Nimbus Retail necesita aplicar parches a 500 instancias EC2 de Amazon Linux y Windows en Dev y Prod. Requisitos: Dev aprueba automáticamente todos los parches de seguridad de inmediato; Prod aprueba automáticamente solo los parches Críticos/Importantes después de 7 días y excluye los paquetes del kernel; Las instancias se dirigen por etiquetas; El cumplimiento debe informarse de forma centralizada. ¿Cuál es la MEJOR configuración?

La opción correcta utiliza AWS Systems Manager Patch Manager, que es la herramienta diseñada para este caso de uso. Permite crear Patch Baselines personalizadas para Dev y Prod, configurando reglas de aprobación automática y listas de parches aprobados/rechazados (como excluir paquetes del kernel para Prod). La asignación de instancias a baselines mediante etiquetas de Patch Group es una práctica recomendada. Las Maintenance Windows garantizan que el escaneo e instalación de parches ocurra en momentos controlados, y los informes de Patch Compliance proporcionan la visibilidad centralizada requerida. Las opciones incorrectas no cumplen todos los requisitos: Amazon Inspector se centra en la evaluación de vulnerabilidades, no en la aplicación de parches automatizada. Una única Patch Baseline predeterminada no permite la diferenciación de reglas entre Dev y Prod. Un CodePipeline con scripts personalizados es una solución manual y compleja que no aprovecha las capacidades de Patch Manager para la gestión de parches y el cumplimiento.