Amazon DOP-C02: Systems Manager, Patching und Betriebsautomatisierung — Lernleitfaden

By Laurynas Brazys · 4 August 2026 · #amazon #dop-c02 #certification #exam-prep #study-guide

Teil des AWS DevOps Engineer Professional DOP-C02 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Amazon-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Die Betriebsautomatisierung in AWS stützt sich auf AWS Systems Manager, der die Zugriffskontrolle, Konfiguration, das Patching und die Fehlerbehebung für EC2, On-Premises-Server und Edge-Geräte vereinheitlicht. Ergänzende Services bieten Golden-Image-Pipelines (EC2 Image Builder), Lizenz-Governance (AWS License Manager), kontinuierliche Optimierung (AWS Trusted Advisor und AWS Compute Optimizer) und Kostenkontrolle (Savings Plans). Das Ziel sind standardisierte, auditierbare Betriebsabläufe, die ereignisgesteuert und über Konten und Regionen hinweg durchsetzbar sind.

Systems Manager: Zugriff, Parameter, Inventar und Compliance

Der Systems Manager Session Manager bietet einen interaktiven, auditierbaren Shell-Zugriff auf verwaltete Instances, ohne dass eingehende Ports geöffnet oder SSH-Schlüssel verwaltet werden müssen. Sie stellen die Verbindung über die AWS-Steuerungsebene her, optional über VPC-Interface-Endpunkte für private Konnektivität. Die Port-Weiterleitung ermöglicht den sicheren Zugriff auf lokale oder entfernte Dienste hinter der Instance:

Sitzungen mit lokaler Port-Weiterleitung leiten einen Port einer lokalen Workstation an einen Port auf der Ziel-Instance weiter (z. B. leitet localhost:8080 an instance:8080 weiter).
Die Port-Weiterleitung zu einem Remote-Host leitet einen lokalen Port über die Instance an einen anderen privaten Host weiter, der von dieser Instance aus erreichbar ist. Session Manager unterstützt die zentralisierte Audit-Protokollierung von Sitzungstranskripten und I/O sowohl in Amazon S3 als auch in Amazon CloudWatch Logs, mit optionaler KMS-Verschlüsselung. API-Aktivitäten (StartSession, TerminateSession) werden in AWS CloudTrail erfasst. Setzen Sie Kontrollen über die Session-Manager-Einstellungen durch: Erzwingen Sie Verschlüsselung, schränken Sie die Port-Weiterleitung oder die Zwischenablage ein und protokollieren Sie an beiden Zielen.

Der Systems Manager Parameter Store zentralisiert Konfigurationen und Geheimnisse (Secrets). Verwenden Sie SecureString-Parameter, die mit einem vom Kunden verwalteten KMS-Schlüssel verschlüsselt sind, für Anwendungs-Secrets. Organisieren Sie Werte in hierarchischen Pfaden (z. B. /prod/payments/db/password), um eine Umgebungs- und Anwendungsabgrenzung (Scoping), Richtlinienabgrenzung und Massenoperationen zu ermöglichen. Die Parameter-Versionierung sorgt für eine unveränderliche Historie; Labels (wie „current“) ermöglichen es Ihnen, Anwendungen auf ein sich änderndes Ziel zu verweisen, ohne den Code zu ändern. Dynamische Referenzen in CloudFormation, CodeBuild und anderen Diensten lösen Parameter zur Bereitstellungs- oder Laufzeit auf und verhindern so die unkontrollierte Verbreitung von Secrets. Der Standard-Tier bietet grundlegenden Durchsatz und eine maximale Wertgröße von 4 KB; der Advanced-Tier unterstützt Parameter-Richtlinien (Ablauf, Benachrichtigungen über Rotation), größere Werte (8 KB) und einen höheren Durchsatz. EventBridge-Regeln können über Parameteränderungen benachrichtigen, und Ressourcenrichtlinien ermöglichen bei Bedarf die kontoübergreifende Freigabe von Parametern.

Systems Manager Inventory und Compliance bieten Transparenz auf Flottenebene. Inventory (aktiviert über eine State-Manager-Assoziation) sammelt Metadaten wie installierte Softwarepakete, Windows-Rollen, Netzwerkadapter und benutzerdefinierte Inventarelemente. Verwenden Sie Resource Data Sync, um Daten für Analysen mit Athena/Glue nach S3 zu exportieren und den flottenweiten Status im Systems Manager Explorer anzuzeigen. Compliance aggregiert den Status von Patching und Assoziationen: Sie können sehen, auf welchen Instances Patches fehlen oder bei denen Konfigurations-Baselines fehlgeschlagen sind. Dies schafft die operative Datengrundlage, die für die automatisierte Fehlerbehebung, Audits und die Lizenzermittlung erforderlich ist.

Patch Manager und Betriebs-Orchestrierung

Patch Manager standardisiert das Patchen von Betriebssystemen und Anwendungen mithilfe von Patch-Baselines, Patch-Gruppen und Wartungsfenstern.

Patch-Baselines definieren, was wann genehmigt werden soll. Für jede Betriebssystemfamilie können Sie mit einem von AWS bereitgestellten Standard beginnen oder eine benutzerdefinierte Baseline erstellen mit:

Regeln zur automatischen Genehmigung nach Produkt/Version, Klassifizierung (z. B. Security, Bugfix), Schweregrad und Architektur
Einer Genehmigungsverzögerung (z. B. automatische Genehmigung von Sicherheitspatches sieben Tage nach Veröffentlichung)
Expliziten Genehmigungs- (Allow) und Sperrlisten (Block)
Patch-Quellen/Repositories (z. B. Hinzufügen eines benutzerdefinierten yum- oder apt-Repo für interne Software) Weisen Sie eine Baseline einer Patch-Gruppe zu. Eine Patch-Gruppe ist eine Gruppe von Instances, die durch das Tag Patch Group mit einem bestimmten Wert identifiziert wird (z. B. Patch Group=linux-prod); die Zuweisung stellt sicher, dass die richtige Baseline auf die richtigen Server abzielt. Jede Instance sollte zu einer einzigen Patch-Gruppe gehören, um Mehrdeutigkeiten zu vermeiden. Patch-Operationen verwenden das AWS-RunPatchBaseline-Dokument mit Operation=Scan, um die Compliance zu berechnen, und Operation=Install, um genehmigte Patches anzuwenden. Steuern Sie Parallelität, Fehlerschwellen und das Neustartverhalten. Verwenden Sie InstallOverrideList für das notfallmäßige Festschreiben (Pinning) bestimmter Pakete. Die Compliance-Ergebnisse fließen in Systems Manager Compliance ein, wo Sie Warnungen auslösen und Abhilfemaßnahmen ergreifen können.

Wartungsfenster beschränken störende Operationen auf sichere Zeiträume. Definieren Sie einen Zeitplan (rate/cron), eine Dauer und eine Cutoff-Zeit, um zu verhindern, dass neue Aufgaben kurz vor Ende des Fensters gestartet werden. Registrieren Sie Ziele über Tags oder Ressourcengruppen und registrieren Sie dann Aufgaben (Tasks) mit Priorität. Patch Manager ist nativ integriert: Registrieren Sie eine AWS-RunPatchBaseline-Aufgabe für Ihre Patch-Gruppen und Baselines. Einstellungen für Parallelität und Fehlerschwellen bei Aufgaben verhindern einen großen Explosionsradius (Blast Radius) bei Ausfällen.

Systems Manager Automation operationalisiert wiederholbare, auditierbare Fehlerbehebungen. Verwenden Sie integrierte und benutzerdefinierte Runbooks, um Aktivitäten vor und nach dem Patchen zu orchestrieren (z. B. aus dem Load Balancer entfernen, Anwendungsdienste stoppen, patchen, Smoke-Tests ausführen, neu registrieren) und um Kontrollen über AWS-Config-Remediation durchzusetzen. Automation unterstützt Genehmigungen (Change Manager), Änderungskalender (um die Ausführung während Sperrzeiten zu verhindern) und die konto- und regionsübergreifende Ausführung über assume-role. Verknüpfen Sie alles mit Amazon-EventBridge-Regeln, die auf Zustandsereignisse, Konfigurationsabweichungen (Config Drift) oder Alarme reagieren, um gezielte Automation-Ausführungen zur Selbstheilung auszulösen.

Golden Images mit EC2 Image Builder

Unveränderliche Images reduzieren Drift und verkürzen Patch-Fenster. EC2 Image Builder kodifiziert die Erstellung und Verteilung von AMIs mithilfe von Pipelines, Rezepten und Verteilungseinstellungen.

