EC2 Image Builder のよくある質問

新しいイメージが、保留されているアップデートの発生 (例えばソース AMI のアップデート、セキュリティアップデート、コンプライアンスのためのアップデート、新しいテストなど) といったトリガーに基づいて生成されるよう構成することもができますし、一定の時間が経過したら生成されるように定めておくこともできます。ビルドの「間隔」を指定し、保留中の変更を適用して、最新の変更点が含まれたゴールデンイメージを作成することができます。最新のイメージは、Image Builder でテストし、アップデートされたビルド上でのユーザーアプリケーションの動作を検証できます。Image Builder で構築されるイメージへの適用を待っているアップデートのため、SNS キューを経由して通知が行われるように登録することもできます。これらの通知は、新しいイメージを構築するためのトリガーとして用いることができます。

ソフトウェアのイメージは、RPM/Debian パッケージリポジトリや、Windows の MSI やカスタムインストーラのような登録済みのソフトウェアソースにより、カスタマイズできます。事前登録された AWS ソフトウェアソースの他に、自分用のいくつかのリポジトリと、インストール用のソフトウェアを含む Amazon S3 の場所を登録することができます。対話的な入力を必要とするインストールワークフローの場合には、インストーラに固有の「自動」メカニズム (応答ファイルなど) を準備しておくことができます。

Image Builder では、セキュリティ設定の集まりを定義し、その編集、アップデート、使用により、Image Builder で構築されるイメージを強化できるようになっています。これらの設定の集まりは、当てはめられるコンプライアンス基準を満たすために適用できます。これらの基準としては、組織によって、また業界の規制当局により必須とされたものが含まれるでしょう。AWS では、一般的な業界の規制を満たすのに役立つ、設定のギャラリーを用意しています。これらの設定は直接適用することも、変更して用いることもできます。 例えば、STIG 用に AWS が提供している設定は、不必要に空いているポートを閉じ、ソフトウェアファイアウォールを有効にするものです。

いいえ、AWS からの設定のコレクションは、コンプライアンスを達成するために推奨されているガイダンスであり、コンプライアンスを保証するものではありません。コンプライアンスチームおよび監査役と協力して、コンプラインスを検証する必要があるでしょう。AWS が提供している設定は、必要に応じて変更できますし、再使用するときのためにギャラリーに保存しておくことができます。

設定のコレクションは、全く新規に作成することも、AWS が提供したテンプレートを基に派生させることもできます。これらは、登録済みの Amazon S3 ロケーションに保存できます。セキュリティパッチが必ず適用されるようにすること、ファイアウォールをインストールすること、特定のポートを閉じること、プログラム感でのファイル共有を許可しないこと、マルウェア対策ソフトをインストールすること、強いパスワードを作成すること、バックアップを取ること、可能な場合には暗号化すること、弱い暗号は禁止すること、ログと監査のコントロールを行うこと、個人データを削除することなど、セキュリティの設定を適用する、独自のコレクションを作成することができます。カスタムの設定はギャラリーに追加することが可能です。

Image Builder 内のテストフレームワークを使用すれば、OS のアップデートで導入された非互換性を、AWS リージョンにデプロイする前に捕らえることができます。AWS が提供するテストと、自分独自のテストの両方を実行し、テストのランと結果を管理し、テストの合格時には下流にオペレーションを渡すことができます。AWS が提供するテストの例としては、AMI がログインプロンプトまでブートできるか、AMI がサンプルアプリを実行できるかと言ったものがあります。また、イメージに対し、自分自身のテストを行うこともできます。

Image Builder の各テストは、テストスクリプト、テストバイナリ、およびテストメタデータから構成されています。 テストスクリプトには、任意の言語で書かれ、OS がサポートしている任意のテストフレームワーク (Windows の PowerShell、Linux の bash、python、ruby など) で実行されるテストバイナリを起動するオーケストレーションコマンドが含まれており、テストの結果を示す終了ステータスコードを出力します。また、テストメタデータには、名前、説明、テストバイナリへのパス、装う実行時間などの属性が含まれます。

Image Builder は AWS Organizations と統合されており、既存のメカニズムを使用して AWS アカウント間で AMI を共有できるようになっています。Image Builder は、AMI の実行権限を変更して、所有者以外の AWS アカウントに、AMI での EC2 VM の起動を許可します (プライベート、パブリック、および特定のアカウントとの共有など)。また、AWS Organization のマスターアカウントに、承認され、コンプライアンスを満たす AMI だけがインスタンスを起動できるよう、メンバーアカウントに制限をかけさせることができます。AWS Organizations との統合についての詳細は、Image Builder のマニュアルを参照してください。

Image Builder は、Amazon ECR (コンテナレジストリ向けのマネージドサービス) をコンテナイメージの入力と出力の両方として使用します。各リポジトリへのアクセス許可を管理するポリシーを設定し、IAM ユーザー、IAM ロール、または AWS アカウントへのアクセスを制限できます。ECR は RAM および AWS Organizations と統合して、リージョンおよびアカウント間でのコンテナイメージの共有、配布、および複製を可能にします。ECR は、リソースへのアクセスをコントロールするために IAM ポリシーを使用します。

Image Builder は、既存の AMI 共有メカニズムを使用して、選択した AWS リージョンに AMI をコピーすることができます。配布は、Image Builder でのテストを合格したかどうかに応じて、許可されるようにすることができます。

Image Builder は、Code Build や Code Pipeline といった AWS CI/CD サービスとの統合により、AMI の構築、テスト、およびデプロイのための CI/CD パイプラインを実現できるよう支援します。

Image Builder は、イメージ構築プロセスの各ステップの進行状況を追跡し、表示します。さらに、Image Builder でログを CloudWatch に送信することもできます。高度なトラブルシューティングについては、SSM runCommand インターフェイスによって、任意のコマンドとスクリプトを実行することができます。