# 定时扫描OS补丁失败时自动通知
#### 实践场景
企业IT环境中，**OS补丁定时扫描**是保障系统安全、满足合规要求的核心运维动作，用于发现系统漏洞、评估补丁缺失情况并驱动修复。但在实际运维中，扫描任务常因各类异常导致失败，传统依赖人工巡检的模式存在显著风险：
- 安全风险敞口扩大：扫描失败意味着漏洞发现链路中断，高危漏洞无法被及时识别，易被黑客利用发起攻击，造成数据泄露、业务中断等严重后果。
- 运维效率低下：人工逐台检查扫描任务状态耗时耗力，尤其在大规模服务器集群（数百台至数千台）中，无法快速定位失败节点，问题处置滞后。
- 合规性不达标：合规标准要求漏洞扫描与修复的闭环管理，扫描失败未及时处理会导致合规审计不通过，面临处罚风险。
- 故障根因难追溯：扫描失败原因多样（网络中断、权限不足、扫描工具异常、系统服务故障等），无自动化通知与日志聚合时，难以快速定位根因，延长故障恢复时间。
因此，构建定时扫描OS补丁失败自动通知机制，实现失败事件实时告警、根因快速定位、问题闭环处理，是企业补丁管理与安全运维的核心最佳实践。
#### 解决方案
核心设计原则：
- 实时性：扫描失败触发后，1分钟内完成信息通知，避免延迟。
- 精准性：通知信息包含失败任务名称、任务ID、时间、任务类型，减少排查成本。
- 多渠道：覆盖邮件、短信、企业微信、钉钉等，确保运维人员必达。
- 可追溯：失败事件全链路记录，支持日志查询与复盘。
 
#### 创建定时扫描OS补丁任务
1. 登录[云运维中心](https://console.huaweicloud.com/coc/?#/console/home)。
2. 在左侧导航栏选择"资源运维 \> 自动化运维"。
3. 在"日常运维"模块单击"定时运维"。
4. 单击"**创建定时任务**"，进入创建定时任务页面。
5. 在创建定时任务页面，设置定位任务基本信息，名称输入"**定时扫描OS补丁** "，风险等级选择"低"，其他参数保持默认。
   
   图1填写基本信息   
   ![](https://support.huaweicloud.com/bestpractice-coc/zh-cn_image_0000002532349716.png "点击放大")
   
   
6. 参考[表1]设置定时扫描规则，参数详细说明请参见[创建定时任务](https://support.huaweicloud.com/usermanual-coc/coc_um_05_03_04.html)。
   
   图2设置定时扫描规则   
   ![](https://support.huaweicloud.com/bestpractice-coc/zh-cn_image_0000002532514368.png "点击放大")
    表1定时扫描规则说明 
   | **参数**     | 本案例示例                                             | **说明**                                                                                                                                                                    |
   |:---|:---|:---|
   | 时区         | GMT +08：00                                      | 在下拉列表选择定时任务执行的时区。                                                                                                                                                          |
   | 定时类型  | 周期执行                                             | 按照设置的规则循环执行，直到规则结束时间。                                                                                                                                                    |
   | 执行时间       | Cron表达式 0 15 3 5 \* ? | 以时间表达式设置。详细使用方法请参考[Cron表达式使用说明](https://support.huaweicloud.com/usermanual-coc/coc_um_05_03_03.html)。 0 15 3 5 \* ? 表示每月5日的3：15时执行扫描OS补丁任务。 |
   | 规则结束时间        | -                                                 | 请配置规则结束时间。定时任务会根据用户自定义的执行周期循环执行，直到规则结束时间。                                                                                                                                   |
      
   
   
7. 任务类型选择"作业"，参考[表2]设置任务。
   
   图3选择作业   
   ![](https://support.huaweicloud.com/bestpractice-coc/zh-cn_image_0000002532359780.png "点击放大")
    表2作业任务配置说明 
   | 参数      | 本案例的示例              | 说明                                                                                       |
   |:---|:---|:---|
   | 作业     | OS补丁扫描               | 在"公共作业"页签中选择"OS补丁扫描"                                                                    |
   | IAM权限委托 | ServiceAgencyForCOC | 为避免由于委托权限不足导致定时任务执行失败，IAM权限委托将默认置为ServiceAgencyForCOC，且用户需要申请iam:agencies:pass的action权限。 |
   | 目标实例模式  | 所有步骤一致              | 所有任务在所选目标实例执行，统一使用一个分批策略。                                                                 |
   | 作业步骤    | -                 | 使用公共作业默认步骤。                                                                             |
   | 目标实例     | 目标实例                | 单击"添加实例"，选择目标实例。                                                                         |
   | 分批策略     | 自动分批              | 当选择多个实例时，可配置。 用户选择的待执行机器，会根据默认规则，自动分成多批次。                |
      
   
   
8. 关闭"入库人工审核"。 
   ![](https://support.huaweicloud.com/bestpractice-coc/public_sys-resources/note_3.0-zh-cn.png)
   本示例只演示定时运维基本功能，日常运维请评估操作风险，建议您配置审批流程。
   
   
9. 开启"消息通知"，并设置通知规则。 
   图4设置通知   
   ![](https://support.huaweicloud.com/bestpractice-coc/zh-cn_image_0000002532526224.png "点击放大")
   表3通知规则说明 
   | 参数     | 本案例的示例 | 说明                                                                                                                    |
   |:---|:---|:---|
   | 通知策略   | 执行失败   | 当定时任务执行失败时，将发起通知信息。                                                                                                   |
   | 通知对象 | 排班    | 按照已配置的排班场景和角色在下拉列表选择。配置排班详细操作请参考[排班管理](https://support.huaweicloud.com/usermanual-coc/coc_um_09_02_01_01.html)。      |
   | 通知渠道 | 邮件    | 按照通知人员预留的信息进行通知。设置通知人员信息详细操作请参考[修改人员信息](https://support.huaweicloud.com/usermanual-coc/coc_um_09_01_02.html#section5)。 |
      
   
   
10. 单击"确定"，完成定时任务创建。
 
#### 验证执行结果
1. 在定时运维任务列表中，可以查看[步骤二：创建定时任务](https://support.huaweicloud.com/bestpractice-coc/coc_case_04.html#coc_case_04__section77691744144814)中已创建的定时任务。
   
   图5查看定时任务   
   ![](https://support.huaweicloud.com/bestpractice-coc/zh-cn_image_0000002535009796.png "点击放大")
   
   
2. 等待到达定时扫描任务设定的时间点，系统将自动进行OS补丁扫描。
3. 若扫描任务失败，将会发送邮件通知排班人员，排班人员定位扫描失败原因，并重新手动进行扫描。 
   图6发送异常通知   
   ![](https://support.huaweicloud.com/bestpractice-coc/zh-cn_image_0000002565772431.png "点击放大")
   图7查看异常日志   
   ![](https://support.huaweicloud.com/bestpractice-coc/zh-cn_image_0000002565856133.png "点击放大")