【DOP-C02 模擬】組織全体のEC2パッチ準拠状況を可視化し、営業時間外にのみ自動適用するには？
ある企業はAWS Organizations配下の50アカウントで、LinuxとWindowsを合わせて数千台のEC2インスタンスを運用しています。DevOpsチームには次の要件が課されています。(1) 重要度がCriticalのOS更新は公開から7日以内に適用する。(2) パッチの適用は毎週日曜の午前2時から5時の間にのみ実施する。(3) 全アカウント・全リージョンのパッチ準拠状況を1つのダッシュボードで横断的に確認できる。(4) カスタムスクリプトや各アカウントでの個別設定を最小限にし、新規アカウントにも自動的に適用される。
これらの要件を最も少ない運用負荷で満たす方法はどれですか。
これらの要件を最も少ない運用負荷で満たす方法はどれですか。
正解: B
正解はBです。Systems Manager Quick Setup のパッチポリシーは、Organizations の組織全体または特定OUを対象にパッチベースラインとスキャン・インストールのスケジュールを一括構成でき、新しく追加されたアカウントやインスタンスにも自動的に適用されます(要件4)。パッチベースラインでは分類(Security)と重要度(Critical)に応じた自動承認ルールと「公開後N日」の承認遅延を指定でき、要件1を満たせます。インストールのスケジュールをcron式で日曜午前2時に設定し、実行時間の上限を設ければ要件2を守れます。Systems Manager Explorer は委任管理者アカウントから複数アカウント・リージョンのパッチ準拠データを集約して表示できるため要件3も満たします。
Aはカスタムスクリプトの運用そのもので、準拠状況の横断可視化も自作が必要になります。CはInspectorの検出を起点に即時適用するため、日曜深夜のみという時間帯要件に反し、パッチ管理を自前のLambdaで作り込むことになります。DはステートレスなAuto Scaling環境には有効ですが、数千台のインスタンス全体を毎週再作成するのは現実的でなく、ステートフルなサーバーには適用できません。