Utilizza Patch per applicare patch del sistema operativo (OS) a un insieme di istanze VM di Compute Engine (VM). Le VM a lunga durata richiedono aggiornamenti di sistema periodici per proteggerle da difetti e vulnerabilità.
La funzionalità Patch ha due componenti principali:
- Report sulla conformità delle patch, che offre insight sullo stato di patch delle tue istanze VM con Windows e distribuzioni Linux. Oltre agli insight, puoi anche visualizzare suggerimenti per le tue istanze VM.
- Deployment delle patch, che automatizza il processo di aggiornamento delle patch del sistema operativo e del software. Un deployment delle patch pianifica job di applicazione patch. Un job di applicazione patch viene eseguito su più istanze VM e applica le patch.
Vantaggi
Il servizio Patch ti offre la flessibilità necessaria per completare i seguenti processi:
- Creare approvazioni delle patch. Puoi selezionare quali patch applicare al tuo sistema dall'insieme completo di aggiornamenti disponibili per lo specifico sistema operativo.
- Configurare una pianificazione flessibile. Puoi scegliere quando eseguire gli aggiornamenti delle patch (una tantum e con pianificazioni ricorrenti).
- Applicare impostazioni di configurazione patch avanzate. Puoi personalizzare le tue patch aggiungendo configurazioni come script da eseguire prima e dopo l'applicazione delle patch.
- Gestire questi job di applicazione patch o aggiornamenti da un punto centralizzato. Puoi utilizzare la dashboard Patch per il monitoraggio e la generazione di report sui job di applicazione patch e sullo stato di conformità.
Sistemi operativi supportati
Per l'elenco completo dei sistemi operativi e delle versioni che supportano Patch, consulta Dettagli del sistema operativo.
Prezzi
Per informazioni sui prezzi, consulta Prezzi di VM Manager.
Come funziona Patch
Per utilizzare la funzionalità Patch, devi configurare l'API OS Config e installare l'agente OS Config. Per istruzioni dettagliate, consulta Configura VM Manager. Il servizio OS Config attiva la gestione delle patch nel tuo ambiente, mentre l'agente OS Config utilizza il meccanismo di aggiornamento per ogni sistema operativo per applicare le patch. Gli aggiornamenti vengono estratti dai Package Repository (altrimenti chiamati pacchetto di origine della distribuzione) o da un repository locale per il sistema operativo.
Per applicare le patch vengono utilizzati i seguenti strumenti di aggiornamento:
- Red Hat Enterprise Linux (RHEL), Rocky Linux e CentOS -
yum upgrade - Debian e Ubuntu -
apt upgrade - SUSE Linux Enterprise Server (SLES) -
zypper update - Windows - Windows Update Agent
Origini di patch e pacchetti
Per utilizzare la funzionalità Patch in VM Manager, la VM deve avere accesso agli aggiornamenti o alle patch dei pacchetti. Il servizio Patch non ospita né gestisce gli aggiornamenti o le patch dei pacchetti. In alcuni scenari, la VM potrebbe non avere accesso agli aggiornamenti. Ad esempio, se la VM non utilizza IP pubblici o se utilizzi una rete VPC privata. In questi scenari, devi completare passaggi aggiuntivi per consentire l'accesso agli aggiornamenti o alle patch. Valuta le seguenti opzioni.
- Google consiglia di ospitare il tuo repository locale o un servizio Windows Server Update Service per il controllo completo della baseline delle patch.
- In alternativa, puoi rendere disponibili origini di aggiornamento esterne alle tue VM utilizzando Cloud NAT o altri servizi di proxy.
La gestione delle patch è composta da due servizi: deployment delle patch e conformità delle patch. Ogni servizio è spiegato nelle sezioni seguenti.
Panoramica del deployment delle patch
Un deployment di patch viene avviato effettuando una chiamata all'API VM Manager (nota anche come API OS Config). Puoi farlo utilizzando la consoleGoogle Cloud , Google Cloud CLI o una chiamata API diretta. Poi, l'API VM Manager comunica all'agente OS Config in esecuzione sulle VM di destinazione di avviare l'applicazione di patch.
L'agente OS Config esegue l'applicazione di patch su ogni VM utilizzando lo strumento di gestione delle patch disponibile per ogni distribuzione. Ad esempio, le VM Ubuntu utilizzano lo strumento di utilità apt. Lo strumento di utilità recupera gli aggiornamenti (patch) dalla
fonte di distribuzione del sistema operativo. Man mano che l'applicazione delle patch procede, l'agente OS Config segnala l'avanzamento all'API VM Manager.
