ある企業は Windows と Linux の EC2 インスタンスを数百台運用しています。 セキュリティポリシーにより、全インスタンスを毎月第二土曜日の深夜 2 時（JST）にパッチ適用し、完了後にパッチ準拠レポートを自動生成する必要があります。 SSH や RDP（Remote Desktop Protocol：リモートデスクトッププロトコル）を使ったログインなしで完全自動化するにはどのアプローチが最適ですか？
Systems Manager Patch Manager は Windows・Linux 双方に対応し、パッチベースライン（適用するパッチの基準定義）とメンテナンスウィンドウ（実行スケジュール）を組み合わせることで、SSM エージェント経由の完全自動パッチ適用が可能です。SSH/RDP 接続は不要です。AWS Config の ec2-managedinstance-patch-compliance-status-check ルールにより準拠レポートも自動生成できます。 選択肢A は、Lambda から AWS CLI を介してパッチコマンドをインスタンスへ直接送信する手段は存在せず、SSM Run Command を別途組み合わせても Windows・Linux のクロスプラットフォーム対応やコンプライアンスレポートの自前実装が必要となり現実的ではありません。 選択肢C は、有効ですが既存インスタンスのステートフルなデータを失うリスクがあり、パッチ適用の主目的には不向きです。 選択肢D は、毎月 CloudFormation でインスタンスを再作成するアプローチであり、大規模なダウンタイムと状態喪失を伴うため既存の本番環境への適用には不適切です。