EC2 Image Builder FAQs

Qu’est-ce qu’EC2 Image Builder ?

EC2 Image Builder simplifie la création, la maintenance, la validation, le partage et le déploiement d’images Linux ou Windows pour leur utilisation avec Amazon EC2 et sur site.

Quels sont les avantages d’Image Builder ?

Amélioration de la productivité informatique

EC2 Image Builder simplifie le processus de création, de maintenance et de déploiement d’images sécurisées et conformes, sans recourir à l’écriture et à la maintenance de code d’automatisation. En confiant l’automatisation à Image Builder, vous libérez des ressources et du temps.

Plus simple à sécuriser

EC2 Image Builder vous permet de créer des images avec seulement les composants essentiels, et donc de réduire votre exposition aux vulnérabilités de sécurité. Vous pouvez également appliquer les paramètres de sécurité fournis par AWS pour mieux adapter la sécurisation de vos images à vos critères internes de sécurité.

Une gestion simple des images à la fois sur AWS et sur site

En conjonction avec AWS VM Import/Export (VMIE), EC2 Image Builder vous permet de créer et de maintenir des images maîtres pour Amazon EC2 (AMI) ainsi que pour les formats de VM sur site (VHDX, VMDK et OVF).

Support de validation intégré

EC2 Image Builder vous permet de valider facilement vos images soit avec les tests fournis par AWS, soit avec vos propres tests, avant de les utiliser en production. Cela permet de limiter les erreurs dans les images, qui sont généralement dues à des tests insuffisants et peuvent mener à des pertes de temps. Les politiques qui déploient les images dans des régions AWS spécifiques peuvent être définies uniquement après qu'elles aient réussi les tests que vous avez spécifiés.

Application centralisée des politiques

EC2 Image Builder permet le contrôle de version afin de faciliter la gestion de la révision. Il s’intègre avec AWS Resource Access Manager et AWS Organizations pour permettre le partage de scripts d’automatisation, de recettes et d’images entre comptes AWS. Image Builder permet également aux équipes de sécurité de l’information et aux équipes informatiques de mieux s’assurer de l’application des politiques et de la conformité des images.

Comment commencer à utiliser Image Builder ?

Vous pouvez utiliser Image Builder avec la console AWS, AWS CLI ou des API pour créer des images dans votre propre compte AWS. Lorsque vous l’utilisez avec la console AWS, Image Builder fournit un wizard étape par étape dont le déroulement est le suivant :

• Étape 1 : Fournissez une image OS de base. 
• Étape 2 : Sélectionnez les logiciels à installer. 
• Étape 3 : Sélectionnez et exécutez les tests. 
• Étape 4 : Distribuez les images aux régions sélectionnées.

Les images que vous créez sont dans votre compte AWS et peuvent être configurées pour être « patchées » (corrigées) en permanence. Vous pouvez suivre la progression et demander à CloudWatch Events de vous avertir si un dépannage ou un débogage est nécessaire. En plus de produire votre image finale, Image Builder génère un fichier de « recette » qui peut être utilisé avec les systèmes de contrôle de version du code source existants et avec les pipelines CI/CD, afin d’assurer la reproductibilité de l’automatisation.

Quels sont les formats d'image supportés par Image Builder ?

En l'utilisant avec AWS VM Import/Export (VMIE), EC2 Image Builder vous permet de créer et de maintenir des images maîtres pour Amazon EC2 (AMI) ainsi que pour les formats de machine virtuelle sur site (VHDX, VMDK et OVF). Vous pouvez utiliser une AMI existante (soit votre propre AMI personnalisée, soit une sélection dans une liste d'images gérées par Image Builder) comme point de départ de votre processus de construction d'image. Vous pouvez également utiliser VMIE pour importer une image à partir des formats VMDK, VHDX ou OVF dans une AMI, qui peut ensuite servir de point de départ à la création de votre image. L'image finale générée est au format AMI, qui peut être exportée aux formats VHDX, VMDK et OVF à l'aide de VMIE.

Quels sont les systèmes d'exploitation pris en charge par Image Builder ?

