[AWS SCS] AWS Systems Manager - Patch Manager와 Maintenance Windows

AWS Systems Manager Patch Manager 이해하기

AWS Systems Manager의 Patch Manager는 운영 체제(OS), 애플리케이션, 보안 업데이트를 자동화하여 관리형 인스턴스의 패치를 간편하게 처리할 수 있도록 설계된 도구입니다. 이번 포스트에서는 Patch Manager의 주요 기능과 구성 요소, 그리고 이를 활용하는 방법에 대해 알아보겠습니다.

---

Patch Manager란 무엇인가?

Patch Manager는 EC2 인스턴스와 온프레미스 서버의 패치를 자동화하는 도구로, Linux, macOS, Windows 환경에서 사용할 수 있습니다.
이를 통해 운영 체제 및 애플리케이션 업데이트, 보안 패치를 효율적으로 관리할 수 있습니다.

주요 기능

• 온디맨드(On-demand) 패치: 필요할 때 즉시 실행 가능.
• 스케줄 기반 패치: 유지 관리 창(Maintenance Window)을 사용하여 특정 시간에 작업 실행.
• 패치 컴플라이언스 보고서: 패치 상태를 분석하고 Amazon S3에 저장 가능.

---

Patch Manager의 주요 구성 요소

1. 패치 기준(Patch Baseline)

패치 기준은 어떤 패치를 설치하고, 어떤 패치를 제외할지를 정의하는 역할을 합니다.

기본 패치 기준

• AWS에서 제공하며 수정할 수 없음.
• 중요(Critical) 및 보안(Security) 패치만 적용.

커스텀 패치 기준

• 사용자 정의 가능.
• 승인/거부할 패치를 설정하거나, 내부 패치 저장소를 연결 가능.
• 출시 후 일정 시간이 지난 패치를 자동으로 승인할 수도 있음.

---

2. 패치 그룹(Patch Group)

패치 그룹은 특정 패치 기준과 EC2 인스턴스를 연결합니다.

• 인스턴스는 **태그(key: Patch Group)**를 사용해 패치 그룹에 속할 수 있음.
• 하나의 인스턴스는 하나의 패치 그룹에만 속할 수 있음.
• 패치 그룹은 하나의 패치 기준에만 연결 가능.

---

Patch Manager 동작 원리

Patch Manager의 동작 과정을 단계별로 살펴보겠습니다:

1. 인스턴스 태그 지정
   예를 들어, EC2 인스턴스에 다음과 같은 태그를 설정합니다:
   • Patch Group: dev
   • Patch Group: prod
2. 패치 기준 정의
   • 기본 패치 기준: 모든 인스턴스에 기본적으로 적용.
   • 커스텀 패치 기준: 특정 패치 그룹(dev)에만 적용.
3. SSM 문서 실행
   SSM 문서 AWS-RunPatchBaseline을 사용하여 패치를 실행합니다.
   • AWS 콘솔, SDK, 유지 관리 창에서 실행 가능.
   • SSM 에이전트가 패치 기준에 따라 필요한 패치를 확인 후 설치.
4. 패치 적용
   패치가 설치되며, 인스턴스는 최신 상태로 유지됩니다.

---

유지 관리 창(Maintenance Window)

유지 관리 창은 작업 실행 시간을 미리 설정하는 기능입니다.
예를 들어, 운영 체제 패치, 드라이버 업데이트, 소프트웨어 설치를 매일 새벽 3시~5시에 수행하도록 설정할 수 있습니다.

구성 요소

• 일정(Schedule): 작업이 실행될 시간.
• 작업 실행 기간(Duration): 유지 관리 창의 최대 실행 시간.
• 대상 인스턴스(Registered Instances): 작업 대상 인스턴스 그룹.
• 실행 작업(Tasks): 실행할 작업의 세부 내용.

---

Patch Manager 활용 사례

• 운영 환경 유지 관리
  운영 환경 인스턴스에서 보안 패치를 자동으로 설치하고, 이력을 S3에 저장하여 추적 가능.
• 환경별 패치 기준 관리
  개발(dev), 테스트(test), 운영(prod) 환경별로 서로 다른 패치 기준을 적용하여 관리.
• 자동화된 패치 승인
  중요 패치를 출시 후 7일 내 자동 승인하여 신속히 반영.

---

결론

Patch Manager는 AWS Systems Manager의 강력한 기능 중 하나로, 관리형 인스턴스를 효율적으로 패치하고 최신 상태를 유지할 수 있게 해줍니다.
특히, 유지 관리 창과 커스텀 패치 기준을 활용하면 운영 효율성을 극대화하고, 보안 위험을 최소화할 수 있습니다.