As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

O Kernel Live Patching está ativado AL2

O Kernel Live Patching for AL2 permite que você aplique vulnerabilidades de segurança específicas e patches de bugs críticos a um kernel Linux em execução, sem reinicializações ou interrupções na execução de aplicativos. Isso permite que você se beneficie de uma maior disponibilidade de serviços e aplicativos, aplicando essas correções até que o sistema possa ser reinicializado.

Para obter informações sobre o Kernel Live Patching para AL2 023, consulte Kernel Live Patching em 023 AL2 no Guia do usuário do Amazon Linux 2023.

AWS lança dois tipos de patches ativos do kernel para AL2:

AWS fornece patches ativos do kernel para uma versão do AL2 kernel por até 3 meses após seu lançamento. Após o período de 3 meses, é necessário fazer a atualização para uma versão posterior do kernel para continuar a receber patches ao vivo do kernel.

AL2 os patches ativos do kernel são disponibilizados como pacotes RPM assinados nos AL2 repositórios existentes. Os patches podem ser instalados em instâncias individuais usando fluxos de trabalho existentes do yum ou podem ser instalados em um grupo de instâncias gerenciadas usando o AWS Systems Manager.

O Kernel Live Patching on AL2 é fornecido sem custo adicional.

Configurações e pré-requisitos compatíveis

O Kernel Live Patching é compatível com EC2 instâncias da Amazon e máquinas virtuais locais em execução. AL2

Para usar o Kernel Live Patching ativado AL2, você deve usar:

Requisitos de política

Para baixar pacotes dos repositórios Amazon Linux, a Amazon EC2 precisa acessar os buckets Amazon S3 de propriedade do serviço. Se estiver usando um endpoint da nuvem privada virtual (VPC) para o Amazon S3 em seu ambiente, será necessário garantir que sua política de endpoint da VPC permita acesso a esses buckets públicos.

A tabela descreve cada um dos buckets do Amazon S3 que EC2 talvez precisem ser acessados para o Kernel Live Patching.

A política a seguir ilustra como restringir o acesso a identidades e recursos que pertencem à sua organização e conceder acesso aos buckets do Amazon S3 necessários para o Kernel Live Patching. regionSubstitua principal-org-id e resource-org-id pelos valores da sua organização.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "AllowRequestsByOrgsIdentitiesToOrgsResources",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "principal-org-id",
          "aws:ResourceOrgID": "resource-org-id"
        }
      }
    },
    {
      "Sid": "AllowAccessToAmazonLinuxAMIRepositories",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::packages.region.amazonaws.com/*",
        "arn:aws:s3:::repo.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux-2-repos-region/*"
      ]
    }
  ]
}
    

Trabalhar com o Kernel Live Patching

Você pode ativar e usar o Kernel Live Patching em instâncias individuais usando a linha de comando na própria instância ou pode ativar e usar o Kernel Live Patching em um grupo de instâncias gerenciadas usando o Systems Manager. AWS

As seções a seguir explicam como habilitar e usar o Kernel Live Patching em instâncias individuais usando a linha de comando.

Para obter mais informações sobre como ativar e usar o Kernel Live Patching em um grupo de instâncias gerenciadas, consulte Usar o Kernel Live Patching em AL2 instâncias no Guia do usuário.AWS Systems Manager

Habilitar o Kernel Live Patching

O Kernel Live Patching está desativado por padrão em. AL2 Para usar a aplicação de patches ao vivo, é necessário instalar o plug-in yum para o Kernel Live Patching e habilitar a funcionalidade de aplicação de patches ao vivo.

Pré-requisitos

O Kernel Live Patching requer binutils. Se você não tiver binutils instalado, instale-o usando o seguinte comando:

$ sudo yum install binutils

Visualizar os patches ao vivo do kernel disponíveis

Os alertas de segurança do Amazon Linux são publicados no Centro de segurança do Amazon Linux. Para obter mais informações sobre os alertas de AL2 segurança, que incluem alertas para patches ativos do kernel, consulte o Amazon Linux Security Center. Os patches ao vivo do kernel são prefixados com ALASLIVEPATCH. O Centro de segurança do Amazon Linux pode não listar patches ao vivo do kernel que resolvam erros.

Você também pode descobrir os patches ativos do kernel disponíveis para recomendações e CVEs usar a linha de comando.

Como listar todos os patches ao vivo do kernel disponíveis para recomendações

Use o seguinte comando.

$ yum updateinfo list

Veja a seguir um exemplo de saída.

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motd
ALAS2LIVEPATCH-2020-002 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
ALAS2LIVEPATCH-2020-005 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

Para listar todos os patches ativos do kernel disponíveis para CVEs

Use o seguinte comando.

$ yum updateinfo list cves

Veja a seguir um exemplo de saída.

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motdamzn2-core/2/x86_64 | 2.4 kB 00:00:00 
CVE-2019-15918 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2019-20096 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2020-8648 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

Aplicar patches ao vivo do kernel

Aplique patches ao vivo do kernel usando o gerenciador de pacotes yum da mesma maneira que você aplicaria atualizações regulares. O plugin yum para Kernel Live Patching gerencia os patches ativos do kernel que estão disponíveis para serem aplicados.

É possível optar por aplicar um patch ao vivo do kernel específico, ou aplicar qualquer patch ao vivo do kernel disponível com suas atualizações de segurança regulares.

Como aplicar patches ao vivo do kernel disponíveis com as atualizações de segurança regulares

Use o seguinte comando.

$ sudo yum update --security

Omita a opção --security para incluir correções de erros.

Visualizar os patches ao vivo do kernel aplicados

Como visualizar os patches ao vivo do kernel aplicados

Use o seguinte comando.

$ kpatch list

O comando retornará uma lista dos patches ao vivo do kernel de atualização de segurança carregados e instalados. A seguir está um exemplo de saída.

Loaded patch modules:
livepatch_cifs_lease_buffer_len [enabled]
livepatch_CVE_2019_20096 [enabled]
livepatch_CVE_2020_8648 [enabled]
	
Installed patch modules:
livepatch_cifs_lease_buffer_len (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2019_20096 (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2020_8648 (5.10.102-99.473.amzn2.x86_64)

Desabilitar o Kernel Live Patching

Se não precisar mais usar o Kernel Live Patching, é possível desabilitá-lo a qualquer momento.

Limitações

O Kernel Live Patching tem as seguintes limitações:

Perguntas frequentes

Para perguntas frequentes sobre o Kernel Live Patching for AL2, consulte as Perguntas frequentes sobre o Kernel Live Patching do Amazon Linux 2.