Anwendungsfälle und bewährte Methoden

Erstellen Sie Self-Service-Automation-Runbooks für Infrastruktur.

Verwenden Sie Automation, eine Funktion von AWS Systems Manager, um das Erstellen zu vereinfachen Amazon Machine Images (AMIs) von AWS Marketplace oder benutzerdefiniert AMIs, indem Sie öffentliche Systems Manager SSM Manager-Dokumente (Dokumente) verwenden oder Ihre eigenen Workflows erstellen.

Erstellen und verwalten AMIsmithilfe der AWS-UpdateLinuxAmi und AWS-UpdateWindowsAmi Automation-Runbooks oder mithilfe benutzerdefinierter Automation-Runbooks, die Sie erstellen.

Verwenden Sie Inventory, eine Funktion von AWS Systems Manager, mit, AWS Config um Ihre Anwendungskonfigurationen mit der Zeit zu prüfen.

Definieren Sie einen Zeitplan zur Ausführung potenziell störender Aktionen auf Ihren Knoten, wie z. B. Betriebssystem-Patches, Treiber-Updates oder Software-Installationen.

Für Informationen zu den Unterschieden zwischen State Manager and Maintenance Windows, Funktionen von AWS Systems Manager, sieheWählen Sie zwischen State Manager and Maintenance Windows.

Verwenden Sie Parameter Store, eine Funktion von AWS Systems Manager, globale Konfigurationseinstellungen zentral zu verwalten.

Wie AWS Systems Manager Parameter Store verwendet AWS KMS.

AWS Secrets Manager Referenzgeheimnisse von Parameter Store Parameter.

Verwenden Sie Patch Manager, eine Funktion von AWS Systems Manager, Patches in großem Umfang bereitzustellen und die Compliance-Sichtbarkeit der Flotte über alle Knoten hinweg zu erhöhen.

Integrieren Patch Manager mit AWS Security Hub, um Warnungen zu erhalten, wenn Knoten in Ihrer Flotte die Compliance nicht erfüllen, und überwachen Sie den Patching-Status Ihrer Flotten aus Sicherheitsansicht. Für die Nutzung von Security Hub wird eine Gebühr erhoben. Weitere Informationen finden Sie unter -Preisgestaltung.

Verwenden Sie jeweils nur eine Methode zum Scannen verwalteter Knoten auf Patch-Compliance, um unbeabsichtigtes Überschreiben von Compliance-Daten zu vermeiden.

Verwalten Sie Instances in großem Umfang ohne SSH Zugriff mithilfe von EC2 Run Command.

Prüfen Sie alle API Anrufe und zugehörige Ereignisse, die von oder im Namen der Run Command, eine Fähigkeit zur AWS Systems Manager Verwendung von AWS CloudTrail.

Wenn Sie einen Befehl senden mit Run Command, schließen Sie keine vertraulichen Informationen ein, die als Klartext formatiert sind, z. B. Passwörter, Konfigurationsdaten oder andere Geheimnisse. Alle API Systems-Manager-Aktivitäten in Ihrem Konto werden in einem S3-Bucket für AWS CloudTrail -Protokolle protokolliert. Dies bedeutet, dass jeder Benutzer mit Zugriff auf den S3-Bucket die Klartextwerte dieser Geheimnisse anzeigen kann. Aus diesem Grund empfehlen wir, SecureString-Parameter zu erstellen und zu verwenden, um die sensiblen Daten zu verschlüsseln, die Sie in Ihren Systems-Manager-Operationen verwenden.

Weitere Informationen finden Sie unter Einschränken des Zugriffs auf Parameter Store Parameter mithilfe von Richtlinien IAM.

Verwenden Sie die Funktionen für Ziele und Ratensteuerung in Run Command um eine mehrstufige Befehlsoperation auszuführen.

differenzierte Zugriffskontrolle für Run Command (und alle Systems Manager Manager-Funktionen) mithilfe von AWS Identity and Access Management (IAM) -Richtlinien.

Protokollieren Sie die Sitzungsaktivitäten während Ihrer AWS-Konto Nutzung AWS CloudTrail.

Protokollieren Sie Sitzungsdaten in Ihrem AWS-Konto mithilfe von Amazon CloudWatch Logs oder Amazon S3.

Steuerung des Benutzer-Sitzungszugriffs auf Instances.

Beschränken des Zugriffs auf Befehle in einer Sitzung.

Deaktivieren oder Aktivieren der Administratorberechtigungen für das SSM-Benutzerkonto.

Aktualisieren SSM Agent mindestens einmal pro Monat mit dem vorkonfigurierten AWS-UpdateSSMAgent Dokument.

(Windows) Laden Sie das DSC Modul PowerShell oder in Amazon Simple Storage Service (Amazon S3) hoch und verwenden SieAWS-InstallPowerShellModule.

Erstellen Sie Anwendungsgruppen für Ihre Knoten mit Tags. Wählen Sie anschließend Knoten mit dem Targets Parameter aus, anstatt einzelne Knoten anzugebenIDs.

Beseitigen Sie die von Amazon Inspector erzeugten Ergebnisse mit Systems Manager automatisch.

Verwenden Sie ein zentrales Konfigurations-Repository für Ihre SSM Dokumente und geben Sie Dokumente in Ihrer Organisation frei.

Für Informationen zu den Unterschieden zwischen State Manager and Maintenance Windows, finden Sie unter Wählen Sie zwischen State Manager and Maintenance Windows.

Systems Manager erfordert genaue Zeitreferenzen, um seine Operationen auszuführen. Wenn in Ihrem Knoten das Datum und die Uhrzeit nicht korrekt festgelegt wurden, stimmen sie möglicherweise nicht mit dem Signaturdatum Ihrer API Anforderungen überein. Dies kann zu Fehlern oder unvollständiger Funktionalität führen. Beispiel: Knoten mit falschen Zeiteinstellungen werden nicht in die Liste der verwalteten Knoten aufgenommen.

Weitere Informationen über das Einstellen der Zeit für Ihre Knoten finden Sie unter Einstellen der Zeit für Ihre EC2 Amazon-Instance.

Überprüfen Sie auf verwalteten Linux-Knoten die Signatur von SSM Agent.