O Patch Manager no AWS Systems Manager está sendo usado para aplicar atualizações a um conjunto de instâncias EC2. Um patch baseline e uma janela de manutenção estão configurados, e as instâncias são selecionadas por uma tag. Qual etapa adicional é necessária para que o Systems Manager possa acessar e aplicar patches nessas instâncias EC2?

Para que o AWS Systems Manager, incluindo o Patch Manager, possa gerenciar instâncias EC2, cada instância deve ter um perfil de instância IAM (EC2 role) anexado. Este perfil precisa conter as permissões necessárias, como as fornecidas pela política gerenciada AmazonSSMManagedInstanceCore, que permite que o Systems Manager Agent (SSM Agent) na instância se comunique com o serviço Systems Manager. Sem essas permissões, o SSM Agent não pode registrar a instância ou receber comandos para aplicar patches. Abrir portas de entrada não é suficiente, pois a comunicação do SSM Agent com o Systems Manager é de saída pela porta 443. Criar uma ativação do Systems Manager é para instâncias fora da AWS ou não gerenciadas, não para EC2. Especificar instâncias diretamente é uma opção de seleção, mas não resolve a falta de permissões.