Preguntas frecuentes del creador de imágenes EC2

Se pueden configurar las nuevas imágenes para generarlas con base en los desencadenadores, tales como cada vez que haya una actualización pendiente (por ejemplo, actualizaciones AMI fuente, actualizaciones de seguridad, actualizaciones de conformidad, nuevas pruebas, etc.) o una cadencia de tiempo estipulada. Puede especificar una “cadencia de creación” en el que las imágenes doradas se producen con los cambios más recientes aplicando los cambios pendientes. Las imágenes más recientes se puede probar con el creador de imágenes a fin de validar sus aplicaciones en las creaciones actualizadas. También puede suscribirse para recibir notificaciones a través de colas de SMS sobre actualizaciones pendientes para las imágenes creadas con el creador de imágenes. Puede usar estas notificaciones como desencadenadores para crear nuevas imágenes.

Puede personalizar imágenes de software de fuentes de software registradas, como repositorios de paquetes RPM o Debian, así como MSI e instaladores personalizados en Windows. Además de las fuentes de software de AWS previamente registradas, también puede registrar uno o más de sus repositorios y ubicaciones de Amazon S3 que contengan software que instalar. Puede proporcionar mecanismos “silenciosos” específicos del instalador (tales como archivos de respuestas) para los flujos de trabajo de instalación que requieren una entrada interactiva.

El creador de imágenes le permite definir colecciones de ajustes de seguridad que usted puede editar, actualizar y usar para reforzar sus imágenes creadas con el creador de imágenes. Estas colecciones de ajustes se pueden aplicar para cumplir con los criterios de conformidad aplicables. Estos criterios se pueden estipular en función de su organización o de la autoridad reglamentaria de su industria. AWS proporciona una galería para ayudarle a cumplir con las reglamentaciones populares de la industria. Puede aplicar colecciones de ajustes directamente o en un formulario modificado. Por ejemplo, los ajustes proporcionados por AWS para STIG cierran los portales abiertos no esenciales y activan el firewall de un software.

No, las colecciones de ajustes de AWS representan la norma recomendada para lograr la conformidad pero no la garantizan. Deberá trabajar con sus equipos de conformidad y con los auditores para validar la conformidad. Los ajustes proporcionados por AWS se pueden modificar en función de sus necesidades y se pueden guardar para reutilizarlos en la galería.

Las colecciones de ajustes se pueden crear desde cero o derivar de plantillas proporcionadas por AWS y se pueden almacenar en una ubicación de Amazon S3 registrada. Puede crear sus propias colecciones que aplican ajustes de seguridad tales como garantizar que se apliquen los partes de seguridad, instalar el firewall, cerrar ciertos puertos, no permitir el intercambio de archivos entre los programas, instalar antimalware, crear contraseñas seguras, mantener una copia de seguridad, utilizar cifrado cuando sea posible, deshabilitar el cifrado débil, registrar/hacer auditoría de los controles, eliminar datos personales, etc. También puede agregar sus ajustes personalizados a la galería.

El marco de prueba de Image Builder le permite captar incompatibilidades presentadas por las actualizaciones del SO antes de implementarlas en las regiones de AWS. Puede ejecutar tanto las pruebas proporcionadas por AWS como sus propias pruebas, realizar ejecuciones de pruebas, resultados y cerrar operaciones posteriores para pasar las pruebas. Algunos ejemplos de pruebas proporcionadas por AWS incluyen: pruebas de si una AMI puede arrancar con la solicitud de inicio de sesión, probar si una AMI puede ejecutar una aplicación de muestra, etc. También puede ejecutar sus propias pruebas en las imágenes.

Cada prueba del creador de imágenes consta de un script de prueba, un archivo binario de prueba y un archivo de metadatos de prueba. El script de prueba contiene comandos de organización para dar inicio al archivo binario de prueba que puede estar escrito en cualquier idioma y en cualquier marco de prueba admitido en el SO (por ejemplo, PowerShell en Windows y bash, python, ruby, etc. en Linux) y los códigos de estado de salida los resultados de las pruebas. El archivo de metadatos de prueba también incluye atributos como el nombre, la descripción, las rutas para archivos binarios de prueba, la duración esperada, etc.).

El creador de imágenes se integra con AWS Organizations para permitir el intercambio de AMI entre cuentas de AWS utilizando los mecanismos existentes. El creador de imágenes puede modificar los permisos de lanzamiento de AMI para controlar qué cuentas de AWS además del propietario se permiten para lanzar instancias EC2 con la AMI (por ejemplo, privadas, públicas y compartir con las cuentas específicas). También puede hacer que su cuenta maestra de AWS Organization aplique límites en las cuentas miembro a fin de lanzar instancias únicamente con AMI aprobadas y conformes. Consulte la documentación de Image Builder para conocer los detalles sobre la integración con AWS Organizations.

Image Builder utiliza Amazon ECR (un servicio administrado para los registros de contenedores) como entrada y salida para las imágenes de los contenedores. Puede configurar políticas para administrar los permisos de cada repositorio y restringir el acceso a usuarios y funciones de IAM o cuentas de AWS. ECR se integra con RAM y AWS Organizations para permitir el intercambio, la distribución y la réplica de imágenes de contenedores en todas las regiones y cuentas. ECR utiliza las políticas de IAM para controlar el acceso a los recursos.

El creador de imágenes puede copiar las AMI a las regiones de AWS seleccionadas utilizando mecanismos de intercambio de AMI existentes. La distribución se puede cerrar al pasar las pruebas con el creador de imágenes.

El creador de imágenes puede integrarse con servicios CI/CD de AWS tales como Code Build y Code Pipeline para ayudar a actualizar una canalización de CI/CD integral con el objetivo de crear, probar e implementar AMI.

Image Builder hace un seguimiento y muestra el progreso de cada paso en el proceso de creación de imágenes. Además, Image Builder se puede usar para emitir registros a CloudWatch. Para lograr una resolución de problemas más avanzada, puede ejecutar comandos y scripts arbitrarios mediante la interfaz SSM runCommand.