Panoramica della conformità delle patch
Dopo aver configurato VM Manager su una VM, su quest'ultima si verifica quanto segue:
- L'agente OS Config segnala periodicamente (circa ogni 10 minuti) i dati di inventario del sistema operativo .
- Il backend di conformità delle patch legge periodicamente questi dati, li confronta con i metadati del pacchetto ottenuti dalla distribuzione del sistema operativo e li salva.
- La console Google Cloud recupera quindi i dati di conformità delle patch e li visualizza nella console.
Come vengono generati i dati di conformità delle patch
Il backend di conformità delle patch completa periodicamente le seguenti attività:
- Legge i report raccolti dai dati di inventario del sistema operativo su una VM.
Esegue la scansione dei dati di classificazione dall'origine della vulnerabilità per ogni sistema operativo e li ordina in base alla gravità (dalla più alta alla più bassa).
La tabella seguente riassume l'origine delle vulnerabilità utilizzata per ogni sistema operativo.
Sistema operativo Pacchetto di origine della vulnerabilità RHEL e CentOS https://access.redhat.com/security/data I risultati dell'analisi delle vulnerabilità per RHEL si basano sull'ultima versione secondaria per ogni versione principale rilasciata. Potrebbero esserci imprecisioni nei risultati della scansione per le versioni secondarie precedenti di RHEL.
Debian https://security-tracker.debian.org/tracker Ubuntu https://launchpad.net/ubuntu-cve-tracker SLES https://www.suse.com/support/update/ Rocky Linux https://errata.rockylinux.org/ Windows Il backend di conformità delle patch riceve i dati di classificazione dall'API Windows Update Agent. Mappa queste classificazioni (fornite dall'origine della vulnerabilità) allo stato di conformità delle patch di Google.
La tabella seguente riassume il sistema di mappatura utilizzato per generare lo stato di conformità delle patch di Google.
Categorie di origini di distribuzione Stato di conformità delle patch di Google - Critico
- Urgente
- WINDOWS_CRITICAL_UPDATE
Critico (ROSSO) - Importante
- Alta
- WINDOWS_SECURITY_UPDATE
Importante/sicurezza (ARANCIONE) - Tutto il resto
Altro (GIALLO) - Nessun aggiornamento disponibile
Aggiornato (VERDE) Seleziona i dati con la gravità più elevata per ogni aggiornamento disponibile e li mostra nella pagina della dashboard della console Google Cloud . Puoi anche visualizzare un report completo di tutti gli aggiornamenti disponibili per la VM nella pagina dei dettagli della VM.
Ad esempio, se i dati di inventario del sistema operativo per una VM RHEL 7 contengono i seguenti dati del pacchetto:
- Nome pacchetto: package1
- Versione installata: 1.4
- Aggiorna la versione: 2.0
Il backend di conformità delle patch esegue la scansione dei dati di classificazione (dalla distribuzione di origine) e recupera le seguenti informazioni:
- Versione 1.5 => Critica, correzione di CVE-001
- Versione 1.8 => Bassa, corregge CVE-002
- Versione 1.9 => Bassa, corregge CVE-003
Poi, nella dashboard della console Google Cloud , questa VM RHEL 7 viene aggiunta all'elenco delle VM con un aggiornamentoCritical disponibile. Se esamini i dettagli di questa VM, vedi 1 aggiornamento di Critical disponibile (versione 2.0) con 3 CVE, CVE-001, CVE-002 e CVE-003.
Applicazione di patch simultanea
Quando avvii un job di applicazione patch, il servizio utilizza il filtro delle istanze che hai fornito per determinare le istanze specifiche a cui applicare le patch. I filtri delle istanze ti consentono di applicare patch a più istanze contemporaneamente. Questo filtro viene applicato all'avvio del job di applicazione patch per tenere conto delle modifiche apportate all'ambiente dopo la pianificazione del job.
Applicazione di patch pianificata
Le patch possono essere eseguite on demand, pianificate in anticipo o configurate con una pianificazione ricorrente. Puoi anche annullare un job di applicazione patch in corso se devi interromperlo immediatamente.
Puoi configurare i periodi di manutenzione per l'applicazione di patch creando deployment di patch con una frequenza e una durata specificate. La pianificazione dei job di applicazione patch con una durata specificata garantisce che le attività di applicazione patch non vengano avviate al di fuori del periodo di manutenzione designato.
