Amazon OpenSearch Service でのサービスソフトウェア更新

Amazon OpenSearch Service では、機能追加またはドメイン強化を行うサービスソフトウェア更新を定期的にリリースしています。コンソールの [Notifications] (通知) パネルを使用すると、更新がリリースされているかどうかの確認や、更新のステータスのチェックを簡単に行うことができます。各通知には、サービスソフトウェア更新に関する詳細が含まれます。ソフトウェア更新では、ダウンタイムを最小限に抑えるためブルー/グリーンデプロイが使用されます。

サービスソフトウェアの更新は、OpenSearch Service のバージョンアップグレードとは異なります。OpenSearch Service の最新バージョンへのアップグレードについては、「」を参照してくださいAmazon OpenSearch Service ドメインのアップグレード。

OpenSearch Service では、必要なサービスソフトウェアの更新を可用性から 30 日以内に適用する必要があります。これらの更新は、セキュリティコンプライアンスを維持する上で重要です。

30 日以内に必要な更新を適用しない場合、30 日間 15 日ごとにリマインダー通知が送信されます。コンプライアンスのないこの期間を過ぎると、ドメインは次の効果で分離されます。

隔離中は、60 日間 15 日ごとにリマインダー通知が引き続き届きます。この期間内に必要な更新を適用しない場合、OpenSearch Service ドメインと関連するすべてのデータは完全に削除されます。詳細については、「検証エラーのトラブルシューティング」を参照してください。

オプションの更新と必須の更新

OpenSearch Service のサービスソフトウェア更新には、大きく分けて次の 2 つのカテゴリがあります。

オプションの更新

オプションのサービスソフトウェア更新には、通常、機能強化や新機能のサポートが含まれます。オプションの更新はドメインには適用されず、インストールの厳しい締切もありません。更新の有無は、メールとコンソールの通知でユーザーに通知されます。更新は、すぐに適用することもできれば、別の日時にスケジュール変更することもできます。ドメインのオフピークの時間帯にスケジュールすることも可能です。ソフトウェア更新の大半は、任意です。

更新をスケジュールするか否かにかかわらず、ブルー/グリーンデプロイにつながるドメインの変更を行うと、OpenSearch Service はユーザーに代わって自動的にサービスソフトウェアを更新します。

自分のドメインで、オフピークの時間帯にオプションの更新を自動適用するように、設定することが可能です。このオプションをオンにすると、OpenSearch Service はオプションの更新が利用可能になってから少なくとも 13 日間待機し、7 日後に更新をスケジュールします。更新がスケジュールされると、コンソールに通知が届きます。別の日にスケジュール変更することも可能です。

自動ソフトウェア更新を有効にするには、ドメインを作成または更新する際に、[Enable automatic software update] (自動ソフトウェア更新を有効にする) を選択します。を使用して同じ設定を構成するには AWS CLI、ドメインを作成または更新trueするときに --software-update-options を に設定します。

必須の更新

必須のサービスソフトウェア更新には、通常、ドメインの整合性と機能とを維持するための、重要なセキュリティ修正やその他必要な更新が含まれます。必須の更新の例には、Log4j の Common Vulnerabilities and Exposures (CVE) や、Instance Metadata Service Version 2 (IMDSv2) の適用などがあります。必須の更新が行われる回数は、通常、年に 3 回未満です。

OpenSearch Service はこれらの更新を自動的にスケジュールし、スケジュールされた更新の 7 日前に E メールとコンソール通知で通知します。必須の更新は、すぐに適用することもできれば、指定された期間内の別の日時にスケジュール変更することもできます。ドメインの、次回のオフピークの時間帯にスケジュールすることも可能です。ユーザーが必須の更新に関して何もしなかったり、ブルー/グリーンデプロイにつながるドメインの変更を行わなかったりすると、OpenSearch Service は、指定された期限 (通常は更新の提供から 14 日目) 以降随時、ドメインのオフピークの時間帯に更新を開始します。

更新がスケジュールされた日時にかかわらず、ブルー/グリーンデプロイにつながるドメインの変更を行うと、OpenSearch Service はユーザーに代わって自動的にドメインを更新します。

パッチ更新

末尾が「-P」と数字のサービスソフトウェアバージョン (例: R20211203-P4) がパッチリリースです。パッチには、パフォーマンスの改善、マイナーなバグ修正、セキュリティ修正または体制の改善が含まれる可能性があります。パッチリリースには新機能や重大な変更は含まれず、通常は、ユーザーに直接的なまたは顕著な影響はありません。サービスソフトウェアの通知を見ると、パッチリリースがオプションか必須かがわかります。

考慮事項

ドメインを更新するかどうかを決定するときには、以下を考慮します。

サービスのソフトウェア更新を開始する

OpenSearch Service コンソール、、またはいずれかの SDKs を使用して AWS CLI、サービスソフトウェアの更新をリクエストできます。

aws opensearch start-service-software-update \
  --domain-name my-domain \
  --schedule-at "NOW"

{
    "ServiceSoftwareOptions": {
        "CurrentVersion": "R20220928-P1",
        "NewVersion": "R20220928-P2",
        "UpdateAvailable": true,
        "Cancellable": true,
        "UpdateStatus": "PENDING_UPDATE",
        "Description": "",
        "AutomatedUpdateDate": "1969-12-31T16:00:00-08:00",
        "OptionalDeployment": true
    }
}

import boto3
from botocore.config import Config
import time

# Build the client using the default credential configuration.
# You can use the CLI and run 'aws configure' to set access key, secret
# key, and default region.

