FAQ AWS Systems Manager

Q : Qu'est-ce que l'Explorateur AWS Systems Manager ?
L'Explorateur AWS Systems Manager est un tableau de bord d'opérations personnalisable pour vos ressources sur AWS et dans des environnements multicloud et hybrides. Explorer affiche une vue agrégée des données d'opérations de vos comptes et régions AWS. Explorer fournit des informations sur la répartition des problèmes opérationnels entre vos applications et unités opérationnelles, sur leur évolution dans le temps et sur leur variation selon les catégories.

Q : Qu'est-ce que les OpsData ?
Les OpsData correspondent aux données d'opérations affichées par le tableau de bord d'Explorer. Les OpsData proviennent de différentes sources, notamment EC2, OpsCenter et Patch Manager. Vous pouvez consulter et gérer les sources OpsData depuis la page des paramètres d'Explorer.

Q : Quelle relation existe-t-il entre Explorer et OpsCenter ?
Parmi les types de données affichés par Explorer, on y trouve les OpsItems d'OpsCenter. OpsItems vous aide à gérer, examiner et résoudre les problèmes opérationnels. Explorer fournit une vue agrégée de vos OpsItems, ainsi que d'autres données d'opérations pertinentes sur les comptes et les régions. Les OpsItems peuvent toujours être gérés et corrigés via OpsCenter.

Q : Comment afficher mes OpsData sur plusieurs comptes et régions ?
Vous pouvez afficher vos OpsData sur plusieurs comptes et régions en configurant une synchronisation des données relatives aux ressources à partir de la page des paramètres d'Explorer. La synchronisation des données relatives aux ressources collecte toutes les OpsData des comptes et des régions que vous avez spécifiés et les regroupe dans une seule vue.

Q : Quand dois-je utiliser AWS Systems Manager et AWS Security Hub ?
AWS Systems Manager est la plateforme opérationnelle d'AWS qui vous permet de gérer aisément votre infrastructure cloud et hybride. À l'aide de Systems Manager, vous pouvez diagnostiquer et résoudre les problèmes opérationnels liés à vos ressources sur AWS et dans des environnements multicloud et hybrides depuis un emplacement central (à l'aide de Systems Manager OpsCenter) et consulter un tableau de bord contenant les données de vos opérations sur vos comptes et régions AWS (à l'aide de Systems Manager Explorer). AWS Security Hub est utilisé par les professionnels de la sécurité et de la conformité ainsi que par les ingénieurs DevOps pour surveiller et améliorer en permanence la posture de sécurité de leurs comptes et ressources AWS. La plupart des clients séparent leurs problèmes de sécurité (par exemple, les compartiments Amazon S3 accessibles au public ou le crypto-minage détecté sur les instances Amazon EC2) des problèmes opérationnels (par exemple, les instances Amazon Redshift sous-utilisées ou les instances Amazon EC2 sur-utilisées), car les problèmes de sécurité sont sensibles et ont généralement des exigences d'accès différentes. Par conséquent, ils utilisent Security Hub pour comprendre, gérer et corriger leurs problèmes de sécurité, et ils utilisent Systems Manager pour comprendre, gérer et corriger leurs problèmes opérationnels. Nous vous recommandons également d'utiliser Security Hub pour obtenir des représentations plus spécialisées de votre posture de sécurité.

Lorsque les mêmes ingénieurs travaillent à la fois sur les questions de sécurité et d'opération, il peut être utile de regrouper celles-ci en un même emplacement. Pour ce faire, vous pouvez opter pour l'envoi des résultats à Systems Manager OpsCenter et Explorer, dans lesquels les ingénieurs enquêtent et résolvent les problèmes de sécurité en même temps que les problèmes opérationnels, à l'aide de runbooks Systems Manager Automation.

Q : Que sont les tableaux de bord Amazon CloudWatch ?
Avec les tableaux de bord Amazon CloudWatch, vous pouvez créer des tableaux de bord réutilisables qui vous permettent de surveiller vos ressources sur AWS et dans des environnements multicloud et hybrides au même endroit. Les données de métriques sont conservées pendant quinze mois : vous pouvez donc consulter aussi bien les données actuelles que les données d'historique.

Q : Comment les tableaux de bord Amazon CloudWatch sont-ils intégrés à AWS Systems Manager ?
Vos tableaux de bord CloudWatch sont désormais disponibles directement sur AWS Systems Manager. Vous pouvez également créer de nouveaux tableaux de bord CloudWatch directement à partir de Systems Manager. À l'aide de CloudWatch Dashboards, vous pouvez créer vos propres tableaux de bord opérationnels personnalisés pour refléter l'état d'un composant d'application, d'un niveau d'application ou de domaines généraux de propriété opérationnelle.

