300 台の EC2 インスタンス（Windows Server と Amazon Linux 2 が混在）を管理する SysOps エンジニアは、毎週日曜深夜 2 時に最新のセキュリティパッチを自動適用し、パッチ適用状

Question

300 台の EC2 インスタンス（Windows Server と Amazon Linux 2 が混在）を管理する SysOps エンジニアは、毎週日曜深夜 2 時に最新のセキュリティパッチを自動適用し、パッチ適用状況をコンソールでレポートとして確認したいと考えています。最小の運用負荷で両方の要件を満たす方法はどれですか？

Accepted Answer

正解: Patch Manager でOS別パッチベースラインとメンテナンスウィンドウを設定し、週次パッチ適用とコンプライアンスレポートを自動化する。Patch Manager はOS別パッチベースライン・メンテナンスウィンドウ・コンプライアンスレポートを標準機能として提供し、Windows/Linux 混在環境のパッチ管理を追加コードなしで自動化できる。

Answer

EventBridge スケジュールルールから Lambda をトリガーし、SSM Run Command でカスタムスクリプトを 300 台のインスタンス全台に実行してパッチを適用する — EventBridge + Lambda + Run Command の構成はパッチ適用を自動化できるが、スクリプトのメンテナンスが必要で標準レポート機能が使えず運用負荷が高い。

Answer

State Manager でカスタム Automation ドキュメントを週次スケジュールに関連付け、全インスタンスへのパッチ管理フローを設定する — State Manager は設定の継続的適用に使われるが、Patch Manager のようなコンプライアンスレポートやパッチベースライン機能を標準では備えていない。

Answer

EC2 Image Builder パイプラインで週次に最新パッチ適用済み AMI をビルドし、Auto Scaling グループの起動テンプレートを更新して全インスタンスを置換する — EC2 Image Builder は AMI の自動ビルドには適しているが、稼働中の 300 台に週次でパッチを当てる要件に対してインスタンス置換は過剰で不適切。

解説