使用AWS Patch Manager补丁前需创建AMI/快照及执行回滚吗？

是否需要创建AMI/快照？ #

• 必须建议创建，尤其是生产环境的实例。补丁操作本质是修改系统文件、更新依赖，大概率不会出问题，但一旦出现（比如服务启动失败、依赖冲突导致业务中断），备份是最快的恢复手段。
• 分场景处理：
  • 无状态实例（比如自动扩缩组里的节点）：不用给每个实例单独做快照，但要保留补丁前的基础AMI。如果补丁后实例故障，直接用旧AMI启动新节点替换即可。
  • 有状态实例（挂载EBS数据卷的）：除了实例AMI，一定要给数据卷单独做快照。补丁操作很少直接改数据，但万一操作失误影响到卷，快照能帮你快速恢复数据。

是否需要执行回滚操作？ #

• 回滚是补丁计划里必不可少的环节，不能省。
• AWS Patch Manager自带的回滚功能可以撤销已安装的补丁，但这种方式有局限——部分补丁的依赖变更、系统配置修改没法完全回退，可能还是会有遗留问题。
• 更稳妥的回滚方式是结合备份：如果补丁后出现严重故障（比如核心服务挂了、系统崩溃），直接用之前备份的AMI重新启动实例，或者把快照恢复到EBS卷，这种方式能让系统回到完全一致的补丁前状态。
• 另外，一定要提前定义回滚触发条件（比如监控到核心指标异常超过10分钟），并且演练一遍回滚流程，真出问题时才不会手忙脚乱。

内容的提问来源于stack exchange，提问作者micha.s90