Q : Qu'est-ce qu'AWS AppConfig ?
AWS AppConfig est une fonction d'AWS Systems Manager qui vous autorise à valider et à déployer rapidement des configurations sur une application quel que soit sa taille, qu'elle soit hébergée sur des instances Amazon EC2, des conteneurs, des fonctions AWS Lambda, des applications mobiles ou des appareils IoT, de manière contrôlée et surveillée. AWS AppConfig vous permet de valider les données de configuration pour vous assurer qu'elles sont correctes du point de vue de la syntaxe et de la sémantique conformément à vos définitions avant de les déployer dans votre application. AWS AppConfig vous permet de suivre les meilleures pratiques de déploiement en déployant la configuration à un rythme que vous définissez tout en surveillant les erreurs. En cas d'erreur, AWS AppConfig peut annuler les modifications afin de minimiser l'impact sur les utilisateurs de l'application.

Q : À qui s'adresse AWS AppConfig ?
AWS AppConfig s'adresse aux administrateurs système, aux équipes DevOps et aux développeurs qui souhaitent appliquer les modifications de configuration à leurs applications de manière gérée et surveillée, similaire à la manière dont ils gèrent le code, mais sans avoir à déployer le code lorsqu'une valeur de configuration est modifiée, ce qui permet de réduire les risques de pannes. AWS AppConfig convient pour les entreprises et les organisations de toute taille et de tout type disposant de cibles (hôtes, serveurs, fonctions AWS Lambda, conteneurs, périphériques mobiles, périphériques IoT, etc.) pour les configurations.

Q : Qu'est-ce qu'une configuration ?
Une configuration est un ensemble d'un ou de plusieurs paramètres d'application que votre application utilise pour modifier son comportement au moment de l'exécution. Vous pouvez stocker vos configurations en tant que documents ou paramètres AWS Systems Manager.

Q : Qu'est-ce qu'un valideur ?
Un validateur est un schéma ou un pointeur sur une fonction AWS Lambda qu'AWS AppConfig utilise pour vous permettre de vérifier que votre configuration est syntaxiquement ou sémantiquement correcte conformément à vos définitions.

Q : Qu'est-ce qu'une stratégie de déploiement ?
Une stratégie de déploiement est un plan décrivant la propagation des données de configuration vers une application. Une stratégie de déploiement inclut des contrôles permettant de définir la vitesse de déploiement d'une configuration, le pourcentage d'instances d'application devant recevoir la configuration mise à jour à divers intervalles et la durée pendant laquelle AWS AppConfig doit surveiller l'application tout entière pour vous aider à vérifier que les modifications apportées à la configuration n'ont pas d'effets indésirables.

Q : Quelle est la différence entre AWS AppConfig et AWS CodeDeploy ?
Une configuration d'application est une donnée qui influence le comportement d'une application et ne nécessite pas de compilation. La configuration est une abstraction qui peut changer au moment de l'exécution. Par exemple, nous pouvons contrôler une version de fonctionnalité en renseignant une valeur de configuration à une date et une heure spécifiques. Si la valeur doit être remplacée, par exemple, par une nouvelle date et une nouvelle heure, un administrateur peut modifier la valeur de configuration sans nécessiter de compilation, et l'application applique la nouvelle configuration au moment de l'exécution. La configuration de l'application et le code doivent inclure des mécanismes de sécurité pour éviter les erreurs dans un environnement de production. Nous vous recommandons d'utiliser AWS AppConfig pour appliquer des mécanismes de sécurité lors du déploiement de nouvelles configurations, et AWS CodeDeploy lors du déploiement d'un nouveau code.

Q : Quand faut-il utiliser AWS Systems Manager Parameter Store et AWS AppConfig ?
AWS Systems Manager Parameter Store est une fonction qui offre la possibilité de stocker, de récupérer et de gérer une valeur de configuration secrète ou en texte brut. Les cas d'utilisation fréquents de Parameter Store incluent le stockage de chaînes de base de données et de codes de licence en tant que valeurs de paramètre. Si vous devez stocker et récupérer des valeurs de manière autonome, vous devez utiliser Parameter Store. AWS AppConfig est un service de gestion de la configuration des applications qui vous permet de déployer en toute sécurité la configuration mise à jour vers les applications au moment de l'exécution, et de stocker les configurations en tant que paramètres. Si vous devez modéliser un ensemble complexe de configurations d'applications que vous pouvez valider et déployer en toute sécurité dans un environnement contrôlé, avec la possibilité d'annuler les modifications dans certaines conditions, vous devrez utiliser AWS AppConfig.

