Automation、AWS Lambda、Parameter Store を使用してゴールデン AMI を更新する

AWS Management Console にサインインして、IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

ナビゲーションペインで、[Policies] を選択し、次に [Create policy] を選択します。

[JSON] タブを選択します。

デフォルトのコンテンツを次のポリシーに置き換えます。各リソースプレースホルダーの例をユーザー自身の情報に置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "logs:CreateLogGroup",
            "Resource": "arn:aws:logs:region:123456789012:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:region:123456789012:log-group:/aws/lambda/function name:*"
            ]
        }
    ]
}

[Next: Tags] (次へ: タグ) を選択します。

(オプション) 1 つ以上のタグキーと値のペアを追加して、このポリシーのアクセスを整理、追跡、または制御します。

[次へ: レビュー] を選択します。

[Review policy (ポリシーの確認)] ページで、[Name (名前)] にインラインポリシーの名前を入力します (amiLambda など)。

[Create policy] を選択します。

ステップ 2 と 3 を繰り返します。

次のポリシーを貼り付けます。各リソースプレースホルダーの例をユーザー自身の情報に置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:PutParameter",
            "Resource": "arn:aws:ssm:region:123456789012:parameter/latestAmi"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeParameters",
            "Resource": "*"
        }
    ]
}

[Next: Tags] (次へ: タグ) を選択します。

(オプション) 1 つ以上のタグキーと値のペアを追加して、このポリシーのアクセスを整理、追跡、または制御します。

[次へ: レビュー] を選択します。

[Review policy (ポリシーの確認)] ページで、[Name (名前)] にインラインポリシーの名前を入力します (amiParameter など)。

[Create policy] を選択します。

ナビゲーションペインで [Roles] を選択し、続いて [Create role] を選択します。

[ユースケース] のすぐ下で、[Lambda]、[次へ] の順に選択します。

[アクセス許可の追加] ページで [検索] フィールドを使用し、前に作成した 2 つのポリシーを見つけます。

ポリシーの横にあるチェックボックスをオンにして、[次へ] を選択します。

[ロール名] に、新しいロールの名前を入力 (lambda-ssm-role など) するか、希望する別の名前を入力します。

(オプション) 1 つ以上のタグキーと値のペアを追加して、このロールのアクセスを整理、追跡、制御し、[ロールの作成] を選択します。

AWS Management Console にサインインして AWS Lambda コンソール (https://console.aws.amazon.com/lambda/) を開きます。

[Create function] を選択します。

[Create function] ページで、[Author from scratch] を選択します。

[関数名] に「Automation-UpdateSsmParam」と入力します。

ランタイム] では、Python 3.8] を選択します。

[アーキテクチャ] で、関数の実行に使用する Lambda のコンピュータープロセッサーのタイプ、[x86_64] または [arm64] を選択します。

[アクセス許可] セクションで、[デフォルトの実行ロールの変更] を展開します。

[Use an existing role (既存のロールの使用)] を選択し、タスク 2 で作成した Lambda のサービスロールを選択します。

[Create function] を選択します。

[コードソース] 領域の [lambda_function] タブで、フィールドにあらかじめ入力されているコードを削除し、次のコードサンプルを貼り付けます。

from __future__ import print_function

import json
import boto3

print('Loading function')


#Updates an SSM parameter
#Expects parameterName, parameterValue
def lambda_handler(event, context):
    print("Received event: " + json.dumps(event, indent=2))

    # get SSM client
    client = boto3.client('ssm')

    #confirm  parameter exists before updating it
    response = client.describe_parameters(
       Filters=[
          {
           'Key': 'Name',
           'Values': [ event['parameterName'] ]
          },
        ]
    )

    if not response['Parameters']:
        print('No such parameter')
        return 'SSM parameter not found.'

    #if parameter has a Description field, update it PLUS the Value
    if 'Description' in response['Parameters'][0]:
        description = response['Parameters'][0]['Description']
        
        response = client.put_parameter(
          Name=event['parameterName'],
          Value=event['parameterValue'],
          Description=description,
          Type='String',
          Overwrite=True
        )
    
    #otherwise just update Value
    else:
        response = client.put_parameter(
          Name=event['parameterName'],
          Value=event['parameterValue'],
          Type='String',
          Overwrite=True
        )
        
    responseString = 'Updated parameter %s with value %s.' % (event['parameterName'], event['parameterValue'])
        
    return responseString

[ファイル]、[保存] の順に選択します。

Lambda 関数をテストするには、[テスト] メニューで、[テストイベントの設定] を選択します。

[Event name] で、MyTestEvent など、テストイベントの名前を入力します。

既存のテキストを次の JSON に置き換えます。[AMI ID] をユーザー自身の情報に置き換え、latestAmi パラメータ値を設定します。

{
   "parameterName":"latestAmi",
   "parameterValue":"AMI ID"
}

[Save] を選択します。

[テスト (Test)] を選択して関数をテストします。[実行結果] タブに、更新に関するその他の詳細とともに、ステータスが [成功] として報告されます。

AWS Systems Manager コンソール (https://console.aws.amazon.com/systems-manager/) を開きます。

