Các câu hỏi thường gặp về Trình tạo hình ảnh EC2

Các hình ảnh mới có thể được đặt cấu hình để được tạo dựa trên các kích hoạt như mỗi khi có bản cập nhật đang chờ xử lý (ví dụ: cập nhật AMI nguồn, cập nhật bảo mật, cập nhật để tuân thủ, kiểm tra mới, v.v.) hoặc theo khoảng thời gian quy định. Bạn có thể chỉ định một “khoảng thời gian tạo”, trong đó hình ảnh vàng mới được tạo ra với những thay đổi mới nhất bằng cách áp dụng các thay đổi đang chờ xử lý. Các hình ảnh mới nhất có thể được kiểm tra với Trình dựng hình ảnh để xác thực các ứng dụng của bạn trên các bản dựng được cập nhật. Bạn cũng có thể đăng ký thông báo qua hàng đợi SNS để cập nhật các bản cập nhật cho hình ảnh được xây dựng bằng Trình dựng hình ảnh. Bạn có thể sử dụng các thông báo này làm trình kích hoạt để xây dựng hình ảnh mới.

Bạn có thể tùy chỉnh ảnh phần mềm từ các nguồn phần mềm đã đăng ký, chẳng hạn như các kho lưu trữ gói RPM/Debian, MSI và trình cài đặt tùy chỉnh trên Windows. Ngoài các nguồn phần mềm AWS đã đăng ký trước, bạn cũng có thể đăng ký một hoặc nhiều kho lưu trữ và các vị trí Amazon S3 có chứa phần mềm để cài đặt. Bạn có thể cung cấp các cơ chế “không liên kết” cụ thể theo bộ cài đặt (như các tệp trả lời) cho các quy trình cài đặt cần đầu vào tương tác.

Trình dựng hình ảnh cho phép bạn xác định các bộ cài đặt bảo mật mà bạn có thể chỉnh sửa, cập nhật và sử dụng để bảo mật hình ảnh được xây dựng bằng Trình dựng hình ảnh. Các bộ cài đặt này có thể được áp dụng để đáp ứng các tiêu chí tuân thủ được áp dụng. Các tiêu chí này có thể được áp đặt bởi tổ chức của bạn hoặc bởi cơ quan quản lý trong ngành của bạn. AWS cung cấp một bộ các cài đặt để giúp đáp ứng các quy định phổ biến trong ngành. Bạn có thể áp dụng các bộ cài đặt trực tiếp hoặc ở dạng sửa đổi. Ví dụ: các cài đặt do AWS cung cấp cho STIG sẽ đóng các cổng mở không cần thiết và kích hoạt tường lửa phần mềm.

Không, các bộ cài đặt từ AWS thể hiện hướng dẫn được khuyến nghị để đạt được sự tuân thủ và không đảm bảo tuân thủ. Bạn sẽ cần làm việc với các nhóm tuân thủ và kiểm toán viên của mình để xác nhận sự tuân thủ. Các cài đặt do AWS cung cấp có thể được sửa đổi dựa trên nhu cầu của bạn và được lưu để sử dụng lại trong thư viện.

Các bộ cài đặt có thể được xây dựng từ đầu hoặc lấy từ các mẫu do AWS cung cấp và được lưu trữ trong một vị trí Amazon S3 đã đăng ký. Bạn có thể xây dựng các bộ cài đặt của riêng mình áp dụng các cài đặt bảo mật như đảm bảo các bản vá bảo mật được áp dụng, cài đặt tường lửa, đóng một số cổng nhất định, không cho phép chia sẻ tệp giữa các chương trình, cài đặt chống phần mềm độc hại, tạo mật khẩu mạnh, giữ bản sao lưu, sử dụng mã hóa khi có thể, vô hiệu hóa mã hóa yếu, kiểm soát ghi nhật ký/kiểm tra, xóa dữ liệu cá nhân, v.v. Bạn có thể thêm các cài đặt tùy chỉnh của bạn vào thư viện.