Puoi anche applicare scadenze per l'installazione delle patch creando deployment di patch da completare in un momento specifico. Se le VM target non vengono aggiornate entro questa data, il deployment pianificato inizia a installare le patch in questa data. Se le VM sono già state aggiornate con patch, non viene eseguita alcuna azione su queste VM, a meno che non venga specificato uno script pre o post-applicazione patch o non sia richiesto un riavvio.
Che cosa è incluso in un job di applicazione patch?
Quando un job di applicazione patch viene eseguito su una VM, viene applicata una combinazione di aggiornamenti, a seconda del sistema operativo. Puoi scegliere di scegliere come target aggiornamenti o pacchetti specifici oppure, per i sistemi operativi Windows, specificare gli ID KB che vuoi aggiornare.
Puoi anche utilizzare un job di applicazione patch per aggiornare gli agenti Google installati come pacchetto standard per quella distribuzione specifica. Utilizza lo strumento di aggiornamento per quella distribuzione per eseguire query sui pacchetti disponibili. Ad esempio, per visualizzare gli agenti Google disponibili per un sistema operativo Ubuntu, esegui apt list --installed | grep -P 'google'.
Windows
Per il sistema operativo Windows, puoi applicare tutti gli aggiornamenti o selezionare tra i seguenti:
- Aggiornamenti delle definizioni
- Aggiornamenti dei driver
- Aggiornamenti dei Feature Pack
- Aggiornamenti della sicurezza
- Aggiornamenti degli strumenti
RHEL/Rocky/CentOS
Per i sistemi operativi Red Hat Enterprise Linux, Rocky Linux e CentOS, puoi applicare tutti gli aggiornamenti o selezionare tra i seguenti:
- Aggiornamenti di sistema
- Aggiornamenti della sicurezza
Debian/Ubuntu
Per i sistemi Debian e Ubuntu, puoi applicare tutti gli aggiornamenti o selezionarli tra i seguenti:
- Aggiornamenti sulla distribuzione
- Aggiornamenti del gestore di pacchetti
SUSE
Per i sistemi operativi SUSE Enterprise Linux Server (SLES) e openSUSE, puoi applicare tutti gli aggiornamenti o selezionarli tra i seguenti:
- Aggiornamenti dei pacchetti di sistema
- Patch Zypper (correzioni di bug e correzioni di sicurezza specifiche)
Accedi al riepilogo delle patch per le tue VM
Per visualizzare il riepilogo delle patch per le tue VM, hai le seguenti opzioni:
Per visualizzare le informazioni di riepilogo delle patch per tutte le VM in un'organizzazione o in una cartella, utilizza la dashboard Patch nella console Google Cloud . Consulta Visualizza il riepilogo delle patch per le VM.
Per visualizzare lo stato dei job di applicazione patch, utilizza la pagina Job di applicazione patch nella console Google Cloud . Puoi anche utilizzare Google Cloud CLI o l'API OS Config. Per saperne di più, consulta Gestisci i job di applicazione patch.
Per visualizzare altre informazioni, come gli aggiornamenti dei pacchetti del sistema operativo e i report sulle vulnerabilità, consulta Visualizza i dettagli del sistema operativo.
La dashboard Patch
Nella console Google Cloud , è disponibile una dashboard che puoi utilizzare per monitorare la conformità delle patch per le istanze VM.
Dettagli della dashboard Patch
Le sezioni seguenti descrivono in che modo la dashboard Patch raggruppa le VM e segnala lo stato di conformità delle patch.
Panoramica del sistema operativo
Questa sezione mostra il numero totale di VM, organizzate per sistema operativo. Affinché una VM venga visualizzata in questo elenco, deve avere l'agente OS Config installato e OS Inventory Management attivato.
Se una VM è elencata con il sistema operativo Nessun dato, potrebbe verificarsi uno o più dei seguenti scenari:
- La VM non risponde.
- L'agente OS Config non è installato.
- OS Inventory Management non è abilitato.
- Il sistema operativo non è supportato. Per un elenco dei sistemi operativi supportati, consulta Sistemi operativi supportati.
- La VM è un'istanza gestita da Google con VM Manager disattivato per impostazione predefinita. Questo stato è previsto e non richiede alcuna azione. Per saperne di più, consulta Stato delle patch per le VM gestite da Google.
Stato di conformità delle patch
La dashboard Patch mostra una scheda dello stato di conformità per ogni sistema operativo:
Lo stato di conformità è suddiviso in quattro categorie principali:
- Critico: una VM ha aggiornamenti critici disponibili.
