翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
複数の AWS アカウントにわたる共有 Amazon Machine Image の使用状況をモニタリング
作成者:Naveen Suthar (AWS) と Sandeep Gawande (AWS)
環境:PoC またはパイロット | テクノロジー: 管理とガバナンス DevOps、サーバーレス、運用 | |
AWS サービス: Amazon DynamoDBAWS LambdaAmazon EventBridge |
[概要]
「Amazon マシンイメージ (AMI)」は、Amazon Web Services (AWS) 環境で Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを作成するために使用されます。AMI は、一つの集中管理された AWS アカウントで作成できます。さらにこのパターンでは、作成者アカウントと呼ばれます。その後、同じ AWS リージョン内の複数の AWS アカウント間でAMIを共有できます。さらにこのパターンでは、これらのアカウントはコンシューマアカウントと呼ばれます。1 つのアカウントから AMI を管理することでスケーラビリティが向上し、ガバナンスを簡単に行うことができます。コンシューマーアカウントでは、Amazon EC2 Auto Scaling「起動テンプレート」と Amazon Elastic Kubernetes Service (Amazon EKS)「ノードグループ」の共有 AMI を参照できます。
共有 AMI が「非推奨」、「登録解除」または「共有解除」されると、コンシューマーアカウントでその AMI を参照する AWS サービスはこの AMI を使用して新しいインスタンスを起動できなくなります。自動スケーリングイベントまたは同じインスタンスの再起動は失敗します。これにより、アプリケーションのダウンタイムやパフォーマンスの低下など、本番環境で問題が生じる可能性があります。AMI の共有や使用イベントが複数の AWS アカウントで発生した場合、このアクティビティをモニタリングすることが難しい場合があります。
このパターンは、同じリージョンのアカウント間での共有 AMI の使用状況とステータスをモニタリングするのに役立ちます。Amazon 、Amazon DynamoDB EventBridge、AWS Lambda 、Amazon Simple Email Service (Amazon SES) などのサーバーレス AWS サービスを使用します。 DynamoDB Amazon SES HashiCorp Terraform を使用して、Infrastructure as Code (IaC) をプロビジョニングします。このソリューションは、コンシューマーアカウントのサービスが登録解除または共有されていない AMI を参照したときにアラートを発行します。
前提条件と制限
前提条件
制約事項
このパターンは、アカウント ID を使用して特定のアカウントと共有されている AMI をモニタリングします。このパターンでは、組織 ID を使用して組織と共有されている AMI はモニタリングされません。
AMI は、同じ AWS リージョン内のアカウントにのみ共有できます。このパターンは、単一のターゲットリージョン内の AMI をモニタリングします。複数のリージョンでの AMI の使用状況をモニタリングするには、このソリューションを各リージョンにデプロイします。
このパターンでは、このソリューションがデプロイされる前に共有されていた AMI はモニタリングされません。以前に共有していた AMI をモニタリングしたい場合は、AMI 共有を解除してからコンシューマーアカウントと再共有できます。
製品バージョン
Terraform バージョン 1.2.0 以降
TTerraform AWS Provider バージョン 4.20 以降
アーキテクチャ
ターゲットテクノロジースタック
以下のリソースは Terraform を通じて IaC としてプロビジョニングされます。
Amazon DynamoDB テーブル
Amazon EventBridge ルール
AWS Identity and Access Management (IAM) ロール
AWS Lambda 関数
Amazon SES
ターゲットアーキテクチャ
![共有 AMI の使用状況をモニタリングし、AMI が共有解除または登録解除された場合にユーザーに警告するアーキテクチャ](images/pattern-img/2d709249-0c68-47d7-be5d-46e8a73071ed/images/8c48c4dd-d681-4c32-9ba8-8f5ad2d66f64.png)
この図表は、次のワークフローを示しています:
クリエーターアカウントのすべての AMI は、同じ AWS リージョンのコンシューマーアカウントと共有されます。
AMI を共有すると、作成者アカウントの Amazon EventBridge ルールが
ModifyImageAttribute
イベントをキャプチャし、作成者アカウントで Lambda 関数を開始します。Lambda 関数は、作成者アカウントの DynamoDB テーブルに AMI に関連するデータを格納します。
コンシューマーアカウントの AWS サービスが共有 AMI を使用して Amazon EC2 インスタンスを起動する場合、または共有 AMI が起動テンプレートに関連付けられている場合、コンシューマーアカウントの EventBridge ルールは共有 AMI の使用をキャプチャします。
この EventBridge ルールは、コンシューマーアカウントで Lambda 関数を開始します。Lambda 関数は以下を実行します。
Lambda 関数は、作成者アカウントの DynamoDB テーブルに AMI 関連データを格納します。
Lambda 関数は作成者アカウントの IAM ロールを引き受け、作成者アカウントの DynamoDB テーブルを更新します。
Mapping
テーブルでは、インスタンス ID または起動テンプレート ID をそれぞれの AMI ID にマッピングする項目を作成します。
作成者アカウントで一元管理されている AMI は非推奨、登録解除または共有解除されました。
作成者アカウントの EventBridge ルールは、
remove
アクションを使用してModifyImageAttribute
またはDeregisterImage
イベントをキャプチャし、Lambda 関数を開始します。Lambda 関数は DynamoDB テーブルをチェックして、AMI がいずれかのコンシューマーアカウントで使用されているかを判断します。AMI に関連付けられているインスタンス ID または起動テンプレート ID が
