建立修補工作

透過集合功能整理內容 你可以依據偏好儲存及分類內容。

您可以使用 Patch 對一組虛擬機器 (VM) 執行個體套用作業系統修補程式。

如要將修補程式套用至 VM，請完成下列步驟：

1. 設定 VM。
2. 執行修補工作。

事前準備

• 查看 OS Config 配額。
• 如果尚未設定，請先設定驗證機制。驗證是指驗證身分，以便存取 Google Cloud 服務和 API 的程序。如要在本機開發環境中執行程式碼或範例，您可以選取下列任一選項，向 Compute Engine 進行驗證：
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. After installing the Google Cloud CLI, initialize it by running the following command:

     gcloud init

     If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  2. Set a default region and zone.

  REST

  To use the REST API samples on this page in a local development environment, you use the credentials you provide to the gcloud CLI.

  After installing the Google Cloud CLI, initialize it by running the following command:

  gcloud init

  If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  For more information, see Authenticate for using REST in the Google Cloud authentication documentation.

限制

• 您只能為單一 Google Cloud 專案中的 VM 部署及執行修補程式工作。即使 VM 位於共用虛擬私有雲，您也無法在 Google Cloud 專案中執行修補工作。不過，您可以查看跨專案的修補程式相容性資料。
• 根據預設，VM Manager 不���修補任������於���管執行個體群組 (MIG) 的 VM。修補這些 VM 會在修補工作中回報為失敗。您可以在建立修補工作時覆寫這個預設行為。修補屬於 MIG 的 VM 時，請注意下列限制：
  • MIG 修復 VM 時，會根據執行個體範本重新建立 VM。這可能會將 VM 還原為未修補的狀態。
  • 在已啟用自動調整大小功能的 MIG 中修補 VM 可能會導致非預期的結果。當負載減少時，自動調度資源功能會刪除已修補的 VM，並在負載增加時使用 MIG 的執行個體範本建立新的 VM (不含任何修補程式)。舉例來說，如果平均 CPU 使用率低於您為自動調度資源功能指定的目標使用率，MIG 可以在縮放時移除部分已修補的 VM。

支援的作業系統

如需支援 Patch 的作業系統和版本完整清單，請參閱「作業系統詳細資料」。

設定 VM

如要使用修補功能，請完成下列步驟：

1. 請為所有 VM 設定 VM 管理員。
2. 對於 Windows VM，Google 建議您在 VM 上停用自動更新。這樣可減少 Windows 自動更新和 Patch 服務之間的衝突。

權限

Google Cloud 專案擁有者具備執行及管理修補工作作業的完整存取權。您必須授予其他使用者權限，您可以授予下列精細角色：

• roles/osconfig.patchJobExecutor：包含執行、取消、取得及列出修補工作的權限。也包含查看修補工作執行個體詳細資料的權限。
• roles/osconfig.patchJobViewer：包含取得及列出修補程式工作時的唯讀存取權限。也包含查看修補工作中執行個體詳細資料的權限。

舉例來說，如要授予使用者執行修補作業的存取權，請使用下列指令：

gcloud projects add-iam-policy-binding project-id \
    --member user:user-id@gmail.com \
    --role roles/osconfig.patchJobExecutor

更改下列內容：

• project-id：專案 ID。
• user-id：使用者的 Google Workspace 使用者名稱。

執行修補工作

您可以使用 Google Cloud 控制台、Google Cloud CLI 或 REST 執行修補工作。

執行修補工作時，系統會在 instance filter 指定的所有執行個體上同時開始修補 VM。

開始修補工作後，您可以使用修補資訊主頁監控修補項目。修補工作開始後，系統大約需要 30 分鐘才能在資訊主頁上填入資料。

gcloud compute os-config patch-jobs execute instance-filter

gcloud compute os-config patch-jobs execute \
    --instance-filter-names="zones/us-east1-b/instances/instance-1" \
    --description "patch for instance-1"

gcloud compute os-config patch-jobs execute \
    --instance-filter-all \
    --duration="1h30m" --reboot-config="DEFAULT" \
    --apt-dist --windows-exclusive-patches=4339284 \
    --yum-minimal --yum-security \
    --async

POST https://osconfig.googleapis.com/v1/projects/project-id/patchJobs:execute

{
  "instanceFilter": instance-filter
}

POST https://osconfig.googleapis.com/v1/projects/project-id/patchJobs:execute

{
  "description":"patch instance1 in us-east1-b",
  "duration":"5400s",
  "instanceFilter":{
    "instances":[
      "zones/us-east1-b/instances/instance1"
    ]
  }
}

POST https://osconfig.googleapis.com/v1/projects/project-id/patchJobs:execute

{
  "instanceFilter":{
    "groupLabels":[
      {
        "labels":{
          "env":"dev",
          "app":"web"
        }
      }
    ],
    "instanceNamePrefixes":[
      "test-"
    ],
    "zones":[
      "asia-east1-b",
      "asia-east1-c"
    ]
  }
}

