Kasus penggunaan dan praktik terbaik

Buat runbook Otomatisasi layanan mandiri untuk infrastruktur.

Gunakan Otomasi, kemampuan AWS Systems Manager, untuk menyederhanakan pembuatan Amazon Machine Images (AMIs) dari AWS Marketplace atau kustomAMIs, menggunakan dokumen Systems Manager publik (SSMdokumen) atau dengan membuat alur kerja Anda sendiri.

Menyusun dan mempertahankan AMIs menggunakan AWS-UpdateLinuxAmi dan runbook Otomatisasi AWS-UpdateWindowsAmi, atau menggunakan runbook Otomatisasi kustom yang Anda buat.

Gunakan Inventaris, kemampuan AWS Systems Manager, dengan AWS Config untuk mengaudit konfigurasi aplikasi Anda dari waktu ke waktu.

Tentukan jadwal untuk melakukan tindakan yang berpotensi mengganggu pada node Anda seperti patch sistem operasi (OS), pembaruan driver, atau instalasi perangkat lunak.

Untuk informasi tentang perbedaan antara State Manager danMaintenance Windows, kemampuan AWS Systems Manager, lihatMemilih antara State Manager and Maintenance Windows.

GunakanParameter Store, kemampuan AWS Systems Manager, untuk mengelola pengaturan konfigurasi global secara terpusat.

Bagaimana AWS Systems ManagerParameter Store menggunakan AWS KMS.

AWS Secrets Manager Rahasia referensi dari Parameter Store parameter.

GunakanPatch Manager, kemampuan AWS Systems Manager, untuk meluncurkan tambalan dalam skala besar dan meningkatkan visibilitas kepatuhan armada di seluruh node Anda.

Integrasikan Patch Manager dengan AWS Security Hub untuk menerima peringatan saat node di armada Anda tidak sesuai dan pantau status patching armada Anda dari sudut pandang keamanan. Ada biaya atas penggunaan Security Hub. Untuk informasi selengkapnya, lihat Harga.

Gunakan hanya satu metode pada satu waktu untuk memindai node terkelola untuk kepatuhan patch untuk menghindari penimpaan data kepatuhan secara tidak sengaja.

Kelola Instans pada Skala tanpa SSH Akses Menggunakan Perintah EC2 Jalankan.

Audit semua API panggilan yang dilakukan oleh atau atas namaRun Command, kemampuan AWS Systems Manager, penggunaan AWS CloudTrail.

Saat Anda mengirim perintah menggunakanRun Command, jangan sertakan informasi sensitif yang diformat sebagai teks biasa, seperti kata sandi, data konfigurasi, atau rahasia lainnya. Semua API aktivitas Systems Manager di akun Anda dicatat dalam bucket S3 untuk AWS CloudTrail log. Ini berarti bahwa setiap pengguna dengan akses ke bucket S3 dapat melihat nilai plaintext dari rahasia tersebut. Untuk alasan ini, kami sarankan untuk membuat dan menggunakan SecureString parameter untuk mengenkripsi data sensitif yang Anda gunakan dalam operasi Systems Manager Anda.

Untuk informasi selengkapnya, lihat Membatasi akses ke Parameter Store parameter menggunakan IAM kebijakan.

Gunakan target dan fitur kontrol tingkat Run Command untuk melakukan operasi perintah bertahap.

Gunakan izin akses berbutir halus untuk Run Command (dan semua kemampuan Systems Manager) dengan menggunakan AWS Identity and Access Management kebijakan (). IAM

Aktivitas sesi audit dalam Akun AWS penggunaan Anda AWS CloudTrail.

Log data sesi di Anda Akun AWS menggunakan Amazon CloudWatch Log atau Amazon S3.

Kontrol akses sesi pengguna ke instans.

Batasi akses ke perintah dalam sesi.

Nonaktifkan atau aktifkan izin administratif akun pengguna ssm.

Perbarui SSM Agent setidaknya sebulan sekali menggunakan AWS-UpdateSSMAgent dokumen yang telah dikonfigurasi sebelumnya.

(Windows) Unggah DSC modul PowerShell atau ke Amazon Simple Storage Service (Amazon S3), dan gunakan. AWS-InstallPowerShellModule

Gunakan tag untuk membuat grup aplikasi untuk node Anda. Dan kemudian target node menggunakan Targets parameter alih-alih menentukan node IDs individu.

Secara otomatis memulihkan temuan yang dihasilkan oleh Amazon Inspector dengan menggunakan Systems Manager.

Gunakan repositori konfigurasi terpusat untuk SSM dokumen Anda, dan bagikan dokumen di seluruh organisasi Anda.

Untuk informasi selengkapnya tentang perbedaan antara State Manager dan Maintenance Windows, lihat Memilih antara State Manager and Maintenance Windows.

Systems Manager memerlukan referensi waktu yang akurat untuk melakukan operasinya. Jika tanggal dan waktu node Anda tidak disetel dengan benar, mereka mungkin tidak cocok dengan tanggal tanda tangan API permintaan Anda. Hal ini dapat menyebabkan kesalahan atau fungsionalitas yang tidak lengkap. Misalnya, node dengan pengaturan waktu yang salah tidak akan disertakan dalam daftar node terkelola Anda.

Untuk informasi tentang menyetel waktu pada node, lihat Mengatur waktu untuk EC2 instans Amazon Anda.

Pada node yang dikelola Linux, verifikasi tanda tangan SSM Agent.