AWS Systems Manager Patch Managerのサービスの内容と運用について

最終更新日：2026年8月10日

AWS Systems Manager Patch Manager

項目	AWS	Microsoft Azure	Google Cloud
世界シェア	約33%（首位）	約22%	約11%
強み	サービス数・実績	Microsoft製品連携	データ分析・AI
無料枠	12ヶ月+常時無料	12ヶ月無料	常時無料枠あり
主な資格	CLF / SAA / SAP	AZ-900 / AZ-104	ACE / PCA

この記事では、AWS Systems Manager Patch Managerのサービスの内容と運用について説明していきます。

AWS Systems Manager Patch Managerとは

AWS Systems Manager Patch Managerとは、セキュリティに関するアップデートや他の種類のアップデートの双方において、マネージドインスタンスへパッチ適用を行うプロセスの自動化を実現するサービスです。
AWS Systems Manager Patch Managerを使用し、オペレーティングシステムおよびアプリケーションの双方へパッチの適用を行うことができます。（Windows Serverでは、サポートはMicrosoftのアプリケーションの更新のみに制限されるため注意が必要です。）Patch Managerを使用して、Windowsのインスタンスへサービスパックのインストールを実施し、Linuxインスタンスによってマイナーバージョンのアップデートが可能になります。オペレーティングシステムの種類ごとに、EC2のインスタンスや、仮想マシン (VM)およびオンプレミスサーバーにパッチの適用ができます。

対象になるのは、サポートされているバージョンのAmazon Linux、Amazon Linux 2、Amazon Linux 2023、Oracle Linux、CentOS、Red Hat Enterprise Linux (RHEL)、Debian、Ubuntu Server、およびSUSE Linux Enterprise Server (SLES)などです。インスタンスのスキャンを行い、検出されなかったパッチのレポートのみを表示するか、または検出された未適用パッチをすべてスキャンし、インストールを自動で実施するかを選択できます。

AWS Systems Manager Patch Managerを利用する際の前提条件

AWS Systems Manager Patch Managerを利用するためにはいくつかの前提条件があります。この条件を満たさない場合、利用することができません。

具体的な条件としては、対象のインスタンスにSSMを実行許可とする IAMロールの割り当てがなされていること、対象のインスタンスにSSMエージェントのインストールがされていること、Patch Managerによって対象のインスタンスOSがサポートされていることなどがあります。
二つ目の条件のSSMエージェントとは、オンプレミスサーバー、仮想マシン (VM)およびEC2インスタンスにインストールすることで設定が可能になるAmazonのソフトウェアのことを指します。
そして最後の条件については、Patch Managerの機能はAWS Systems Managerにおける他の機能でサポートされる同じOSのバージョンがすべてサポートされるわけではないので、注意しなければなりません。（例えば、すでにEOLを迎えた古いディストリビューションのバージョンなどはサポート対象外となる場合があります。）

AWS Systems Manager Patch Managerの運用について

AWS Systems Manager Patch Managerを運用するためには、まずパッチベースラインを作成する必要があります。このパッチベースラインの作成が完了すると、インストールするパッチのタイプの設定をすることができます。パッチの分類や重大度などによりそれぞれ異なる基準を設けることができます。
パッチベースラインの作成が完了したら次はパッチグループを作り、パッチグループへインスタンスの追加を実施します。パッチグループを使用すると違う種類のパッチをほかのインスタンスへ容易に配信することができます。しかしこの処理を実行するには、タグをインスタンスに付与する必要があります。この作業が終わるとパッチベースラインとパッチグループの紐づけが可能になります。
そして最後に、そのパッチベースラインとパッチグループが紐づけられた内容に基づきパッチの適用を実施します。

押さえておきたいポイント

• Patch Managerは、対象インスタンスにSSM実行許可のIAMロールとSSMエージェントが導入されていることが前提条件であり、これらが揃っていないと利用できない。
• パッチの適用は「パッチベースラインの作成」→「パッチグループの作成・タグ付け」→「両者の紐づけ」→「パッチ適用の実施」という順序で運用する。
• 対応OSやパッチのインストール方式（Windows Update API、yumやdnfなどのパッケージマネージャー等）はOSの種類ごとに異なるため、利用前に対象OSでの挙動をAWS公式ドキュメントで確認することが望ましい。

よくある質問

Q. AWS Systems Manager Patch Managerはどのようなインスタンスに使えますか？

EC2インスタンスだけでなく、SSMエージェントを導入したオンプレミスサーバーや仮想マシン (VM)にも利用できます。対象OSがサポートされていること、SSM実行許可のIAMロールが割り当てられていることが前提条件です。

Q. Windows ServerとLinuxで挙動に違いはありますか？

あります。Windows Serverの場合、パッチ適用の対象はMicrosoft製アプリケーションの更新に限定されます。またパッチのインストール方式もOSごとに異なり、Windows ServerではWindows Update API、Amazon Linuxなどではyumやdnfといったパッケージマネージャーが使用されます。

Q. パッチベースラインとパッチグループは何が違いますか？

パッチベースラインは、適用するパッチの種類や重大度などの基準（ルール）を定義するものです。パッチグループは、その基準を適用する対象インスタンスの集まりで、タグを使ってインスタンスをグループ化します。両者を紐づけることで、グループ単位でのパッチ適用が実現します。

終わりに

ここまでお読みいただきありがとうございます。いかがだったでしょうか。今回はAWS Systems Manager Patch Managerのサービスの内容と運用について説明しましたが、パッチのインストール方法についてはオペレーティングシステムの種類ごとに適切な組込み機能を使用し、インスタンスにインストールする形になっています。例えばWindows Serverの場合はWindows Update APIを使い、Amazon Linuxの場合はパッケージマネージャーを使用するといったようにオペレーティングシステムによってPatch Managerのインストール方法が異なるので、お使いのオペレーティングシステムのインストール方法をご確認ください。皆様がAWS Systems Manager Patch Managerを利用する際の参考になれば幸いです。