Amazon EC2 Systems ManagerとAWS ConfigでAmazon Linuxの記録/追跡、自動チェックをしてみた

阿部洸樹

2017.03.05

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

Amazon EC2 Systems Managerは、EC2に関する様々なユースケースを支援するサービスです。 Systems Managerのインベントリ機能をAmazon Linuxで試してみました。

インベントリは、OS、アプリケーション、エージェント、ネットワークなどの情報を収集します。インベントリとAWS Configを使って、カーネルアップデートの記録/追跡、ds_agentのインストール状況の自動チェックをしてみました。

AWS Configのセットアップ

AWS Configはとりあえず有効にしようをご覧ください。

SSMエージェントのインストール

Systems Managerを利用するには、幾つかの条件があります。事前に前提条件を確認しておきます。 Amazon LinuxにSSMエージェントをインストールします。

インベントリの設定

Amazon Linuxに任意のタグを付与しておきます。今回は"Inventory:true"としました。

EC2コンソール＞ Manged Instances ＞ Setup Inventoryでインベントリを設定します。インベントリを取集するターゲットは、インスタンス個別またはタグで指定します。 "Inventory:true"のタグを対象としました。その他はデフォルトとします。標準で30分おきにインベントリを収集します。

インベントリはステートマネージャに登録され、定期的に実行されます。

アプリケーション情報をEC2コンソールから確認

インベントリで収集されたデータをEC2コンソールから確認します。 Manged Instancesから対象のインスタンスを選び、Inventoryを選択します。

フィルターを使ってカーネルバージョンを確認します。バージョン"4.4.41"であることがわかります。

AWS Configコンソールからも同様の内容を確認できます。 Resource inventory ＞ SSM ManagedInstanceInventoryでLook upすると、マネージドインスタンスの一覧が表示されます。インスタンスIDを選択し、Configタイムラインを閲覧します。

インベントリを収集したタイミングで、タイムラインが作成されます。タイムライン（日時が表示された四角）を選択することで、収集された内容を確認できます。

aws-apitools-ec2、amazon-ssm-agentなどアプリケーション情報を確認できます。

アップデートの記録、追跡

カーネルのアップデートを行ったあとで、Configタイムラインを確認します。インベントリの収集のタイミング(30分ごと)と同じタイミングで更新されました。

kernel、kernel-toolsのバージョンとInstalledTimeが更新された事がわかります。 Fromが変更前、Toが変更後です。 "4.4.41"から"4.4.44"にアップデートされた事がわかります。

Configタイムラインを確認することで、アップデートの追跡を行えます。

OS設定の自動チェック

AWS Config Rulesを使って、OS設定を自動的にチェック出来ます。今回はルールec2-managedinstance-applications-requiredを使い、Deep Securityエージェントであるds_agentのインストール状況をチェックしました。 Deep Securityはアンチウイルス機能などを持つセキュリティ製品です。

AWS Configコンソールから、Rules ＞ Add rule ＞ ec2-managedinstance-applications-requiredを選択します。チェック対象はマネージドインスタンスとしました。