本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 步驟 3。使用預設政策加入 AMS 功能 在此階段中，您使用預設政策加入 AMS 功能。這些包括新增 Amazon EC2 執行個體，以及根據您的偏好設定設定監控、備份、修補和修補程式 AWS Config （如果適用，AMS Patch Orchestrator 是您必須特別請求的附加元件）。您可以自行執行此操作，或請求 AMS 根據您的輸入加入功能。若要向 AMS 請求協助，請建立服務請求並提供所有必要的輸入以完成任務。請記住，服務請求不會立即解決。 **注意** 雖然帳戶可能會使用預設政策進行備份、修補或監控，但需要標記資源，讓適當的政策生效。 **Topics** + [（選用） 加速中的 Quick Start 範本](acc-quick-start.md) + [加入 加速監控](acc-get-feature-monitoring-onboarding.md) + [加入 EC2 執行個體以加速](acc-get-feature-ec2-onboarding.md) + [在 Accelerate AWS Backup 中加入](acc-get-feature-backup-onboarding.md) + [在 Accelerate 中加入修補](acc-get-feature-patching-onboarding.md) + [在 Accelerate 中檢閱不合規報告](acc-get-feature-nonconformance.md) # （選用） 加速中的 Quick Start 範本 Quick Start 範本會在已啟用 Accelerate AWS 的帳戶中自動化 AMS Resource Tagger 的部署和組態。相較於手動設定，此範本可節省時間和精力。依原狀使用此範本來定義一個帳戶中的監控、修補和備份基本概念。或者，將其用作 StackSet，以在 Organizations Units 之間套用設定，以標準化多個帳戶的設定。 您也可以使用它做為起點來建置自己的自訂 AMS Resource Tagger 描述檔，並使用文件中的程式碼片段來建立更複雜的標籤定義。 ## Quick Start 範本功能 Quick Start 範本會完成下列任務： + 建立和部署 AMS Resource Tagger 的組態版本。 + 將標籤套用至啟用 AMS 管理和建立監控資源的 Amazon EC2 執行個體。 + （選用） 將標籤套用至受管 EC2 執行個體，使其能夠按照所需的排程進行修補，並建立修補維護時段以利修補。 **警告** 根據預設，執行個體會重新啟動，並自動啟動停止的執行個體以進行修補程式安裝。 + （選用） 將標籤套用至受管 EC2 執行個體，使其可依[預設 AMS Backup Plan](https://docs.aws.amazon.com/managedservices/latest/accelerate-guide/acc-backup-select-plan.html#acc-backup-plan-default) 中所定義進行備份。 + （選用） 將標籤套用至受管 Amazon Relational Database Service (Amazon RDS) 資源，這些資源可根據[增強型備份計畫進行備份](https://docs.aws.amazon.com/managedservices/latest/accelerate-guide/acc-backup-select-plan.html#acc-backup-plan-enhanced)。備份計畫也會啟用 Amazon RDS 的時間點復原 (PITR)。如果未啟用 Amazon RDS 自動備份，則資料庫會在接近下一個備份時段的時間重新啟動。 ![\[Quick Start 範本函數的圖例。\]](http://docs.aws.amazon.com/zh_tw/managedservices/latest/accelerate-guide/images/acc-quick-start-template.png) ## Quick Start 範本覆寫和排除 使用此範本建立 Quick Start 堆疊後，請使用下列步驟從管理/監控、修補或備份中排除特定執行個體： + **管理和監控：**若要排除由 AMS 管理和監控的 EC2 執行個體，請將此標籤新增至執行個體：`ExcludeFromAMSQuickStartMonitoring=true`。 + **修補：**屬於 Auto Scaling 群組、Amazon Elastic Container Service 或 Amazon Elastic Kubernetes Service 叢集成員的 EC2 執行個體，會由此 Quick Start 範本排除在修補之外。 若要停用建立修補視窗和 EC2 執行個體的修補相關標記，請將 CloudFormation 堆疊參數設定為 `EnablePatching=false`。 