Q : Quelle est la différence entre AWS AppConfig et AWS Config ?
AWS Config vous permet d'évaluer, d'auditer et d'évaluer les configurations de vos ressources AWS, tandis qu'AWS AppConfig vous permet de gérer la configuration de l'application. Vous devez utiliser AWS Config pour obtenir une vue détaillée de la configuration des ressources AWS de votre compte et pour identifier le mode de configuration des ressources dans le passé et son évolution dans le temps. AWS AppConfig est destiné à vos applications exécutées sur des ressources AWS ou des serveurs sur site. Avec AWS AppConfig, vous pouvez valider les modifications apportées à la configuration des applications et définir des stratégies de déploiement afin de déployer en toute sécurité les configurations mises à jour vers les applications au moment de l'exécution.

Q : Qu'est-ce qu'AWS Systems Manager Parameter Store ?
AWS Systems Manager constitue également un magasin centralisé permettant la gestion des données de configuration, qu'il s'agisse de données en texte brut (comme des chaînes de base de données) ou de codes secrets (comme des mots de passe). Vous pouvez ainsi séparer les codes secrets et les données de configuration du code. Les paramètres peuvent être balisés et hiérarchisés, ce qui vous aide à les gérer plus facilement. Vous pouvez par exemple utiliser le même nom de paramètre, « db-string », avec un chemin hiérarchique différent, comme « dev/dbstring » ou « prod/db-string », pour stocker différentes valeurs. Systems Manager est intégré à AWS Key Management Service (KMS), ce qui vous permet de chiffrer automatiquement les données que vous stockez. Vous pouvez également contrôler l'accès des utilisateurs et des ressources aux paramètres avec AWS Identity and Access Management (IAM). Les paramètres peuvent être référencés par d'autres services AWS, tels qu'Amazon Elastic Container Service (ECS), AWS Lambda et AWS CloudFormation.

Q : Pourquoi utiliser AWS Systems Manager Parameter Store ?
C'est une bonne pratique qui consiste à stocker séparément les données de configuration et les codes secrets de votre code. Vous pouvez utiliser AWS Systems Manager Parameter Store pour stocker et référencer rapidement les configurations et les données sensibles. Plutôt que de stocker les données dans des fichiers de configuration ou de les référencer en texte brut, vous pouvez stocker et obtenir ces informations dans vos applications ou vos scripts. En outre, vous pouvez contrôler l'accès aux paramètres, de sorte que seuls les utilisateurs autorisés aient accès aux informations appropriées.

Q : Comment stocker les données sensibles ?
Une chaîne sécurisée correspond à des données sensibles qui doivent être stockées et référencées de manière sécurisée. Si vous ne souhaitez pas que les utilisateurs référencent certaines de vos données sous la forme de texte brut ou qu'ils aient accès à des informations qui pourraient être falsifiées ou utilisées à mauvais escient, utilisez des chaînes sécurisées dans AWS Systems Manager Parameter Store. Vous pouvez chiffrer vos données sensibles à l'aide de votre propre clé AWS KMS ou de la clé par défaut de votre compte utilisateur fournie par AWS KMS.

Q : Dans quels services puis-je référencer mes paramètres ?
Vous pouvez référencer simplement vos paramètres sur vos services AWS, comme Amazon ECS, AWS Lambda et AWS Systems Manager, ou sur tout autre service vous permettant d'utiliser les API AWS Systems Manager Parameter Store.

Q : Est-il possible de suivre l'utilisation et de contrôler l'accès à des paramètres spécifiques ?
Oui. Vous pouvez fournir un contrôle d'accès granulaire via des autorisations personnalisées aux utilisateurs et aux ressources (comme les instances) concernant l'accès à des paramètres à l'aide d'AWS IAM. De cette façon, vous pouvez contrôler qui peut accéder à quel paramètre, et sur quelle ressource. Vous pouvez également configurer des règles Amazon CloudWatch Events en fonction des évènements de modification des paramètres. En outre, vous pouvez également suivre et auditer les appels d'API des paramètres à l'aide d'AWS CloudTrail.

