COLUMN

2021.03.31 ｜ Writer：安藤隼人

運用管理の自動化や環境を可視化できるAWS Systems Managerを解説

AWS Systems Managerは、システム環境を統合的に管理して、運用作業の自動化やシステム環境のリソース構成を可視化できるサービスです。AWSのリソースだけでなく、オンプレミスに構築されたサーバーも含めて管理を自動化できます。

AWS Systems Managerとは
AWS Systems Managerのメリット
AWS Systems Managerのユースケース
AWS Systems Managerの料金
AWS Systems Managerで効率的なシステム管理を

AWS Systems Managerとは

AWS Systems Managerは、AWS内に構築したAmazon EC2インスタンスなどのリソースを統合的に可視化、管理し、運用オペレーション自動化などの制御を実現するサービスです。AWSのリソースだけでなく、オンプレミスに構築されたサーバーも含め、ハイブリッドでリソースや運用状況の可視化および自動化を実現できることが魅力です。

AWS Systems Managerは、下記の要素で構成されています。

構成要素	概要
OpsCenter	AWS リソースに関連した運用上の問題の確認、調査、解決を一元的に実施できる。
Explorer	AWS Systems Manager Explorerを使用し、システム運用の健全性とパフォーマンスについての主要なインサイトおよび分析を提供するダッシュボードを表示。
リソースグループ	アプリケーションのさまざまなレイヤー、本番環境/開発環境などのリソース論理グループを作成
AWS AppConfig	事前に設定した内容で設定値を検証したうえで、環境変数などのアプリケーション設定をデプロイできる。
インサイトダッシュボード	ダッシュボードでそれぞれのリソースグループの運用データを自動的に集計して表示するため、運用データを見るために複数のAWS コンソールを操作する手間を省ける
インベントリ	各インスタンスと、インストール済みソフトウェアに関する情報を収集できる。収集内容は、アプリケーション、ファイル、ネットワーク設定、Windows サービス、レジストリなど
オートメーション	一般的な反復 IT オペレーションや管理タスクについて、AWS Systems Manager Automationを用いて安全に自動化できる。
実行コマンド	サーバーにログインしなくても、安全でセキュアに大規模なインスタンスをリモートで管理できるため、踏み台ホスト、SSH、リモート PowerShell が不要。
セッションマネージャー	WindowsやEC2インスタンスを管理するためのShellとCLIを利用できる。インバウンドポートの開放、SSH キーの管理、踏み台ホストの使用は不要。
パッチマネージャー	選択したOSとソフトウェアのパッチを自動的にデプロイできる。事前に設定されたパッチベースラインによって、インストールする特定のパッチのカテゴリを自動承認するなどの動作が可能。
メンテナンスウィンドウ	管理やメンテナンスのタスクを実行するためのスケジュールを設定できる。
ディストリビューター	AWS Systems Manager DistributorおよびAWS Systems Manager Run Command、ステートマネージャーを使用し、ソフトウェアエージェントなどのソフトウェアパッケージを安全に配信およびインストールできる。ソフトウェアパッケージを一元的に保存し、バージョン管理も可能。
ステートマネージャー	複数のインスタンスに対するサーバーの設定、アンチウイルス定義、ファイアウォール設定などの詳細な設定内容を制御。設定内容はクエリで確認できる。
パラメータストア	データベース文字列のようなプレーンテキストデータや、パスワードのような秘密データなど、設定データを一元的に管理するストアを提供することにより、機密性の高いデータと設定データをコードから分離。AWS Systems Manager は AWS Key Management Service（KMS）と統合されているため、保存したデータは自動的に暗号化される。また、AWS Identity and Access Management（IAM）を使用して、ユーザーとリソースによるパラメータへのアクセスを制御可能。
ITSM / ITOM ソフトウェアに接続	Jira Service Deskなどの IT サービスマネジメント（ITSM）ツールは、AWS Systems Manager と接続して、ITSM プラットフォームのユーザーが AWS リソースを管理するようにできる。

AWS Systems Managerのメリット

AWS Systems Managerのメリットは大きく2つ存在します。それぞれみていきましょう。

運用作業を自動化できる

定期的に行う運用作業や、サービス停止の実施時間帯をスケジューリングして、AWS Systems Manager上で定義できます。一連の運用作業のフローを定義して自動化し、SSHやRDPを使用しない安全なリモートアクセスで、コマンド実行などの一括操作が可能です。自動実行されたコマンドによる操作ログももちろん記録できます。ただしコマンド実行の種類によっては、ログがディスクリソースを圧迫するため、ディスク容量には注意が必要です。

