AWS SSM Patch ManagerでEC2のOSパッチを自動管理する設計｜パッチベースライン・メンテナンスウィンドウ・コンプライアンス確認の実践

この記事のポイント

・Patch ManagerはSSM AgentとIAMロールがあれば追加インストール不要で動く
・パッチグループはEC2タグで環境（本番/検証）を分離する設計が基本
・メンテナンスウィンドウでスキャンとインストールを別タスクに分けると安全
・コンプライアンス確認でパッチ未適用インスタンスを一覧で把握できる

# Amazon Linux 2023 でSSM Agentの状態を確認
$ sudo systemctl status amazon-ssm-agent

* amazon-ssm-agent.service - amazon-ssm-agent
     Loaded: loaded (/usr/lib/systemd/system/amazon-ssm-agent.service; enabled)
     Active: active (running) since Sat 2026-08-01 03:00:00 UTC; 30min ago
   Main PID: 1234 (amazon-ssm-agent)

$ sudo systemctl start amazon-ssm-agent
$ sudo systemctl enable amazon-ssm-agent

# カスタムベースラインを作成（SecurityパッチのCritical/Highを14日後に自動承認）
$ aws ssm create-patch-baseline \
    --name "my-amzn2023-baseline" \
    --operating-system "AMAZON_LINUX_2023" \
    --approval-rules '{
      "PatchRules": [
        {
          "PatchFilterGroup": {
            "PatchFilters": [
              {"Key": "SEVERITY", "Values": ["CRITICAL","HIGH"]},
              {"Key": "CLASSIFICATION", "Values": ["Security"]}
            ]
          },
          "ApproveAfterDays": 14,
          "EnableNonSecurity": false
        }
      ]
    }' \
    --description "本番環境用 14日承認ベースライン"

{
    "BaselineId": "pb-0a1b2c3d4e5f6789a"
}

# パッチグループをカスタムベースラインに紐付け
$ aws ssm register-patch-baseline-for-patch-group \
    --baseline-id "pb-0a1b2c3d4e5f6789a" \
    --patch-group "production"

{
    "BaselineId": "pb-0a1b2c3d4e5f6789a",
    "PatchGroup": "production"
}

# EC2インスタンスにPatch Groupタグを付与
$ aws ec2 create-tags \
    --resources i-0123456789abcdef0 \
    --tags "Key=Patch Group,Value=production"

# スキャン用メンテナンスウィンドウを作成（毎週水曜02:00 UTC）
$ aws ssm create-maintenance-window \
    --name "weekly-patch-scan" \
    --schedule "cron(0 2 ? * WED *)" \
    --schedule-timezone "Asia/Tokyo" \
    --duration 2 \
    --cutoff 1 \
    --allow-unassociated-targets

{
    "WindowId": "mw-0a1b2c3d4e5f0001"
}

# インストール用メンテナンスウィンドウを作成（毎週土曜02:00 UTC・duration 4時間）
$ aws ssm create-maintenance-window \
    --name "weekly-patch-install" \
    --schedule "cron(0 2 ? * SAT *)" \
    --schedule-timezone "Asia/Tokyo" \
    --duration 4 \
    --cutoff 1 \
    --allow-unassociated-targets

{
    "WindowId": "mw-0a1b2c3d4e5f0002"
}

# ターゲットをパッチグループタグで登録
$ aws ssm register-target-with-maintenance-window \
    --window-id "mw-0a1b2c3d4e5f0002" \
    --resource-type "INSTANCE" \
    --targets "Key=tag:Patch Group,Values=production" \
    --name "production-instances"

{
    "WindowTargetId": "wt-0a1b2c3d4e5f0003"
}

# タスクを登録（Installモード・必要な場合のみ再起動）
$ aws ssm register-task-with-maintenance-window \
    --window-id "mw-0a1b2c3d4e5f0002" \
    --targets "Key=WindowTargetIds,Values=wt-0a1b2c3d4e5f0003" \
    --task-arn "AWS-RunPatchBaseline" \
    --task-type "RUN_COMMAND" \
    --max-concurrency "1" \
    --max-errors "1" \
    --task-invocation-parameters '{
      "RunCommand": {
        "Parameters": {
          "Operation": ["Install"],
          "RebootOption": ["RebootIfNeeded"]
        }
      }
    }'

# コンプライアンス状況の集計を取得
$ aws ssm list-compliance-summaries \
    --filters "Key=ComplianceType,Values=Patch,Type=EQUAL"

{
    "ComplianceSummaryItems": [
        {
            "ComplianceType": "Patch",
            "CompliantSummary": {
                "CompliantCount": 8,
                "SeveritySummary": {"CriticalCount": 0, "HighCount": 0}
            },
            "NonCompliantSummary": {
                "NonCompliantCount": 2,
                "SeveritySummary": {"CriticalCount": 1, "HighCount": 1}
            }
        }
    ]
}

# Non-Compliantなインスタンスとパッチ名を取得
$ aws ssm list-compliance-items \
    --filters "Key=ComplianceType,Values=Patch,Type=EQUAL" \
              "Key=Status,Values=NON_COMPLIANT,Type=EQUAL" \
    --query 'ComplianceItems[*].{Instance:Id,Severity:Severity,Title:Title}'

# パッチグループ「production」の全インスタンスを即時スキャン
$ aws ssm send-command \
    --document-name "AWS-RunPatchBaseline" \
    --targets "Key=tag:Patch Group,Values=production" \
    --parameters '{"Operation": ["Scan"]}' \
    --comment "緊急CVE確認スキャン"

{
    "Command": {
        "CommandId": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
        "DocumentName": "AWS-RunPatchBaseline",
        "Status": "Pending"
    }
}

# スキャン結果を確認
$ aws ssm list-command-invocations \
    --command-id "a1b2c3d4-e5f6-7890-abcd-ef1234567890" \
    --details \
    --query 'CommandInvocations[*].{Instance:InstanceId,Status:Status}'

# Run Commandの実行ログでエラーを確認
$ aws ssm get-command-invocation \
    --command-id "a1b2c3d4-e5f6-7890-abcd-ef1234567890" \
    --instance-id "i-0123456789abcdef0" \
    --query '{Status:Status,Output:StandardOutputContent,Error:StandardErrorContent}'

# EC2インスタンスのタグを確認（Patch Groupキーの存在チェック）
$ aws ec2 describe-tags \
    --filters "Name=resource-id,Values=i-0123456789abcdef0" \
    --query 'Tags[?Key==`Patch Group`]'

[
    {
        "Key": "Patch Group",
        "ResourceId": "i-0123456789abcdef0",
        "ResourceType": "instance",
        "Value": "production"
    }
]