ある会社は、複数のAWSリージョンに分散する数千のEC2インスタンスを管理しています。セキュリティチームは、各インスタンスにOSパッチを適用し、最新のセキュリティ基準を維持することを求めています。運用チームは、パッチ適用の自動化を望んでいますが、各EC2インスタンスへのログインやカスタムスクリプトの管理を行いたくありません。最もスケーラブルかつ運用効率の高いソリューションはどれですか。
AWS Systems Manager Patch Managerは、大規模環境におけるOSパッチ適用の管理を自動化するためのフルマネージドサービスです。「パッチベースライン」でパッチの承認ルールを定義し、「メンテナンスウィンドウ」で適用時間帯をスケジュールできます。このサービスを使用することで、ログイン不要かつエージェントベースで全インスタンスの状態を一元管理でき、数千のインスタンスに対してもスケーラブルにパッチ適用を実行できます。Ansibleのようなサードパーティツールを個別に管理する必要もなく、完全にサーバーレスに近い運用が可能です。 選択肢BのユーザーデータへのOS再起動スクリプト追加は、インスタンス起動時の一度きりの適用となるため継続的なパッチ管理には不向きです。適用状況の可視化やスケジュール制御もできず、複数リージョン・数千台規模の一元管理には対応できません。 選択肢CのSSH＋Ansibleプレイブックは、各インスタンスへの直接ログインとAnsible環境の構築・メンテナンスが必要であり、「各EC2インスタンスへのログインやカスタムスクリプトの管理を行いたくない」という運用チームの要件に真っ向から反します。 選択肢DのパッチごとのAMI再作成＋インスタンス置き換えは、毎回AMIのビルド・テスト・ライフサイクル管理が発生するため、時間・コスト・運用複雑度の面でスケーラブルではなく、迅速なセキュリティパッチ適用にも不向きです。