Q : Est-il possible de suivre les modifications apportées aux paramètres ?
Oui, vous pouvez accéder à l'historique des modifications apportées aux paramètres. Vous pouvez en outre utiliser les versions qui sont automatiquement implémentées lors d'une modification pour rechercher une valeur de paramètre spécifique en fonction de cette version.

Q : Est-il possible de stocker des données hiérarchiques en tant que paramètres ?
Oui, vous pouvez utiliser une structure hiérarchique pour stocker vos paramètres. Vous pouvez également contrôler et auditer l'accès à chaque niveau de la hiérarchie.

Q : Est-il possible de recevoir des notifications à chaque modification d'une valeur de paramètre ?
Oui, vous pouvez configurer des notifications Amazon CloudWatch et Amazon Simple Notification Service (SNS) pour des valeurs de paramètres individuelles, et recevoir des notifications en cas de modification.

Q : Quelle est la différence entre Secrets Manager et Parameter Store ?
AWS Secrets Manager est un service permettant de gérer le cycle de vie des éléments confidentiels de votre organisation de manière centrale, notamment ceux relatifs à la rotation, aux audits et au contrôle d'accès. Secrets Manager vous aide à répondre à vos besoins en matière de sécurité et de conformité en vous permettant de renouveler automatiquement vos éléments confidentiels. Secrets Manager offre une intégration préconfigurée pour MySQL, PostgreSQL et Amazon Aurora sur Amazon RDS, qui peut être étendue à d'autres types d'éléments confidentiels en personnalisant des fonctions Lambda.

AWS Systems Manager Parameter Store fournit une solution de stockage hiérarchique sécurisée pour la gestion des données de configuration, qui peuvent inclure des éléments confidentiels. Des données comme les chaînes de connexion de base de données, les mots de passe et les codes de licence peuvent être stockées en tant que valeurs de paramètre. Elles peuvent être auditées et leur accès peut être contrôlé. Les valeurs peuvent être stockées sous forme de texte brut ou de données chiffrées. Vous pouvez ensuite faire référence à ces valeurs en utilisant le nom unique du paramètre. Vous pouvez faire référence aux paramètres Systems Manager pour créer des scripts de configuration et d'automatisation génériques à utiliser sur des services AWS comme Amazon ECS et AWS CloudFormation.

Q : Dois-je utiliser Parameter Store ou Secrets Manager ?
Si vous souhaitez une base de stockage unique pour les configurations et les éléments confidentiels, vous pouvez utiliser Parameter Store. Si vous souhaitez une base de stockage dédiée aux éléments confidentiels et permettant de gérer leur cycle de vie, utilisez Secrets Manager. Parameter Store est disponible sans frais supplémentaires, avec une limite de 10 000 paramètres. Consultez la page relative à la tarification de Secrets Manager pour obtenir des détails.

Q : Y a-t-il une différence entre le modèle de sécurité de Parameter Store et celui de Secrets Manager ?
Non. Secrets Manager et Parameter Store sont tous les deux sécurisés de la même manière. Ils sont tous les deux compatibles avec le chiffrement au repos à l'aide de clés KMS appartenant au client. Pour plus d'informations sur la manière dont Parameter Store utilise AWS KMS, consultez le Guide du développeur KMS.

Q : Puis-je utiliser Secrets Manager avec Parameter Store ?
Oui. Vous pouvez faire référence à un secret Secrets Manager à l'aide de Parameter Store.

Q : Qu'est-ce que les paramètres avancés ?
Les paramètres avancés fournissent des capacités améliorées telles que la possibilité de stocker plus de 10 000 paramètres, des tailles de valeurs de paramètres plus élevées (jusqu’à 8 Ko) et des politiques de paramètres telles que l’expiration et la notification de non-changement. La politique d'expiration vous donne la possibilité de préciser une date et une heure d'expiration. La politique de notification de non-changement vous aide à suivre les paramètres qui n'ont pas été modifiés sur une période de temps spécifique. Les paramètres avancés sont facturés par stockage par mois et par interaction de l'API. Consultez la page de tarification pour plus de détails.

Q : Puis-je convertir les paramètres standard en paramètres avancés et vice-versa ?
Vous pouvez à tout moment convertir un paramètre standard en paramètre avancé. Vous ne pouvez pas convertir un paramètre avancé en paramètre standard. Si les fonctionnalités améliorées d'un paramètre avancé ne sont plus requises ou si vous ne souhaitez plus assumer les frais liés audit paramètre, vous devez supprimer ledit paramètre avancé et créer un nouveau paramètre en tant que paramètre standard.

