Mensaje de que el trabajo de parche ya no está activo al implementar Auto-Defend en GCP

2881

Created On 09/15/22 18:13 PM - Last Modified 01/03/25 05:08 AM

Symptom

Al implementar Auto Defend en GCP ( Administrar > Defenders > Implementar > Host Auto-Defend ), el cliente puede recibir un error de instalación fallida del Defender que indica " El trabajo de parcheo ya no está activo ".

Prerrequisitos:

La función de defensa automática del host te permite implementar Host Defenders automáticamente en máquinas virtuales o instancias en cuentas de Google Cloud. Esto incluye las instancias de GCP Compute Engine.
La instalación utiliza el servicio OS Patch Management , que es parte de un servicio VM Manager más amplio para implementar los defensores del host.
Prisma Cloud crea un trabajo de parcheo del sistema operativo con la información del script de instalación almacenado en el depósito de almacenamiento creado temporalmente y la lista de instancias en las que implementar Host Defender como se muestra a continuación:

Faltan detalles de configuración de la administración de parches del sistema operativo y del administrador de VM
El usuario de la cuenta de servicio no tiene los permisos adecuados para crear y eliminar el depósito temporal.

Para utilizar la administración de parches del sistema operativo , el host de la VM debe tener acceso a las actualizaciones o parches del paquete.
OS Patch Management no aloja ni mantener actualizaciones de paquetes o parches.
Para utilizar la funciónde administración de parches del sistema operativo , se debe configurar la API de configuración del sistema operativo e instalar el agente de configuración del sistema operativo . Para obtener instrucciones detalladas, consulte Configuración de VM Manager .
En algunos casos, es posible que su VM no tenga acceso a las actualizaciones. En estos casos, se deben completar permisos adicionales para permitir el acceso a las actualizaciones o parches.
En concreto, asegúrese de que OSconfig=enabled esté en los metadatos de GCE.

En resumen, cuando habilita VM Manager, ya sea de forma automática o manual, se lleva a cabo la siguiente configuración :

La API del servicio OS Config y la API de análisis de contenedores están habilitadas en el proyecto de Google Cloud.
El agente de configuración del sistema operativo , que se ejecuta en cada VM seleccionada, se activa al configurar los valores de metadatos de instancia necesarios. Nota: OS Config está preinstalado en la mayoría de las máquinas virtuales, pero no se activa hasta que se configuran los metadatos de instancia.
El servicio OS Config permite la gestión de parches en su entorno mientras que el Agente OS Config utiliza el mecanismo de actualizar de cada sistema operativo para aplicar parches.

Enlaces de referencia: