Automation, AWS Lambda 및 Parameter Store를 사용하여 골든 AMI 업데이트

AWS Management Console에 로그인하여 https://console.aws.amazon.com/iam/ 에서 IAM 콘솔을 엽니다.

탐색 창에서 정책을 선택한 후 정책 생성을 선택합니다.

JSON 탭을 선택합니다.

기본 콘텐츠를 다음과 같은 정책으로 바꿉니다. 각 리소스 자리 표시자 예를 자신의 정보로 바꿉니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "logs:CreateLogGroup",
            "Resource": "arn:aws:logs:region:123456789012:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": [
                "arn:aws:logs:region:123456789012:log-group:/aws/lambda/function name:*"
            ]
        }
    ]
}

다음: 태그를 선택합니다.

(선택 사항) 이 정책에 대한 액세스를 구성, 추적 또는 제어할 태그-키 값 페어를 하나 이상 추가합니다.

다음: 검토를 선택합니다.

정책 검토(Review policy) 페이지에서 이름(Name)에 인라인 정책 이름을 입력합니다(예: amiLambda)

정책 생성을 선택합니다.

2단계와 3단계를 반복합니다.

다음 정책을 붙여넣습니다. 각 example resource placeholder를 사용자의 정보로 바꿉니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:PutParameter",
            "Resource": "arn:aws:ssm:region:123456789012:parameter/latestAmi"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeParameters",
            "Resource": "*"
        }
    ]
}

다음: 태그를 선택합니다.

(선택 사항) 이 정책에 대한 액세스를 구성, 추적 또는 제어할 태그-키 값 페어를 하나 이상 추가합니다.

다음: 검토를 선택합니다.

정책 검토(Review policy) 페이지에서 이름(Name)에 인라인 정책 이름을 입력합니다(예: amiParameter)

정책 생성을 선택합니다.

탐색 창에서 역할을 선택한 후 역할 생성을 선택합니다.

사용 사례에서 Lambda를 선택한 후 다음을 선택합니다.

권한 추가 페이지의 검색 필드를 사용하여 앞서 생성한 두 정책을 찾습니다.

정책 옆 확인란을 선택하고 다음을 선택합니다.

역할 이름에 새 역할의 이름(예: lambda-ssm-role 또는 자신이 선호하는 다른 이름)을 입력합니다.

(선택 사항) 이 역할에 대한 액세스를 구성, 추적 또는 제어할 태그 키-값 페어를 하나 이상 추가한 후 역할 생성을 선택합니다.

AWS Management Console에 로그인하고 https://console.aws.amazon.com/lambda/에서 AWS Lambda 콘솔을 엽니다.

함수 생성을 선택합니다.

함수 생성 페이지에서 처음부터 새로 작성을 선택합니다.

[함수 이름]에 Automation-UpdateSsmParam을 입력합니다.

런타임에서 Python 3.8을 선택합니다.

아키텍처에서 함수를 실행하는 데 사용할 Lambda용 컴퓨터 프로세서 유형(x86_64 또는 arm64)을 선택합니다.

권한 섹션에서 기본 실행 역할 변경을 확장합니다.

[기존 역할 사용(Use an existing role)]을 선택하고 태스크 2에서 생성한 Lambda에 대한 서비스 역할을 선택합니다.

함수 생성(Create function)을 선택합니다.

코드 소스 영역의 lambda_function 탭에서 필드에 미리 채워진 코드를 삭제하고 다음 코드 샘플을 붙여 넣습니다.

from __future__ import print_function

import json
import boto3

print('Loading function')


#Updates an SSM parameter
#Expects parameterName, parameterValue
def lambda_handler(event, context):
    print("Received event: " + json.dumps(event, indent=2))

    # get SSM client
    client = boto3.client('ssm')

    #confirm  parameter exists before updating it
    response = client.describe_parameters(
       Filters=[
          {
           'Key': 'Name',
           'Values': [ event['parameterName'] ]
          },
        ]
    )

    if not response['Parameters']:
        print('No such parameter')
        return 'SSM parameter not found.'

    #if parameter has a Description field, update it PLUS the Value
    if 'Description' in response['Parameters'][0]:
        description = response['Parameters'][0]['Description']
        
        response = client.put_parameter(
          Name=event['parameterName'],
          Value=event['parameterValue'],
          Description=description,
          Type='String',
          Overwrite=True
        )
    
    #otherwise just update Value
    else:
        response = client.put_parameter(
          Name=event['parameterName'],
          Value=event['parameterValue'],
          Type='String',
          Overwrite=True
        )
        
    responseString = 'Updated parameter %s with value %s.' % (event['parameterName'], event['parameterValue'])
        
    return responseString

파일, 저장을 선택합니다.

Lambda 함수를 테스트하려면 테스트 메뉴에서 테스트 이벤트 구성을 선택합니다.

이벤트 이름에 테스트 이벤트의 이름을 입력합니다(예: MyTestEvent).

기존 텍스트를 다음 JSON으로 바꿉니다. AMI ID를 자신의 정보로 바꾸어 latestAmi 파라미터 값을 설정합니다.

{
   "parameterName":"latestAmi",
   "parameterValue":"AMI ID"
}

Save(저장)를 선택합니다.

함수를 테스트하려면 테스트를 선택합니다. 실행 결과 탭에서 업데이트에 대한 다른 세부 정보와 함께 상태가 성공으로 보고되어야 합니다.

AWS Systems Manager 콘솔(https://console.aws.amazon.com/systems-manager/)을 엽니다.

탐색 창에서 Documents를 선택합니다.