Image Builder prend en charge les systèmes d'exploitation suivants :

• Amazon Linux 2
• Windows Server 2012, 2016 et 2019
• Ubuntu Server 16 et 18
• Red Hat Enterprise Linux (RHEL) 7 et 8
• CentOS 7 et 8
• SUSE Linux Enterprise Server (SLES) 15

Quel est le format de sortie d'Image Builder ?

Image Builder génère des images de serveur au format AMI. Vous pouvez utiliser VMIE pour exporter ces AMI vers VHDX, VMDK ou OVF pour une utilisation sur site.

Qu'est-ce qu'une recette Image Builder ?

Une recette Image Builder est un fichier qui représente l’état final des images produites par des pipelines d'automatisation. Elle permet la répétition déterministe des créations. Les recettes peuvent être partagées, ramifiées (utilisées pour un « fork ») et éditées en dehors de l’IU Image Builder. Vous pouvez utiliser vos recettes avec votre logiciel de contrôle de version pour maintenir des recettes à version contrôlée, que vous pouvez utiliser pour partager et suivre les changements.

Combien coûte Image Builder ?

Image Builder est offert sans autre coût que celui des ressources AWS sous-jacentes utilisées pour créer, stocker et partager les images.  

Comment créer automatiquement des images qui sont à jour des derniers patchs et actualisations ?

Il est possible de configurer Image Builder pour que de nouvelles images soient générées en fonction d’un événement déclencheur, par exemple chaque fois qu’il y a une actualisation en attente (mises à jour de l’AMI source, mises à jour de sécurité et de conformité, nouveaux tests, etc.) ou à une fréquence prédéfinie. Vous pouvez spécifier une « cadence de création » à laquelle de nouvelles images maîtres intégrant les derniers changements sont produites en appliquant les changements en attente. Les dernières images peuvent être testées avec Image Builder pour valider vos applications sur les créations mises à jour. Vous pouvez également vous inscrire aux notifications via les files d’attente SNS afin d’être averti des mises à jour en attente sur les images créées avec Image Builder. Vous pouvez utiliser ces notifications comme déclencheurs pour la création de nouvelles images.

Puis-je personnaliser mes images ?

Vous pouvez personnaliser les images des logiciels à partir de sources logicielles enregistrées telles que les référentiels de packages RPM/Debian et les MSI et les installateurs personnalisés sur Windows. En plus des ressources AWS pré-enregistrées, vous pouvez également enregistrer un ou plusieurs de vos référentiels et des emplacements Amazon S3 qui contiennent des logiciels pour l'installation. Vous pouvez fournir des mécanismes « sans surveillance » spécifiques de l’installeur (comme des fichiers de réponse) pour les flux de travail d’installation qui nécessitent des entrées interactives.

Comment appliquer mes politiques informatiques internes aux images produites avec Image Builder ?

Image Builder vous permet de définir des collections de paramètres de sécurité que vous pouvez éditer, actualiser et utiliser pour durcir les images créées avec Image Builder. Ces collections de paramètres peuvent être appliquées de manière à satisfaire les critères de conformité applicables. Ces critères peuvent être mandatés par votre organisation ou par l’organisme de réglementation dans votre secteur. AWS fournit une galerie de paramètres pour vous aider à respecter les réglementations les plus courantes de votre secteur. Vous pouvez appliquer des ensembles de paramètres directement ou dans une forme modifiée. Par exemple, les paramètres fournis par AWS pour le STIG ferment les ports ouverts qui ne sont pas essentiels et activent un pare-feu.

L'utilisation d'Image Builder assure-t-elle la conformité avec des réglementations comme CIS, HIPAA, etc. ?

Non, les collections de paramètres d’AWS représentent des recommandations visant à satisfaire les critères de conformité mais ne constituent pas une garantie de conformité. Vous devrez travailler avec vos équipes responsables de la mise en conformité et avec vos auditeurs pour valider la conformité. Les paramètres fournis par AWS peuvent être modifiés en fonction de vos besoins et sauvegardés pour leur réutilisation dans la galerie.

Puis-je capturer les paramètres validés par mon équipe responsable de la conformité et les réutiliser pour durcir mes images VM ?