若要在 時將 EC2 執行個體排除為 Quick Start 修補視窗的目標`EnablePatching=true`，請將此標籤新增至執行個體：`ExcludeFromAMSQuickStartPatching=true`。 + **備份：**屬於 Auto Scaling 群組、ECS 或 EKS 叢集成員的 EC2 執行個體會由此 Quick Start 範本從 Backup 中排除。 若要排除 EC2 執行個體成為預設 AMS Backup Plan 的目標，當 時`EnableBackup=true`，請將此標籤新增至該執行個體：`ExcludeFromAMSQuickStartBackup=true`。 **提示** 您可以大量標記 EC2 執行個體。使用[標籤編輯器](https://docs.aws.amazon.com/tag-editor/latest/userguide/find-resources-to-tag.html)，在 中的一個步驟中大量選取和標記資源 AWS 管理主控台。 ## Quick Start 範本參數 此 Quick Start 範本會設定 Resource Tagger 將標籤新增至帳戶`ams:rt:ams-managed=true`中的所有 EC2 執行個體，但您新增`ExcludeFromAMSQuickStartMonitoring=true`標籤的執行個體除外。使用下列參數，根據您的需求控制此堆疊的選用部分： **** [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/managedservices/latest/accelerate-guide/acc-quick-start.html) ## 下載 Quick Start 範本 下載 [AMSQuickStart.zip 檔案](samples/AMSQuickStart.zip)。 或者，在 中執行下列命令[AWS CloudShell](https://docs.aws.amazon.com/cloudshell/latest/userguide/welcome.html)來部署 `AMSQuickStart.yaml`： ------ #### [ AWS Command Line Interface ] ``` curl -s "https://docs.aws.amazon.com/en_us/managedservices/latest/accelerate-guide/samples/AMSQuickStart.zip" -o "AMSQuickStart.zip" unzip -q -o AMSQuickStart.zip for region in region1 region2 ; do aws cloudformation create-stack \ --region $region \ --stack-name "AMSQuickStart" \ --template-body file://AMSQuickStart.yaml \ --parameters \ ParameterKey=EnableBackup,ParameterValue="true" \ ParameterKey=EnablePatching,ParameterValue="false" \ ParameterKey=Timezone,ParameterValue="US/Eastern" \ ParameterKey=CronExpression,ParameterValue="cron(0 30 19 ? * SAT#2 *)" \ ; done ``` ------ #### [ AWS Tools for PowerShell ] ``` Invoke-WebRequest -Uri 'https://docs.aws.amazon.com/en_us/managedservices/latest/accelerate-guide/samples/AMSQuickStart.zip' -OutFile 'AMSQuickStart.zip' Expand-Archive -Path 'AMSQuickStart.zip' -DestinationPath . -Force @('region1', 'region2') | ` ForEach-Object { ` New-CFNStack ` -Region $_ ` -StackName 'AMSQuickStart' ` -TemplateBody (Get-Content 'AMSQuickStart.yaml' -Raw) ` -Parameter @( @{ParameterKey = "EnableBackup"; ParameterValue = "true"}, @{ParameterKey = "EnablePatching"; ParameterValue = "false"}, @{ParameterKey = "Timezone"; ParameterValue = "US/Eastern"}, @{ParameterKey = "CronExpression"; ParameterValue = "cron(0 30 19 ? * SAT#2 *)"} ) } ``` ------ 如需每個參數的說明，請參閱上一節：[Quick Start 範本參數](#quick-start-parameters)。 # 加入 加速監控 Amazon EC2 執行個體以外的所有新資源預設都會啟用監控。您可以標記執行個體，開始監控 Amazon EC2 執行個體。 若要加入監控，請先確定您的組態會監控您希望 AMS 監控的資源，並忽略您希望它忽略的資源。 您可以使用下列 CloudWatch 儀表板來探索 AMS 監控和標記鎖定多少資源，以及有多少資源未鎖定。在帳戶中，導覽至 CloudWatch 儀表板主控台，然後選取下列其中一項： + AMS-Alarm-Manager-Reporting-Dashboard + AMS-Resource-Tagger-Reporting-Dashboard 如需儀表板指標的完整說明，請參閱： + [檢視 Alarm Manager for Accelerate 監控的資源數量](acc-mem-number-of-resources.md) + [檢視 Resource Tagger 管理的資源數量](acc-rt-using.md#acc-rt-number-of-resources) ## 在 Accelerate 中監控的加入資源 若要覆寫預設行為，例如，若要停用non-EC2 資源的預設監控，您需要使用自訂組態設定檔取消標記這些資源。如需有關標記以進行監控的詳細資訊，請參閱 [在 Accelerate 中監控](acc-tag-req-mon.md)。 在您加入執行個體之前，會停用 EC2 執行個體的監控，其中包括使用自訂組態設定檔標記執行個體。下一節說明 EC2 執行個體加入。 ## 在 Accelerate 中建立監控組態描述檔 + 如需使用預設組態的詳細資訊，請參閱 [加速警示管理員](acc-mem-tag-alarms.md)。 + 如需使用自訂組態的詳細資訊，請參閱 [修改加速警示預設組態](acc-mem-modify-default.md)。 # 加入 EC2 執行個體以加速 EC2 執行個體會透過稱為自動化執行個體組態的程序加入 AMS Accelerate，以確保每個執行個體撰寫正確的日誌並發出正確的 AMS 指標，以正確管理執行個體。除非您特別希望 AMS 忽略部分，否則您應該加入所有 EC2 執行個體。自動化執行個體組態需要符合讓 AMS 設定執行個體的特定條件 （如需詳細資訊，請參閱 [Accelerate 中自動化執行個體組態的先決條件](inst-auto-config-pre-reqs.md))。最重要的條件是，您需要在您希望 AMS 為您管理的每個 Amazon EC2 執行個體上安裝 AWS Systems Manager 代理程式 (SSM 代理程式）。如需 SSM 代理程式的詳細資訊，請參閱[使用 SSM 代理程式](https://docs.aws.amazon.com/systems-manager/latest/userguide/ssm-agent.html)。 ## SSM 預先安裝在適用於 Accelerate 的標準 AMIs中 下列作業系統的 SSM 代理程式已安裝在 AWS提供的 AMIs 上。 + Amazon Linux 和 Amazon Linux 2 + SUSE Linux Enterprise Server (SLES) 12 和 15 + Microsoft Windows Server 2019、2016、2012 R2、2012 + Ubuntu Linux 18.04 和 20.04 如果您使用的是其中一個 AWS提供的 AMIs，請參閱 [在 Accelerate 中標記執行個體](#acc-get-feature-config-tags)。 ## 在 Accelerate 中手動安裝 SSM 對於下列作業系統，或使用自訂 AMI 時，您可以手動安裝 SSM 代理程式。或者，您可以使用 AMS SSM Agent 自動安裝功能。若要進一步了解 SSM 自動安裝，請參閱 [SSM Agent 自動安裝](ssm-agent-auto-install.md)。如需手動安裝的指示，請選取您作業系統的連結： + [ CentOS SSM 安裝](https://docs.aws.amazon.com/systems-manager/latest/userguide/agent-install-centos.html) + [ Oracle SSM 安裝](https://docs.aws.amazon.com/systems-manager/latest/userguide/agent-install-oracle.html) + [ Red Hat SSM 安裝](https://docs.aws.amazon.com/systems-manager/latest/userguide/agent-install-rhel.html) + [ SUSE Linux Enterprise Server SSM 安裝](https://docs.aws.amazon.com/systems-manager/latest/userguide/agent-install-sles.html) + [ Windows SSM 安裝](https://docs.aws.amazon.com/systems-manager/latest/userguide/sysman-install-win.html) ## 在 Accelerate 中標記執行個體 安裝 SSM 代理程式之後，您必須標記執行個體。