Nimbus Retail 需要为 Dev 和 Prod 环境中的 500 个 Amazon Linux 和 Windows EC2 实例打补丁。要求如下：Dev 环境立即自动批准所有安全补丁；Prod 环境仅在 7 天后自动批准关键/重要补丁，并排除内核软件包；实例通过标签进行定位；合规性必须集中报告。最佳配置是什么？

正确答案利用了AWS Systems Manager Patch Manager 的核心功能。创建两个补丁基线（Dev 和 Prod）允许为不同环境配置不同的批准规则和补丁排除项，满足了立即批准 Dev 环境所有安全补丁以及 Prod 环境延迟批准关键/重要补丁并排除内核软件包的要求。通过标签将实例分配到补丁组，然后将补丁组注册到相应的基线，确保了正确的实例应用正确的补丁策略。使用维护时段进行扫描和安装是最佳实践，可控制补丁部署时间。Patch Compliance 报告提供了集中的合规性视图。 其他选项不满足所有要求： Amazon Inspector 主要用于漏洞评估，不直接用于自动打补丁，且无法精细控制补丁批准和排除。 单一默认补丁基线无法满足 Dev 和 Prod 环境不同的批准规则和排除策略。通过 Run Command 参数排除内核软件包不灵活，且无法实现基于时间的自动批准。 CodePipeline 和手动脚本过于复杂，且无法提供 Patch Manager 内置的合规性报告和精细控制。