Terraform を使用してソフトウェアパッケージディストリビューションを AWS Organizations に一元化する - AWS 規範ガイダンス
概要前提条件と制限アーキテクチャツールベストプラクティスエピックトラブルシューティング関連リソース

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Terraform を使用してソフトウェアパッケージディストリビューションを AWS Organizations に一元化する

Pradip kumar Pandey、Chintamani Aphale、T.V.R.L.Phani Kumar Dadi、Pratap Kumar Nanda、Aarti Rajput、Mayuri Shinde、Amazon Web Services

概要

多くの場合、ワークロード間に強力な分離障壁を構築 AWS リージョン するために、企業は複数の にまた AWS アカウント がる複数の を維持します。セキュリティとコンプライアンスを維持するために、管理チームはセキュリティスキャン用の CrowdStrike、SentinelOne、TrendMicro ツールなどのエージェントベースのツールと、モニタリング用の Amazon CloudWatch エージェント、Datadog エージェント、AppDynamics エージェントをインストールします。これらのチームは、この大規模な環境全体でソフトウェアパッケージの管理と配布を一元的に自動化したい場合に、課題に直面することがよくあります。

の一機能である Distributor は、単一のシンプルなインターフェイスを通じてAWS Systems Manager、クラウドおよびオンプレミスサーバー全体でマネージド Microsoft Windows および Linux インスタンスにソフトウェアをパッケージ化して公開するプロセスを自動化します。このパターンは、Terraform を使用してソフトウェアのインストールの管理プロセスをさらに簡素化し、最小限の労力 AWS Organizations で 内の多数のインスタンスとメンバーアカウントでスクリプトを実行する方法を示しています。

このソリューションは、Systems Manager によって管理される Amazon、Linux、および Windows インスタンスで機能します。

前提条件と制限

アーキテクチャ

リソースの詳細

このパターンでは、Account Factory for Terraform (AFT) を使用してすべての必要な AWS リソースを作成し、コードパイプラインを使用してデプロイアカウントにリソースをデプロイします。コードパイプラインは 2 つのリポジトリで実行されます。

  • グローバルカスタマイズには、AFT に登録されているすべてのアカウントで実行される Terraform コードが含まれています。

  • アカウントのカスタマイズには、デプロイアカウントで実行される Terraform コードが含まれています。

アカウントカスタマイズフォルダで Terraform コマンドを実行して、AFT を使用せずにこのソリューションをデプロイすることもできます。

Terraform コードは、次のリソースをデプロイします。

  • AWS Identity and Access Management (IAM) ロールとポリシー

  • パッケージの圧縮ファイルと manifest.json

    • Systems Manager では、パッケージには少なくとも 1 つのソフトウェアまたはインストール可能なアセットの .zip ファイルが含まれています。

    • JSON マニフェストには、パッケージコードファイルへのポインタが含まれています。

  • S3 バケット

    • 組織全体で共有されている分散パッケージは、Amazon S3 バケットに安全に保存されます。

  • AWS Systems Manager ドキュメント (SSM ドキュメント）

    • DistributeSoftwarePackage には、メンバーアカウントのすべてのターゲットインスタンスにソフトウェアパッケージを配布するロジックが含まれています。

    • AddSoftwarePackageToDistributor には、インストール可能なソフトウェアアセットをパッケージ化し、その機能である Automation に追加するロジックが含まれています AWS Systems Manager。

  • Systems Manager の関連付け

    • Systems Manager の関連付けを使用してソリューションをデプロイします。

アーキテクチャとワークフロー

AWS Organizations でソフトウェアパッケージディストリビューションを一元化するためのアーキテクチャ図

この図表は以下のステップを示しています。

  1. 一元化されたアカウントからソリューションを実行するには、パッケージまたはソフトウェアをデプロイステップとともに S3 バケットにアップロードします。

  2. カスタマイズされたパッケージは、「Owned by me」タブの「Systems Manager コンソールのドキュメント」セクションで利用可能になります。

  3. Systems Manager の一機能であるステートマネージャーは、組織全体でパッケージの関連付けを作成、スケジュール、実行します。関連付けでは、ソフトウェアパッケージをターゲットノードにインストールする前に、マネージドノードにインストールして実行する必要があります。