POST https://osconfig.googleapis.com/v1/projects/project-id/patchJobs:execute

{
 "duration":"5400s",
 "instanceFilter":{
   "all":true
 },
 "patchConfig":{
   "rebootConfig":"DEFAULT",
   "apt":{
     "type":"DIST"
   },
   "yum":{
     "security":true,
     "minimal":true
   },
   "windowsUpdate":{
     "exclusivePatches":"4339284"
   }
 }
}

執行個體篩選器

您可以使用篩選器指定要納入修補工作單元的執行個體。修補工作支援下列篩選器：

• 依名稱篩選：將修補工作限制為具有特定名稱的執行個體。您必須使用完整的 URI 指定執行個體名稱。支援的 URI 格式包括：

  • zones/zone/instances/instance-name

  • projects/project-id/zones/zone/instances/instance-name

  • https://www.googleapis.com/compute/v1/projects/project-id/zones/zone/instances/instance-name

• 依名稱前置字串篩選：將修補工作限制為名稱中含有特定前置字串的例項。

• 依區域篩選：將修補工作限制在特定區域的執行個體。

• 依標籤篩選：將修補工作限制為具有特定標籤的執行個體。

您也可以將 instanceFilter 中的 all 欄位設為 true，在 Google Cloud 專案的所有執行個體上執行修補工作。詳情請參閱執行個體篩選器範例。

執行個體篩選器範例

--instance-filter-all

{
  "instanceFilter":{
    "all":"true"
  }
}

--instance-filter-names="zones/us-east1-b/instances/instance1"

{
  "instanceFilter":{
    "instances":[
      "zones/us-east1-b/instances/instance1"
    ]
  }
}

--instance-filter-name-prefixes="app-"

{
  "instanceFilter":{
    "instanceNamePrefixes":[
      "app-"
    ]
  }
}

--instance-filter-zones="us-east1-b","us-east1-c"

{
  "instanceFilter":{
    "zones":[
      "us-east1-b",
      "us-east1-c"
    ]
  }
}

--instance-filter-group-labels="env=dev,app=web"
--instance-filter-group-labels="env=dev,app=worker"

{
  "instanceFilter":{
    "groupLabels":[
      {
        "labels":{
          "env":"dev",
          "app":"web"
        }
      },
      {
        "labels":{
          "env":"dev",
          "app":"worker"
        }
      }
    ]
  }
}

結合執行個體篩選器

您也可以結合使用個別篩選器。舉例來說，如要為前置字串為 test-、位於區域 us-east1-c 且標籤為 env=dev 和 app=web 的執行個體執行修補工作，請執行下列指令：

gcloud compute os-config patch-jobs execute \
    --instance-filter-name-prefixes="test-" \
    --instance-filter-zones="us-east1-c" \
    --instance-filter-group-labels="env=prod,app=web"

修補程式設定

執行修補作業時，您可以指定參數來控制套用至 VM 的修補程式。修補程式設定參數會依平台而異，通常會傳遞至基礎系統更新工具。實際的修補程式會從 VM 上設定的套件存放區 (Linux) 或 Windows 更新伺服器 (Windows) 取得。

您可以為 VM 指定下列修補程式設定：

• 針對 Windows，您可以指定要套用的修補程式分類 (例如 Security 和 Critical)，或指定要排除的特定 KB。如要進一步瞭解修補程分類，請參閱 Microsoft 支援說明文件。

• 對於 RHEL、Rocky Linux 和 CentOS，底層系統為 yum。

  • 針對針對 RHEL 和 Rocky Linux VM 的修補程式，您可以指定 security 和 minimal 套件。
  • 對於 CentOS VM，CentOS yum 存放區中沒有 security 中繼資料。因此，您在更新安全性套件時，不需要指定 security 選項。如果您未指定任何套件，修補作業會更新所有套件，包括含有安全性更新的套件。
  • 您也可以排除特定套裝方案。詳情請參閱 yum 說明文件。

• 對於 Debian 和 Ubuntu，基礎系統為 apt。針對指定這些 VM 的修補程式，您可以指定 dist-upgrade 或標準升級。您也可以排除特定套件。詳情請參閱 Debian 說明文件頁面或 Ubuntu 說明文件頁面。

• 對於 SuSE，基礎系統是 zypper，特別是使用 zypper 修補程式。針對指定這些 VM 的修補程式，您可以指定下列選項：

  • with update：更新所有未涵蓋修補程式的套件
  • with optional：視需要處理選用修補內容
  • 要套用的修補程式類別或嚴重程度

  您也可以排除特定修補程式。

您可以選擇只針對所有支援的作業系統，指定要安裝的更新項目，以便安裝已核准的修補程式。您可以輸入已核准的套件或修補程式清單。選取這些已核准的修補程式時，系統只會安裝已核准的套件或修補程式。更新期間會略過所有其他修補程式設定參數。