Image-Rezepte spezifizieren das Basis-Image (zum Beispiel das neueste Amazon Linux 2023), Komponenten (in YAML definierte Build- und Testschritte wie die Installation des SSM Agent, Sprachlaufzeitumgebungen und Security-Härtung) und die semantische Versionierung. Komponenten können rezeptübergreifend wiederverwendet werden, um grundlegende Kontrollen durchzusetzen.
Pipelines definieren den End-to-End-Workflow: Infrastrukturkonfiguration (VPC/Subnetze/Instanzprofil/Sicherheitsgruppen), Build-Schritte, Test-Schritte und den Zeitplan (zum Beispiel wöchentlich). Image Builder wendet Betriebssystem-Patches automatisch zur Build-Zeit an, führt Tests aus und lässt Builds fehlschlagen, die nicht bestehen.
Verteilungseinstellungen replizieren und teilen Images: AMIs in ausgewählten Regionen veröffentlichen, Startberechtigungen für Konten oder AWS Organizations OUs hinzufügen, EBS-Verschlüsselung erzwingen (mit einem KMS-Schlüssel) und Ausgaben taggen. Image Builder kann den ARN des neuesten AMIs im Systems Manager Parameter Store (zum Beispiel /prod/images/web/latest) veröffentlichen, sodass Auto Scaling-Gruppen, CodePipeline und CloudFormation das aktuelle, freigegebene Image ohne manuelle Aktualisierungen verwenden.

Dieser Pipeline-Ansatz lässt sich gut mit dem Patch Manager kombinieren: Patchen Sie das AMI häufig, um die Patch-Deltas der Instanzen zu minimieren, und nutzen Sie dann Wartungsfenster für kleinere Delta-Patches auf langlebigen Servern.

Governance, Lizenzierung und Kostenoptimierung

AWS License Manager verwaltet Bring-Your-Own-License (BYOL) und Marketplace-Berechtigungen. Definieren Sie Lizenzkonfigurationen, die Anbieterregeln abbilden (Kerne, Sockets, vCPUs, Host-Affinität und Virtualisierungseinschränkungen), wählen Sie eine harte oder weiche Durchsetzung und verknüpfen Sie die Konfigurationen mit AMIs, Launch Templates oder Instances. License Manager erkennt Software über Systems Manager Inventory, um den Verbrauch zu verfolgen und nicht konforme Starts zu verhindern. Für Marketplace-Produkte, die License Manager-Berechtigungen verwenden, können Sie Zuweisungen (Grants) über Konten hinweg teilen und die Nutzung der Berechtigungen zentral mit einem delegierten Administrator verfolgen.

AWS Trusted Advisor bewertet Ihre Umgebung kontinuierlich anhand von Best Practices. Die Kategorien umfassen Kostenoptimierung, Sicherheit, Fehlertoleranz, Service-Limits, Leistung und Operational Excellence. Mit Business- oder Enterprise-Support können Sie auf alle Prüfungen und die AWS Support API zugreifen, um Ergebnisse programmatisch zu aktualisieren und abzurufen. Nutzen Sie die EventBridge-Integration, um Statusänderungen von Prüfungen an Workflows zur Problembehebung weiterzuleiten (z. B. ein Automation-Runbook auslösen, um die S3-Standardverschlüsselung zu aktivieren oder den öffentlichen Zugriff auf einen Bucket zu entfernen), und aktivieren Sie die Organizational View, um Daten über Konten hinweg zu aggregieren, mit bereichsbezogenem IAM-Zugriff und Benachrichtigungen an die richtigen Teams.

Kostenoptimierung ist ein kontinuierlicher und datengesteuerter Prozess:

