AWS Systems manager 入門
•
14 gostaram•14,908 visualizações
AWSに関するお問い合わせ：https://www.serverworks.co.jp/contact/ サーバーワークスエンジニアブログ：http://blog.serverworks.co.jp/tech/ AWS Systems manager 入門 Amazon EC2とオンプレミスシステムの設定と管理
Recomendados
Recomendados
Mais conteúdo relacionado
Mais procurados
Mais procurados (20)
Destaque
Destaque (20)
Semelhante a AWS Systems manager 入門
Semelhante a AWS Systems manager 入門 (20)
Mais de Serverworks Co.,Ltd.
Mais de Serverworks Co.,Ltd. (20)
AWS Systems manager 入門
- 1. Amazon EC2 Systems Manager Amazon EC2 とオンプレミスシステムの設定と管理 サーバーワークス プライベートセミナー クラウドインテグレーション部 カスタマーサポート課 伊藤 覚宏 2017/06
- 2. 目次 一般的なシステム運用 Amazon EC2 Systems Managerとは Amazon EC2 Systems Managerの前提条件 Amazon EC2 Systems Managerの利用設定 Amazon EC2 Systems Managerの利用例 2
- 3. 一般的なシステム運用
- 7. Amazon EC2 Systems Managerとは
- 8. Amazon EC2 Systems Managerとは ソフトウェアインベントリの収集や OS パッチの適用、システムイメージの 作成、そして Windows や Linux のオペレーティングシステム設定などの プロセスを自動化する管理サービス AWS ConfigはAWSの構成を管理 Systems ManagerはOS内部の構成を管理 8
- 9. Amazon EC2 Systems Managerの構成要素 Systems Managerは複数の要素で構成されます Run Command ステートマネージャー インベントリ メンテナンスウィンドウ パッチマネージャー オートメーション パラメータストア 9
- 11. Run Command マネージメントコンソールでは [コマンドの実行] となります 11
- 13. ステートマネージャー 13
- 17. メンテナンスウィンドウ 事前に設定した時間でメンテナンスを実施 システムの中断を許容できる時間を指定 OSのアップデート、各種ドライバの更新、ソフトウェアのインストール etc… 組み込み済みのコマンド、Run Commandの実行が可能 メンテナンス実行の時間を明確に決めておく事で可用性と信頼性向上 考え方はRDSのMaintenance Windowと同様 許容期間内での実行はメンテナンスウィンドウ 時間指定はCloud Automatorなどの使い分けが可能 17
- 18. メンテナンスウィンドウ 18
- 22. メンテナンスウィンドウ メンテナンスウィンドウでは次の内容を指定します スケジュール: 開始時刻や繰り返し周期など 期間: タスク実行を許可する期間 タスクの開始を停止: 期間の終了から逆算した新規タスクのスタートを停止する 時間 22
- 28. パッチマネージャー 28
- 29. パッチマネージャー 29
- 30. パッチマネージャー 30
- 31. オートメーション シンプルなワークフローを使って一般的なタスクを自動化 Amazon Machine Images(AMI)の作成と管理に最適化 AMIからEC2を起動 →パッチ適用 →更新されたAMIを作成 JSONベースのドキュメントでワークフローを定義 企業で管理する「ゴールデンイメージ」管理をサポート 31
- 32. オートメーション 32
- 33. パラメータストア IT資産の集中管理 ログイン、DB接続情報などを一元管理 Run Commnad、State Manager、Automation 等から参照可能 Management Consoleからも参照、更新が可能 AWS CLI、各種SDKからも参照、更新が可能 細かい権限管理で必要な人に必要な情報を提供 Parameter Storeに格納した情報はKMSで暗号化 企業の機密情報の分散管理、メンテナンスを簡素化 33
- 34. パラメータストア 34
- 36. パラメータストア パラメータストアからのデータ取得 Run Command、Automation、State Managerで参照可能 例：AWS CLIから参照する場合(赤字部分は編集) aws ssm get-parameters --name パラメータ名 KMSで暗号化していた値を参照する場合 例：AWS CLIから参照する場合(赤字部分は編集) aws ssm get-parameters --names パラメータ名 --with-decryption 36
- 37. パラメータストア パラメータストアからのデータ取得 パラメータストアへのアクセスはIAMで制御が出来るため、パラメータ名の 命名規則を整備することで、環境毎やユーザ毎に特定の情報のみにアクセス可能 にすることが可能です "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ssm:Describe*", "ssm:Get*", "ssm:List*" ], "Resource": [ "arn:aws:ssm:ap-northeast-1:123456789123:parameter/prd.*" ] } ] "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ssm:Describe*", "ssm:Get*", "ssm:List*" ], "Resource": [ "arn:aws:ssm:ap-northeast-1:123456789123:parameter/test.*" ] } ] 37