範例

gcloud compute os-config patch-jobs execute \
    --instance-filter-zones="northamerica-northeast1-a" \
    --apt-dist \
    --yum-security \
    --yum-minimal \
    --zypper-categories=security \
    --windows-classifications=critical,security \
    --reboot-config=default

gcloud compute os-config patch-jobs execute --help

POST https://osconfig.googleapis.com/v1/projects/project-id/patchJobs:execute
{
    "instanceFilter":{
        "zones":[
            "northamerica-northeast1-a"
        ]
    },
    "patchConfig":{
        "apt": {
            "type": "dist-upgrade"
        },
        "yum": {
            "security": true,
            "minimal": true
        },
        "zypper": {
            "categories": ["security"]
        },
        "windowsUpdate": {
            "classifications": ["CRITICAL", "SECURITY"]
        },
        "rebootConfig": "DEFAULT"
    }
}

維護期間

維護期間是指允許修補工作執行的總時間長度。如果修補工作未在指定的維護時間範圍內完成，就會逾時。

舉例來說，如果您設定的維護期間為 60 minutes，則在開始時間過後 60 分鐘內，系統不會啟動任何新的修補作業。下載檔案或重新啟動等部分程序可能會在這個維護期間外進行，但不會啟動新的修補工作。

重新啟動選項

執行修補工作時，您可以指定修補程式的重新啟動選項。可用的選項如下：

• 預設：代理程式會檢查各個 OS 的常見信號，藉此判定是否需要重新啟動。修補期間可能會多次重新啟動，且可能在安裝任何修補程式前就會重新啟動。
• 一律：機器會在更新完成後重新啟動。
• 從不：機器在更新作業完成後不會重新啟動。在某些情況下，這可能表示並非所有修補程式都已完全套用。

修補前和修補後指令碼

執行修補工作時，您可以指定要執行的修補程序指令碼。這些指令碼可用於執行關閉應用程式和執行健康狀態檢查等工作。

• 在修補作業展開前運作的修補前指令碼。如果系統必須在修補作業展開前重新啟動，則修補前指令碼會在系統重新啟動前開始運作。
• 在修補作業完成後運作的修補後指令碼。如果系統必須在修補作業中重新啟動，則修補後指令碼會在系統重新啟動後開始運作。

修補工作可接受 Linux 的一個修補前指令碼和一個修補後指令碼，以及 Windows 的一個修補前指令碼和一個修補後指令碼。當您分���透過 Google Cloud CLI、REST 或 Google Cloud 控制台 指定 Linux 和 Windows 指令碼時，必須使用適當的旗標、參數或區段提供這些指令碼。Linux 指令碼只能在 Linux VM 上執行，Windows 指令碼只能在 Windows VM 上執行。

這些指令碼檔案可儲存在 VM 或有版本控制的 Cloud Storage 值區中。

將修補指令碼儲存在 Cloud Storage 值區

如果您想使用 Cloud Storage 值區來儲存指令碼，請建立 Cloud Storage 值區，然後將指令碼上傳至該值區。使用 Cloud Storage 值區時，請考量以下事項：

• 如果 Cloud Storage 物件無法供大眾讀取，請確認已連結至執行個體的服務帳戶具備讀取 Cloud Storage 物件的必要 IAM 權限。為確保您具備正確的權限，請檢查 Cloud Storage 物件的權限設定。
• 使用 Google Cloud 控制台從 Cloud Storage 選取指令碼時，系統會預設使用指定 Cloud Storage 物件的最新版本。

• 如果貴機構強制執行資源位置限制限制，則必須將指令碼儲存在機構政策允許的地區和區域的 Cloud Storage 值區中。

gcloud compute os-config patch-jobs execute \
    --instance-filter-zones="northamerica-northeast1-a" \
    --async \
    --pre-patch-linux-executable="/tmp/pre_patch_script.sh" \
    --post-patch-linux-executable="gs://my-patch-scripts/linux/post_patch_script#1523477886880" \
    --pre-patch-windows-executable="C:\\Users\\user\\pre-patch-script.cmd" \
    --post-patch-windows-executable="gs://my-patch-scripts/windows/post_patch_script.ps1#135920493447"

gcloud compute os-config patch-jobs execute --help

POST https://osconfig.googleapis.com/v1/projects/project-id/patchJobs:execute

{
  "instanceFilter":{
    "zones":[
      "northamerica-northeast1-a"
    ]
  },
  "patchConfig":{
    "preStep":{
      "linuxExecStepConfig":{
        "localPath":"/tmp/pre_patch_script.sh"
      },
      "windowsExecStepConfig":{
        "interpreter":"SHELL",
        "localPath":"C:\\Users\\user\\pre-patch-script.cmd"
      }
    },
    "postStep":{
      "linuxExecStepConfig":{
        "gcsObject":{
          "bucket":"my-patch-scripts",
          "generationNumber":"1523477886880",
          "object":"linux/post_patch_script"
        }
      },
      "windowsExecStepConfig":{
        "gcsObject":{
          "bucket":"my-patch-scripts",
          "generationNumber":"135920493447",
          "object":"windows/post_patch_script.ps1"
        },
        "interpreter":"POWERSHELL"
      }
    }
  }
}