システム環境のリソース構成を可視化

AWSのサービスのみならず、オンプレミスのデバイスやAWS以外のサービスを登録し、Amazon EC2やオンプレミス仮想マシンの一元的な可視化と管理ができます。例えばOS設定値のポリシーへの定義、インストールソフトウェア一覧の収集・検索や、OSパッチの選択と適用の自動化、設定値やパスワードなどの集中管理などが実現可能です。

AWS Systems Managerのユースケース

AWS Systems Managerの用途は多岐にわたるため、システム運用管理のユースケースとしてさまざまなものが想定されていますが、今回は3点の内容をお伝えします。

社内全サーバーのJavaバージョンの情報を保持

通常、システムの詳細なバージョンを管理するとなると、システム担当者へのバージョン一覧提出依頼や、直接ログインしてJavaのバージョンを確認するなど、相当な手間がかかることは明白です。しかしAWS Systems Managerを使えば、各システムから情報を取得してソフトウェアのバージョンを可視化でき、最新版の適用を自動化して、最新の状態を保持できます。

Amazon WorkSpaces（仮想デスクトップ）の管理を自動化

AWS Systems ManagerのエージェントをAmazon WorkSpacesにインストールすることで、管理作業を自動化できます。AWS Systems Managerからコマンドを実行して、特定のファイルを作成・削除したり、特定のプログラムを実行したりといった動作ができるため、手動で管理するよりも手間がかかりません。

プライベートサブネットに所属するWindowsインスタンスへの外部接続

通常、プライベートサブネットに所属するWindows インスタンス上に展開するアプリケーションの開発者や運用者は、必ずパブリックサブネットに所属する、踏み台サーバーを経由してWindowsインスタンスへログインする必要があります。この場合に、踏み台サーバーのシークレット（ログイン情報）などを、アプリケーション開発者へ開示する必要があります。

AWS Systems Manager のSession Managerを利用することで、パブリックサブネットに所属する踏み台サーバーを経由せずに、直接プライベートサブネットに所属するWindowsインスタンスへリモートデスクトップアクセスが可能になりますので、踏み台サーバーのシークレットを開示する必要が無くなります。

より具体的な使い方を知りたい方は、AWS Systems Manager経由でWindowsサーバーにリモートデスクトップ接続する方法を記載した記事がありますので、ぜひご覧ください。

【AWS】「AWS Systems Manager」経由でWindowsサーバーにリモートデスクトップ接続する方法

AWS環境の更新プログラム管理を効率化

複数システムを運用する企業では、複数台のサーバーでシステムが構成されているケースも珍しくはありません。複数台のサーバーがある場合に運用管理のネックの一つとなるのが更新プログラムの管理です。もちろん、WSUSやLinuxリポジトリサーバーをシステム内に構築して運用することは可能です。ただ、WSUSなどが稼働するサーバー監視などの運用も必要になります。

AWSでは、Systems ManagerのPatch Managerを使用することにより、OSやアプリケーションへのパッチ適用を管理することもできます。インスタンスへのSSMエージェント（AWS Systems Manager エージェント）インストールが必要なことやサポートOSの制限などはありますが、WindowsのみならずLinuxのパッチ適用も実施できることが魅力的です。

AWS Systems Manager 活用によるDevSecOpsの実現

近年では、DevOpsという言葉がIT業界で一般的になりつつあります。DevOpsとは、開発チーム（Development）と運用チーム（Operations）が協力して継続的にシステムの価値を向上させ、そのシステムによってビジネスの価値をより確実かつ迅速にエンドユーザーに届け続けるという概念です。DevSecOpsとは、DevOpsのあらゆる段階にセキュリティの要素を組み込んだ概念で、DevOpsの各プロセスを、より安全に実行できるようになります。OSやアプリケーションをEC2インスタンス上に新たにデプロイした場合には、迅速な脆弱性診断が必要不可欠ですが、このデプロイ後の脆弱性診断から修正適用後の構成情報出力までの一連のプロセスをAWSで自動化したケースがあります。まず、Amazon Inspectorにより脆弱性診断を実施し、OSやアプリケーションに脆弱性が発見された場合は、AWS Systems Manager Run Commandを使用してモジュールをアップデートします。最後にはAWS Systems Manager Inventoryにより、各インスタンス上のソフトウェアバージョンなどの構成情報を取得し、修正が問題なく適用されているかを担当者がチェックする仕組みです。