Mapping
テーブルにない場合は、プロセスは完了です。インスタンス ID または起動テンプレート ID が
Mapping
テーブル内の AMI に関連付けられている場合、Lambda 関数は Amazon SES を使用して、設定したサブスクライバーにメール通知を送信します。
ツール
AWS サービス
Amazon DynamoDB は、フルマネージド NoSQL データベースサービスです。高速かつ予測可能でスケーラブルなパフォーマンスを発揮します。
Amazon EventBridge は、アプリケーションをさまざまなソースからのリアルタイムデータに接続するのに役立つサーバーレスイベントバスサービスです。たとえば、AWS Lambda 関数、API 宛先を使用する HTTP 呼び出しエンドポイント、または他の AWS アカウントのイベントバスなどです。
「AWS Identity and Access Management (IAM)」は、AWS リソースへのアクセスを安全に管理し、誰が認証され、使用する権限があるかを制御するのに役立ちます。
AWS Lambda は、サーバーのプロビジョニングや管理を行うことなくコードを実行できるコンピューティングサービスです。必要に応じてコードを実行し、自動的にスケーリングするため、課金は実際に使用したコンピューティング時間に対してのみ発生します。
「Amazon Simple Email Service (Amazon SES)」はユーザー自身のメールアドレスとドメインを使用してメールを送受信する上で役立ちます。
その他のツール
HashiCorp Terraform
はオープンソースの infrastructure as code (IaC) ツールで、コードを使用してクラウドインフラストラクチャとリソースをプロビジョニングおよび管理できます。 「Python
」は汎用のコンピュータープログラミング言語です。
コードリポジトリ
このパターンのコードは、 GitHub cross-account-ami-monitoring-terraform-samples
ベストプラクティス
「AWS Lambda 関数を操作するためのベストプラクティス」に従ってください。
「AMI 構築のベストプラクティス」に従ってください。
IAM ロールを作成するときは、最小特権の原則に従い、タスクの実行に必要最小限の権限を付与します。詳細については、IAM ドキュメントの「最小特権の付与」と「セキュリティのベストプラクティス」を参照してください。
AWS Lambda 関数のモニタリングとアラートを設定します。詳細については、「Lambda 関数をモニタリングおよびトラブルシューティングする」を参照してください。
エピック
タスク | 説明 | 必要なスキル |
---|---|---|
プロファイルというAWS CLI を作成します。 | 作成者アカウントとコンシューマーアカウントごとに、「AWS コマンドラインインターフェイス (AWS CLI)」というプロファイルを作成します。手順については、「AWS Getting Started Resources Center」(AWS 入門リソースセンター)の「AWS CLI のセットアップ | DevOps エンジニア |
リポジトリをクローン作成します。 | 次のコマンドを入力します。これにより、SSH を使用して から cross-account-ami-monitoring-terraform-samples
| DevOps エンジニア |
プロバイダーの.tf ファイルを更新します。 |
プロバイダーの構成について、詳細は、Terraform ドキュメントの「複数のプロバイダー設定 | DevOps エンジニア |
テラフォーム.tfvars ファイルを更新します。 |
| DevOps エンジニア |
メイン.tf ファイルを更新します。 | この手順は、このソリューションを複数のコンシューマーアカウントにデプロイする場合にのみ実行します。このソリューションを 1 つのコンシューマーアカウントにのみデプロイする場合、このファイルを変更する必要はありません。
| DevOps エンジニア |
タスク | 説明 | 必要なスキル |
---|---|---|
ソリューションをデプロイします。 | Terraform CLI で、以下のコマンドを入力して AWS リソースをクリエーターアカウントとコンシューマーアカウントにデプロイします。
| DevOps エンジニア |
メールアドレス ID を検証します。 | Terraform プランをデプロイすると、Terraform は Amazon SES のコンシューマーアカウントごとにメールアドレス ID を作成しました。該当メールアドレスに通知を送信する前に、メールアドレスを検証する必要があります。手順については、「Amazon SES ドキュメント」の「メールアドレスアイデンティの検証」を参照してください。 | AWS 全般 |
タスク | 説明 | 必要なスキル |
---|---|---|
クリエイターアカウントによるデプロイを検証します。 |
| DevOps エンジニア |
コンシューマアカウントによるデプロイを検証します。 |
| DevOps エンジニア |
タスク | 説明 | 必要なスキル |
---|---|---|
クリエイターアカウントで AMI を作成します。 |
| DevOps エンジニア |
コンシューマーアカウントで AMI を使用します。 | コンシューマーアカウントで、共有 AMI を使用して EC2 インスタンスを作成するか、テンプレートを起動します。手順については、「カスタムの AMI から EC2 インスタンスを起動する方法 | DevOps エンジニア |
モニタリングとアラートを検証します。 |
| DevOps エンジニア |
タスク | 説明 | 必要なスキル |
---|---|---|
リソースを削除します。 |
| DevOps エンジニア |
トラブルシューティング
問題 | ソリューション |
---|---|
メールアラートを受信していません。 | Amazon SES の電子メールが送信されなかった理由は複数考えられます。以下をチェックしてください:
|
関連リソース
AWS ドキュメント
「Python による Lambda 関数の構築」(Lambda のドキュメント)
「AMI を作成する」(Amazon EC2 のドキュメント)
「特定の AWS アカウントとの AMI の共有」(Amazon EC2 のドキュメント)
「AMI の登録の解除」(Amazon EC2 のドキュメント)
Terraformのドキュメント