Right-Sizing: Kombinieren Sie die Right-Sizing-Empfehlungen von Cost Explorer mit den Einblicken von AWS Compute Optimizer. Compute Optimizer analysiert Metriken von Instances, Auto Scaling Groups, EBS-Volumes, Lambda-Funktionen und ECS on Fargate, um optimale Konfigurationen mit prognostizierten Einsparungen und Leistungsrisiken zu empfehlen. Er kann auch gp2-Volumes identifizieren, die zu gp3 mit angepasstem Durchsatz/IOPS migriert werden sollten. Koppeln Sie Empfehlungen mit Wartungsfenstern und Automation-Runbooks, um sichere Änderungen durchzuführen.
Savings Plans: Nutzen Sie Compute Savings Plans für eine breite Abdeckung von EC2, Fargate und Lambda oder EC2 Instance Savings Plans für die höchsten Rabatte in bestimmten Instance-Familien/Regionen. Verpflichten Sie sich zu einem Betrag von $/Stunde für ein oder drei Jahre mit verschiedenen Zahlungsoptionen (keine/teilweise/vollständige Vorauszahlung), aggregieren Sie dies über Konten hinweg mittels konsolidierter Abrechnung und dimensionieren Sie die Verpflichtungen anhand des bisherigen On-Demand-Verbrauchs. Überwachen Sie die Auslastung und Abdeckung und passen Sie sie an, wenn sich Workloads weiterentwickeln. Verwenden Sie weiterhin Reserved Instances für Dienste, die nicht von Savings Plans abgedeckt werden (z. B. RDS, OpenSearch, Redshift, DynamoDB).
Betriebliche Wegbereiter: Nutzen Sie Systems Manager Automation und Change Manager, um das Stoppen/Starten von Nicht-Produktionsumgebungen zu planen, Instance-Zeitpläne durchzusetzen und Right-Sizing- sowie gp2→gp3-Umstellungen mit Genehmigungen und Leitplanken (Guardrails) auszurollen. Verstärken Sie dies mit den Kostenprüfungen von Trusted Advisor und Budgets/Benachrichtigungen.

Praktisches Problemszenario

Unternehmen: Airbnb

Herausforderung: Airbnb betreibt EC2-Workloads für Datenverarbeitung und Webdienste über mehrere Konten und Regionen hinweg. Die Sicherheit erfordert einen auditierbaren Zugriff ohne SSH; die Compliance schreibt zeitnahes Sicherheitspatching sowohl aus Standard- als auch aus benutzerdefinierten Repositories vor; das Plattformteam muss AMIs standardisieren und die Kosten ohne Leistungsrisiko senken. Softwareanbieter schreiben eine Core-basierte Lizenzierung für bestimmte Analyse-Knoten vor. Der Betrieb wünscht sich eine ereignisgesteuerte Problembehebung und eine übergreifende Transparenz für die Geschäftsleitung über alle Konten hinweg.

Schritt-für-Schritt-Ansatz:

Sicheren Zugriff mit Systems Manager Session Manager erzwingen

Konfigurieren Sie VPC-Endpunkte für SSM/EC2Messages und aktivieren Sie die Protokollierung von Session Manager in CloudWatch Logs und S3 mit KMS-Verschlüsselung. Deaktivieren Sie SSH und schreiben Sie Session Manager für den Shell-Zugriff vor. Aktivieren Sie die Port-Weiterleitung, damit Entwickler bei der Fehlerbehebung sicher auf interne Dienste zugreifen können.
Warum: Beseitigt die Angriffsfläche für eingehenden Verkehr, zentralisiert Audit-Protokolle und ermöglicht eine kontrollierte Port-Weiterleitung ohne VPN oder Bastions.

Konfiguration und Transparenz mit Inventory und Compliance standardisieren

Erstellen Sie eine State Manager Association, um Inventory auf allen Instances zu aktivieren. Konfigurieren Sie Resource Data Sync nach S3 und fragen Sie die Daten mit Athena ab. Aktivieren Sie Compliance für den Patch- und Association-Status und zeigen Sie den Zustand der Flotte in Systems Manager Explorer an.
Warum: Inventory ermöglicht eine genaue Erfassung des Software-/Patch-Zustands und bildet die Grundlage für die nachgelagerte Lizenzerkennung und Audits.

Patch-Baselines und Patch-Gruppen mit benutzerdefinierten Repositories definieren

Erstellen Sie pro Betriebssystem benutzerdefinierte Patch Manager-Baselines, die Sicherheitsupdates nach sieben Tagen automatisch genehmigen, und fügen Sie benutzerdefinierte yum/apt-Repos für interne Agenten hinzu. Taggen Sie Instances mit Patch Group=linux-web, linux-data und windows-app. Weisen Sie jeder Patch-Gruppe die entsprechenden Baselines zu.
Warum: Stellt sicher, dass sowohl Standard- als auch benutzerdefinierte Pakete konsistent und mit gestaffelten Genehmigungen über verschiedene Workloads hinweg gepatcht werden.

Patching über Maintenance Windows mit Automation-Vor-/Nachbereitungsschritten planen

Registrieren Sie für jede Patch-Gruppe ein Wartungsfenster, das auf Zeiten außerhalb der Geschäftszeiten abgestimmt ist. Registrieren Sie eine hochpriore Automation-Aufgabe, die Instances aus Zielgruppen entfernt (drain),

undefined

(Install) mit kontrollierter Parallelität und Fehlerschwellen ausführt, bei Bedarf neu startet, Smoke-Tests durchführt und die Instances wieder beim Load Balancer registriert.