  4. 関連付けは、ターゲットノードにパッケージをインストールするように Systems Manager に指示します。

  5. それ以降のインストールまたは変更の場合、ユーザーは同じ関連付けを 1 つの場所から定期的または手動で実行して、アカウント間でデプロイを実行できます。

  6. メンバーアカウントでは、オートメーションはデプロイコマンドを Distributor に送信します。

  7. ディストリビューターは、 インスタンス間でソフトウェアパッケージを配布します。

このソリューションは 内の管理アカウントを使用しますが AWS Organizations、組織に代わってこれを管理するためのアカウント (委任管理者) を指定することもできます。

ツール

AWS サービス

  • Amazon Simple Storage Service (Amazon S3) は、量にかかわらず、データを保存、保護、取得するのに役立つクラウドベースのオブジェクトストレージサービスです。このパターンでは、Amazon S3 を使用して分散パッケージを一元化し、安全に保存します。

  • 「AWS Systems Manager」は、 AWS クラウドで実行されるアプリケーションとインフラストラクチャの管理に役立ちます。これにより、アプリケーションとリソースの管理が簡素化され、運用上の問題を検出して解決する時間が短縮され、 AWS リソースを大規模に安全に管理できます。このパターンでは、次の Systems Manager 機能を使用します。

    • Distributor は、ソフトウェアをパッケージ化して Systems Manager マネージドインスタンスに発行するのに役立ちます。

    • 自動化により、多くの AWS サービスの一般的なメンテナンス、デプロイ、修復タスクが簡素化されます。

    • ドキュメントは、組織とアカウント全体で Systems Manager マネージドインスタンスに対してアクションを実行します。

  • AWS Organizations は、作成して一元管理する組織に複数の AWS アカウントを統合するのに役立つアカウント管理サービスです。

その他のツール

  • 「Terraform」は、HashiCorpのinfrastructure as code (IaC) ツールで、クラウドとオンプレミスのリソースの作成と管理を支援します。

コードリポジトリ

このパターンの手順とコードは、GitHub Centralized Package Distribution リポジトリで入手できます。

ベストプラクティス

  • 関連付けにタグを割り当てるには、 AWS Command Line Interface (AWS CLI） または を使用しますAWS Tools for PowerShell。Systems Manager コンソールを使用して関連付けにタグを追加することはできません。詳細については、Systems Manager ドキュメントの「Systems Manager リソースのタグ付け」を参照してください。

  • 別のアカウントから共有されたドキュメントの新しいバージョンを使用して関連付けを実行するには、ドキュメントのバージョンを に設定しますdefault。

  • ターゲットノードにのみタグを付けるには、1 つのタグキーを使用します。複数のタグキーを使用してノードをターゲットにする場合は、リソースグループオプションを使用します。

エピック

タスク説明必要なスキル

リポジトリをクローン作成します。

  1. GitHub Centralized パッケージディストリビューションリポジトリのクローンを作成します。

    git clone https://github.com/aws-samples/aws-organization-centralised-package-distribution

  2. Terraform コードリポジトリには、AFT によって管理される 2 つのカスタマイズフォルダが必要です。リポジトリのローカルコピーに次のフォルダが含まれていることを確認します。

    $ cd centralised-package-distribution
$ ls
global-customization
account-customization
DevOps エンジニア

グローバル変数を更新します。

global-customization/variables.tf ファイルで次の入力パラメータを更新します。これらの変数は、AFT によって作成および管理されるすべてのアカウントに適用されます。

  • account_id: Distributor ソリューションをデプロイするアカウントの ID。

  • aws_region: 関連付けがデプロイされる AWS リージョン 場所。

DevOps エンジニア

アカウント変数を更新します。

account-customization/variables.tf ファイルで次の入力パラメータを更新します。これらの変数は、AFT によって作成および管理される特定のアカウントにのみ適用されます。

  • package_bucket_name: パッケージディストリビューションファイルを含む S3 バケットの名前。

  • package_name: パッケージディストリビューションファイルの名前。

  • package_version: インストーラのパッケージバージョン。

DevOps エンジニア
タスク説明必要なスキル

ステートマネージャーの関連付けの入力パラメータを更新します。

account-customization/association.tf ファイル内の次の入力パラメータを更新して、インスタンスで維持する状態を定義します。ユースケースをサポートしている場合は、デフォルトのパラメータ値を使用できます。

  • targetAccounts: ディストリビューションのターゲットインスタンスを持つアカウントを表す AWS Organizations 内の組織単位 (OU) IDs。OU IDs「ou」で始まります。

