AWS Systems Manager
マシンと設定の管理
運用ツール群です: パッチ適用、リモートでのコマンド実行、SSH 不要のログイン（Session Manager）、設定の保存（Parameter Store）。
- コスト$ 安い
- 難易度●●●●●
- 未使用でも課金？いいえ
- AWS マネージド
- 出題試験SAA · DVA · SOA
たとえるなら社内のすべてのマシンをリモートで管理する IT 部門のようなものです。
Systems Manager はシステムのどこにある？
具体例でステップごとに
- プライベートサブネットに EC2 が 200 台あり、深刻な脆弱性が発表されたばかりです。
- すべての台に SSM エージェントと適切な IAM ロールがあるので、Systems Manager でマネージドノードとして表示されています。
- Run Command で 200 台すべてに一度に更新コマンドを実行し、台ごとの結果を確認します。
- 1 台を調べたいときは、ブラウザで Session Manager を開きます。ポート 22 も踏み台も SSH キーも不要です。
- Patch Manager で毎週のパッチ適用をスケジュールし、アプリの設定値は Parameter Store に置きます。
いつ使う？
✓ 使うべき場面
多数の EC2/オンプレミスマシンを管理し、アプリケーションの設定を保存する場合。
よくある使い方
- SSH や bastion なしで EC2 にログイン（Session Manager）
- 一括パッチ適用（Patch Manager）
- アプリケーション設定の保存（Parameter Store）
- 複数のマシンでコマンドを実行（Run Command）
Systems Manager・Secrets Manager・CloudFormation の違い
| Systems Manager |  Secrets Manager |  CloudFormation | |
|---|---|---|---|
| 役割 | マシンの運用と設定値の保存 | シークレットの保存とローテーション | テンプレートからインフラを構築 |
| インスタンスへのアクセス | Session Manager（SSH 不要） | なし | なし |
| 設定値の保存 | Parameter Store（標準枠は無料） | 可能（シークレット単位で有料） | スタックのパラメータ |
| 自動化 | Run Command、Automation、Patch Manager | パスワードのローテーション | リソースの作成・変更・削除 |
料金はいくら？
- 課金方式: ほとんどの機能は無料です。課金対象: advanced パラメータ（約 $0.05/パラメータ/月）、Parameter Store の高スループット、OpsCenter、オンプレミスマシン向けの一部機能。
- 無料枠: Session Manager、Run Command、Parameter Store の standard 版: 無料。
誤って advanced パラメータを有効にする。Session Manager のセッションログが CloudWatch Logs に流れ込む。
SSH を開けず踏み台も使わずにプライベートサブネットのインスタンスに入るなら Session Manager です。多数の台への緊急のコマンド実行やパッチなら Run Command、定期的なパッチなら Patch Manager とメンテナンスウィンドウです。Systems Manager に表示されない場合は、エージェント、IAM ロール、エンドポイントへの経路を確認します。
本番の試験問題に挑戦
1A company has a production workload that runs on 1,000 Amazon EC2 Linux instances. The workload is powered by third-party software. The company needs to patch the third-party software on all EC2 instances as quickly as possible to remediate a critical security vulnerability. What should a solutions architect do to meet these requirements?
- ACreate an AWS Lambda function to apply the patch to all EC2 instances.
- BConfigure AWS Systems Manager Patch Manager to apply the patch to all EC2 instances.
- CSchedule an AWS Systems Manager maintenance window to apply the patch to all EC2 instances.
- DUse AWS Systems Manager Run Command to run a custom command that applies the patch to all EC2 instances.
答えを見る
正解: D
Systems Manager の Run Command なら、1,000 台すべてにカスタムコマンドを今すぐ一斉に実行できます。Patch Manager やメンテナンスウィンドウは定期的なパッチ向けで、サードパーティ製ソフトの緊急修正には向きません。
2A company recently launched a variety of new workloads on Amazon EC2 instances in its AWS account. The company needs to create a strategy to access and administer the instances remotely and securely. The company needs to implement a repeatable process that works with native AWS services and follows the AWS Well-Architected Framework. Which solution will meet these requirements with the LEAST operational overhead?
- AUse the EC2 serial console to directly access the terminal interface of each instance for administration.
- BAttach the appropriate IAM role to each existing instance and new instance. Use AWS Systems Manager Session Manager to establish a remote SSH session.
- CCreate an administrative SSH key pair. Load the public key into each EC2 instance. Deploy a bastion host in a public subnet to provide a tunnel for administration of each instance.
- DEstablish an AWS Site-to-Site VPN connection. Instruct administrators to use their local on-premises machines to connect directly to the instances by using SSH keys across the VPN tunnel.
答えを見る
正解: B
インスタンスに IAM ロールを付けて Session Manager を使えば、SSH ポートを開ける必要も、踏み台やキーの管理もなく、すべてのセッションを IAM で制御できます。踏み台や VPN は運用の手間がずっと大きくなります。
よくある質問
Session Manager と踏み台ホスト経由の SSH の違いは何ですか？
Session Manager はエージェントを通じてインスタンスのシェルを開くため、ポート 22 を開ける必要も、踏み台サーバーや SSH キーも不要です。アクセスは IAM で制御し、セッション全体を記録できます。踏み台ホストではポートの開放と鍵の管理が必要です。
Systems Manager にはどんな機能がありますか？
多くの運用ツールがあります。Session Manager（インスタンスへのアクセス）、Run Command（大規模なコマンド実行）、Patch Manager（パッチ適用）、Parameter Store（設定値とシークレット）、Automation（ランブック）、Inventory、State Manager などです。
Systems Manager に料金はかかりますか？
Session Manager、Run Command、Patch Manager、Parameter Store の標準枠など、主要な機能の多くは無料です。Parameter Store の高度なパラメータ、オンプレミスのインスタンスの高度な管理、無料枠を超える Automation などの一部機能は有料です。
AWS 認定試験では Systems Manager について何が問われますか？
SSH を使わずにプライベートサブネットのインスタンスにアクセスすること、スケジュールに沿った大規模なパッチ適用、Parameter Store と Secrets Manager の比較、インスタンスを管理対象にする条件（SSM エージェント、適切な IAM ロール、Systems Manager エンドポイントへの接続）などです。