【aws system manager】基本機能と活用方法
こんにちは。今回は、awsについて初心者エンジニアに向けて、aws system manager（ssm）の基本機能と活用方法について解説します。
システムマネージャーの概要と利点
aws system manager（ssm）は、awsリソースの管理、監視、自動化を行うためのサービスです。主な利点としては、以下のようなものがあります。
- 簡単なセットアップ: セットアップは簡単で、aws cliやawsマネジメントコンソールから直感的に操作することができます。
- 一元的な管理: ssmを使用することで、複数のawsリソース（ec2インスタンス、オンプレミスサーバー、オンプレミスvmなど）を一元的に管理できます。
- リモートアクセスとリモートコマンド実行: aws ssmを活用すると、リモートでサーバーにアクセスし、コマンドを実行することが可能です。
- セキュアなアクセス制御: iamポリシーを使用して、ユーザーごとに必要な権限を制御することができます。
インスタンス管理と自動化の手法
ssmを活用することで、ec2インスタンスの管理と自動化を行うことができます。以下に一例を示します。
- インスタンスの設定: ssmを使用して、ec2インスタンスの各種設定を行うことができます。例えば、インスタンスに特定のパッケージや設定ファイルをインストールする場合に、ssmのrun commandを使用してコマンドを実行できます。
aws ssm send-command --instance-ids i-1234567890abcdefg --document-name "aws-runshellscript" --parameters commands=["apt-get update","apt-get install -y nginx"]- パラメータストアの利用: ssmのパラメータストアを活用することで、機密情報や設定値を暗号化して管理することができます。これにより、インスタンス上でのパスワードやapiキーの直接的な記述を回避し、セキュリティを強化することができます。
aws ssm put-parameter --name "/myapp/db_username" --value "myusername" --type "securestring"- 診断と監視: ssmのrun commandを使用して、ec2インスタンス上での診断を行うことができます。例えば、インスタンス内のログファイルの確認や特定のプロセスのステータスの確認を自動化することができます。
aws ssm send-command --instance-ids i-1234567890abcdefg --document-name "aws-runpowershellscript" --parameters commands=["get-content c:\logs\app.log"]パッチ管理とセキュリティのベストプラクティス
aws ssmは、パッチ管理とセキュリティのベストプラクティスを実現するための強力なツールです。以下に一例を示します。
- パッチ自動適用: ssmを使用してec2インスタンスのパッチを自動的に適用することができます。ssmのパッチ管理機能を活用することで、手動でのパッチ適用作業が不要となり、セキュリティと可用性を向上させることができます。
aws ssm create-patch-baseline --name "mypatchbaseline" --operating-system "amazon_linux_2" --approved-patches-compliance-level "critical"
aws ssm create-association --name "mypatchassociation" --instance-id "i-1234567890abcdefg" --patch-baseline "arn:aws:ssm:us-east-1:123456789012:patchbaseline/mypatchbaseline" --approved-patches "all"- セキュリティ情報の収集: ssmのrun commandを使用して、ec2インスタンスのセキュリティ情報を収集することができます。例えば、インスタンス内のセキュリティグループの設定を確認することで、潜在的なセキュリティ上の脆弱性を特定することができます。
aws ssm send-command --instance-ids i-1234567890abcdefg --document-name "aws-runshellscript" --parameters commands=["aws ec2 describe-security-groups --group-ids sg-12345678"]セッションマネージャーの活用法とセキュアなリモートアクセス
aws ssmのセッションマネージャーを活用することで、セキュアなリモートアクセスを実現することができます。以下に一例を示します。
- インスタンスへのリモートアクセス: ssmのセッションマネージャーを使用すると、ec2インスタンスに対して必要な権限を持つユーザーがブラウザ上でリモートアクセスできます。このため、sshキーを共有する必要がなく、セキュリティリスクが軽減されます。
aws ssm start-session --target i-1234567890abcdefg- セキュリティグループの管理: ssmのセッションマネージャーを使用して、ec2インスタンスのセキュリティグループの設定を変更することができます。例えば、特定のipアドレスからのアクセスを制限する場合に、ssmのrun commandを使用してセキュリティグループのルールを変更できます。
aws ssm send-command --instance-ids i-1234567890abcdefg --document-name "aws-updatesecuritygroupruledescriptionsingress" --parameters "groupid: 'sg-12345678',cidr: '192.0.2.0/24',oldruledescriptionprefix: 'allow from '"カスタムドキュメントとスクリプトの管理
最後に、aws ssmを使用してカスタムドキュメントやスクリプトを管理する方法を紹介します。
- カスタムドキュメントの作成と実行: ssmには、awsが提供するオフィシャルドキュメントだけでなく、独自のカスタムドキュメントを作成して使用することができます。例えば、ec2インスタンスのaws cliバージョンをアップデートするためのカスタムドキュメントを作成し、sshやec2 run commandを使わずにバージョンアップすることができます。
aws ssm create-document --content "<script>\n#!/bin/bash\nsudo pip install awscli --upgrade\n</script>" --name "mycustomdocument" --document-type "command"
aws ssm send-command --instance-ids i-1234567890abcdefg --document-name "mycustomdocument"- スクリプトの自動実行: ssmを使用して、ec2インスタンス上で定期的にスクリプトを実行することができます。例えば、セキュリティパッチの適用状況を定期的にチェックするスクリプトを作成し、ssmのautomationを使用して自動実行できます。
aws ssm create-automation --document-name "aws-applysecurityupdates" --parameters "{\"instanceid\":[\"i-1234567890abcdefg\"]}"以上が、aws system manager（ssm）の基本機能と活用方法についての解説でした。ssmを活用することで、awsリソースの管理と運用を効率化し、セキュリティと可用性を向上させることができます。是非、これらの機能を試してみてください。
参考記事：
【AWS System Manager】関連のまとめ
【AWS System Manager】関連のまとめ
【aws system manager】基本機能と活用方法 【aws system manager】セキュリティ管理とベストプラクティス 【aws system manager】パッチ管理と自動化手法 【aws system m...
hack-note.com
2023.11.17
オンラインスクールを講師として活用する！
【完全無料】使えるプログラミングスクール体験セミナー
【完全無料】使えるプログラミングスクール体験セミナー WEB制作の無料教材がここにきてどんどん増えてきてるので、使えるものをまとめようと思います。 TecAcademy（テックアカデミー） TechAcademyの無料体験 Samurai ...
hack-note.com
2021.05.12