Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Kernel Live-Patchen auf AL2

Kernel-Live-Patching für AL2 ermöglicht es Ihnen, spezifische Sicherheitslücken und kritische Bug-Patches auf einen laufenden Linux-Kernel anzuwenden, ohne Neustarts oder Unterbrechungen der laufenden Anwendungen. Auf diese Weise können Sie von einer verbesserten Service- und Anwendungsverfügbarkeit profitieren und diese Korrekturen gleichzeitig anwenden, bis das System neu gestartet werden kann.

Informationen zum Kernel Live Patching für AL2023 finden Sie unter Kernel Live Patching auf AL2023 im Amazon Linux 2023 Benutzerhandbuch.

AWS veröffentlicht zwei Arten von Kernel-Live-Patches für AL2:

AWS stellt Kernel-Live-Patches für eine AL2-Kernelversion bis zu 3 Monate nach ihrer Veröffentlichung zur Verfügung. Nach Ablauf der dreimonatigen Frist müssen Sie auf eine spätere Kernel-Version aktualisieren, um weiterhin Live-Kernel-Patches zu erhalten.

AL2-Kernel-Live-Patches werden als signierte RPM-Pakete in den vorhandenen AL2-Repositorys zur Verfügung gestellt. Die Patches können mithilfe vorhandener Yum-Workflows auf einzelnen Instanzen installiert werden, oder sie können mithilfe des Systems Manager auf einer Gruppe verwalteter Instanzen installiert werden. AWS

Kernel-Live-Patching auf AL2 wird ohne zusätzliche Kosten bereitgestellt.

Unterstützte Konfigurationen und Voraussetzungen

Kernel Live Patching wird auf Amazon EC2-Instances und lokalen virtuellen Maschinen unterstützt, auf denen AL2 ausgeführt wird.

Um Kernel Live Patching auf AL2 zu verwenden, müssen Sie Folgendes verwenden:

Richtlinienanforderungen

Um Pakete aus Amazon Linux-Repositorys herunterzuladen, benötigt Amazon EC2 Zugriff auf diensteigene Amazon S3-Buckets. Wenn Sie in Ihrer Umgebung einen Amazon Virtual Private Cloud (VPC)-Endpunkt für Amazon S3 verwenden, müssen Sie sicherstellen, dass Ihre VPC-Endpunktrichtlinie den Zugriff auf diese öffentlichen Buckets zulässt.

In der Tabelle werden die einzelnen Amazon-S3-Buckets beschrieben, auf die EC2 möglicherweise für Kernel-Live-Patching zugreifen muss.

Die folgende Richtlinie veranschaulicht, wie Sie den Zugriff auf Identitäten und Ressourcen einschränken, die Ihrer Organisation gehören, und Zugriff auf die Amazon-S3-Buckets gewähren, die für Kernel-Live-Patching erforderlich sind. Ersetzen Sie region principal-org-id und resource-org-id durch die Werte Ihrer Organisation.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowRequestsByOrgsIdentitiesToOrgsResources",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalOrgID": "principal-org-id",
          "aws:ResourceOrgID": "resource-org-id"
        }
      }
    },
    {
      "Sid": "AllowAccessToAmazonLinuxAMIRepositories",
      "Effect": "Allow",
      "Principal": {
        "AWS": "*"
      },
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::packages.region.amazonaws.com/*",
        "arn:aws:s3:::repo.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux.region.amazonaws.com/*",
        "arn:aws:s3:::amazonlinux-2-repos-region/*"
      ]
    }
  ]
}
    

Arbeiten mit Kernel-Live-Patching

Sie können Kernel Live Patching auf einzelnen Instanzen über die Befehlszeile auf der Instanz selbst aktivieren und verwenden, oder Sie können Kernel Live Patching mit AWS Systems Manager auf einer Gruppe verwalteter Instanzen aktivieren und verwenden.

In den folgenden Abschnitten wird erläutert, wie Sie Kernel-Live-Patching auf einzelnen Instances über die Befehlszeile aktivieren und verwenden.

Weitere Informationen zur Aktivierung und Verwendung von Kernel Live Patching auf einer Gruppe verwalteter Instanzen finden Sie im Benutzerhandbuch unter Verwenden von Kernel Live Patching auf AL2-Instances. AWS Systems Manager

Aktivieren des Kernel-Live-Patching

Kernel Live Patching ist auf AL2 standardmäßig deaktiviert. Um Live-Patching zu verwenden, müssen Sie das yum-Plugin für Kernel-Live-Patching installieren und die Live-Patching-Funktionalität aktivieren.