  • targetRegions: ターゲットインスタンスが実行されている AWS リージョン （たとえば、「us-east-1」または「ap-southeast-2」）。

  • action： パッケージをインストールするかアンインストールするかを指定します。

  • installationType： 次のいずれかのインストールタイプ。

    • uninstall: パッケージはアンインストールされます。

    • reinstall: アプリケーションは、再インストールプロセスが完了するまでオフラインになります。

    • In-place update: アプリケーションは、新規または更新されたファイルがインストールに追加されている間使用できます。

  • name: インストールまたはアンインストールするパッケージの名前。

  • version： インストールまたはアンインストールするパッケージのバージョン。パッケージのバージョンがインストールされていない場合、システムはエラーを返します。

  • bucketName： パッケージがデプロイされた S3 バケット名。このバケットは、パッケージとマニフェストファイルのみで構成される必要があります。

  • bucketPrefix： パッケージアセットが保存される S3 プレフィックス。

  • AutomationAssumeRole: の Amazon リソースネーム (ARN)SystemsManager-AutomationAdministrationRole。

DevOps エンジニア

圧縮ファイルと manifest.jsonファイルをパッケージ用に準備します。

このパターンでは、PowerShell のインストール可能なファイル (Windows の場合は .msi、Linux の場合は .rpm) のサンプルと、 account-customization/packageフォルダのインストールおよびアンインストールスクリプトを提供します。

  1. PowerShell のインストール可能なファイルを独自のファイルに置き換えるか、インストール可能なファイル、インストールおよびアンインストールスクリプト、マニフェストファイルを提供して、アカウントの account-customizationフォルダにパッケージを作成します。

  2. 要件に応じて、Terraform が account-customizationフォルダで生成するデフォルトmanifest.jsonファイルをカスタマイズします。

DevOps エンジニア
タスク説明必要なスキル

Terraform の設定を初期化します。

AFT を使用してソリューションを自動的にデプロイするには、コードを次の場所にプッシュします AWS CodeCommit。

$ git add *
$ git commit -m "message"
$ git push

account-customization フォルダから Terraform コマンドを実行して、AFT を使用せずにこのソリューションをデプロイすることもできます。Terraform ファイルを含む作業ディレクトリを初期化するには、以下を実行します。

$ terraform init
DevOps エンジニア

変更をプレビューします。

Terraform がインフラストラクチャに加える変更をプレビューするには、 コマンドを実行します。

$ terraform plan

このコマンドは、Terraform 設定を評価して、宣言されたリソースの望ましい状態を決定します。また、目的の状態をワークスペース内でプロビジョニングする実際のインフラストラクチャと比較します。

DevOps エンジニア

変更を適用します。

次のコマンドを実行して、variables.tfファイルに加えた変更を実装します。

$ terraform apply
DevOps エンジニア
タスク説明必要なスキル

SSM ドキュメントの作成を検証します。

  1. Systems Manager コンソールの左側のナビゲーションペインで、ドキュメントを選択します。

  2. [Owned by me (自分が所有)] タブを選択します。

DistributeSoftwarePackage および AddSoftwarePackageToDistributorパッケージが表示されます。

DevOps エンジニア

自動化が正常にデプロイされたことを確認します。

  1. Systems Manager コンソールの左側のナビゲーションペインで、オートメーションを選択します。

  2. 自動化実行リストには、最新の DistributeSoftwarePackageおよび AddSoftwarePackageToDistributorデプロイが表示されます。

  3. 実行 ID を選択して、正常に完了したことを確認します。

DevOps エンジニア

パッケージがターゲットのメンバーアカウントインスタンスにデプロイされたことを確認します。

  1. Systems Manager コンソールのナビゲーションペインで、Run Command を選択します。

  2. コマンド履歴には、各呼び出しとそのステータスが表示されます。

  3. コマンド ID を選択すると、各ターゲットインスタンスのデプロイ履歴が表示されます。

  4. インスタンス ID を選択し、ディストリビューションの出力セクションを確認します。

DevOps エンジニア

トラブルシューティング

問題ソリューション

ステートマネージャーの関連付けが失敗したか、保留中のステータスのままです。

AWS ナレッジセンターのトラブルシューティング情報を参照してください。

スケジュールされた関連付けの実行に失敗しました。

スケジュール仕様が無効である可能性があります。ステートマネージャーは現在、関連付けの cron 式での月の指定をサポートしていません。cron 式または rate 式を使用してスケジュールを確認します。

関連リソース