EC2 Image Builder: вопросы и ответы

Вы можете настроить создание образов по триггерам, например при выпуске обновлений (в том числе обновлений исходного кода AMI, обновлений системы безопасности, обновлений для соответствия требованиям, новых тестов и т. д.) или с заданным интервалом времени. Вы можете задать «период сборки» золотых образов с новейшими обновлениями, применяя изменения, ожидающие обработки. Актуальные образы можно тестировать с помощью Image Builder для проверки приложений в обновленных сборках. Вы также можете подписаться на уведомления через очереди SNS для ожидающих обработки обновлений образов, созданных с помощью Image Builder. Вы можете использовать эти уведомления в качестве триггеров для создания новых образов.

Образы программного обеспечения можно настраивать с помощью зарегистрированных источников ПО, таких как пакеты RPM/Debian или пакеты MSI и пользовательские установщики в Windows. Помимо заранее зарегистрированных источников программного обеспечения AWS можно зарегистрировать один или несколько репозиториев и расположений Amazon S3, содержащих ПО для установки. Вы можете реализовать механизмы автоматического реагирования (например, файлы ответов) для рабочих процессов установки, требующих интерактивного ввода.

Image Builder дает возможность определять коллекции параметров безопасности, которые можно редактировать, обновлять и использовать для дополнительной защиты образов, созданных с помощью Image Builder. Эти коллекции параметров можно применять для соблюдения применимых нормативных требований. Эти критерии могут быть установлены вашей организацией или управляющим органом вашей отрасли. AWS предоставляет коллекцию параметров, помогающих соблюдать популярные отраслевые нормативы. Вы можете применять наборы параметров непосредственно или с изменениями. Например, параметры от AWS для STIG закрывают необязательные открытые порты и включают программный брандмауэр.

Нет. Коллекции параметров от AWS представляют рекомендуемые подходы к обеспечению соответствия требованиям, но не гарантируют его. Вам потребуется проверить соответствие требованиям в сотрудничестве с соответствующим отделом и аудиторами. Параметры от AWS можно менять в соответствии с потребностями и сохранять для повторного использования в коллекции.

Коллекции параметров можно создавать с нуля или на основе шаблонов AWS и сохранять в зарегистрированном расположении Amazon S3. Вы можете создавать собственные коллекции, применяющие такие параметры, как применение исправлений безопасности, установка брандмауэра, закрытие определенных портов, запрет обмена файлами между программами, установка антивирусного ПО, создание надежных паролей, хранение резервной копии, использование шифрования по мере возможности, отключение слабого шифрования, управление ведением журналов и аудитом, удаление персональных данных и т. д. Вы можете добавить свои настройки в коллекцию.

Платформа тестирования в Image Builder позволяет выявлять несовместимости, вызванные обновлениями ОС, перед развертыванием в регионах AWS. Вы можете проводить как тесты от AWS, так и собственные тесты, управлять испытаниями и результатами, а также ограничивать нижестоящие операции согласно прохождению тестов. Примеры тестов от AWS: проверка возможности загрузки AMI до экрана входа, тестовый запуск образца приложения в AMI и т. д. Вы также можете проводить с образами собственные тесты.

Каждый тест в Image Builder состоит из скрипта, двоичного файла и метаданных. Скрипт теста содержит команды управления для запуска двоичного файла, который может быть написан на любом языке и на любой тестовой платформе, которую поддерживает ОС (например, PowerShell для Windows и bash, python, ruby и т. д. для Linux). Коды завершения служат обозначением для результатов тестов. Метаданные теста также содержат такие атрибуты, как имя, описание, пути к двоичному файлу теста, ожидаемую продолжительность и т. д.

Image Builder интегрируется с AWS Organizations, что позволяет предоставлять аккаунтам AWS общий доступ к AMI с помощью существующих механизмов. Image Builder может менять разрешения на запуск AMI, проверяя таким образом, каким аккаунтам AWS, помимо владельца, разрешено запускать виртуальные машины EC2 с AMI (например, частным, общедоступным или конкретным аккаунтам). Ваш главный аккаунт организации AWS может разрешить аккаунтам-участникам запускать инстансы только с утвержденными и соответствующими требованиям AMI. Подробные сведения об интеграции с AWS Organizations представлены в документации по Image Builder.

В качестве сервиса входящих и исходящих данных для образов контейнеров Image Builder использует Amazon ECR (управляемый сервис для реестров контейнеров). У пользователя есть возможность настроить политики управления разрешениями отдельно для каждого репозитория и предоставить ограниченный доступ для определенных пользователей или ролей IAM, а также аккаунтов AWS. ECR интегрируется с RAM и AWS Organizations, что позволяет распределять и реплицировать образы контейнеров среди аккаунтов и регионов AWS, а также открывать для них совместный доступ к образам контейнеров. ECR использует политики IAM для организации контроля доступа к ресурсам.

В Image Builder можно копировать AMI в указанные регионы AWS, используя имеющиеся механизмы общего доступа к AMI. Распределение можно ограничить согласно прохождению тестов в Image Builder.

Image Builder можно интегрировать с такими сервисами AWS CI/CD, как Code Build и Code Pipeline, чтобы реализовать полноценный конвейер CI/CD для создания, тестирования и развертывания AMI.

Image Builder отслеживает и отображает ход выполнения каждого этапа создания образа. Кроме того, Image Builder может передавать журналы в CloudWatch. Для использования расширенных возможностей устранения неполадок вы можете запускать произвольные команды и скрипты с помощью интерфейса SSM runCommand.