Nimbus Retail muss 500 Amazon Linux- und Windows EC2-Instances in Dev und Prod patchen. Anforderungen: Dev genehmigt alle Sicherheitspatches sofort automatisch; Prod genehmigt nur kritische/wichtige Patches nach 7 Tagen automatisch und schließt Kernel-Pakete aus; Instances werden über Tags angesprochen; die Compliance muss zentral gemeldet werden. Was ist die BESTE Konfiguration?

Die beste Konfiguration ist die Verwendung von AWS Systems Manager Patch Manager mit zwei Patch Baselines. Die Erstellung separater Baselines für Dev und Prod ermöglicht die präzise Steuerung der Genehmigungsregeln und Patch-Ausschlüsse, wie für Kernel-Pakete in Prod gefordert. Das Taggen von Instances mit Patch Groups und deren Registrierung bei den entsprechenden Baselines stellt sicher, dass die richtigen Patch-Richtlinien angewendet werden. Maintenance Windows orchestrieren den Scan- und Installationsprozess, und Patch Compliance-Berichte bieten die zentrale Compliance-Übersicht. Amazon Inspector ist primär ein Schwachstellen-Scanner, kein Patch-Management-Tool. Eine einzige Standard-Baseline kann die unterschiedlichen Anforderungen nicht erfüllen, und das manuelle Ausschließen von Kernel-Paketen über Run Command ist ineffizient. Eine CodePipeline für manuelle Updates ist nicht skalierbar und bietet keine integrierte Compliance-Berichterstattung.