パッチグループを使用して特定のパッチベースラインのみ関連付けしてみた

はじめに

テクニカルサポートの 片方 です。
Quick Setup でのパッチポリシー設定の場合、その特性上パッチ適用オペレーションをより広範囲かつ一元的に制御する機能であるため、作成したカスタムパッチベースラインのみ実行することは叶いません。
※ 他オペレーティングシステムのデフォルトパッチベースライン又はカスタムパッチベースラインを除外できません

他の OS ベースラインが存在していることにより、対象 OS のパッチ動作に支障・影響はないものの、運用要件によっては特定の (カスタム) パッチベースラインのみを適用させたい場合もございます。
今回はその様な場合を想定し、パッチグループを使用した方法をご紹介します。

https://docs.aws.amazon.com/ja_jp/systems-manager/latest/userguide/patch-manager-policies.html

AWS では、パッチポリシーを使用して組織と AWS アカウントのパッチ適用を設定することが推奨されています。パッチポリシーは、2022 年 12 月に Patch Manager に導入されました。
パッチポリシーは、AWS Systems Manager のツールである Quick Setup を使用して設定します。パッチポリシーを使用すると、以前のパッチ適用を設定する方法に比べて、パッチ適用オペレーションをより広範囲かつ一元的に制御できます。

https://docs.aws.amazon.com/ja_jp/systems-manager/latest/userguide/patch-manager-patch-groups.html

パッチグループを使用して、AWS Systems Manager のツールである Patch Manager でマネージドノードを特定のパッチベースラインに関連付けることができます。

やってみた

特定のカスタムパッチベースラインのみを適用させる方法でやってみました。
以下の設定手順が想定されます。
なお、既にマネージドノードとして登録している Windows OS の EC2 インスタンスが起動中として進めます。

1. カスタムパッチベースラインの作成
2. パッチグループの作成。作成したカスタムパッチベースラインを選択して、パッチグループの変更を実施。お好みの パッチグループの値を設定
3. 適用対象 EC2 インスタンスにタグ付け。 例) key=Patch Group、value＝ "上記の値を記述"
4. 弊社ブログ参考に、代替方法セクション "こちらから同様のページへ遷移することが可能ですので、ご参考にしてください。" まで実施
5. "パッチを適用するインスタンス" のセクションで、パッチグループを選択
6. 項番 2.で作成した パッチグループを選択（パッチグループの値）
7. パッチ適用スケジュールのセクションで メンテナンスウィンドウを利用したスケジュール設定、又はパッチ適用を直ちに実施

ドキュメント を参考にカスタムパッチベースラインの作成します。
ベースライン名：Test-Windows-Baselines で作成しました。

パッチグループの作成します。
こちらでは、作成したカスタムパッチベースラインを選択して、パッチグループの変更を実施。お好みの パッチグループの値を設定します。
今回は、Test-Windows-Baselines で設定しました。

適用対象 EC2 インスタンスにタグ付けします。
例) key=Patch Group、value＝ "上記の値を記述"

https://docs.aws.amazon.com/ja_jp/systems-manager/latest/userguide/patch-manager-tag-a-patch-group.html

パッチオペレーションでタグを使用するには、タグキー Patch Group または PatchGroup をマネージドノードに適用する必要があります。また、タグの値としてパッチグループに付ける名前を指定する必要があります。任意のタグ値を指定できますが、タグキーは Patch Group または PatchGroup とする必要があります。
EC2 インスタンスのメタデータでタグを許可している場合は、PatchGroup (スペースなし) を使用する必要があります。

弊社ブログを参考に、代替方法セクションの "こちらから同様のページへ遷移することが可能ですので、ご参考にしてください。" まで実施します。

"パッチを適用するインスタンス" のセクションで、パッチグループを選択します。
前途で作成した パッチグループを選択（パッチグループの値）します。

パッチ適用スケジュールのセクションで メンテナンスウィンドウを利用したスケジュール設定、又はパッチ適用を直ちに実施を選択します。

これで設定終了です。お疲れさまでした！

Run Command を確認します。成功です！

まとめ

マネジメントコンソール画面の表示が異なっているなどあるため、本ブログが誰かの参考になれば幸いです。

参考資料

• Quick Setup でのパッチポリシー設定 - AWS Systems Manager
• パッチグループ - AWS Systems Manager
• Windows Server のカスタムパッチベースラインを作成する - AWS Systems Manager
• パッチグループの作成と管理 - AWS Systems Manager
• 【小ネタ】以前 Patch Manager のマネジメントコンソール画面にあった「パッチ適用を設定」ボタンの代替方法 | DevelopersIO

アノテーション株式会社について

アノテーション株式会社は、クラスメソッド社のグループ企業として「オペレーション・エクセレンス」を担える企業を目指してチャレンジを続けています。「らしく働く、らしく生きる」のスローガンを掲げ、様々な背景をもつ多様なメンバーが自由度の高い働き方を通してお客様へサービスを提供し続けてきました。現在当社では一緒に会社を盛り上げていただけるメンバーを募集中です。少しでもご興味あれば、アノテーション株式会社WEBサイトをご覧ください。