Khung kiểm tra trong Image Builder cho phép bạn nắm bắt sự không tương thích được tạo ra bởi các bản cập nhật hệ điều hành trước khi triển khai đến các khu vực AWS. Bạn có thể chạy cả hai - các kiểm tra do AWS cung cấp và các kiểm tra của riêng bạn, quản lý các lần chạy kiểm tra, kết quả và các hoạt động xuôi chiều cổng khi vượt qua các bài kiểm tra. Ví dụ về các kiểm tra do AWS cung cấp bao gồm: kiểm tra xem AMI có thể khởi động từ lời nhắc đăng nhập không, kiểm tra xem AMI có thể chạy ứng dụng mẫu không, v.v. Bạn cũng có thể chạy kiểm tra của riêng bạn trên hình ảnh.

Mỗi kiểm tra trong Trình dựng hình ảnh bao gồm một tập lệnh kiểm tra, nhị phân kiểm tra và siêu dữ liệu kiểm tra. Tập lệnh kiểm tra chứa các lệnh phối hợp để khởi động nhị phân kiểm tra có thể được viết bằng bất kỳ ngôn ngữ nào và trong bất kỳ khung kiểm tra nào được hỗ trợ bởi HĐH (ví dụ: PowerShell trên Windows và bash, python, ruby, v.v. trên Linux) và mã trạng thái thoát biểu thị kết quả kiểm tra. Kiểm tra siêu dữ liệu cũng bao gồm các thuộc tính như tên, mô tả, đường dẫn để kiểm tra nhị phân, thời lượng dự kiến, v.v.).

Trình dựng hình ảnh tích hợp với AWS Organizations để cho phép chia sẻ AMI trên các tài khoản AWS bằng các cơ chế hiện có. Trình dựng hình ảnh có thể sửa đổi quyền khởi chạy AMI để kiểm soát tài khoản AWS nào ngoài chủ sở hữu được phép khởi chạy VM EC2 bằng AMI (ví dụ: riêng tư, công khai và chia sẻ với các tài khoản cụ thể). Bạn cũng có thể yêu cầu các tài khoản chính của Tổ chức AWS thực thi các ràng buộc đối với các tài khoản thành viên để khởi chạy các phiên bản chỉ với các AMI được phê duyệt và tuân thủ. Xem tài liệu Image Builder để biết chi tiết về tích hợp với AWS Organizations.

Image Builder sử dụng Amazon ECR (dịch vụ được quản lý dành cho các sổ đăng ký của bộ chứa) làm cả đầu vào và đầu ra cho ảnh bộ chứa. Bạn có thể đặt cấu hình chính sách để quản lý các quyền cho từng kho và hạn chế quyền truy cập đối với người dùng IAM, vai trò hoặc các tài khoản AWS. ECR tích hợp với RAM và AWS Organizations để cho phép chia sẻ, phân phối và sao chép ảnh bộ chứa trên các khu vực và tài khoản. ECR dùng chính sách IAM để kiểm soát quyền truy cập vào các tài nguyên.

Trình dựng hình ảnh có thể sao chép AMI sang các khu vực AWS đã chọn bằng các cơ chế chia sẻ AMI hiện có. Việc phân phối có thể được kiểm soát khi vượt qua các kiểm tra với Trình dựng hình ảnh.

Image Builder có thể tích hợp với các dịch vụ CI/CD trên AWS như Code Build và Code Pipeline để giúp hiện thực hóa quy trình CI/CD đầu cuối để xây dựng, kiểm tra và triển khai AMI.

Image Builder theo dõi và hiển thị tiến trình cho từng bước trong quy trình xây dựng hình ảnh. Ngoài ra, Image Builder còn có thể phát hành nhật ký sang CloudWatch. Để khắc phục sự cố nâng cao, bạn có thể chạy các lệnh và tập lệnh tùy ý bằng giao diện SSM runCommand.