Les collections de paramètres peuvent être créées à partir de zéro ou dérivées de modèles fournis par AWS et stockées dans un emplacement Amazon S3 enregistré. Vous pouvez créer vos propres collections, qui appliquent notamment les paramètres de sécurité suivants : s’assurer que les patchs de sécurité sont appliqués, installer un pare-feu, fermer certains ports, ne pas autoriser le partage de fichiers entre les programmes, installer un logiciel anti-malware, créer des mots de passe forts, garder un backup, utiliser le chiffrement si possible, désactiver les chiffrements faibles, enregistrer l’historique dans un journal/faire des contrôles d’audit, supprimer les données personnelles, etc. Vous pouvez ajouter vos paramètres personnalisés à la galerie.

Comment tester mes images ?

Le cadre de test dans Image Builder vous permet de détecter les incompatibilités introduites par les mises à jour de l’OS avant le déploiement dans les régions AWS. Vous pouvez exécuter à la fois des tests fournis par AWS et vos propres tests, gérer les sessions de test et les résultats et conditionner les opérations en aval à la réussite aux tests. Voici quelques exemples de tests fournis par AWS : tester si une AMI peut s’initialiser au login prompt, tester si une AMI peut exécuter un exemple d’application, etc. Vous pouvez également exécuter vos propres tests sur les images.

En quoi consiste chaque test dans Image Builder ?

Chaque test dans Image Builder se compose d'un script de test, d'un binaire de test et de métadonnées de test. Le script de test contient les commandes d’orchestration pour démarrer le binaire de test, qui peut être écrit dans n’importe quel langage et dans n’importe quel cadre de test pris en charge par le système d’exploitation (par ex., PowerShell sous Windows, et bash, python, ruby, etc. sous Linux). Les codes des valeurs de sortie indiquent les résultats des tests. Les métadonnées de test incluent également des attributs comme le nom, la description, les chemins vers le binaire de test, la durée attendue, etc.

Comment partager les AMI entre des comptes AWS ?

Image Builder s’intègre dans AWS Organizations pour permettre le partage des AMI entre comptes AWS, en utilisant des mécanismes existants. Image Builder peut modifier les permissions de lancement de l’AMI pour contrôler quels comptes AWS, en dehors de celui du propriétaire, sont autorisés à lancer les VM EC2 avec l’AMI (par ex., privé, public et partage avec des comptes spécifiques). Vous pouvez également faire en sorte que votre compte principal AWS Organization applique des contraintes sur les comptes des membres, afin de lancer des instances uniquement avec des AMI approuvées et conformes. Reportez-vous à la documentation Image Builder pour plus de détails sur l’intégration avec AWS Organizations.

Comment puis-je partager, distribuer et reproduire des images de conteneurs entre les comptes AWS et les régions AWS ?

Image Builder utilise Amazon ECR (un service géré pour les registres de conteneurs) à la fois comme entrée et comme sortie pour les images de conteneurs. Vous pouvez configurer des politiques afin de gérer les autorisations pour chaque référentiel et restreindre l'accès aux utilisateurs et rôles IAM ou aux autres comptes AWS. ECR s'intègre à RAM et à AWS Organizations pour permettre le partage, la distribution et la réplication des images des conteneurs entre les régions et les comptes. ECR utilise les stratégies IAM pour contrôler l'accès aux ressources.

Comment distribuer les AMI dans les régions AWS ?

Image Builder peut copier les AMI dans les régions AWS sélectionnées en utilisant des mécanismes de partage des AMI existants. La distribution peut être conditionnée par la réussite aux tests avec Image Builder.

J’ai déjà un pipeline CI/CD pour produire mes images. Comment puis-je l’utiliser avec Image Builder ?

Image Builder peut s’intégrer avec des services AWS CI/CD comme Code Build et Code Pipeline pour vous aider à actualiser un pipeline CI/CD de bout en bout pour la création, le test et le déploiement des AMI.

Comment dépanner et déboguer les problèmes dans Image Builder ?

Image Builder suit et affiche la progression pour chaque étape du processus de création des images. De plus, vous pouvez faire en sorte qu'Image Builder émette des journaux dans CloudWatch. Pour un dépannage avancé, vous pouvez exécuter des commandes et des scripts arbitraires en utilisant l’interface SSM runCommand.