SOAデプロイ、プロビジョニング、および自動化
ある企業はタグ「Env:Prod」が付いた約50台のEC2インスタンスを運用しています。すべてのインスタンスに CloudWatch エージェントと標準のセキュリティ設定が常に適用された状態を維持し、手動変更などで設定が逸脱（ドリフト）した場合も自動的に元の状態へ修復したいと考えています。新規に起動したインスタンスにも自動適用したいです。最小の運用負荷でこれを実現する方法はどれですか。
ASystems Manager State Manager の関連付けを作成し、対象タグのインスタンスに設定を定期的に適用してドリフトを自動修復する
✓ 正解
State Manager の関連付けはタグ指定したインスタンスに望ましい状態を定期適用し、設定逸脱時も次回適用で自動修復します。新規起動の同タグインスタンスにも自動適用され、一元管理で運用負荷が最小のため最適です。
BSystems Manager Run Command を毎日手動で実行し、全インスタンスに設定適用スクリプトを再度実行して状態をそろえる
Run Command はオンデマンドの単発実行であり、状態を継続維持する仕組みがありません。毎日手動実行が必要で、運用負荷が高く新規インスタンスへの自動適用もできないため要件を満たしません。
CEventBridge ルールで設定変更イベントを検知し、Lambda 関数を起動して逸脱したインスタンスを個別に修正する
EventBridge と Lambda で修復は可能ですが、検知ルール・SSM ドキュメント・Lambda 関数を自前で構築・保守する必要があります。State Manager に比べ実装と維持の手間が大きく、最小運用負荷の要件に反します。
D各インスタンスに cron ジョブを登録し、設定ファイルを定期的に上書きしてドリフトが発生しないよう維持する
cron ジョブは各インスタンスへ個別に設定・保守する必要があり、一元管理ができません。新規起動インスタンスへの自動展開もなく、スケールするフリートでは運用負荷が増大するため不適切です。
解説
State Manager の関連付け（Association）は、ターゲットをタグで指定し、SSM ドキュメントで定義した望ましい状態を定期スケジュールで継続的に適用する機能です。手動変更で設定が逸脱しても次回適用時に元の状態へ戻り、ドリフトを自動修復します。タグ指定のため、後から起動した同タグのインスタンスにも自動的に適用され、サーバーごとの個別管理が不要で運用負荷が最小です。
選択肢Bの Run Command は単発のオンデマンド実行であり、毎日の手動実行が必要で継続的な状態維持には向きません。
選択肢Cの EventBridge と Lambda はイベント検知ベースの修復が可能ですが、ドキュメント・ルール・関数を自前で実装・維持する必要があり運用負荷が高くなります。
選択肢Dの cron ジョブは各インスタンスへの個別実装・保守が必要で、新規インスタンスへの自動展開や一元管理ができません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →