解説

Patch Manager はパッチベースラインで承認ルール（重要度・分類・自動承認の遅延日数）を定義でき、承認済みパッチのみを適用できる。メンテナンスウィンドウと組み合わせることでスキャン／インストールとリブートを許可された時間帯に限定でき、業務時間中の予期しない再起動を防げる。さらにパッチコンプライアンスレポートで全インスタンスの適用状況をマネージドに一元可視化でき、監査要件を満たす。タグやリソースグループでターゲットを宣言的に絞れるため運用負荷も最小である。 選択肢Bの Run Command + yum update は承認済みパッチの選別やリブート時間帯の制御ができず、構造化されたコンプライアンスレポートも得られない。 選択肢Cの State Manager 常時適用はメンテナンスウィンドウの概念がなく、検出のたびに任意の時刻でリブートが走るため業務停止要件に反する。 選択肢Dの AWS-UpdateLinuxAmi はゴールデン AMI 再作成用で、ASG 外のステートフルな既存インスタンスをインプレースでパッチできず、置き換えによる影響が大きい。