- 40. ドキュメント ドキュメントのタイプ毎に、利用されるサービスが異なります タイプ サービス Command Run Command ステートマネージャー Policy ステートマネージャー Automation オートメーション 40
- 41. Amazon EC2 Systems Managerの前提条件
- 42. SSM Agent Systems Managerの利用にはSSM Agentのインストールが必要です 管理対象に常駐し、各種サービスからの要求を実行 インストールタイプのエージェント AWSの各種サービスAPIと通信が発生 AWSから提供している以下のAMIにはインストール済み 2016年11月以降に提供しているWindows AMI(2003-2012R2、2016) Amazon Linuxは別途インストールが必要 Source CodeはGithubで公開 https://github.com/aws/amazon-ssm-agent 42
- 43. EC2 Systems Managerの前提環境条件 サポートされているOS Windows(32bit、64bit) Windows Server 2003〜2016(R2含む) Linux(32bit) Amazon Linux 2014.09、2014.03 以降 Ubuntu Server 16.0.4 LTS、14.04 LTS、または 12.04 LTS Red Hat Enterprise Linux (RHEL) 6.5 以降 CentOS 6.3 以降 Linux(64bit) Amazon Linux 2015.09、2015.03 以降 Red Hat Enterprise Linux (RHEL) 7.x 以降 CentOS 7.1 以降 43
- 44. EC2 Systems Managerの前提環境条件 インターネットへのアクセスが出来る事 SSM Agentが各種APIへアクセスするため APIアクセスのためport 80,443 アウトバウンドを許可してください NAT-Gatewayでも可 インターネットからの接続は不要 44
- 45. EC2 Systems Managerの前提環境条件 SSMエージェントの実行ユーザ SSMエージェントは以下のユーザとしてコマンドを実行します。 2017/06/23現在実行ユーザを変更することはできません。 45 OS 実行ユーザ Windows system Linux root
- 46. IAM Roleの作成（EC2の場合） IAM Roleを作成して権限を付与 SSM Agentが各種APIをコールする権限 例：Automationであれば ec2:CreateImage 等 用途によって権限を分ける AWS管理ポリシーを活用 AmazonSSMFullAccess、AmazonSSMReadOnlyAccess等 カスタムポリシーも作成可能 46
- 48. Amazon EC2 Systems Managerの利用設定 （EC2）
- 49. SSM Agentのインストール(Windows on EC2) AWS提供のWindows AMIはインストール済み 2016年11月以降のAMIから起動したWindowsは導入済み 2016年11月以前のAMIから起動したWindowsは更新が必要 SSM Agentを更新する EC2Configでの更新を推奨 Run CommandでAWS-UpdateEC2Configを実行 Windows Server 2016の場合はAWS-UpdateSSMAgentを実行 49
- 50. SSM Agentのインストール(Windows on EC2) 50
- 51. SSM Agentのインストール(Windows on EC2) Windows Server 2016の場合はAWS-UpdateSSMAgent Windows Server 2012以前の場合はAWS-UpdateEC2Config を選択しま す 51
- 52. SSM Agentのインストール(Windows on EC2) コマンド実行対象のインスタンスを選択します 52
- 53. SSM Agentのインストール(Windows on EC2) Runボタンをクリックします 53
- 54. SSM Agentのインストール(Windows on EC2) 54
- 55. SSM Agentのインストール(Windows on EC2) 55
- 56. SSM Agentのインストール(Windows on EC2) 56
- 57. SSM Agentのインストール(Windows on EC2) 57
- 58. SSM Agentのインストール(Windows on EC2) 58
- 59. SSM Agentのインストール(Linux on EC2) SSM Agentをダウンロード、インストール リポジトリ(S3)からダウンロード https://amazon-ssm-region.s3.amazonaws.com/latest/$arch/amazon-ssm- agent.rpm region部分は利用するRegionに置き換える $arch部分もディストリビューションに合わせて置き換える 各種パッケージコマンドでインストール sudo yum install -y amazon-ssm-agent.rpm sudo dpkg -i amazon-ssm-agent.deb コマンド詳細は以下のURLを確認 http://docs.aws.amazon.com/ja_jp/systems-manager/latest/userguide/ssm- agent.html 59
- 60. SSM Agentのインストール(Linux on EC2) SSM Agentをダウンロード、インストール リポジトリ(S3)からダウンロード 東京リージョンの場合 Amazon Linux、RHEL、および CentOS 64 ビット: https://s3.ap-northeast-1.amazonaws.com/amazon-ssm-ap-northeast- 1/latest/linux_amd64/amazon-ssm-agent.rpm Amazon Linux、RHEL、および CentOS 32 ビット: https://s3.ap-northeast-1.amazonaws.com/amazon-ssm-ap-northeast- 1/latest/linux_386/amazon-ssm-agent.rpm Ubuntu Server 64 ビット: https://s3.ap-northeast-1.amazonaws.com/amazon-ssm-ap-northeast- 1/latest/debian_amd64/amazon-ssm-agent.deb Ubuntu Server 32 ビット: https://s3.ap-northeast-1.amazonaws.com/amazon-ssm-ap-northeast- 1/latest/debian_386/amazon-ssm-agent.deb 60
