本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 混合云环境中本地实例的修补解决方案设计
<a name="design-on-premises"></a>

您也可以扩展本指南中描述的解决方案，以修补混合云环境中的本地服务器实例。

本地实例的标准修补过程包括两个步骤：
+ 您将需要将本地服务器配置为由 Systems Manager 管理。有关此过程的详细信息，请参阅 [Systems Manager 文档中的为混合环境设置 Systems Manager](https://docs.aws.amazon.com/systems-manager/latest/userguide/systems-manager-managedinstances.html)。
+ 您可以使用 AWS Command Line Interface (AWS CLI) [add-tags-to-resource命令](https://docs.aws.amazon.com/cli/latest/reference/ssm/add-tags-to-resource.html)为这些本地托管实例配置相应的**补丁组**和**维护**时段标签。

但是，这种方法要求应用程序团队或云团队在想要更改补丁组或维护时段时手动运行 AWS CLI 命令。

## 自动化流程
<a name="on-premises-auto-process"></a>

下图描述了另一种使用 Systems Manager 自定义清单选项修补本地实例的方法。此过程是我们前面描述的针对可变 EC2 实例的自动修补解决方案的扩展。

 ![\[Reference architecture and workflow for patching mutable EC2 instances that span multiple AWS accounts and AWS Regions\]](http://docs.aws.amazon.com/zh_cn/prescriptive-guidance/latest/patch-management-hybrid-cloud/images/patching-process-on-premises.png) 

1. Systems Manager 不使用标签，而是通过自定义清单集合从本地托管实例中捕获补丁信息（补丁组和维护窗口）。

   ```
   Sample custom inventory JSON file
   {
       "SchemaVersion": "1.0",
       "TypeName": "Custom:PatchInformation",
       "Content": {
           "Patch Group": "<APP-PROD>",
           "Maintenance Window": "XXX"
       }
   }
   ```

1. Lambda `automate-patch` 函数每天运行，从本地服务器自定义清单中收集补丁组和维护窗口信息，并在托管实例上创建**补丁组**和**维护窗口**标签。

1. 然后，Lambda `automate-patch` 函数根据收集的自定义清单创建或更新相应的补丁组和维护窗口，将补丁组与补丁基准关联起来，配置补丁扫描，并部署修补任务。或者，该`automate-patch`函数还会在事件中创建 CloudWatch 事件，以通知用户即将出现的补丁。

1. 根据维护窗口，这些事件会向应用程序团队发送补丁通知，其中包含即将进行的修补操作的详细信息。

1. Patch Manager 根据定义的时间表和补丁组执行系统修补。

1. Systems Manager Inventory 中的资源数据同步会收集修补详细信息并将其发布到 S3 存储桶。

1. 补丁合规性报告和仪表板内置于 S3 存储桶信息的 Quick 中。

## 架构注意事项和限制
<a name="on-premises-considerations"></a>

如前几节所述，有两种方法可以修补本地实例：通过自定义清单或使用标签。以下是每种方法的优势和劣势。

**选项 1。使用自定义清单获取补丁信息**
+ 使用本地服务器的应用程序团队在自定义清单文件中配置补丁信息，然后 Systems Manager 会选择这些信息。
+ 接着，使用自定义清单补丁信息来创建补丁任务。

优点：
+ 配置起来要简单得多，因为它只涉及文件更新。

缺点：
+ 对补丁配置的更改仅限于清单收集计划。

**选项 2。为本地托管实例使用标签**
+ 使用本地服务器的应用程序团队通过使用 AWS CLI 相应的**补丁信息来创建补丁组**和**维护窗口**标签。
+ 标签信息用于创建补丁任务。

优点：
+ 在内部 AWS 和内部采用一致的方法来推动修补标准化和自动化。

缺点：
+ 使用本地实例的应用程序团队必须学习和使用 AWS CLI 来创建或更新标签。