- Importante o di sicurezza: una VM ha aggiornamenti importanti o di sicurezza disponibili.
- Altro: una VM ha aggiornamenti disponibili, ma nessuno di questi aggiornamenti è classificato come aggiornamento critico o della sicurezza.
- Aggiornata: una VM non ha aggiornamenti disponibili.
Stato delle patch per le VM gestite da Google
Alcune VM gestite da Google nel tuo progetto segnalano sempre Nessun dato nella dashboard di Patch, perché VM Manager è disabilitato per impostazione predefinita. Questo stato è previsto e non richiede alcuna azione. VM Manager tratta tutte le VM gestite da Google nel tuo progetto come VM normali e le include nella dashboard Patch. A seconda del servizio che crea la VM, VM Manager è disabilitato per impostazione predefinita o funziona allo stesso modo delle VM che gestisci. Quando VM Manager è disabilitato per impostazione predefinita su una VM gestita da Google, l'agente OS Config non è abilitato sulla VM e VM Manager non esegue job di applicazione patch o policy del sistema operativo per la VM.
La tabella seguente descrive l'integrazione delle VM gestite da Google con VM Manager:
| Piattaforma | Stato di abilitazione di VM Manager | Comportamento previsto |
|---|---|---|
| ambiente flessibile App Engine | Disabilitata nei metadati | L'agente OS Config non è abilitato su queste VM, pertanto segnalano sempre Nessun dato. VM Manager non esegue job di applicazione patch o policy del sistema operativo per queste VM. |
| Connettore di accesso VPC serverless | Disattivato nell'immagine sistema operativo | L'agente OS Config non è abilitato su queste VM, pertanto segnalano sempre Nessun dato. VM Manager non esegue job di applicazione patch o policy del sistema operativo per queste VM. |
| Managed Service for Apache Spark serverless | Disattivato nell'immagine sistema operativo | L'agente OS Config non è abilitato su queste VM, pertanto segnalano sempre Nessun dato. VM Manager non esegue job di applicazione patch o policy del sistema operativo per queste VM. |
| Cluster di autenticazione personale di Managed Service for Apache Spark | Disattivato nell'immagine sistema operativo | L'agente OS Config non è abilitato su queste VM, pertanto segnalano sempre Nessun dato. VM Manager non esegue job di applicazione patch o policy del sistema operativo per queste VM. |
| Cloud TPU con architettura 1-VM | Non disattivato | VM Manager funziona allo stesso modo delle VM che gestisci. |
| Google Kubernetes Engine (GKE) Autopilot | Non disattivato | VM Manager funziona allo stesso modo delle VM che gestisci. |
Limitazioni
La funzionalità Patch di VM Manager presenta le seguenti limitazioni:
- Puoi eseguire il deployment ed eseguire i job di applicazione patch solo per le VM di un singolo progetto Google Cloud . Non puoi eseguire job di applicazione patch in più progetti Google Cloud , anche se le VM si trovano in un VPC condiviso. Tuttavia, puoi visualizzare i dati sulla conformità delle patch tra i progetti.
- Per impostazione predefinita, VM Manager non applica patch alle VM che fanno parte di
un gruppo di istanze gestite (MIG). Puoi eseguire l'override di questo comportamento predefinito quando crei il job di applicazione patch.
Quando applichi patch alle VM che fanno parte di un MIG, si applicano le seguenti limitazioni:
- Quando un MIG ripara una VM, la ricrea in base al template di istanza. Ciò potrebbe ripristinare la VM a uno stato senza patch applicate.
- L'applicazione di patch alle VM può causare risultati imprevisti in un MIG in cui è attivata la scalabilità automatica. Il gestore della scalabilità automatica elimina le VM con patch quando il carico diminuisce e crea nuove VM senza patch utilizzando il template di istanza del MIG quando il carico aumenta. Ad esempio, se l'utilizzo medio della CPU è inferiore all'utilizzo target specificato per la scalabilità automatica, il MIG può rimuovere alcune delle VM con patch durante lo scale in.
- VM Manager non esegue job di applicazione patch o policy del sistema operativo per determinate VM gestite da Google perché l'agente OS Config non è abilitato su queste VM per impostazione predefinita. Esempi di queste VM includono l'ambiente flessibile di App Engine, il connettore di accesso VPC serverless e le istanze di Managed Service for Apache Spark. Queste VM vengono sempre visualizzate come Nessun dato nella dashboard Patch, come previsto, e non richiedono alcuna azione. Per saperne di più, consulta Stato delle patch per le VM gestite da Google.