- 61. Amazon EC2 Systems Managerの利用設定 （オンプレミス）
- 63. アクティベーション 63
- 65. アクティベーション 65
- 69. アクティベーション [Amazon EC2 Role for Simple Systems Manager]を選択します。 69
- 72. アクティベーション 信頼関係を以下の通りに書き換えます { "Version": "2012-10-17", "Statement": { "Effect": "Allow", "Principal": {"Service": "ssm.amazonaws.com"}, "Action": "sts:AssumeRole" } } 72
- 73. アクティベーション（Windows） オンプレミスのWindowsに[AWS Tools for Windows PowerShell]をイン ストールします https://aws.amazon.com/jp/powershell/ 73
- 74. アクティベーション（Windows） Windows PowerShell for AWSを起動し以下のコマンドを入力します 赤文字の部分は次の通り書き換えてください code:アクティベーションコード id:アクティベーションID region: Systems Managerを設定しているリージョン $dir = $env:TEMP + "¥ssm" New-Item -ItemType directory -Path $dir cd $dir (New-Object System.Net.WebClient).DownloadFile("https://amazon-ssm- region.s3.amazonaws.com/latest/windows_amd64/AmazonSSMAgentSetup.exe", $dir + "¥AmazonSSMAgentSetup.exe") Start-Process .¥AmazonSSMAgentSetup.exe -ArgumentList @("/q", "/log", "install.log", "CODE=code", "ID=id", "REGION=region") -Wait Get-Content ($env:ProgramData + "¥Amazon¥SSM¥InstanceData¥registration") Get-Service -Name "AmazonSSMAgent" 74
- 78. アクティベーション（Linux） ディストリビューション毎にそれぞれコマンドを実行します 赤文字の部分は次の通り書き換えてください code: アクティベーションコード id: アクティベーションID region: Systems Managerを設定しているリージョン 78
- 79. アクティベーション（Linux） Amazon Linux、RHEL 6.x、CentOS 6.x mkdir /tmp/ssm sudo curl https://s3.amazonaws.com/ec2-downloads-windows/SSMAgent/latest/linux_amd64/amazon-ssm- agent.rpm -o /tmp/ssm/amazon-ssm-agent.rpm sudo yum install -y /tmp/ssm/amazon-ssm-agent.rpm sudo stop amazon-ssm-agent sudo amazon-ssm-agent -register -code "code" -id "id" -region "region" sudo start amazon-ssm-agent 79
- 80. アクティベーション（Linux） RHEL 7.x および CentOS 7.x mkdir /tmp/ssm sudo curl https://s3.amazonaws.com/ec2-downloads-windows/SSMAgent/latest/linux_amd64/amazon-ssm- agent.rpm -o /tmp/ssm/amazon-ssm-agent.rpm sudo yum install -y /tmp/ssm/amazon-ssm-agent.rpm sudo systemctl stop amazon-ssm-agent sudo amazon-ssm-agent -register -code "code" -id "id" -region "region" sudo systemctl start amazon-ssm-agent 80
- 81. アクティベーション（Linux） Ubuntu mkdir /tmp/ssm sudo curl https://s3.amazonaws.com/ec2-downloads-windows/SSMAgent/latest/debian_amd64/amazon-ssm- agent.deb -o /tmp/ssm/amazon-ssm-agent.deb sudo dpkg -i /tmp/ssm/amazon-ssm-agent.deb sudo service amazon-ssm-agent stop sudo amazon-ssm-agent -register -code "code" -id "id" -region "region" sudo service amazon-ssm-agent start 81
- 84. Amazon EC2 Systems Managerの利用例
- 85. Amazon EC2 Systems Managerの利用例 Windowsのパッチ管理 ITシステムの構成管理 AMI管理の自動化 85
