本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

内核实时补丁已开启 AL2

Kernel Live Patching AL2 允许您将特定的安全漏洞和严重错误补丁应用于正在运行的 Linux 内核，而无需重启或中断正在运行的应用程序。这使您可以从更高的服务和应用程序可用性中受益，同时应用这些修复程序直到系统可以重新启动。

有关 AL2 023 版内核实时补丁的信息，请参阅《亚马逊 Linux 2023 用户指南》 AL2中的 023 版内核实时补丁。

AWS 发布了两种类型的内核实时补丁，用于 AL2：

AWS 为内 AL2 核版本提供最长 3 个月的内核实时补丁。在 3 个月期限之后，您必须更新到更高版本的内核才能继续接收内核实时修补程序。

AL2 内核实时补丁以已签名的 RPM 包的形式在现有 AL2 存储库中提供。可以使用现有 yum 工作流程将补丁安装在单个实例上，也可以使用 Sy AWS stems Manager 将其安装在一组托管实例上。

开启内核实时补丁 AL2 功能不收取额外费用。

支持的配置和先决条件

Amazon EC2 实例和运行 AL2的本地虚拟机支持内核实时补丁。

要使用内核实时补丁 AL2，必须使用：

策略要求

要从亚马逊 Linux 存储库下载软件包，亚马逊 EC2需要访问服务拥有的 Amazon S3 存储桶。如果您在环境中使用 Amazon S3 的 Amazon Virtual Private Cloud（VPC）端点，则需要确保您的 VPC 端点策略允许访问这些公有存储桶。

下表描述了内核实时补丁 EC2 可能需要访问的每个 Amazon S3 存储桶。

以下策略说明了如何限制对属于您组织的身份和资源的访问权，以及如何提供对“内核实时修补”所需的 Amazon S3 存储桶的访问权。将regionprincipal-org-id、resource-org-id替换为贵组织的价值观。

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "AllowRequestsByOrgsIdentitiesToOrgsResources",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "principal-org-id",
          "aws:ResourceOrgID": "resource-org-id"
        }
      }
    },
    {
      "Sid": "AllowAccessToAmazonLinuxAMIRepositories",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::packages.region.amazonaws.com/*",
        "arn:aws:s3:::repo.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux-2-repos-region/*"
      ]
    }
  ]
}
    

使用内核实时修补

您可以使用实例本身的命令行在单个实例上启用和使用内核实时补丁，也可以使用 Syst AWS ems Manager 在一组托管实例上启用和使用内核实时补丁。

以下部分介绍如何在单独的实例上使用命令行来启用和使用内核实时修补。

有关在一组托管实例上启用和使用内核实时补丁的更多信息，请参阅《AWS Systems Manager 用户指南》中的在 AL2 实例上使用内核实时补丁。

启用内核实时修补

默认情况下，内核实时补丁处于禁用状态。 AL2要使用实时修补，必须为内核实时修补安装 yum 插件，并启用实时修补功能。

先决条件

内核实时修补需要 binutils。如果尚未安装 binutils，请使用以下命令进行安装：

$ sudo yum install binutils

查看可用的内核实时补丁

Amazon Linux 安全警报会发布到 Amazon Linux 安全中心。有关 AL2 安全警报（包括内核实时补丁警报）的更多信息，请参阅 Amazon Linux 安全中心。内核实时补丁的前缀为 ALASLIVEPATCH。Amazon Linux 安全中心可能不会列出解决错误的内核实时补丁。

您还可以 CVEs使用命令行查找可用的内核实时补丁以获取公告。

列出所有可用的内核实时补丁以获取通告

使用以下命令。

$ yum updateinfo list

下面显示了示例输出。

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motd
ALAS2LIVEPATCH-2020-002 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
ALAS2LIVEPATCH-2020-005 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

列出所有可用的内核实时补丁 CVEs

使用以下命令。

$ yum updateinfo list cves

下面显示了示例输出。

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motdamzn2-core/2/x86_64 | 2.4 kB 00:00:00 
CVE-2019-15918 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2019-20096 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2020-8648 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

应用内核实时补丁

您可以使用 yum 程序包管理器应用内核实时修补程序，方式与应用定期更新相同。用于 Kernel Live Patching 的 yum 插件管理可供应用的内核实时补丁。

您可以选择应用特定的内核实时补丁，或者应用任何可用的内核实时补丁以及定期安全更新。

应用任何可用的内核实时补丁以及定期安全更新

使用以下命令。

$ sudo yum update --security

省略 --security 选项将包含错误修复。

查看应用的内核实时修补程序

查看应用的内核实时补丁

使用以下命令。

$ kpatch list

该命令返回已加载和安装的安全更新内核实时补丁的列表。下面是示例输出。

Loaded patch modules:
livepatch_cifs_lease_buffer_len [enabled]
livepatch_CVE_2019_20096 [enabled]
livepatch_CVE_2020_8648 [enabled]
	
Installed patch modules:
livepatch_cifs_lease_buffer_len (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2019_20096 (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2020_8648 (5.10.102-99.473.amzn2.x86_64)

禁用内核实时修补

如果您不再需要使用内核实时修补，可以随时禁用它。

限制

内核实时修补具有以下限制：

常见问题

有关内核实时补丁的常见问题 AL2，请参阅 Amazon Linux 2 内核实时补丁常见问题解答。