修補程式推出選項

您可以選擇一次修補一個可用區的 VM (逐區修補)，或一次修補所有可用區 (並行可用區)。

除了選取區域外，您也可以為 VM 指定區域中斷預算。

可用區服務中斷預算

中斷預算是指在任何特定時間內，各區域中斷的 VM 數量 (或百分比) 上限。

什麼是中斷的 VM？

在修補期間，從 OS 設定代理程式收到開始通知到修補完成，VM 都會處於中斷狀態。這段時間包括完成重新啟動和任何修補後步驟所需的時間。

如果 VM 符合下列任一條件，也會計入中斷預算：

• 套用修補程式時，修補作業失敗
• 執行修補前或修補後步驟時，修補作業失敗
• 修補作業在逾時前無法回應成功通知

中斷預算的運作方式

如果是區域逐一推出，如果某個區域的服務中斷預算超出，修補工作就會停止。這是因為要繼續執行下一個區域，必須先完成先前區域的修補程序。

舉例來說，如果中斷預算的值為 10，且 8 個 VM 無法在目前區域中套用修補程式，則修補工作會繼續一次修補 2 個 VM，直到完成該區域為止。當該區域完成修補後，系統會在下一個區域中一次修補 10 個 VM。如果下一個區域中的 10 個 VM 無法完成修補，修補工作就會停止。

範例

gcloud compute os-config patch-jobs execute \
   --instance-filter-all \
   --rollout-mode=zone-by-zone \
   --rollout-disruption-budget=10

gcloud compute os-config patch-jobs execute \
   --instance-filter-all \
   --rollout-mode=concurrent-zones \
   --rollout-disruption-budget-percent=50

POST https://osconfig.googleapis.com/v1/projects/project-id/patchJobs:execute

{
  "instanceFilter":{
    "zones":[
      "us-central1-a",
      "us-central1-c",
      "us-central1-f"
    ]
  },
  "rollout": {
    "disruptionBudget": {
      "percent": 25
    },
    "mode": "CONCURRENT_ZONES"
  }
}

在 Windows VM 上啟用 Microsoft 軟體修補功能

在 Windows VM 上執行修補工作時，根據預設，Patch 只會套用 Windows 作業系統的修補程式。

執行修補作業時，您可以為 Microsoft 軟體 (例如 Microsoft SQL Server、SharePoint Server 或 .NET ���構) 套用更新，這些軟體會在 Windows VM 上執行。根據預設，這些應用程式的修補程序會停用，以免服務中斷，並為這些軟體分開規劃更新。如要自動啟用 Microsoft 軟體修補功能，您可以使用 Windows UI 或 PowerShell。

 $service_manager = New-Object -ComObject 'Microsoft.Update.ServiceManager'
 $service_manager.AddService2("7971f918-a847-4430-9279-4a52d1efe18d",7,"")

對修補工作進行偵錯

如果修補失敗，您可以按照下列步驟找出並解決問題。

1. 查看受影響的修補工作執行個體詳細資料。這有助於您找出哪些執行個體失敗，或它們卡在哪個狀態。每個執行個體的詳細資料清單也會包含簡短的錯誤訊息。

   如果修補程式失敗，且狀態為 NO_AGENT_DETECTED 或 TIMED_OUT，通常表示服務已向代理程式傳送要求，要求開始修補，但從未收到代理程式的回覆。請查看下列可能的原因和修正方式：

   • 執行個體未執行。如要修正這個問題，請啟動 VM 執行個體。
   • 使用驗證檢查清單驗證設定。
   • 虛擬私有雲網路或執行個體的網路設定不允許 OS Config 代理程式與 OS Config API 通訊。如要修正這個問題，請檢查網路設定。

2. 如果執行個體詳細資料未提供足夠資訊，請查看 Cloud Logging 記錄或序列埠主控台。OS Config 代理程式會將記錄項目寫入這兩個位置。在 Cloud Logging 中，您可以使用修補工作 ID 進行篩選，查看與該修補工作相關的所有記錄項目。您也可以在 VM 或 Google Cloud 專案層級設定 osconfig-log-level=debug 中繼資料值，啟用偵錯記錄功能。

後續步驟

• 進一步瞭解Patch。
• 管理修補工作。
• 排定修補工作。