- 92. Windowsのパッチ管理 以下の通り信頼関係に[ssm.amazonaws.com]を追加します 92 { "Version": "2012-10-17", "Statement": [ { "Sid": "", "Effect": "Allow", "Principal": { "Service": "ec2.amazonaws.com", "Service": "ssm.amazonaws.com" }, "Action": "sts:AssumeRole" } ] }
- 95. Windowsのパッチ管理 パッチベースラインで適用するパッチのベースを指定します Product: OSバージョン Classification: パッチ分類 Severity: 重要度 Auto Approval Delay: 遅延日数 95
- 97. Windowsのパッチ管理 EC2インスタンスの場合 [Patch Group]というタグキーを指定することに より、パッチ適用対象をグループ化して管理することができます マネージドインスタンスにはタグを付与する事が出来ないため[Patch Group] は利用出来ません。インスタンス単位で指定を行います 97
- 104. Windowsのパッチ管理 パラメータで[Scan]か[Install]を選択します Scan: インスタンスをスキャンして欠落しているパッチを確認できるリストを 生成します Install: インスタンスをスキャンし、ベースラインの承認済みパッチのリスト とインストールされたパッチのリストを照合します Patch Manager は、欠落しているパッチを確認すると、すべての欠落している パッチをダウンロードしてインストールします。パッチをインストールすると、 Systems Manager によってインスタンスが再起動されます 10
- 111. ITシステムの構成管理 111
- 117. ITシステムの構成管理 インスタンスおよびマネージドインスタンス（オンプレミス）のインベント リ情報は[インベントリ]タブで[inventory Type]を選択することで確認がで きます 117
- 119. ITシステムの構成管理 119
- 120. ITシステムの構成管理 120
- 129. AMI更新の自動化 以下の通り信頼関係に[ssm.amazonaws.com]を追加します 129 { "Version": "2012-10-17", "Statement": [ { "Sid": "", "Effect": "Allow", "Principal": { "Service": "ec2.amazonaws.com", "Service": "ssm.amazonaws.com" }, "Action": "sts:AssumeRole" } ] }
- 135. AMI更新の自動化 以下の通り信頼関係に[ssm.amazonaws.com]を追加します 135 { "Version": "2012-10-17", "Statement": [ { "Sid": "", "Effect": "Allow", "Principal": { "Service": "ec2.amazonaws.com", "Service": "ssm.amazonaws.com" }, "Action": "sts:AssumeRole" } ] }
- 138. AMI更新の自動化 以下の通り信頼関係に[ssm.amazonaws.com]を追加します 138 { "Version": "2012-10-17", "Statement": [ { "Sid": "", "Effect": "Allow", "Principal": { "Service": "ec2.amazonaws.com", "Service": "ssm.amazonaws.com" }, "Action": "sts:AssumeRole" } ] }
- 141. AMI更新の自動化 PassRoleの権限を付与し、EC2インスタンス用のIAM にPassRoleできるよ うにします 141 { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iam:PassRole" ], "Resource": [ " arn:aws:iam::xxxxxxxxxxx:role/AmazonEC2RoleforSSM" ] } ] }
- 146. AMI更新の自動化 パラメーターの内容は以下の通り 146 パラメーター 入力内容 SourceAmiId 更新元となるAMI ID InstanceIamRole EC2インスタン用IAMロール名 AutomationAssumeRole Automation用IAMロールARN TargetAmiName 作成するAMI名 InstanceType 途中に生成するインスタンスタイプ PreUpdateScript 更新を適用する前に実行するスクリプトのURL PostUpdateScript 更新を適用した後に実行するスクリプトのURL IncludePackages 更新する特定のパッケージ名 デフォルトではすべてのパッケージが更新されます ExcludePackages 更新から除外する特定のパッケージ名
- 150. AMI更新の自動化 [オートメーション]を利用することで、インスタンスの稼働時間を最小にし ながら、AMIを最新の状態に保つことが可能です この方法では、手動でAMI IDを指定する必要があります Lambdaとパラメータストアを利用することで、最新のAMI IDを自動的に 設定することも可能です 150 Automation、Lambda、および Parameter Store を使用した AMI へのパッチ適用の簡素化 AMI にパッチを適用し、Auto Scaling グループを更新する
- 151. まとめ
- 154. まとめ Systems ManagerとCloud Automatorの比較 Systems Managerでは、IAMロールとJSONを利用することで複雑な処理を 行う事が可能です Cloud Automatorの場合 わかりやすいGUIにより簡単に設定を行うことが 可能です 154 機能 Systems Manager Cloud Automator ステップ処理 オートメーションで設定 SQSによる連携 OS内部処理 SSMエージェントにより実行 SSMエージェントにより実行 定期実行 メンテナンスウィンドウで設定 タイマートリガー