Voraussetzungen

Kernel-Live-Patching erfordert binutils. Wenn Sie binutils nicht installiert haben, installieren Sie es mit dem folgenden Befehl:

$ sudo yum install binutils

Anzeigen der verfügbaren Kernel-Live-Patches

Amazon Linux-Sicherheitswarnungen werden über das Amazon Linux-Sicherheitszentrum veröffentlich. Weitere Informationen zu den AL2-Sicherheitswarnungen, zu denen auch Warnungen für Kernel-Live-Patches gehören, finden Sie im Amazon Linux Security Center. Kernel-Live-Patches wird das Präfix ALASLIVEPATCH vorangestellt. Das Amazon Linux-Sicherheitszentrum listet möglicherweise keine Live-Kernel-Patches auf, die Fehler beheben.

Sie können auch die verfügbaren Kernel-Live-Patches für Advisories und CVEs über die Befehlszeile ermitteln.

So listen Sie alle verfügbaren Kernel-Live-Patches für Advisories auf:

Verwenden Sie den folgenden Befehl.

$ yum updateinfo list

Das folgende Beispiel zeigt eine Ausgabe.

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motd
ALAS2LIVEPATCH-2020-002 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
ALAS2LIVEPATCH-2020-005 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

So listen Sie alle verfügbaren Kernel-Live-Patches für CVEs auf:

Verwenden Sie den folgenden Befehl.

$ yum updateinfo list cves

Das folgende Beispiel zeigt eine Ausgabe.

Loaded plugins: extras_suggestions, kernel-livepatch, langpacks, priorities, update-motdamzn2-core/2/x86_64 | 2.4 kB 00:00:00 
CVE-2019-15918 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2019-20096 important/Sec. kernel-livepatch-5.10.102-99.473-1.0-3.amzn2.x86_64
CVE-2020-8648 medium/Sec. kernel-livepatch-5.10.102-99.473-1.0-4.amzn2.x86_64
updateinfo list done

Anwenden von Kernel-Live-Patches

Sie wenden Kernel-Live-Patches unter Verwendung des yum-Paketmanagers auf dieselbe Weise an, wie Sie regelmäßige Updates anwenden würden. Das Yum-Plugin für Kernel Live Patching verwaltet die Kernel-Live-Patches, die zur Anwendung verfügbar sind.

Sie können wählen, ob Sie einen bestimmten Kernel-Live-Patch oder alle verfügbaren Kernel-Live-Patches zusammen mit Ihren regelmäßigen Sicherheitsupdates anwenden wollen.

So wenden Sie alle verfügbaren Kernel-Live-Patches zusammen mit Ihren regelmäßigen Sicherheitsupdates an:

Verwenden Sie den folgenden Befehl.

$ sudo yum update --security

Lassen Sie die Option --security weg, um Bugfixes einzuschließen.

Anzeigen der angewendeten Kernel-Live-Patches

So zeigen Sie die angewendeten Kernel-Live-Patches an:

Verwenden Sie den folgenden Befehl.

$ kpatch list

Der Befehl gibt eine Liste der geladenen und installierten Sicherheitsupdate-Kernel-Live-Patches zurück. Es folgt eine Beispielausgabe.

Loaded patch modules:
livepatch_cifs_lease_buffer_len [enabled]
livepatch_CVE_2019_20096 [enabled]
livepatch_CVE_2020_8648 [enabled]
	
Installed patch modules:
livepatch_cifs_lease_buffer_len (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2019_20096 (5.10.102-99.473.amzn2.x86_64)
livepatch_CVE_2020_8648 (5.10.102-99.473.amzn2.x86_64)

Deaktivieren des Kernel-Live-Patching

Wenn Sie das Kernel-Live-Patching nicht mehr verwenden möchten, können Sie es jederzeit deaktivieren.

Einschränkungen

Kernel-Live-Patching hat die folgenden Einschränkungen:

Häufig gestellte Fragen

Häufig gestellte Fragen zu Kernel Live Patching für AL2 finden Sie in den häufig gestellten Fragen zum Amazon Linux 2 Kernel Live Patching.