あるDevOpsチームは、最新のOSパッチと社内セキュリティ設定を適用したゴールデンAMI（標準カスタムAMI）を毎週自動作成し、us-east-1・ap-northeast-1・eu-west-1 の3リージョンへ自動

Question

あるDevOpsチームは、最新のOSパッチと社内セキュリティ設定を適用したゴールデンAMI（標準カスタムAMI）を毎週自動作成し、us-east-1・ap-northeast-1・eu-west-1 の3リージョンへ自動配布する仕組みを構築したいと考えています。初期設定後は一切手動操作を必要とせず、ビルド後に自動テストも実行したいという要件があります。最も運用負荷が低いソリューションはどれですか？

Accepted Answer

正解: EC2 Image Builder でパイプラインを作成し、ビルドコンポーネント・テストコンポーネント・3リージョンへの配布設定を定義する。スケジュールトリガーを設定し、新規AMI作成・テスト・配布を完全自動化する。正解：
EC2 Image Builder でパイプラインを作成し、ビルドコンポーネント・テストコンポーネント・3リージョンへの配布設定を定義する。スケジュールトリガーを設定し、新規AMI作成・テスト・配布を完全自動化する

EC2 Image Builder はゴールデンAMIの作成・テスト・マルチリージョン配布を統合管理できる専用サービスです。パイプラインにビルドコンポーネント（パッチ適用・ソフトウェアインストール）、テストコンポーネント（自動検証）、配布設定（複数リージョン）を定義するだけで、スケジュール実行による完全自動化が実現できます。EventBridge Scheduler＋Lambda＋CreateImage/CopyImage APIの組み合わせは機能的には実現可能ですが、テスト実行・エラーハンドリング・状態管理を自前で実装する必要があり、構成の複雑さと運用負荷が増大します。Systems Manager Patch Managerでのパッチ適用後に手動でAMIを作成する方法は、「一切手動操作を必要とせず」という要件に直接反します。CodeBuild＋CodePipelineの構成は手動承認ステージを含むため同様に要件に反し、ビルド・テスト・配布の各ステージを個別に設計・管理する必要があるためImage Builderより運用負荷が高くなります。

Answer

EventBridge Scheduler で毎週Lambda関数を起動し、EC2インスタンスを起動してパッチを適用後 CreateImage API でAMIを作成する。その後、別のLambda関数で CopyImage API を呼び出し各リージョンにコピーする — 機能的には実現可能ですが、テスト・エラーハンドリング・状態管理を自前で実装する必要があり、構成の複雑さと運用負荷が大幅に増加します。

Answer

Systems Manager Patch Manager のパッチウィンドウでEC2インスタンスにパッチを適用後、手動でAMIを作成してマネジメントコンソールから各リージョンにコピーする — パッチ適用後にAMIを手動で作成する必要があり、「一切手動操作なし」という要件に直接反します。継続的な自動化が実現できません。

Answer

AWS CodeBuild でシェルスクリプトを実行してAMIをビルドし、CodePipeline で承認ステージを経由した後に各リージョンへAMIをコピーするパイプラインを構築する — 手動承認ステージが含まれるため自動化要件に反し、各ステージを個別に設計・管理する必要があるためImage Builderより運用負荷が高いです。

解説

解説