Q : Puis-je accroître le débit de l'API pour Parameter Store ?
Oui, vous pouvez accroître le débit de l'API jusqu'à une limite supérieure. Pour ce faire, accédez à l'onglet Paramètres de Parameter Store. Les limites de débit d'API s'appliquent par région et par compte. Des frais s'appliquent à la hausse de la limite du débit. Consultez la page de tarification pour plus de détails. Si vous n'avez plus besoin d'un débit élevé, vous pouvez à tout moment réinitialiser la limite du débit dans l'onglet Settings (Réglages).

Q : Qu'est-ce qu'AWS Systems Manager Automation ?
L'automatisation, une fonctionnalité d'AWS Systems Manager, simplifie les tâches courantes de maintenance, de déploiement et de correction pour les services AWS tels qu'Amazon EC2, Amazon RDS, Amazon Redshift, Amazon S3 et bien d'autres en vous permettant de codifier vos opérations à l'aide de runbooks. Grâce au concepteur visuel à faible code de Systems Manager Automation, vous pouvez créer des runbooks personnalisés qui spécifient une liste donnée de tâches ou utiliser des runbooks prédéfinis créés par AWS. Ces runbooks peuvent être exécutés directement avec la console de gestion AWS, les interfaces de ligne de commande et les kits SDK, programmés dans une fenêtre de maintenance, ou en fonction des modifications apportées à vos ressources sur AWS et dans des environnements multicloud et hybrides via Amazon CloudWatch Events. Vous pouvez suivre l'exécution de chaque étape dans les runbooks et exiger des approbations pour chaque nouvelle étape. Vous pouvez également déployer progressivement les modifications et configurer un arrêt automatique lorsqu'une erreur se produit.

Q : Quelles tâches est-il possible d'automatiser ?
Vous pouvez automatiser toutes les tâches qui impliquent une interaction avec les ressources AWS et les ressources sur site. Les types d'action intégrés vous permettent d'interagir facilement avec les instances Amazon EC2, les piles AWS CloudFormation, etc. Divers types d'actions sont disponibles pour invoquer la commande d'exécution d'AWS Systems Manager, les scripts Python et PowerShell, ainsi que les fonctions AWS Lambda.

Q : Existe-t-il des runbooks AWS Systems Manager Automation prédéfinis ?
Il existe plus de 370 runbooks AWS Systems Manager Automation que vous pouvez exécuter pour effectuer de nombreuses tâches telles que la sauvegarde d'AMI en version finale, corriger des instances Amazon EC2, gérer les états d'une instance, etc.

Q : Puis-je créer mes propres runbooks AWS Systems Manager Automation ?
Vous pouvez créer vos propres runbooks personnalisés à l'aide du concepteur visuel à faible code d'Automation depuis la console. Avec le concepteur visuel, vous pouvez vous concentrer sur la définition de la logique métier de vos runbooks à l'aide d'une simple interface de type glisser-déposer, sans avoir à vous soucier de la syntaxe du langage spécifique au domaine. Toutefois, si vous préférez coder vos runbooks, le concepteur visuel comprend également un éditeur de code qui prend en charge les formats JSON et YAML. Vous pouvez également utiliser les runbooks AWS Systems Manager Automation partagés par un autre compte, et partager vos runbooks à votre tour.

Q : AWS Systems Manager Automation peut-il m'aider lors du processus d'approbation ?
Oui. Les types d'actions d'approbation intégrés peuvent être inclus dans vos runbooks AWS Systems Manager Automation. L'approbateur peut être un ou plusieurs utilisateurs IAM AWS. L'exécution du runbook attendra que le nombre minimum d'approbations requises soit reçu ou que les approbations soient refusées et procédera comme il convient.

Q : Puis-je appliquer des runbooks AWS Systems Manager Automation à tout un groupe de ressources ?
Oui. Vous pouvez cibler des groupes de ressources et appliquer des runbooks AWS Systems Manager Automation à des types de ressources spécifiques. Vous pouvez également spécifier des contrôles de sécurité pour indiquer le nombre de ressources du groupe sur lesquelles appliquer les runbooks simultanément, et vous pouvez ajouter des seuils d'erreur au-delà desquels les runbooks cesseront de s'exécuter.

Q : Puis-je exécuter un runbook AWS Systems Manager Automation étape par étape ?
Oui. Vous pouvez choisir d'exécuter l'intégralité du runbook AWS Systems Manager Automation en une fois, ou choisir le mode d'exécution manuel pour procéder étape par étape.

