Casi d'uso e best practice

Creazione di runbook self-service per l'infrastruttura come runbook di Automazione.

Usa Automation per semplificare la creazione Amazon Machine Images (AMIs) da Marketplace AWS o personalizzataAMIs, utilizzando documenti pubblici di Systems Manager (documenti SSM) o creando i tuoi flussi di lavoro.

Creazione e mantenimento di AMIs utilizzando AWS-UpdateLinuxAmi e i runbook di Automazione AWS-UpdateWindowsAmi oppure attraverso l'utilizzo di documenti di automazione personalizzati appositamente creati.

Come best practice di sicurezza, ti consigliamo di aggiornare il ruolo AWS Identity and Access Management (IAM) utilizzato dai nodi gestiti per limitare la capacità del nodo di utilizzare l'PutComplianceItemsazione API. Questa operazione API registra un tipo di conformità e altri dettagli relativi a questa su una risorsa designata, come un'istanza Amazon EC2 o un nodo gestito. Per ulteriori informazioni, consulta Configurazione delle autorizzazioni per la conformità.

Usa Inventory with AWS Config per verificare le configurazioni delle tue applicazioni nel tempo.

Definizione di una pianificazione per eseguire operazioni potenzialmente problematiche sui propri nodi, ad esempio l'applicazione di patch al sistema operativo (OS), gli aggiornamenti o le installazioni di software.

Per informazioni sulle differenze tra State Manager e Maintenance Windows, strumenti di AWS Systems Manager, consulta Scelta tra  State Manager and Intervallo di manutenzione.

Utilizzo di Parameter Store per gestire in modo centralizzato le impostazioni di configurazione globale.

Come AWS Systems ManagerParameter Store utilizza AWS KMS.

AWS Secrets Manager Segreti di riferimento Parameter Store ricavati dai parametri.

Patch ManagerUtilizzatelo per implementare patch su larga scala e aumentare la visibilità della conformità della flotta in tutti i nodi.

Integra Patch Manager con AWS Security Hub CSPM per ricevere avvisi quando i nodi del tuo parco istanze non sono conformi e per monitorare lo stato di applicazione delle patch dei tuoi parchi istanze dal punto di vista della sicurezza. L'utilizzo di Security Hub CSPM è a pagamento. Per ulteriori informazioni, consulta Prezzi.

Utilizza un solo metodo alla volta per analizzare i nodi gestiti e verificare la conformità delle patch per evitare di sovrascrivere involontariamente i dati di conformità.

Gestione su larga scala di istanze senza accesso SSH utilizzando Run Command di EC2.

Controlla tutte le chiamate API effettuate da o per conto dell'Run Commandutilizzo. AWS CloudTrail

Quando si invia un comando utilizzando Run Command, non includere informazioni riservate formattate come testo normale, ad esempio password, dati di configurazione o altri segreti. Tutte le attività dell'API di Systems Manager nel tuo account vengono registrate in un bucket S3 per i log. AWS CloudTrail Ciò significa che qualsiasi utente con accesso a quel bucket S3 può visualizzare i valori in testo normale di quei segreti. Per questo motivo, si consiglia vivamente di creare e utilizzare parametri SecureString per crittografare i dati sensibili utilizzati nelle operazioni di Systems Manager.

Per ulteriori informazioni, consulta Gestire l'accesso a Parameter Store parametri che utilizzano le politiche IAM.

Utilizzo delle funzionalità di controllo delle destinazioni e della velocità di Run Command per eseguire un comando staged.

Utilizza autorizzazioni di accesso granulari per Run Command (e tutti gli strumenti di Systems Manager) utilizzando le policy (IAM). AWS Identity and Access Management

Attività di log delle sessioni nell' Account AWS tramite AWS CloudTrail.

Registra i dati delle tue sessioni Account AWS utilizzando Amazon CloudWatch Logs o Amazon S3.

Controllo dell'accesso utente della sessione alle istanze.

Limitare l'accesso ai comandi in una sessione (console).

Disattivare o attivare le autorizzazioni amministrative dell'account ssm-user.

Aggiornamento SSM Agent almeno una volta al mese utilizzando il documento AWS-UpdateSSMAgent preconfigurato.

(Windows) Carica il modulo PowerShell o DSC su Amazon Simple Storage Service (Amazon S3) e utilizzalo. AWS-InstallPowerShellModule

Utilizzo dei tag per creare gruppi di applicazioni per i propri nodi. Indirizzamento delle istanze tramite l'utilizzo del parametro Targets invece dell'indicazione degli ID di nodo specifici.

Risoluzione automatica dei risultati generati da Amazon Inspector utilizzando Systems Manager.

Utilizzo di un repository di configurazione centralizzato per tutti i documenti e condivisione dei documenti all'interno dell'organizzazione.

Per ulteriori informazioni sulla differenza tra State Manager e Maintenance Windows, consulta Scelta tra  State Manager and Intervallo di manutenzione.

Systems Manager richiede riferimenti temporali precisi per eseguire le operazioni. Se la data e l'ora del nodo non sono impostate correttamente, tali informazioni potrebbero non corrispondere alla data di firma delle richieste API. Ciò potrebbe portare a errori o funzionalità incomplete. Ad esempio, nodi con le impostazioni di tempo errate non saranno inclusi nell'elenco dei nodi gestiti.

Per informazioni sull'impostazione del tempo sui nodi, consulta Impostazione dell'orario di un'istanza in Amazon EC2.

Nei nodi gestiti da Linux, verifica la firma di SSM Agent.