ナビゲーションペインで、[ドキュメント] を選択します。

[ドキュメントの作成] で [オートメーション] を選択します。

[名前] に UpdateMyLatestWindowsAmi と入力します。

[Editor (エディタ)] タブを選択し、次に [Edit (編集)] を選択します。

プロンプトが表示されたら、[OK] を選択します。

[ドキュメントエディタ] フィールドで、デフォルトのコンテンツを、次の YAML サンプルランブックコンテンツに置き換えます。

---
description: Systems Manager Automation Demo - Patch AMI and Update ASG
schemaVersion: '0.3'
assumeRole: '{{ AutomationAssumeRole }}'
parameters:
  AutomationAssumeRole:
    type: String
    description: '(Required) The ARN of the role that allows Automation to perform the actions on your behalf. If no role is specified, Systems Manager Automation uses your IAM permissions to execute this document.'
    default: ''
  SourceAMI:
    type: String
    description: The ID of the AMI you want to patch.
    default: '{{ ssm:latestAmi }}'
  SubnetId:
    type: String
    description: The ID of the subnet where the instance from the SourceAMI parameter is launched.
  SecurityGroupIds:
    type: StringList
    description: The IDs of the security groups to associate with the instance that's launched from the SourceAMI parameter.
  NewAMI:
    type: String
    description: The name of of newly patched AMI.
    default: 'patchedAMI-{{global:DATE_TIME}}'
  InstanceProfile:
    type: String
    description: The name of the IAM instance profile you want the source instance to use.
  SnapshotId:
    type: String
    description: (Optional) The snapshot ID to use to retrieve a patch baseline snapshot.
    default: ''
  RebootOption:
    type: String
    description: '(Optional) Reboot behavior after a patch Install operation. If you choose NoReboot and patches are installed, the instance is marked as non-compliant until a subsequent reboot and scan.'
    allowedValues:
      - NoReboot
      - RebootIfNeeded
    default: RebootIfNeeded
  Operation:
    type: String
    description: (Optional) The update or configuration to perform on the instance. The system checks if patches specified in the patch baseline are installed on the instance. The install operation installs patches missing from the baseline.
    allowedValues:
      - Install
      - Scan
    default: Install
mainSteps:
  - name: startInstances
    action: 'aws:runInstances'
    timeoutSeconds: 1200
    maxAttempts: 1
    onFailure: Abort
    inputs:
      ImageId: '{{ SourceAMI }}'
      InstanceType: m5.large
      MinInstanceCount: 1
      MaxInstanceCount: 1
      IamInstanceProfileName: '{{ InstanceProfile }}'
      SubnetId: '{{ SubnetId }}'
      SecurityGroupIds: '{{ SecurityGroupIds }}'
  - name: verifyInstanceManaged
    action: 'aws:waitForAwsResourceProperty'
    timeoutSeconds: 600
    inputs:
      Service: ssm
      Api: DescribeInstanceInformation
      InstanceInformationFilterList:
        - key: InstanceIds
          valueSet:
            - '{{ startInstances.InstanceIds }}'
      PropertySelector: '$.InstanceInformationList[0].PingStatus'
      DesiredValues:
        - Online
    onFailure: 'step:terminateInstance'
  - name: installPatches
    action: 'aws:runCommand'
    timeoutSeconds: 7200
    onFailure: Abort
    inputs:
      DocumentName: AWS-RunPatchBaseline
      Parameters:
        SnapshotId: '{{SnapshotId}}'
        RebootOption: '{{RebootOption}}'
        Operation: '{{Operation}}'
      InstanceIds:
        - '{{ startInstances.InstanceIds }}'
  - name: stopInstance
    action: 'aws:changeInstanceState'
    maxAttempts: 1
    onFailure: Continue
    inputs:
      InstanceIds:
        - '{{ startInstances.InstanceIds }}'
      DesiredState: stopped
  - name: createImage
    action: 'aws:createImage'
    maxAttempts: 1
    onFailure: Continue
    inputs:
      InstanceId: '{{ startInstances.InstanceIds }}'
      ImageName: '{{ NewAMI }}'
      NoReboot: false
      ImageDescription: Patched AMI created by Automation
  - name: terminateInstance
    action: 'aws:changeInstanceState'
    maxAttempts: 1
    onFailure: Continue
    inputs:
      InstanceIds:
        - '{{ startInstances.InstanceIds }}'
      DesiredState: terminated
  - name: updateSsmParam
    action: aws:invokeLambdaFunction
    timeoutSeconds: 1200
    maxAttempts: 1
    onFailure: Abort
    inputs:
        FunctionName: Automation-UpdateSsmParam
        Payload: '{"parameterName":"latestAmi", "parameterValue":"{{createImage.ImageId}}"}'
outputs:
- createImage.ImageId

[Create automation (オートメーションを作成)] を選択します。

ナビゲーションペインで、[オートメーション]、[オートメーションの実行] の順に選択します。

[Choose document] (ドキュメントを選択) ページで、[Owned by me] (自分が所有) タブを選択します。

UpdateMyLatestWindowsAmi ランブックを検索し、UpdateMyLatestWindowsAmi カードのボタンを選択します。

[Next] を選択します。

[ Simple execution (シンプルな実行)] を選択します。

入力パラメータの値を指定します。

[実行] を選択します。

実行の完了後に、ナビゲーションペインで [Parameter Store] を選択し、latestAmi の新しい値がオートメーションから返された値と一致することを確認します。新しい AMI ID が、Amazon EC2 コンソールの [AMIs] セクションに表示される Automation の出力と一致することを確認することもできます。