ハイブリッドクラウド環境におけるオンプレミスインスタンスのパッチソリューション設計 - AWS 規範ガイダンス
自動化プロセスアーキテクチャ上の考慮と制約事項

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

ハイブリッドクラウド環境におけるオンプレミスインスタンスのパッチソリューション設計

このガイドで説明されているソリューションを拡張して、ハイブリッドクラウド環境のオンプレミスサーバーインスタンスにパッチを適用することもできます。

オンプレミス・インスタンスの標準的なパッチ適用プロセスは、次の 2 つのステップで構成されます。

しかし、この方法では、アプリケーションチームかクラウドチームのいずれかが、パッチグループやメンテナンスウィンドウに変更を加えたいときに、AWS CLIコマンドを手動で実行する必要があります。

自動化プロセス

次の図は、Systems Manager カスタムインベントリオプションを使用するオンプレミスインスタンスにパッチを適用する代替方法を示しています。このプロセスは、先ほど説明した変更可能な EC2 インスタンス用の自動パッチ適用ソリューションを拡張したものです。

Reference architecture and workflow for patching mutable EC2 instances that span multiple AWS accounts and AWS Regions

  1. Systems Manager は、タグを使用する代わりに、カスタムインベントリコレクションを通じてオンプレミスの管理対象インスタンスからパッチ情報（パッチグループとメンテナンスウィンドウ）を取得します。

    Sample custom inventory JSON file
{
    "SchemaVersion": "1.0",
    "TypeName": "Custom:PatchInformation",
    "Content": {
        "Patch Group": "<APP-PROD>",
        "Maintenance Window": "XXX"
    }
}

  2. ラムダ automate-patch 機能は毎日実行され、オンプレミスのサーバーカスタムインベントリからパッチグループとメンテナンスウィンドウの情報を収集し、管理対象のインスタンスに[パッチグループ] と[メンテナンスウィンドウ] のタグを作成します。

  3. 次にLambda automate-patch 関数は、収集したカスタムインベントリに基づいて、適切なパッチグループとメンテナンスウィンドウを作成または更新し、パッチグループをパッチベースラインに関連付け、パッチスキャンを設定し、パッチタスクを展開します。オプションで、automate-patch 機能は CloudWatch Events にイベントを作成し、差し迫ったパッチをユーザーに通知します。

  4. メンテナンスウィンドウに基づき、イベントはアプリケーションチームに、間近に迫ったパッチ処理の詳細を示すパッチ通知を送信します。

  5. パッチマネージャーは、定義されたスケジュールとパッチグループに基づいてシステムパッチを実行します。

  6. Systems Manager Inventory のリソースデータ同期が、パッチの詳細を収集し、S3 バケットにパブリッシュします。

  7. パッチコンプライアンスレポートとダッシュボードは、S3 バケット情報から Amazon QuickSight に組み込まれています。

アーキテクチャ上の考慮と制約事項

前のセクションで説明したように、オンプレミスインスタンスにパッチを適用するには、カスタムインベントリを使用する方法とタグを使用する方法の 2 つがあります。それぞれのアプローチの長所と短所は以下の通りです。

オプション 1. カスタムインベントリをパッチ情報に使用する

  • オンプレミスサーバーを操作するアプリケーションチームがカスタムインベントリファイルにパッチ情報を設定し、Systems Manager がその情報を選択します。

  • 次に、カスタムインベントリパッチ情報を使用してパッチタスクが作成されます。

メリット

  • ファイルの更新のみが必要なため、設定がはるかに簡単になります。

デメリット

  • パッチ設定の変更は、インベントリ収集スケジュールに限定されます。

オプション 2. オンプレミスのマネージドインスタンスにタグを使用する

  • オンプレミスサーバーを扱うアプリケーションチームは、適切なパッチ情報を持つ AWS CLI を使用して、[パッチグループ] と[メンテナンスウィンドウ] タグを作成します。

  • タグ情報はパッチタスクの作成に使用されます。

メリット

  • パッチの標準化と自動化を推進するため、AWS とオンプレミス全体およびオンプレミスでの一貫したアプローチです。

デメリット

  • オンプレミスのインスタンスで作業するアプリケーションチームは、タグを作成または更新するために AWS CLI を学び、使用する必要があります。