本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

AL2 上的核心即時修補

適用於 AL2 的 Kernel Live Patching 可讓您將特定安全性漏洞和關鍵錯誤修補程式套用至執行中的 Linux 核心，而不會重新啟動或中斷執行中的應用程式。這可讓您受益於改善的服務和應用程式可用性，同時套用這些修正，直到系統可以重新啟動為止。

如需 AL2023 的 Kernel Live Patching 相關資訊，請參閱《Amazon Linux 2023 使用者指南》中的 AL2023 上的 Kernel Live Patching。

AWS 為 AL2 發行兩種類型的核心即時修補程式：

AWS 提供 AL2 核心版本的核心即時修補程式，最長可達發行後 3 個月。在 3 個月期間之後，您必須更新至更新的核心版本，才能繼續接收核心即時修補程式。

AL2 核心即時修補程式在現有 AL2 儲存庫中以簽章的 RPM 套件的形式提供。這些修補程式可以使用現有的 yum 工作流程安裝在個別執行個體上，也可以使用 AWS Systems Manager 安裝在受管執行個體群組上。

在 AL2 上提供 Kernel Live Patching，無需額外費用。

支援的組態和先決條件

執行 AL2 的 Amazon EC2 執行個體和內部部署虛擬機器支援 Kernel Live Patching。

若要在 AL2 上使用核心即時修補，您必須使用：

政策要求

若要從 Amazon Linux 儲存庫下載套件，Amazon EC2 需要存取服務擁有的 Amazon S3 儲存貯體。如果您在環境中使用適用於 Amazon S3 的 Amazon 虛擬私有雲端 (VPC) 端點，則需要確保您的 VPC 端點政策允許存取這些公有儲存貯體。

下表說明對於 Kernel Live Patching，EC2 可能需要存取的每個 Amazon S3 儲存貯體。

下方政策會說明如何限制存取屬於您組織的 Amazon S3 儲存貯體的身分和資源，並提供 Kernel Live Patching 所需的 Amazon S3 儲存貯體的存取權限。使用您組織的值取代 region、principal-org-id 以及 resource-org-id。

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "AllowRequestsByOrgsIdentitiesToOrgsResources",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "principal-org-id",
          "aws:ResourceOrgID": "resource-org-id"
        }
      }
    },
    {
      "Sid": "AllowAccessToAmazonLinuxAMIRepositories",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::packages.region.amazonaws.com/*",
        "arn:aws:s3:::repo.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux-2-repos-region/*"
      ]
    }
  ]
}
    

使用 Kernel Live Patching

您可以使用執行個體本身的命令列在個別執行個體上啟用和使用 Kernel Live Patching，也可以使用 AWS Systems Manager 在一組受管執行個體上啟用和使用 Kernel Live Patching。

下列各節說明如何透過命令列在個別執行個體上啟用並使用 Kernel Live Patching。

如需在一組受管執行個體上啟用和使用 Kernel Live Patching 的詳細資訊，請參閱AWS Systems Manager 《 使用者指南》中的在 AL2 執行個體上使用 Kernel Live Patching。

啟用 Kernel Live Patching

AL2 上的核心即時修補預設為停用。若要使用即時修補，您必須安裝 Kernel Live Patching 的 yum 外掛程式，並啟用即時修補功能。

先決條件

Kernel Live Patching 需要 binutils。如果您未安裝 binutils，請使用下列命令進行安裝：

$ sudo yum install binutils

檢視可用的核心即時修補程式

Amazon Linux 安全性警示會發佈至資訊 Amazon Linux 安全中心。如需 AL2 安全提醒的詳細資訊，包括核心即時修補程式的提醒，請參閱 Amazon Linux 安全中心。核心即時修補程式的字首為 ALASLIVEPATCH。Amazon Linux 安全中心可能不會列出解決錯誤的核心即時修補程式。

您也可以使用命令列來探索建議和 CVE 的可用核心即時修補程式。

列出所有可用的核心即時修補程式以供建議使用

使用下列命令。

$ yum updateinfo list

下面顯示了範例輸出。

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motd
ALAS2LIVEPATCH-2020-002 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
ALAS2LIVEPATCH-2020-005 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

列出 CVE 的所有可用核心即時修補程式

使用下列命令。

$ yum updateinfo list cves

下面顯示了範例輸出。

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motdamzn2-core/2/x86_64 | 2.4 kB 00:00:00 
CVE-2019-15918 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2019-20096 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2020-8648 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

套用核心即時修補程式

您可以使用 yum 套件管理員來套用核心即時修補程式，方法與套用定期更新相同。適用於 Kernel Live Patching 的 yum 外掛程式會管理可供套用的核心即時修補程式。

您可以選擇套用特定的核心即時修補程式，或套用任何可用的核心即時修補程式，以及定期的安全性更新。

套用任何可用的核心即時修補程式，以及您的定期安全性更新

使用下列命令。

$ sudo yum update --security

省略包含錯誤修正的 --security 選項。

檢視套用的核心即時修補程式

檢視套用的核心即時修補程式

使用下列命令。

$ kpatch list

此命令會傳回已載入及已安裝的安全性更新核心即時修補程式清單。下列為範例輸出。

Loaded patch modules:
livepatch_cifs_lease_buffer_len [enabled]
livepatch_CVE_2019_20096 [enabled]
livepatch_CVE_2020_8648 [enabled]
	
Installed patch modules:
livepatch_cifs_lease_buffer_len (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2019_20096 (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2020_8648 (5.10.102-99.473.amzn2.x86_64)

停用核心即時修補

如果您不再需要使用 Kernel Live Patching，您可以隨時停用它。

限制

Kernel Live Patching 有以下限制：

常見問答集

如需 AL2 核心即時修補的常見問題，請參閱 Amazon Linux 2 核心即時修補常見問答集。