Warum: Minimiert die Auswirkungen auf Kunden, erzwingt eine sichere Orchestrierung und liefert eine auditierbare Ausführungshistorie.

Golden Images mit EC2 Image Builder erstellen und im Parameter Store veröffentlichen

Erstellen Sie Recipes, die den SSM Agent, Komponenten zur Sicherheits-Härtung und Anwendungsvoraussetzungen enthalten. Pipelines erstellen wöchentlich Builds, führen Tests aus und veröffentlichen AMIs in us-east-1 und eu-west-1, die über Organizations mit ausgewählten Konten geteilt werden. Schreiben Sie die neuesten AMI-ARNs in

undefined

und

undefined

im Parameter Store.

Warum: Reduziert Drift und die Zeit bis zum Patchen auf Instances; Entwickler und Deployment-Pipelines beziehen freigegebene Images über Parameter, ohne manuelle Verteilung von IDs.

Anbieterlizenzen mit AWS License Manager verwalten

Definieren Sie Lizenzkonfigurationen für Analysesoftware, die vCPU-Zählung mit harter Durchsetzung verwenden. Verknüpfen Sie diese mit den entsprechenden AMIs und Launch Templates. Aktivieren Sie den delegierten Administrator, um den Verbrauch über Konten hinweg mithilfe der durch Inventory erfassten Daten zu verfolgen.
Warum: Verhindert nicht konforme Starts und liefert nachweisbare Lizenznutzungsdaten für Anbieter und die Finanzabteilung.

Ereignisgesteuerte Problembehebung und Leitplanken (Guardrails) implementieren

Verwenden Sie verwaltete Regeln von AWS Config (z. B. für erforderliche Tags, S3-Verschlüsselung) mit automatischen Korrekturmaßnahmen, die Systems Manager Automation-Runbooks aufrufen. Fügen Sie EventBridge-Regeln für AWS Health-Wartungsereignisse hinzu, um sichere Neustarts über Runbooks auszulösen.
Warum: Schließt den Kreislauf von der Erkennung bis zur Korrektur ohne manuellen Aufwand und hält Ressourcen richtlinienkonform.

Kosten mit Compute Optimizer und Savings Plans optimieren, gesteuert durch Change Control

Aktivieren Sie Compute Optimizer über alle Konten hinweg; exportieren Sie wöchentlich Right-Sizing- und gp2→gp3-Empfehlungen. Nutzen Sie Change Manager-Genehmigungen und Wartungsfenster, um Änderungen an Instance-Familien und EBS-Volume-Modifikationen anzuwenden. Erwerben Sie einen gemischten Compute Savings Plan im Zahlerkonto, um den stationären Rechenleistungsbedarf über Regionen hinweg abzudecken; überwachen Sie die Auslastung und passen Sie sie vierteljährlich an. Verwenden Sie Session Manager Automation, um Start-/Stopp-Zeitpläne in Entwicklungs-/Testumgebungen durchzusetzen.
Warum: Datengesteuerte Optimierung mit kontrolliertem Rollout realisiert Einsparungen und schützt gleichzeitig Leistung und Verfügbarkeit.

Überwachung mit Trusted Advisor auf Organisationsebene

Aktivieren Sie die Trusted Advisor Organizational View und die EventBridge-Integration, um Plattform- und Sicherheitsteams über risikoreiche Feststellungen zu benachrichtigen (z. B. Service-Limits, ungenutzte Ressourcen, offene Sicherheitsgruppen). Lösen Sie für ausgewählte Prüfungen Systems Manager Automation-Runbooks aus, um Probleme zu beheben oder Tickets zu erstellen.
Warum: Zentrale Aufsicht und automatisierte Reaktion erhalten die betriebliche Hygiene aufrecht und verhindern ausufernde Kosten oder Risiken.

Dieses integrierte Design bietet sicheren Zugriff, standardisiertes Patching, unveränderliche AMIs, Lizenz-Compliance, automatisierte Problembehebung und messbare Kostenoptimierung – alles mit auditierbaren Kontrollen über die gesamte AWS-Präsenz von Airbnb hinweg.

← Netzwerk und Content Delivery · Alle Domänen

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →