Nimbus Retail moet 500 Amazon Linux- en Windows EC2-instances patchen in Dev en Prod. Vereisten: Dev keurt alle beveiligingspatches onmiddellijk automatisch goed; Prod keurt alleen Kritieke/Belangrijke patches na 7 dagen automatisch goed en sluit kernelpakketten uit; Instances worden getarget op tags; Compliance moet centraal worden gerapporteerd. Wat is de BESTE configuratie?

Deze optie voldoet aan alle vereisten. Twee SSM Patch Baselines (Dev en Prod) maken het mogelijk om verschillende goedkeuringsregels en patchlijsten te definiëren voor elke omgeving, inclusief het uitsluiten van kernelpakketten voor Prod. Het taggen van instances met Patch Group-waarden en het registreren van deze groepen bij de baselines zorgt voor de juiste targeting. Maintenance Windows bieden gecontroleerde tijden voor patching, en Patch Compliance-rapporten in AWS Systems Manager (SSM) bieden centrale compliance-rapportage. De andere opties zijn minder geschikt: Amazon Inspector is een kwetsbaarheidsscanner, geen patchbeheertool. Eén standaard Patch Baseline en State Manager Association voldoen niet aan de gedifferentieerde goedkeuringsregels en uitsluitingen per omgeving. Run Command-parameters zijn niet de juiste manier om permanente uitsluitingen te beheren. Een CodePipeline met shellscripts is complexer, minder geautomatiseerd en biedt geen ingebouwde compliance-rapportage zoals SSM Patch Manager.