A Nimbus Retail precisa aplicar patches em 500 instâncias EC2 do Amazon Linux e Windows em Dev e Prod. Requisitos: Dev aprova automaticamente todos os patches de segurança imediatamente; Prod aprova automaticamente apenas patches Críticos/Importantes após 7 dias e exclui pacotes de kernel; As instâncias são direcionadas por tags; A conformidade deve ser relatada centralmente. Qual é a MELHOR configuração?

A criação de duas SSM Patch Baselines (Dev e Prod) com regras de aprovação e listas de patches específicas atende aos requisitos de diferenciação entre ambientes. Marcar as instâncias com Patch Groups e associá-los às baselines corretas garante que as políticas de patch sejam aplicadas adequadamente. O uso de Maintenance Windows para agendar as operações de scan e instalação é uma prática recomendada para gerenciar janelas de indisponibilidade. Finalmente, os relatórios de Patch Compliance do AWS Systems Manager oferecem a visibilidade centralizada necessária para a conformidade. As outras opções são menos ideais: O Amazon Inspector foca na detecção de vulnerabilidades, não na aplicação automatizada de patches com as regras de aprovação e exclusão especificadas. Uma única Patch Baseline padrão não permite a diferenciação granular de regras de aprovação e exclusão de kernel entre Dev e Prod. Um CodePipeline com scripts shell e geração manual de CSVs é uma solução complexa, menos automatizada e mais propensa a erros do que o AWS Systems Manager Patch Manager.