Nimbus Retail необходимо пропатчить 500 инстансов Amazon Linux и Windows EC2 в средах Dev и Prod. Требования: Dev автоматически одобряет все патчи безопасности немедленно; Prod автоматически одобряет только критические/важные патчи через 7 дней и исключает пакеты ядра; Инстансы выбираются по тегам; Отчетность о соответствии должна быть централизованной. Какая конфигурация является НАИЛУЧШЕЙ?

Правильный ответ наилучшим образом соответствует всем требованиям. Создание двух базовых линий SSM Patch (Dev и Prod) позволяет настроить правила автоматического одобрения и списки одобренных/отклоненных патчей для каждой среды. Использование тегов Patch Group и регистрация групп для соответствующих базовых линий обеспечивает правильное применение патчей к нужным инстансам. Maintenance Windows позволяют планировать сканирование и установку патчей, а отчеты Patch Compliance предоставляют централизованную информацию о соответствии. Amazon Inspector используется для оценки уязвимостей, а не для автоматического патчинга. Единая Patch Baseline не позволит удовлетворить различные требования Dev и Prod сред, а исключение пакетов ядра через Run Command менее эффективно, чем через Patch Baseline. CodePipeline с shell-скриптами для yum update/Windows Update является ручным подходом, не обеспечивающим автоматизированное управление патчами и централизованную отчетность о соответствии, как это делает AWS Systems Manager Patch Manager.