SSM part 2

Question 1

SSM Automation
Для чего этот сервис?
Что там конкретно можно делать?
- EC2 instance
- AMI
- EBS Snapshot
- RDS Snapshot
- EBS Volume

Answer 1

Для выполнения операций с EC2, EBS, RDS и других
- restart EC2 instance
- создать AMI
- создать EBS Snapshot
- создать RDS Snapshot
- detach EBS Volume

Question 2

SSM Document для SSM Automation
Как называется? Каких типов бывает?
Как можно вызвать SSM Automation по расписанию?
Как связан с AWS Config? Как это называется? Конкретный пример

Answer 2

SSM Document для SSM Automation называется Automation Runbook
Бывает Pre-defined и Custom

По расписанию
- через EventBridge Cron event
- через Maintenance Window

SSM Automation может быть вызван сервисом AWS Config,
если ресурс оказался НЕ compliant с AWS Config Rule
(такой процесс называется “rule remediation”)

AWS Config распознал, что новый S3 bucket имеет НЕ активный versioning => вызвал SSM Automation (в качестве remediation) => SSM активировал S3 versioning

Question 3

SSM Automation
Как можно использовать для экономии денег ночью?
Какие есть варианты?
Для каких серверов это можно сделать?

Answer 3

stop/resize instance на ночь по EventBridge расписанию
для EC2, RDS

Question 4

SSM Automation
Как можно использовать для автоматизации Golden Image?
Что будет происходить с Golden Image?
EventBridge, Parameter Store

Answer 4

• Каждую неделю EventBridge вызывает SSM Automation называемую CreateImage
• SSM Automation изготавливает новый Golden Image
• SSM Automation вызывает Лямбда функцию
• Лямбда функция обновляет ami-id в SSM Parameter Store

Question 5

SSM Patch Manager
Что такое patching? Чего он касается?
Через что он реализован?
На каких ОС поддерживается? Поддерживается ли в On-Premise?

Answer 5

Patching - это обновления (ОС, приложения, Security, драйверов)

SSM Agent, установленный на сервере, будет запрашивать SSM API, чтобы получить обновления.

• EC2 instances, On-premise
• Linux, macOS, Windows

Question 6

Maintenance Windows
Какую возможность даёт этот сервис?
Какие примеры?
Какие настройки включает в себя Maintenance Window?

Answer 6

Maintenance Windows - возможность указать расписание, когда выполнять операции с EC2 instance’ами (Patching, Automation)

Например, обновить ОС, обновить драйвера, установить программу.

• Расписание
• Длительность
• Список зарегистрированных instance’ов
• Список зарегистрированных задач

Question 7

Maintenance Windows
- rate control
- concurrency
- error threshold
Что это за настройки?

Answer 7

• concurrency - максимальное число instance’ов, на которых обновление происходит параллельно
• error threshold - процент/количество ошибок для остановки распространения обновления

Question 8

Patch Compliance Report
Что это такое? Кто его создаёт? Где его хранят?

Answer 8

• SSM Patch Manager сканирует instance
• SSM Patch Manager генерирует Patch Compliance Report и отправляет его в S3
• Patch Compliance Report это список всех недостающих обновлений

Question 9

Patch Baseline
Что это такое? Что он включает? Что с ним можно делать?
Какое значение имеет по-умолчанию?

Answer 9

Patch Baseline - это сущность сервиса SSM Patch Manager, в которой мы определяем,
какие обновления (patches) должны (или НЕ должны) быть установлены на наши instance’ы.

Можно апрувать Patch Baselines, когда их релизят

По-умолчанию Patch Baselines включают в себя только КРИТИЧЕСКИЕ патчи и SECURITY патчи на instance’ы, которые управляются SSM Patch Manger’ом

Question 10

Patch Group
Что это такое? Как это можно создать технически?
Как это нужно создавать по-смыслу? Какие есть органичения при создании?

Answer 10

Patch Group - это группа instance’ов, связанная с конкретным Patch Baseline’ом
Группировать instance’ы имеет смысл по окружениям (dev, test, prod)

Группы формируются с помощью тэга Patch Group
Если тэг Patch Group НЕ указан для instance’а,
то это приравнивается к тэгу Patch Group: Default

Ограничение
Instance может входить только в ОДНУ Patch Group’у