Nimbus Retail 需要在 Dev 和 Prod 環境中修補 500 個 Amazon Linux 和 Windows EC2 實例。要求如下：Dev 環境會立即自動批准所有安全性修補程式；Prod 環境只會在 7 天後自動批准 Critical/Important 修補程式，並排除核心套件；實例會依據標籤進行目標設定；合規性必須集中報告。請問最佳組態為何？

正確答案利用 AWS Systems Manager (SSM) Patch Manager 的核心功能。建立兩個 Patch Baselines (Dev 和 Prod) 允許為每個環境設定不同的自動批准規則和修補程式排除清單，符合題目要求。使用標籤 (Patch Group) 來區分實例並將其與各自的基準關聯，確保了精確的目標設定。Maintenance Windows 用於安排掃描和安裝，而 Patch Compliance 報告則提供了集中的合規性視圖。 其他選項不符合所有要求： Amazon Inspector 主要用於漏洞評估，不直接執行修補，也無法精細控制修補策略。 單一預設 Patch Baseline 無法滿足 Dev 和 Prod 環境之間不同的批准規則和排除需求；Run Command 參數無法在 Patch Manager 中動態排除核心套件。 使用 CodePipeline 和手動腳本過於複雜且不具備 Patch Manager 的內建合規性報告功能，也不易維護。