【DOP-C02 模擬】パッチ適用済みAMIを毎月自動作成し、稼働中のAuto Scalingグループへ安全に展開するには？
ある企業は、起動テンプレートを使ったAuto Scalingグループで数百台のEC2インスタンスを運用しています。セキュリティ方針として、毎月OSパッチと監視エージェントの更新を反映した新しいAMIを自動で作成し、作成したAMIは自動テストに合格したものだけを利用することになりました。稼働中のインスタンスには直接変更を加えず(不変インフラ)、新AMIへの置き換えは段階的に行い、置き換え中にヘルスチェック失敗が一定割合を超えた場合は自動的に停止・ロールバックさせたいと考えています。
運用負荷を最小にしつつ要件を満たす方法として最も適切なものはどれですか。
運用負荷を最小にしつつ要件を満たす方法として最も適切なものはどれですか。
正解: B
正解はBです。EC2 Image Builderは、ベースAMIにパッチやエージェントを組み込むビルドコンポーネントとテストコンポーネントをパイプラインとして定義し、スケジュールで自動実行してAMIを配布できます。完成したAMIを起動テンプレートの新バージョンに反映し、Auto Scalingのインスタンスの更新(instance refresh)を使えば、最小正常率(MinHealthyPercentage)やチェックポイントに従って段階的にインスタンスを置き換え、CloudWatchアラームや失敗率に基づく自動ロールバックも設定できます。これが不変インフラを保ったままの標準的なパターンです。
Aは稼働中インスタンスをインプレースで変更するため不変インフラの方針に反し、テスト済みAMIの利用も担保できません。Cは手作業が多く、グループの再作成はダウンタイムを伴います。Dは段階移行は可能ですが、AMI作成の自動化とテストが含まれておらず、二重のグループ運用とDNS切り替えの管理負荷が大きくなります。