FAQ EC2 Image Builder

Gambar baru dapat dikonfigurasi untuk dibuat berdasarkan pemicu seperti setiap kali ada pembaruan yang tertunda (mis., Pembaruan AMI sumber, pembaruan keamanan, pembaruan kepatuhan, pengujian baru, dll.) atau pada ritme waktu yang ditentukan. Anda dapat menentukan “ritme bentuk” di mana gambar emas baru dihasilkan dengan perubahan terbaru dengan menerapkan perubahan yang tertunda. Gambar terbaru dapat diuji dengan Image Builder untuk memvalidasi aplikasi Anda pada bentuk yang diperbarui. Anda juga dapat berlangganan notifikasi melalui antrian SNS untuk menunggu pembaruan bagi gambar yang dibangun dengan Image Builder. Anda dapat menggunakan notifikasi ini sebagai pemicu untuk membangun gambar baru.

Anda dapat menyesuaikan gambar perangkat lunak dari sumber perangkat lunak terdaftar seperti repositori paket RPM/Debian serta MSI dan penginstal khusus pada Windows. Selain sumber perangkat lunak AWS pra-terdaftar, Anda juga dapat mendaftarkan satu atau lebih repositori dan lokasi Amazon S3 yang berisi perangkat lunak untuk instalasi. Anda dapat memberikan mekanisme “tanpa pengawasan” spesifik penginstal (seperti file jawaban) untuk alur kerja instalasi yang membutuhkan input interaktif.

Image Builder memungkinkan Anda menentukan kumpulan pengaturan keamanan yang dapat Anda edit, perbarui, dan gunakan untuk memperkeras gambar Anda yang dibangun dengan Image Builder. Kumpulan pengaturan ini dapat diterapkan untuk memenuhi kriteria kepatuhan yang berlaku. Kriteria ini dapat dimandatkan oleh organisasi Anda atau oleh otoritas pengawas di industri Anda. AWS menyediakan galeri pengaturan untuk membantu memenuhi peraturan industri yang populer. Anda dapat menerapkan kumpulan pengaturan secara langsung atau dalam bentuk yang dimodifikasi. Misalnya, pengaturan yang disediakan AWS untuk STIG menutup port tidak penting yang terbuka, dan mengaktifkan firewall perangkat lunak.

Tidak, kumpulan pengaturan dari AWS mewakili panduan yang disarankan untuk mencapai kepatuhan tetapi tidak menjamin kepatuhan. Anda perlu bekerja dengan tim kepatuhan dan auditor Anda untuk memvalidasi kepatuhan. Pengaturan yang disediakan oleh AWS dapat dimodifikasi sesuai kebutuhan Anda dan disimpan untuk digunakan kembali di galeri.

Kumpulan pengaturan dapat dibuat dari awal atau berasal dari templat yang disediakan AWS dan disimpan di lokasi Amazon S3 yang terdaftar. Anda dapat membangun kumpulan Anda sendiri yang menerapkan pengaturan keamanan seperti memastikan patch keamanan diterapkan, menginstal firewall, menutup port tertentu, tidak mengizinkan file sharing antar program, menginstal anti-malware, membuat kata sandi yang kuat, menyimpan cadangan, menggunakan enkripsi bila memungkinkan, menonaktifkan enkripsi yang lemah, kontrol logging/audit, penghapusan data pribadi, dll. Anda bisa menambahkan pengaturan khusus Anda ke galeri.

Kerangka kerja pengujian pada Image Builder memungkinkan Anda menangkap ketidaksesuaian akibat pembaruan OS sebelum diterapkan ke wilayah AWS. Anda dapat menjalankan keduanya - pengujian oleh AWS dan pengujian Anda sendiri, mengelola jalannya pengujian, hasil, dan menjaga keamanan operasi hilir pada saat kelulusan pengujian. Contoh-contoh pengujian oleh AWS meliputi: menguji apakah AMI dapat melakukan boot ke prompt login, menguji apakah AMI dapat menjalankan aplikasi sampel, dll. Anda juga dapat menjalankan pengujian Anda sendiri terhadap gambar.

Setiap pengujian pada Image Builder terdiri dari skrip uji, biner uji, dan metadata uji. Skrip uji berisi perintah orkestrasi untuk memulai biner uji yang dapat ditulis dalam bahasa apa pun dan dalam kerangka kerja pengujian apa pun yang didukung oleh OS (misalnya, PowerShell pada Windows dan bash, python, ruby, dll. di Linux) dan kode status keluar menunjukkan hasil pengujian. Metadata uji juga mencakup atribut seperti nama, deskripsi, path untuk menguji biner, durasi yang diharapkan, dll.).

Image Builder terintegrasi dengan AWS Organizations untuk memungkinkan berbagi AMI di akun AWS dengan menggunakan mekanisme yang ada. Image Builder dapat memodifikasi izin peluncuran AMI untuk mengontrol akun AWS mana selain pemilik yang diizinkan meluncurkan EC2 VM dengan AMI (mis., pribadi, publik, dan berbagi dengan akun tertentu). Anda juga dapat meminta akun master AWS Organizations Anda memberlakukan pembatasan pada akun anggota untuk meluncurkan instans hanya dengan AMI yang disetujui dan patuh. Lihat dokumentasi Image Builder untuk detail tentang integrasi dengan AWS Organizations.

Image Builder menggunakan Amazon ECR (layanan terkelola untuk register kontainer) sebagai input dan output gambar kontainer. Anda dapat mengonfigurasi kebijakan untuk mengelola izin untuk setiap repositori dan membatasi akses ke pengguna, peran IAM, atau akun AWS. ECR terintegrasi dengan RAM dan AWS Organizations agar dapat melakukan pembagian, distribusi, dan replikasi gambar kontainer di seluruh wilayah dan akun. ECR menggunakan kebijakan IAM untuk mengontrol akses ke sumber daya.

Image Builder dapat menyalin AMI ke wilayah AWS yang dipilih dengan menggunakan mekanisme berbagi AMI yang ada. Distribusi dapat dijaga keamanannya pada kelulusan pengujian dengan Image Builder.

Image Builder dapat berintegrasi dengan layanan AWS CI/CD seperti Code Build dan Code Pipeline untuk membantu mengaktualisasikan kerangka program CI/CD secara menyeluruh untuk membangun, menguji, dan menerapkan AMI.

Image Builder melacak dan menampilkan kemajuan setiap langkah dalam proses membangun gambar. Selain itu, Image Builder dapat dibuat untuk mengeluarkan log ke Cloudwatch. Untuk pemecahan masalah lanjutan, Anda dapat menjalankan perintah dan skrip sembarang dengan menggunakan antarmuka SSM runCommand.