문서 생성에서 Automation을 선택합니다.

이름에 UpdateMyLatestWindowsAmi을 입력합니다.

편집기 탭을 선택하고 편집을 선택합니다.

메시지가 나타나면 확인을 선택합니다.

문서 편집기 필드에서 기본 콘텐츠를 다음 YAML 샘플 런북 콘텐츠로 바꿉니다.

---
description: Systems Manager Automation Demo - Patch AMI and Update ASG
schemaVersion: '0.3'
assumeRole: '{{ AutomationAssumeRole }}'
parameters:
  AutomationAssumeRole:
    type: String
    description: '(Required) The ARN of the role that allows Automation to perform the actions on your behalf. If no role is specified, Systems Manager Automation uses your IAM permissions to execute this document.'
    default: ''
  SourceAMI:
    type: String
    description: The ID of the AMI you want to patch.
    default: '{{ ssm:latestAmi }}'
  SubnetId:
    type: String
    description: The ID of the subnet where the instance from the SourceAMI parameter is launched.
  SecurityGroupIds:
    type: StringList
    description: The IDs of the security groups to associate with the instance that's launched from the SourceAMI parameter.
  NewAMI:
    type: String
    description: The name of of newly patched AMI.
    default: 'patchedAMI-{{global:DATE_TIME}}'
  InstanceProfile:
    type: String
    description: The name of the IAM instance profile you want the source instance to use.
  SnapshotId:
    type: String
    description: (Optional) The snapshot ID to use to retrieve a patch baseline snapshot.
    default: ''
  RebootOption:
    type: String
    description: '(Optional) Reboot behavior after a patch Install operation. If you choose NoReboot and patches are installed, the instance is marked as non-compliant until a subsequent reboot and scan.'
    allowedValues:
      - NoReboot
      - RebootIfNeeded
    default: RebootIfNeeded
  Operation:
    type: String
    description: (Optional) The update or configuration to perform on the instance. The system checks if patches specified in the patch baseline are installed on the instance. The install operation installs patches missing from the baseline.
    allowedValues:
      - Install
      - Scan
    default: Install
mainSteps:
  - name: startInstances
    action: 'aws:runInstances'
    timeoutSeconds: 1200
    maxAttempts: 1
    onFailure: Abort
    inputs:
      ImageId: '{{ SourceAMI }}'
      InstanceType: m5.large
      MinInstanceCount: 1
      MaxInstanceCount: 1
      IamInstanceProfileName: '{{ InstanceProfile }}'
      SubnetId: '{{ SubnetId }}'
      SecurityGroupIds: '{{ SecurityGroupIds }}'
  - name: verifyInstanceManaged
    action: 'aws:waitForAwsResourceProperty'
    timeoutSeconds: 600
    inputs:
      Service: ssm
      Api: DescribeInstanceInformation
      InstanceInformationFilterList:
        - key: InstanceIds
          valueSet:
            - '{{ startInstances.InstanceIds }}'
      PropertySelector: '$.InstanceInformationList[0].PingStatus'
      DesiredValues:
        - Online
    onFailure: 'step:terminateInstance'
  - name: installPatches
    action: 'aws:runCommand'
    timeoutSeconds: 7200
    onFailure: Abort
    inputs:
      DocumentName: AWS-RunPatchBaseline
      Parameters:
        SnapshotId: '{{SnapshotId}}'
        RebootOption: '{{RebootOption}}'
        Operation: '{{Operation}}'
      InstanceIds:
        - '{{ startInstances.InstanceIds }}'
  - name: stopInstance
    action: 'aws:changeInstanceState'
    maxAttempts: 1
    onFailure: Continue
    inputs:
      InstanceIds:
        - '{{ startInstances.InstanceIds }}'
      DesiredState: stopped
  - name: createImage
    action: 'aws:createImage'
    maxAttempts: 1
    onFailure: Continue
    inputs:
      InstanceId: '{{ startInstances.InstanceIds }}'
      ImageName: '{{ NewAMI }}'
      NoReboot: false
      ImageDescription: Patched AMI created by Automation
  - name: terminateInstance
    action: 'aws:changeInstanceState'
    maxAttempts: 1
    onFailure: Continue
    inputs:
      InstanceIds:
        - '{{ startInstances.InstanceIds }}'
      DesiredState: terminated
  - name: updateSsmParam
    action: aws:invokeLambdaFunction
    timeoutSeconds: 1200
    maxAttempts: 1
    onFailure: Abort
    inputs:
        FunctionName: Automation-UpdateSsmParam
        Payload: '{"parameterName":"latestAmi", "parameterValue":"{{createImage.ImageId}}"}'
outputs:
- createImage.ImageId

Create automation(자동화 생성)을 선택합니다.

탐색 창에서 Automation(자동화)을 선택한 후 Execute automation(자동화 실행)을 선택합니다.

문서 선택(Choose document) 페이지에서 내 소유(Owned by me) 탭을 선택합니다.

UpdateMyLatestWindowsAmi 런북을 검색하고 UpdateMyLatestWindowsAmi 카드에서 버튼을 선택합니다.

Next(다음)를 선택합니다.

Simple execution(단순 실행)을 선택합니다.

입력 파라미터에 대한 값을 지정합니다.

실행을 선택합니다.

자동화가 완료된 후 탐색 창에서 Parameter Store를 선택하고 latestAmi의 새 값이 자동화에서 반환된 값과 일치하는지 확인합니다. 새 AMI ID가 Amazon EC2 콘솔의 [AMI(AMIs)] 섹션에 있는 Automation 출력과 일치하는지도 확인할 수 있습니다.