Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Kernel Live Patching attivo AL2

Kernel Live Patching for AL2 consente di applicare vulnerabilità di sicurezza specifiche e patch di bug critici a un kernel Linux in esecuzione, senza riavvii o interruzioni delle applicazioni in esecuzione. Ciò consente di beneficiare di una migliore disponibilità dei servizi e delle applicazioni, applicando queste correzioni fino al riavvio del sistema.

Per informazioni su Kernel Live Patching per AL2 023, consulta Kernel Live Patching on 023 AL2 nella Amazon Linux 2023 User Guide.

AWS rilascia due tipi di patch live del kernel per: AL2

AWS fornisce patch live del kernel per una versione del AL2 kernel per un massimo di 3 mesi dopo il suo rilascio. Dopo il periodo di 3 mesi, è necessario eseguire l'aggiornamento a una versione del kernel successiva per continuare a ricevere patch live del kernel.

AL2 le patch live del kernel sono rese disponibili come pacchetti RPM firmati nei repository esistenti. AL2 Le patch possono essere installate su singole istanze utilizzando i flussi di lavoro yum esistenti oppure possono essere installate su un gruppo di istanze gestite utilizzando Systems Manager. AWS

Kernel Live Patching on AL2 viene fornito senza costi aggiuntivi.

Configurazioni e prerequisiti supportati

Kernel Live Patching è supportato EC2 sulle istanze Amazon e sulle macchine virtuali locali in esecuzione. AL2

Per utilizzare Kernel Live Patching su, devi usare: AL2

Requisiti per le policy

Per scaricare pacchetti dai repository Amazon Linux, Amazon EC2 deve accedere ai bucket Amazon S3 di proprietà del servizio. Se utilizzi un endpoint del cloud privato virtuale (VPC) di Amazon per Amazon S3 nel tuo ambiente, devi assicurarti che la policy degli endpoint VPC consenta l'accesso a tali bucket pubblici.

La tabella descrive ciascuno dei bucket Amazon S3 a cui EC2 potrebbe essere necessario accedere per Kernel Live Patching.

La policy seguente illustra come limitare l'accesso alle identità e alle risorse che appartengono alla tua organizzazione e fornire l'accesso ai bucket Amazon S3 richiesti per Kernel Live Patching. Sostituisci region principal-org-id e resource-org-id con i valori della tua organizzazione.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "AllowRequestsByOrgsIdentitiesToOrgsResources",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "principal-org-id",
          "aws:ResourceOrgID": "resource-org-id"
        }
      }
    },
    {
      "Sid": "AllowAccessToAmazonLinuxAMIRepositories",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::packages.region.amazonaws.com/*",
        "arn:aws:s3:::repo.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux-2-repos-region/*"
      ]
    }
  ]
}
    

Utilizzo di Kernel Live Patching

È possibile abilitare e utilizzare Kernel Live Patching su singole istanze utilizzando la riga di comando sull'istanza stessa oppure è possibile abilitare e utilizzare Kernel Live Patching su un gruppo di istanze gestite utilizzando Systems Manager. AWS

Le sezioni seguenti spiegano come abilitare e utilizzare Kernel Live Patching su singole istanze utilizzando la riga di comando.

Per ulteriori informazioni sull'attivazione e l'utilizzo di Kernel Live Patching su un gruppo di istanze gestite, consulta Use Kernel Live Patching sulle istanze nella Guida per l'utente. AL2 AWS Systems Manager

Abilitazione di Kernel Live Patching

Kernel Live Patching è disabilitato per impostazione predefinita su. AL2 Per utilizzare l'applicazione di patch live, è necessario installare il plugin yum per Kernel Live Patching e abilitare la funzionalità di applicazione di patch live.

Prerequisiti

L'applicazione di patch live del kernel richiede binutils. Se binutils non è stato installato, installarlo utilizzando il seguente comando:

$ sudo yum install binutils

Visualizzazione delle patch live del kernel disponibili

Gli avvisi di sicurezza di Amazon Linux vengono pubblicati nel Centro di Sicurezza Amazon Linux. Per ulteriori informazioni sugli avvisi AL2 di sicurezza, che includono avvisi per le patch live del kernel, consulta Amazon Linux Security Center. Le patch live del kernel sono precedute da ALASLIVEPATCH. Centro di Sicurezza Amazon Linux potrebbe non elencare le patch live del kernel che risolvono i bug.

Puoi anche scoprire le patch live del kernel disponibili per ricevere avvisi e utilizzare la riga di comando. CVEs

Per elencare tutte le patch live del kernel disponibili per le consulenze

Utilizzare il seguente comando.

$ yum updateinfo list

Di seguito viene mostrato l'output di esempio.

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motd
ALAS2LIVEPATCH-2020-002 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
ALAS2LIVEPATCH-2020-005 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

Per elencare tutte le patch live del kernel disponibili per CVEs

Utilizza il seguente comando.

$ yum updateinfo list cves

Di seguito viene mostrato l'output di esempio.

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motdamzn2-core/2/x86_64 | 2.4 kB 00:00:00 
CVE-2019-15918 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2019-20096 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2020-8648 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

Applicazione delle patch live del kernel

Le patch live del kernel vengono applicate utilizzando il gestore di pacchetti yum nello stesso modo in cui si applicano aggiornamenti regolari. Il plugin yum per Kernel Live Patching gestisce le patch live del kernel disponibili per essere applicate.

Puoi scegliere di applicare una patch live del kernel specifica o applicare qualsiasi patch live del kernel disponibile insieme ai normali aggiornamenti di sicurezza.

Per applicare eventuali patch live del kernel disponibili insieme ai normali aggiornamenti di sicurezza

Utilizzare il seguente comando.

$ sudo yum update --security

Omettere l'opzione --security per includere correzioni di bug.

Visualizzazione delle patch live del kernel applicate

Per visualizzare le patch live del kernel applicate

Utilizzare il seguente comando.

$ kpatch list

Il comando restituisce un elenco delle patch live del kernel dell'aggiornamento di sicurezza caricato e installato. Di seguito è riportato un output di esempio.

Loaded patch modules:
livepatch_cifs_lease_buffer_len [enabled]
livepatch_CVE_2019_20096 [enabled]
livepatch_CVE_2020_8648 [enabled]
	
Installed patch modules:
livepatch_cifs_lease_buffer_len (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2019_20096 (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2020_8648 (5.10.102-99.473.amzn2.x86_64)

Disabilitazione di Kernel Live Patching

Se non è più necessario utilizzare Kernel Live Patching, puoi disabilitarla in qualsiasi momento.

Limitazioni

Kernel Live Patching presenta le seguenti restrizioni:

Domande frequenti

Per domande frequenti su Kernel Live Patching for AL2, consulta le domande frequenti su Amazon Linux 2 Kernel Live Patching.