Q : Est-il possible de programmer l'exécution d'un runbook AWS Systems Manager Automation, ou de la déclencher en fonction d'autres événements ?
Oui. Vous pouvez programmer l'exécution d'un runbook AWS Systems Manager Automation comme cible Amazon CloudWatch Events ou utiliser les fenêtres de maintenance AWS Systems Manager ou le gestionnaire d'états d'AWS Systems Manager pour déclencher l'exécution d'un playbook AWS Systems Manager Automation à un moment précis. Vous pouvez également déclencher l'exécution du runbook en fonction des modifications apportées à vos ressources sur AWS et dans des environnements multicloud et hybrides via Amazon CloudWatch Events.

Q : Comment un utilisateur spécifie-t-il un script dans un runbook Automation ?
Deux méthodes permettent d'exécuter un script dans Automation. Vous pouvez inclure un script en ligne en tant qu'étape dans un runbook. Vous pouvez également ajouter des scripts en tant que pièces jointes à un runbook et les exécuter par référence à partir d'une étape du runbook.

Q : Les runbooks Automation prennent-ils en charge plusieurs scripts ?
Oui. Vous pouvez associer plusieurs scripts à un runbook Automation et référencer un script à partir d'une étape. Les scripts peuvent être chargés dans un runbook sous forme de fichiers ou de dossiers. Les dépendances de script (c'est-à-dire les scripts appelant d'autres scripts) sont également prises en charge tant que les scripts font tous partie du même runbook. D'autres artefacts requis pour l'exécution des scripts, tels que les modèles CloudFormation ou SAM (Serverless Application Model), peuvent être associés aux runbooks.

Q : Quels langages de script sont pris en charge par Automation pour l'étape de script ?
Automation prend en charge PowerShell Core et Python3. Les environnements préchargés sont Python avec Boto (préchargés avec les API AWS). Vous pouvez effectuer des analyses de sécurité sur des scripts Python lorsque vous utilisez le concepteur visuel pour créer des runbooks. Les analyses de sécurité identifient les failles de sécurité de votre code et suggèrent des solutions pour améliorer la sécurité de votre code. Les analyses de sécurité sont fournies par Amazon CodeGuru Security. La prise en charge des analyses CodeGuru Security par Automation est actuellement en version préliminaire.

Q : Quelles sont les exigences du script pour une étape de script ?
Automation prend en charge les entrées à spécifier pour un runbook. Les paramètres requis par les scripts peuvent être collectés en tant que paramètres d'entrée de runbook Automation, générés à une étape précédente ou collectés pendant l'exécution auprès d'autres sources telles que des bases de données. La sortie de script peut être utilisée comme objet JSON lors des étapes suivantes. Les fonctionnalités existantes d'Automation, telles que le référencement de la sortie d'étape, les variables Automation et les paramètres Systems Manager Parameter Store, peuvent être utilisées pour mettre les sorties à disposition en vue de leur utilisation dans le runbook.

Q : Qu'est-ce qu'une fenêtre de maintenance AWS Systems Manager ?
AWS Systems Manager vous permet de planifier des fenêtres de temps pour l'exécution de tâches d'administration et de maintenance dans vos instances. Cela garantit que vous sélectionniez un moment à la fois pratique et sécurisé pour installer des correctifs ou des mises à jour, ou effectuer d'autres modifications de configuration, améliorant ainsi la disponibilité et la fiabilité de vos services et de vos applications.

Q : Pourquoi utiliser les fenêtres de maintenance AWS Systems Manager ?
Les fenêtres de maintenance d'AWS Systems Manager améliorent la disponibilité et la fiabilité de vos charges de travail en réalisant automatiquement des tâches pendant une période bien définie, ce qui réduit de manière significative l'impact de toute défaillance opérationnelle ou de l'infrastructure.

Q : Quelles tâches puis-je effectuer avec une fenêtre de maintenance AWS Systems Manager ?
Vous pouvez par exemple effectuer les tâches suivantes :

• Installation d'applications, mise à jour de correctifs, installation ou mise à jour des agents AWS Systems Manager, ou exécution des commandes PowerShell et de scripts shell Linux.
  
• Création d'Amazon Machine Images (AMI), amorçage de logiciels et configuration d'instances.
  
• Exécution de fonctions AWS Lambda qui déclenchent des actions supplémentaires telles que le scan de vos instances pour les mises à jour de vos correctifs.
  
