Nimbus Retail musi załatać 500 instancji EC2 Amazon Linux i Windows w środowiskach Dev i Prod. Wymagania: Dev automatycznie zatwierdza wszystkie poprawki bezpieczeństwa natychmiast; Prod automatycznie zatwierdza tylko poprawki Critical/Important po 7 dniach i wyklucza pakiety jądra; Instancje są targetowane za pomocą tagów; Zgodność musi być raportowana centralnie. Jaka jest NAJLEPSZA konfiguracja?

Najlepszym rozwiązaniem jest użycie AWS Systems Manager Patch Manager. Tworzenie dwóch Patch Baselines (Dev i Prod) pozwala na precyzyjne skonfigurowanie zasad automatycznego zatwierdzania (natychmiast dla Dev, po 7 dniach dla Prod z filtrowaniem Critical/Important i wykluczeniem pakietów jądra). Tagowanie instancji i przypisywanie ich do odpowiednich grup poprawek (Patch Groups) zapewnia, że każda instancja otrzyma właściwą baseline. Użycie Maintenance Windows umożliwia zaplanowanie skanowania i instalacji poprawek, minimalizując zakłócenia. Raporty Patch Compliance zapewniają centralne monitorowanie zgodności. Pozostałe opcje są mniej odpowiednie: Amazon Inspector służy do wykrywania luk, a nie do automatycznego łatania. Pojedyncza domyślna Patch Baseline nie spełnia zróżnicowanych wymagań Dev i Prod. Budowanie CodePipeline ze skryptami shell jest zbyt złożone i nieefektywne w porównaniu do Patch Managera, a ręczne generowanie raportów jest niepraktyczne.