Cas d'utilisation et bonnes pratiques

Créez des runbooks Automation en libre-service pour l'infrastructure.

Utilisez Automation, une fonctionnalité de AWS Systems Manager, pour simplifier la création Amazon Machine Images (AMIs) à partir du AWS Marketplace ou sur mesure AMIs, en utilisant des documents publics de Systems Manager (SSMdocuments) ou en créant vos propres flux de travail.

Construire et entretenir AMIsà l'aide des runbooks AWS-UpdateLinuxAmi et AWS-UpdateWindowsAmi Automation, ou à l'aide de runbooks Automation personnalisés que vous créez.

Utilisez Inventory, une fonctionnalité de AWS Systems Manager, avec AWS Config pour auditer les configurations des applications dans le temps.

Définissez un calendrier pour la mise en œuvre des actions potentiellement perturbatrices, comme l'application de correctifs à un système d'exploitation, la mise à jour de pilotes ou l'installation de logiciels.

Pour plus d'informations sur les différences entre State Manager and Maintenance Windows, capacités de AWS Systems Manager, voirChoisir entre State Manager and Maintenance Windows.

Utiliser Parameter Store, une fonctionnalité de AWS Systems Manager, pour gérer de façon centralisée les paramètres de configuration généraux.

Comment AWS Systems Manager Parameter Store utilise AWS KMS.

AWS Secrets Manager Secrets de référence de Parameter Store paramètres.

Utiliser Patch Manager, une fonctionnalité de AWS Systems Manager déployer des correctifs à grande échelle et d'accroître la visibilité de la flotte sur vos nœuds.

Intégrer Patch ManagerAWS Security Hubpour recevoir des alertes lorsque les nœuds de votre flotte cessent d'être conformes, et pour surveiller le statut d'application de correctifs de vos flottes du point de vue de la sécurité. L'utilisation de Security Hub entraîne des frais supplémentaires. Pour plus d'informations, consultez Pricing (Tarification CTlong).

Utilisez une seule méthode à la fois pour analyser la conformité aux correctifs des nœuds gérés, afin d'éviter de remplacer involontairement les données de conformité.

Gérer les instances à grande échelle sans SSH accès à l'aide de la fonctionnalité EC2 Run Command.

Auditez tous les API appels passés par ou au nom de Run Command, une capacité de AWS Systems Manager, utiliser AWS CloudTrail.

Lorsque vous envoyez une commande à l'aide de Run Command, n'incluez pas d'informations sensibles formatées en texte brut, comme des mots de passe, des données de configuration ou d'autres secrets. APIL'activité de Systems Manager utilisée dans votre compte est intégralement consignée dans un compartiment S3 pour les AWS CloudTrail journaux. Cela signifie que tout utilisateur ayant accès à ce compartiment S3 peut consulter les valeurs en texte brut de ces secrets. Pour cette raison, nous vous recommandons de créer et d'utiliser des paramètres SecureString pour chiffrer les données sensibles que vous utilisez dans le cadre de vos opérations Systems Manager.

Pour de plus amples informations, veuillez consulter Restriction de l'accès à Parameter Store paramètres à l'aide IAM de politiques.

Utilisez les cibles et les fonctionnalités de contrôle du taux dans Run Command pour effectuer une opération de commande par étapes.

Utilisez des autorisations d'accès précises pour Run Command (et toutes les fonctionnalités de Systems Manager) en utilisant les politiques AWS Identity and Access Management (IAM).

Enregistrez l'activité de session lors de votre Compte AWS utilisation AWS CloudTrail.

Journalisez les données de session dans votre Compte AWS en utilisant Amazon CloudWatch Logs ou Amazon S3.

Contrôlez l'accès des sessions utilisateur aux instances.

Restreindre l'accès aux commandes dans une session.

Désactivez ou activez les autorisations administratives du compte ssm-user.

Mettre à jour SSM Agent au moins une fois par mois en utilisant le AWS-UpdateSSMAgent document préconfiguré.

(Windows) Téléchargez le DSC module PowerShell ou sur Amazon Simple Storage Service (Amazon S3), et utilisez. AWS-InstallPowerShellModule

Utilisez des balises afin de créer des groupes d'applications pour vos nœuds. Puis, ciblez des nœuds en utilisant le Targets paramètre au lieu de spécifier des nœuds individuelsIDs.

Corrigez automatiquement les résultats générés par Amazon Inspector en utilisant Systems Manager.

Utilisez un référentiel de configuration centralisé pour vos SSM documents, et partagez les documents dans l'ensemble de votre organisation.

Pour plus d'informations sur les différences entre State Manager and Maintenance Windows, voir Choisir entre State Manager and Maintenance Windows.

Systems Manager nécessite des références horaires précises pour effectuer ses opérations. Si la date et l'heure de votre nœud ne sont pas correctement définies, elles risquent de ne pas correspondre à la date de signature de vos API demandes. Cela peut conduire à des erreurs ou des fonctionnalités incomplètes. Par exemple, les nœuds dont les paramètres horaires sont incorrects ne seront pas inclus dans vos listes de nœuds gérés.

Pour plus d'informations sur le réglage de l'heure sur vos nœuds, consultez la section Définir l'heure de votre EC2 instance Amazon.

Sur les nœuds gérés par Linux, vérifiez la signature de SSM Agent.