• Exécution de machines d'état AWS Step Function qui réalisent des tâches telles que la suppression d'une instance d'un environnement Elastic Load Balancing (ELB), la correction de l'instance, puis son rajout à l'environnement ELB.
  
  

Q : Quels types de tâches puis-je planifier dans une fenêtre de maintenance AWS Systems Manager ?
Vous pouvez créer et planifier toute instruction d'exécution AWS Systems Manager, toute exécution de document AWS Systems Manager Automation, toute AWS Step Functions ou toute fonction AWS Lambda en tant que tâche.

Q : Quels types de planification puis-je choisir pour mes fenêtres de maintenance AWS Systems Manager ?
Les fenêtres de maintenance d'AWS Systems Manager peuvent être planifiées à une date récurrente (par exemple, tous les mardis à 22:00:00 ou le 1er dimanche de chaque mois à 22:00:00). Vous pouvez définir votre planification en utilisant les expressions cron ou rate.

Q : Qu'est-ce que la conformité de configuration AWS Systems Manager ?
AWS Systems Manager vous permet d'analyser vos instances gérées pour garantir la conformité des correctifs et détecter les incohérences de configuration. Vous pouvez collecter et regrouper les données de plusieurs comptes et régions AWS, puis explorer plus en détails les ressources spécifiques qui ne sont pas conformes. Par défaut, AWS Systems Manager affiche les données concernant les corrections et les associations. Vous pouvez également personnaliser le service et créer vos propres types de conformité en fonction de vos besoins. 

Q : Comment suivre les modifications apportées à ma configuration au fil du temps ?
Avec une intégration d'AWS Config, vous pouvez contrôler la conformité d'une instance à une configuration souhaitée au moyen des règles AWS Config. Cette fonctionnalité permet aux experts en sécurité et aux auditeurs de la conformité de disposer d'une piste d'audit complète des modifications apportées à une configuration d'instance, et de recevoir des notifications proactives en cas de non-conformité.

Q : Comment suivre les niveaux de conformité de mes instances ?
Avec AWS Systems Manager, vous pouvez consulter les informations relatives à la conformité des correctifs, qui vous fournissent des résultats détaillés sur le processus de mise à jour corrective. Vous pouvez facilement obtenir l'ensemble des détails de conformité pour chaque instance. En outre, vous pouvez approfondir votre recherche et pour chaque instance, voir quels correctifs ont été installés, lesquels sont manquants ou non applicables, ou ceux dont l'installation a échoué.

Q : Puis-je créer mes propres contrôles de conformité ?
Oui. Vous pouvez créer vos propres types de conformité, qui peuvent être enregistrés au moyen de l'API. En fonction de vos besoins professionnels, vous pouvez créer vos propres contrôles avant d'enregistrer le niveau de conformité grâce à AWS Systems Manager afin d'assurer le suivi des instances non conformes. Vous pouvez également consulter ces informations de conformité d'un compte ou d'une région à l'autre en établissant une synchronisation des données relatives aux ressources.

Q : Qu'est-ce qu'AWS Systems Manager Inventory ?
AWS Systems Manager recueille des informations sur vos instances et le logiciel dont elles sont équipées pour vous aider à comprendre les configurations de votre système et les applications qui y sont installées. Vous pouvez collecter des données sur les applications, les fichiers, les configurations réseau, les services Windows, les registres, les rôles des serveurs, les mises à jour ainsi que toute autre propriété du système. Les données ainsi rassemblées vous permettent de gérer les ressources de vos applications, de suivre l'évolution des licences, de contrôler l'intégrité des fichiers, de découvrir les applications qui n'ont pas été installées par un installateur traditionnel, et plus encore.

Q : Puis-je collecter des informations personnalisées à partir d'une instance Amazon EC2 ou d'une instance sur site ?
Oui, vous pouvez créer différents types d'inventaires personnalisés pour recueillir des propriétés du système supplémentaires, qui peuvent être réunies par l'instance elle-même ou enregistrées à l'aide de l'API. Les exemples comprennent les résultats de PowerShell, ou d'autres applications, au format JSON, et les informations stockées de manière statique dans les fichiers JSON (comme les informations rack).

Q : Comment suivre les modifications apportées à ma configuration au fil du temps ?
Grâce à AWS Config, vous pouvez contrôler la conformité d'une instance à une configuration souhaitée au moyen des règles AWS Config. Cette fonctionnalité permet aux experts en sécurité et aux auditeurs de la conformité de disposer d'un journal d'activité d'audit complète des modifications apportées à une configuration d'instance et, de recevoir des notifications proactives en cas de non-conformité.