請參閱 [AMS Accelerate 中的標記](acc-tagging.md)。 ## Accelerate 中的自動化執行個體組態 標記執行個體後，AMS 會執行**自動化執行個體組態**，其中包括： + 記錄作業系統日誌和指標 + 啟用 AMS 工程師的遠端存取 + 在執行個體上執行遠端命令 這些任務對於 AMS 監控、修補和日誌服務以及 AMS 回應事件至關重要。如需設定**自動執行個體組態**的詳細資訊，請參閱 [AMS Accelerate 中的自動化執行個體組態](acc-inst-auto-config.md)。 **自動化執行個體組態**完成後，您就可以： + 使用支援中心主控台建立 Amazon EC2 執行個體和作業系統的事件和服務請求。如需詳細資訊，請參閱[AMS Accelerate 中的事件報告、服務請求和帳單問題](acc-supp-ex.md)。 + 存取和稽核 Amazon EC2 日誌 + 取得修補程式報告 # 在 Accelerate AWS Backup 中加入 若要設定備份，您需要建立稱為備份*計劃的備份*政策。備份計畫會指定要備份 AWS 的資源、需要備份的頻率，以及備份保留期間。我們建議您評估組織的持續性、安全性和合規要求，以判斷您需要的備份計劃。 **選擇加入** + 請依照下列步驟，確保 AWS Backup 已針對每個帳戶、區域和資源類型啟用 ： [入門 1：服務選擇加入](https://docs.aws.amazon.com/aws-backup/latest/devguide/service-opt-in.html)。 或者，[入門 2：建立隨需備份](https://docs.aws.amazon.com/aws-backup/latest/devguide/create-on-demand-backup.html)。 **選擇備份計畫** + 若要選擇備份計劃，請參閱 [選取 AMS 備份計畫](acc-backup-select-plan.md)。 **新增資源** 根據預設，資源不會與備份計劃相關聯。它們需要新增至備份計劃。 + 若要將資源新增至備份計劃，請參閱 [標記您的 資源以套用 AMS 備份計劃](acc-backup-assign-plan-resources.md)。 + 若要使用標籤在所有資源上啟用備份，請參閱 [在 Accelerate 中管理備份的標籤](acc-tag-req-backup.md)。 # 在 Accelerate 中加入修補 您需要設定修補，以確保您的軟體是up-to-date，並符合您的合規政策。 **AWS Backup 先決條件：**若要允許在修補維護時段期間建立根磁碟區快照，請遵循以下步驟，確保 AWS Backup 針對 *Amazon EBS* 資源類型的每個帳戶和區域啟用 ：[入門 1：服務選擇加入](https://docs.aws.amazon.com/aws-backup/latest/devguide/service-opt-in.html)。（您不需要繼續進行*入門 2：建立隨需備份*。) **修補時機：**修補會在*維護時段*期間發生。您可以排程維護時段，以便僅在預設時間套用修補程式。 **要修補的內容：**您必須將要修補的 Amazon EC2 執行個體與維護時段建立關聯。若要將執行個體與維護時段建立關聯，Amazon EC2 執行個體必須加上標籤，且維護時段應以這些標籤做為目標。 **要安裝的修補程式**：使用修補程式基準，您可以設定規則來自動核准特定類型的修補程式，例如作業系統或高嚴重性修補程式。您也可以指定規則的例外狀況，例如一律已核准或拒絕的修補程式清單。 如需 Amazon EC2 修補程式政策的指引，[修補建議](acc-patching.md#acc-patching-recos)請參閱 。 + 若要開始設定修補程式管理，請參閱 [了解 AMS Accelerate 中的修補程式管理](acc-patching.md) + 若要建立自訂修補程式組態，請參閱 [使用 AMS Accelerate 自訂修補程式基準](acc-patch-baseline-custom.md)。 # 在 Accelerate 中檢閱不合規報告 AMS 部署的 AWS Config 規則可協助您根據美國國家標準與技術研究所 (NIST) 雲端安全架構 (CSF) 網際網路安全中心 (CIS) 設定的標準識別違規。我們建議您與交付團隊一起檢閱不合規報告，以排定修補動作的優先順序，讓您的帳戶以合規狀態為基準。