToOrgsResources",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "principal-org-id",
          "aws:ResourceOrgID": "resource-org-id"
        }
      }
    },
    {
      "Sid": "AllowAccessToAmazonLinuxAMIRepositories",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::packages.region.amazonaws.com/*",
        "arn:aws:s3:::repo.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux-2-repos-region/*"
      ]
    }
  ]
}
    

Menggunakan Kernel Live Patching

Anda dapat mengaktifkan dan menggunakan Kernel Live Patching pada instance individual menggunakan baris perintah pada instans itu sendiri, atau Anda dapat mengaktifkan dan menggunakan Kernel Live Patching pada sekelompok instance terkelola menggunakan Systems Manager. AWS

Bagian berikut ini menjelaskan cara mengaktifkan dan menggunakan Kernel Live Patching pada tiap instans menggunakan baris perintah.

Untuk informasi selengkapnya tentang mengaktifkan dan menggunakan Kernel Live Patching pada sekelompok instance terkelola, lihat Menggunakan Kernel Live Patching pada AL2 instance di Panduan Pengguna.AWS Systems Manager

Mengaktifkan Kernel Live Patching

Kernel Live Patching dinonaktifkan secara default pada AL2. Untuk menggunakan live patching, Anda harus menginstal plugin yum untuk Kernel Live Patching dan mengaktifkan fungsionalitas live patching.

Prasyarat

Kernel Live Patching membutuhkan binutils. Jika Anda belum menginstal binutils, instal menggunakan perintah berikut:

$ sudo yum install binutils

Tampilkan live patch kernel yang tersedia

Peringatan keamanan Amazon Linux diterbitkan ke Pusat Keamanan Amazon Linux. Untuk informasi selengkapnya tentang peringatan AL2 keamanan, yang mencakup peringatan untuk tambalan langsung kernel, lihat Pusat Keamanan Amazon Linux. Live patch kernel diawali dengan ALASLIVEPATCH. Pusat Keamanan Amazon Linux mungkin tidak mencantumkan live patch kernel yang menangani bug.

Anda juga dapat menemukan patch aktif kernel yang tersedia untuk imbauan dan CVEs menggunakan baris perintah.

Untuk mencantumkan semua live patch kernel yang tersedia untuk advisori

Gunakan perintah berikut.

$ yum updateinfo list

Berikut ini adalah contoh output.

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motd
ALAS2LIVEPATCH-2020-002 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
ALAS2LIVEPATCH-2020-005 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

Untuk mencantumkan semua tambalan langsung kernel yang tersedia untuk CVEs

Gunakan perintah berikut ini.

$ yum updateinfo list cves

Berikut ini adalah contoh output.

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motdamzn2-core/2/x86_64 | 2.4 kB 00:00:00 
CVE-2019-15918 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2019-20096 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2020-8648 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

Terapkan live patch kernel

Anda menerapkan live patch kernel menggunakan manajer paket yum dengan cara yang sama Anda akan menerapkan pembaruan rutin. Plugin yum untuk Kernel Live Patching mengelola patch langsung kernel yang tersedia untuk diterapkan.

Anda dapat memilih untuk menerapkan live patch kernel tertentu, atau untuk menerapkan live patch kernel yang tersedia bersama dengan pembaruan keamanan rutin Anda.

Untuk menerapkan live patch kernel yang tersedia dengan pembaruan keamanan rutin Anda

Gunakan perintah berikut.

$ sudo yum update --security

Hilangkan opsi --security untuk memasukkan perbaikan bug.

Melihat live patch kernel yang diterapkan

Untuk melihat live patch kernel yang diterapkan

Gunakan perintah berikut.

$ kpatch list

Perintah ini mengembalikan daftar live patch kernel pembaruan keamanan yang dimuat dan diinstal. Berikut ini adalah contoh output.

Loaded patch modules:
livepatch_cifs_lease_buffer_len [enabled]
livepatch_CVE_2019_20096 [enabled]
livepatch_CVE_2020_8648 [enabled]
	
Installed patch modules:
livepatch_cifs_lease_buffer_len (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2019_20096 (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2020_8648 (5.10.102-99.473.amzn2.x86_64)

Menonaktifkan Kernel Live Patching

Jika Anda tidak perlu lagi menggunakan Kernel Live Patching, Anda dapat menonaktifkannya kapan saja.

Batasan

Kernel Live Patching memiliki keterbatasan sebagai berikut:

Pertanyaan umum

Untuk pertanyaan umum tentang Kernel Live Patching AL2, lihat FAQ Amazon Linux 2 Kernel Live Patching.