Häufig gestellte Fragen zu EC2 Image Builder

Neue Images können so konfiguriert werden, dass sie basierend auf Triggern generiert werden, beispielsweise jedes Mal, wenn ein Update ansteht (z. B. AMI-Quellupdates, Sicherheitsupdates, Compliance-Updates, neue Tests usw.) oder zu einem festgelegten Zeitpunkt. Sie können eine "Build-Trittfrequenz" angeben, bei der neue goldene Images mit den neuesten Änderungen erstellt werden, indem Sie ausstehende Änderungen anwenden. Die neuesten Images können mit dem Image Builder getestet werden, um Ihre Anwendungen auf den aktualisierten Builds zu überprüfen. Sie können Benachrichtigungen auch über SNS-Warteschlangen abonnieren, damit Aktualisierungen für mit dem Image Builder erstellte Images ausstehen. Sie können diese Benachrichtigungen als Auslöser verwenden, um neue Images zu erstellen.

Sie können Software-Images aus registrierten Softwarequellen wie RPM/Debian-Paketen in Repositorys und MSIs sowie benutzerdefinierten Installationsprogrammen unter Windows anpassen. Neben vorregistrierten AWS-Softwarequellen können Sie auch eines oder mehrere Ihrer Repositorys und Amazon-S3-Standorte registrieren, die Software für die Installation enthalten. Sie können für Installationsworkflows, die interaktive Eingaben benötigen, installationsspezifische "unbeaufsichtigte" Mechanismen (z. B. Antwortdateien) bereitstellen.

Mit Image Builder können Sie Sammlungen von Sicherheitseinstellungen definieren, die Sie bearbeiten, aktualisieren und verwenden können, um Ihre mit Image Builder erstellten Images zu sichern. Diese Einstellungssammlungen können angewendet werden, um die geltenden Compliance-Kriterien zu erfüllen. Diese Kriterien können von Ihrer Organisation oder von der Aufsichtsbehörde in Ihrer Branche vorgegeben werden. AWS bietet eine Reihe von Einstellungen, um die gängigen Branchenbestimmungen zu erfüllen. Sie können Sammlungen von Einstellungen direkt oder in geänderter Form anwenden. Beispielsweise werden durch von AWS bereitgestellte Einstellungen für STIG nicht erforderliche offene Ports geschlossen und eine Software-Firewall aktiviert.

Nein, die Einstellungssammlungen von AWS stellen empfohlene Richtlinien zum Erreichen der Konformität dar und garantieren keine Konformität. Sie müssen mit Ihren Compliance-Teams und Prüfern zusammenarbeiten, um die Compliance zu überprüfen. Die von AWS bereitgestellten Einstellungen können Ihren Anforderungen entsprechend geändert und zur erneuten Verwendung in der Galerie gespeichert werden.

Sammlungen von Einstellungen können von Grund auf neu erstellt oder aus von AWS bereitgestellten Vorlagen abgeleitet und an einem registrierten Amazon S3-Speicherort gespeichert werden. Sie können Ihre eigenen Sammlungen erstellen, die Sicherheitseinstellungen anwenden, z. B. das Anwenden von Sicherheitspatches, das Installieren von Firewalls, das Schließen bestimmter Ports, das Sperren der Dateifreigabe zwischen Programmen, das Installieren von Anti-Malware, das Erstellen sicherer Kennwörter, das Speichern von Sicherungskopien und nach Möglichkeit die Verschlüsselung. Deaktivieren schwacher Verschlüsselung, Protokollierung/Audit-Kontrollen, Entfernen persönlicher Daten usw. Sie können der Galerie Ihre benutzerdefinierten Einstellungen hinzufügen.

Mit dem Test-Framework im Image Builder können Sie Inkompatibilitäten abfangen, die durch Betriebssystemaktualisierungen vor der Bereitstellung in AWS-Regionen verursacht wurden. Sie können sowohl von AWS bereitgestellte Tests als auch Ihre eigenen Tests ausführen, Testläufe, Ergebnisse verwalten und nachgelagerte Vorgänge nach dem Bestehen von Tests überprüfen. Beispiele für von AWS bereitgestellte Tests sind: Testen, ob ein AMI über die Anmeldeaufforderung gestartet werden kann, Testen, ob ein AMI eine Beispiel-App ausführen kann usw. Sie können die Images auch selbst testen.

Jeder Test in Image Builder besteht aus einem Testskript, einer Testbinärdatei und Testmetadaten. Das Testskript enthält Orchestrierungsbefehle zum Starten der Testbinärdatei, die in einer beliebigen Sprache und in einem beliebigen Testframework geschrieben werden kann, das vom Betriebssystem unterstützt wird (z. B. PowerShell unter Windows und bash, Python, Ruby usw. unter Linux). Exit-Statuscodes kennzeichnen die Testergebnisse. Zu den Testmetadaten gehören auch Attribute wie Name, Beschreibung, Pfade zum Testen der Binärdatei, erwartete Dauer usw.

Image Builder lässt sich in AWS Organizations integrieren, um die gemeinsame Nutzung von AMIs über AWS-Konten mithilfe vorhandener Mechanismen zu ermöglichen. Image Builder kann die AMI-Startberechtigungen ändern, um zu steuern, welche AWS-Konten neben dem Besitzer EC2-VMs mit dem AMI starten dürfen (z. B. privat, öffentlich und für bestimmte Konten freigegeben). Sie können Ihr AWS Organization-Hauptkonto auch dazu veranlassen, Einschränkungen für Mitgliedskonten zu erzwingen, um Instanzen nur mit genehmigten und kompatiblen AMIs zu starten. Weitere Informationen zur Integration in AWS Organizations finden Sie in der Image Builder-Dokumentation.

Image Builder verwendet Amazon ECR (einen verwalteten Service für Container-Register) sowohl als Eingabe als auch Ausgabe für Container-Images. Sie können Richtlinien für die Zugriffsverwaltung auf jedes Repository konfigurieren und den Zugriff auf IAM-Nutzer und -Rollen sowie AWS-Konten beschränken. ECR integriert mit RAM und AWS Organizations, um das Teilen, Verteilen und Replizieren von Container-Images über mehrere Regionen und Konten zu ermöglichen. ECR verwendet IAM-Richtlinie, um Zugriff auf Ressourcen zu kontrollieren.

Image Builder kann AMIs mithilfe vorhandener AMI-Freigabemechanismen in ausgewählte AWS-Regionen kopieren. Die Verteilung kann nach Bestehen von Tests mit Image Builder gesteuert werden.

Der Image Builder kann in AWS CI/CD-Services wie Code Build und Code Pipeline integriert werden, um die Aktualisierung einer durchgängigen CI/CD-Pipeline zum Erstellen, Testen und Bereitstellen von AMIs zu unterstützen.

Image Builder verfolgt und zeigt den Fortschritt für jeden Schritt im Image-Erstellungsprozess an. Darüber hinaus kann der Image Builder so eingestellt werden, dass er Protokolle an CloudWatch ausgibt. Für die fortgeschrittene Problembehandlung können Sie beliebige Befehle und Skripts über die SSM-runCommand-Schnittstelle ausführen.