Q : Puis-je visualiser ou interroger les données d'inventaire depuis n'importe quel compte ou région AWS ?
Oui, vous pouvez synchroniser les données d'inventaire de différents comptes et régions dans un même compartiment Amazon S3. Il est ensuite possible d'utiliser Amazon Athena, Amazon QuickSight ou vos propres outils d'informatique décisionnelle (BI) pour interroger les données d'inventaire, quel que soit le compte ou la région.

Q : Puis-je analyser et visualiser les données d'inventaire ?
Oui, en plus du tableau de bord d'inventaire intégré, vous pouvez analyser et visualiser les données d'inventaire de manière approfondie grâce à Amazon Athena et Amazon QuickSight.

Q :Qu'est-ce-que Session Manager ?
Session Manager est un service entièrement géré qui vous offre un shell basé sur navigateur interactif et une expérience CLI. Il aide à fournir une gestion d'instances sécurisée et vérifiable sans avoir besoin d'ouvrir des ports entrants, de maintenir des hôtes bastion et de gérer des clés Secure Shell (SSH). Session Manager permet de se conformer aux politiques d'entreprise qui exigent un accès contrôlé aux instances, d'accroître la sécurité et la vérifiabilité de l'accès aux instances, tout en offrant aux utilisateurs finaux la simplicité et l'accès multiplateforme aux instances.

Q : Quels sont les avantages liés à l'utilisation de Session Manager ?
Ce service améliore en outre votre posture de sécurité en ne vous obligeant pas à ouvrir des ports entrants ou à maintenir des clés SSH ou des certificats sur vos instances. Il centralise également l'accès aux instances via AWS IAM. Une fois Session Manager activé, vous pouvez vous connecter à n'importe quelle instance EC2 Linux ou Windows et suivre chaque utilisateur ayant démarré une session sur chaque instance. Vous pouvez vérifier par quel utilisateur et quand une instance a été accédée à l'aide d'AWS CloudTrail, et journaliser chaque commande exécutée sur une instance dans Amazon S3 ou Amazon CloudWatch Logs. Enfin, avec Session Manager, vous n'avez pas besoin d'investissements initiaux pour exploiter et maintenir des hôtes bastion.

Q : À qui s'adresse Session Manager ?
Tout client d'AWS souhaitant améliorer son niveau de sécurité et d'audit, réduire ses coûts opérationnels en centralisant le contrôle d'accès sur les instances et réduire l'accès aux instances entrantes tirera des avantages de Session Manager. Les experts en sécurité de l'information qui souhaitent surveiller et suivre l'accès et l'activité des instances, fermer les ports entrants sur les instances ou permettre la connexion à des instances sans IP publique tireront des avantages de Session Manager. Les administrateurs qui veulent accorder et révoquer les accès à partir d'un pont central et qui veulent fournir une solution unique pour les instances Windows et Linux aux utilisateurs en tireront également des avantages. Enfin, les opérateurs peuvent démarrer rapidement en utilisant le navigateur pour cliquer et démarrer une session, puis sélectionner une instance, ou utiliser la CLI, sans avoir à fournir de clés SSH.

Q : Quelles sont les fonctions offertes par Session Manager ?
Vous pouvez démarrer une séance sur une instance EC2 Linux ou Windows à partir de la Console de gestion AWS, d'AWS CLI ou d'un kit SDK AWS. Par ailleurs, vous pouvez accorder et révoquer l'accès utilisateur aux instances en utilisant des autorisations basées sur les identifications d'AWS IAM, puis auditer qui a ouvert ou mis fin à une session en utilisant AWS CloudTrail. Toutes les actions effectuées sur une instance peuvent être consignées dans les journaux Amazon S3 ou Amazon CloudWatch Logs pour une analyse ultérieure.

Q : Combien coûte Session Manager ?
Session Manager permet de gérer les instances Amazon EC2 sans frais supplémentaires.

Q : Comment démarrer ?
Le moyen le plus rapide de démarrer avec Session Manager est d'utiliser AWS Management Console. Vous pouvez activer Session Manager en quelques clics. Pour plus de détails, reportez-vous à la documentation Démarrer.

Q : Session Manager requiert-il l'utilisation d'AWS Systems Manager Agent ?
Oui. La dernière version de SSM Agent est nécessaire pour démarrer avec Session Manager. SSM Agent est open source, et il est disponible sur GitHub.