my_config = Config(
    # Optionally lets you specify a Region other than your default.
    region_name='us-east-1'
)

domain_name = ''  # The name of the domain to check and update

client = boto3.client('opensearch', config=my_config)


def getUpdateStatus(client):
    """Determines whether the domain is eligible for an update"""
    response = client.describe_domain(
        DomainName=domain_name
    )
    sso = response['DomainStatus']['ServiceSoftwareOptions']
    if sso['UpdateStatus'] == 'ELIGIBLE':
        print('Domain [' + domain_name + '] is eligible for a service software update from version ' +
              sso['CurrentVersion'] + ' to version ' + sso['NewVersion'])
        updateDomain(client)
    else:
        print('Domain is not eligible for an update at this time.')


def updateDomain(client):
    """Starts a service software update for the eligible domain"""
    response = client.start_service_software_update(
        DomainName=domain_name
    )
    print('Updating domain [' + domain_name + '] to version ' +
          response['ServiceSoftwareOptions']['NewVersion'] + '...')
    waitForUpdate(client)


def waitForUpdate(client):
    """Waits for the domain to finish updating"""
    response = client.describe_domain(
        DomainName=domain_name
    )
    status = response['DomainStatus']['ServiceSoftwareOptions']['UpdateStatus']
    if status == 'PENDING_UPDATE' or status == 'IN_PROGRESS':
        time.sleep(30)
        waitForUpdate(client)
    elif status == 'COMPLETED':
        print('Domain [' + domain_name +
              '] successfully updated to the latest software version')
    else:
        print('Domain is not currently being updated.')

def main():
    getUpdateStatus(client)

オフピークの時間帯にソフトウェア更新をスケジュールする

2023 年 2 月 16 日以降に作成された各 OpenSearch Service ドメインでは、現地時間の毎日午後 10 時から午前 8 時までの 10 時間が、オフピークの時間帯とみなされています。OpenSearch Service は、この時間帯を利用して、ドメインにサービスソフトウェアの更新をスケジュールします。オフピークの時間帯に更新を行うことにより、トラフィックの多い時間帯にクラスターの専用マスターノードにかかる負荷を、最小限に抑えることができます。OpenSearch Service は、ユーザーの同意なしに、この 10 時間以外の時間帯に更新を開始することはできません。

ドメインごとに、デフォルトの午後 10 時の開始時刻を、カスタムの時刻で上書きすることができます。手順については、「カスタムのオフピークウィンドウの設定」を参照してください。

aws opensearch start-service-software-update \
  --domain-name my-domain \
  --schedule-at "OFF_PEAK_WINDOW"

サービスソフトウェア更新のモニタリング

OpenSearch Service はサービスのソフトウェア更新が利用可能になったとき、必要なとき、開始したとき、完了したとき、または失敗したときに、通知を送信します。これらの通知は、OpenSearch Service コンソールの [Notifications] (通知) パネルで確認できます。通知の重要度は、それが必要な場合に更新がオプションおよび High の場合、Informational です。

OpenSearch Service は、サービスソフトウェアイベントの、Amazon EventBridge への送信も行います。EventBridge を使用して、イベントの受信時に E メールを送信したり、特定のアクションを実行したりするルールを設定できます。ウォークスルーの例については、「」を参照してくださいチュートリアル: 利用可能なソフトウェア更新に関する Amazon SNS アラートの送信。

Amazon EventBridge に送信される各サービスソフトウェアイベントの形式を表示する場合は、「サービスソフトウェア更新イベント」を参照してください。

ドメインが更新の対象でない場合

次のテーブルに示されているいずれかの状態にある場合、ドメインはサービスソフトウェア更新の対象外である可能性があります。

サービスソフトウェア更新のロールバック

Amazon OpenSearch Service は、サービスソフトウェア更新のロールバックをサポートしています。OpenSearch Service コンソール、、 AWS CLIまたはいずれかの AWS SDKs を使用してロールバックを開始できます。ソフトウェアの更新は、ブルー/グリーンデプロイを使用してロールバックされます。

ロールバックの適格性と考慮事項

ロールバックを使用するには、ドメインが以下の条件をすべて満たしている必要があります。

ロールバック時間枠

ロールバックウィンドウは、適用されたソフトウェア更新のタイプによって異なります。

ロールバックウィンドウの有効期限が切れると、セルフサービスのロールバックは使用できなくなります。ウィンドウの閉鎖後に重大な問題が発生した場合は、 サポート にお問い合わせください。

ロールバックをリクエストする方法

RollbackServiceSoftwareUpdate API を使用してロールバックをリクエストできます。

[リクエスト]

POST /2021-01-01/opensearch/serviceSoftwareUpdate/rollback

リクエスト本文:

{
    "DomainName": "your-domain-name"
}

[応答]

API は、エラー以外のすべてのケースで HTTP 200 レスポンスを返します。レスポンス本文の RollbackAvailableフィールドは、ロールバックが開始されたかどうかを示します。

{
    "RollbackServiceSoftwareOptions": {
        "CurrentVersion": "string",
        "NewVersion": "string",
        "RollbackAvailable": boolean,
        "Description": "string"
    }
}

レスポンスフィールド:

エラーレスポンス

レスポンスメッセージ

次の表は、 RollbackServiceSoftwareUpdate API によって返される可能性のあるレスポンスメッセージを示しています。

レスポンスの例:

{
    "RollbackServiceSoftwareOptions": {
        "CurrentVersion": "OpenSearch_2_11_R20240115",
        "NewVersion": "OpenSearch_2_11_R20231023",
        "RollbackAvailable": true,
        "Description": "Rollback initiated successfully. The domain will be rolled back from OpenSearch_2_11_R20240115 to OpenSearch_2_11_R20231023."
    }
}

ロールバックが利用できない場合、 は false RollbackAvailableを返し、 Descriptionフィールドには上記の表の理由が含まれます。