EC2の終了保護をシェルスクリプトで一括有効化してみた

# 有効化
aws ec2 modify-instance-attribute \
  --instance-id i-0123456789abcdef0 \
  --disable-api-termination

# 無効化
aws ec2 modify-instance-attribute \
  --instance-id i-0123456789abcdef0 \
  --no-disable-api-termination

# 現在の設定を確認
aws ec2 describe-instance-attribute \
  --instance-id i-0123456789abcdef0 \
  --attribute disableApiTermination

[対象リージョン] → [各リージョンのEC2のID取得] → [1台ずつ終了保護の状態確認(並列)]
                                                        ↓
                                          未設定のものだけ実行リストに保存
                                                        ↓
              [--dry-run なら表示のみで終了] → [確認プロンプト(y/N)] → [並列で有効化]

#!/usr/bin/env bash
# enable-termination-protection.sh
# EC2インスタンスの終了保護(DisableApiTermination)を未設定のものだけ一括で有効化する。
# 詳細は -h / --help を参照。
set -euo pipefail
export AWS_PAGER=""

usage() {
  cat <<'EOF'
使い方:
  enable-termination-protection.sh [オプション] [名前の一部...]

引数:
  名前の一部...        Nameタグに指定文字列を含むインスタンスだけを対象にする
                       (複数指定はOR条件。大文字小文字は区別される)
                       省略時は、終了保護が未設定の全インスタンスが対象

オプション:
  -n, --dry-run        対象一覧の表示のみで、変更は行わない
  -y, --yes            実行前の確認(y/N)をスキップする
  -p, --parallel N     並列実行数(デフォルト: 3)
  -r, --regions LIST   対象リージョン。スペースまたはカンマ区切り
                       (デフォルト: ap-northeast-1 = 東京のみ)
  -h, --help           このヘルプを表示

例:
  enable-termination-protection.sh --dry-run
  enable-termination-protection.sh web batch
  enable-termination-protection.sh -r ap-northeast-1,us-east-1 -p 10 web
  enable-termination-protection.sh -y -r ap-northeast-1

補足:
  環境変数 DRY_RUN / YES / PARALLEL / REGIONS でもデフォルトを指定できる。
  両方指定した場合は、オプションが優先される。
  Nameが "-" で始まる場合は、"--" のあとに指定する。
EOF
}

die() {
  echo "エラー: $*" >&2
  echo "ヘルプ: $0 --help" >&2
  exit 1
}

# デフォルト値(環境変数があればそれを使う。DRY_RUNのデフォルトは false)
PARALLEL="${PARALLEL:-3}"
DRY_RUN="${DRY_RUN:-false}"
YES="${YES:-false}"
REGIONS="${REGIONS:-ap-northeast-1}"   # デフォルトは東京リージョンのみ
NAMES=()

# オプション解析(オプション指定は環境変数より優先)
while [[ $# -gt 0 ]]; do
  case "$1" in
    -n|--dry-run)  DRY_RUN=true; shift ;;
    -y|--yes)      YES=true; shift ;;
    -p|--parallel) [[ $# -ge 2 ]] || die "$1 には値が必要です"
                   PARALLEL="$2"; shift 2 ;;
    -r|--regions)  [[ $# -ge 2 ]] || die "$1 には値が必要です"
                   REGIONS="$2"; shift 2 ;;
    -h|--help)     usage; exit 0 ;;
    --)            shift; NAMES+=("$@"); break ;;
    -*)            die "不明なオプション: $1" ;;
    *)             NAMES+=("$1"); shift ;;
  esac
done

[[ "$PARALLEL" =~ ^[1-9][0-9]*$ ]] || die "--parallel には1以上の整数を指定してください: ${PARALLEL}"

# カンマ区切りはスペース区切りに変換(for ループで1つずつ処理するため)
REGIONS="${REGIONS//,/ }"
[[ -n "${REGIONS// /}" ]] || die "--regions にはリージョン名を指定してください"

# describe-instances に渡すフィルタ(AWS側で絞り込むので転送量も減る)
#   終了済み(terminated)のインスタンスは常に除外
FILTERS=("Name=instance-state-name,Values=pending,running,stopping,stopped")
if [[ ${#NAMES[@]} -gt 0 ]]; then
  # 引数 a b → "*a*,*b*" (Nameタグの部分一致・OR条件)
  NAME_VALUES=$(printf '*%s*,' "${NAMES[@]}")
  FILTERS+=("Name=tag:Name,Values=${NAME_VALUES%,}")
  echo "検索条件: Nameタグに「${NAMES[*]}」を含むインスタンス(複数指定はOR)"
else
  echo "検索条件: なし(終了保護が未設定の全インスタンス)"
fi
echo "設定: dry-run=${DRY_RUN} yes=${YES} parallel=${PARALLEL} regions=${REGIONS}"

# 終了保護が未設定なら "region instance-id" を出力
check() {
  local v
  v=$(aws ec2 describe-instance-attribute --region "$1" --instance-id "$2" \
        --attribute disableApiTermination \
        --query 'DisableApiTermination.Value' --output text) \
    || { echo "CHECK_ERROR $1 $2" >&2; return 0; }
  [[ "$v" == "False" ]] && echo "$1 $2"
  return 0
}

# 終了保護を有効化
enable() {
  if aws ec2 modify-instance-attribute --region "$1" --instance-id "$2" --disable-api-termination; then
    echo "OK $1 $2"
  else
    echo "NG $1 $2" >&2
  fi
}
export -f check enable

TARGETS="$(mktemp)"
trap 'rm -f "$TARGETS"' EXIT

# 1) 対象候補の取得と、終了保護が未設定かの確認
#    describe-instances はリージョンごとに1回、確認(check)はインスタンスごとに1回
#    終了済み(terminated)は除外、Spotは終了保護非対応のため除外
for r in $REGIONS; do
  aws ec2 describe-instances --region "$r" \
    --filters "${FILTERS[@]}" \
    --query "Reservations[].Instances[?InstanceLifecycle!='spot'].InstanceId[]" \
    --output text | tr '\t' '\n' | sed "/^$/d; s/^/$r /"
done | xargs -P "$PARALLEL" -L1 bash -c 'check "$@"' _ > "$TARGETS"

# 2) 実行リスト(=未設定のものだけ)
COUNT=$(wc -l < "$TARGETS" | tr -d ' ')
echo "終了保護が未設定のインスタンス: ${COUNT} 件"
cat "$TARGETS"

[[ "$COUNT" -eq 0 ]] && { echo "対象なし。終了します。"; exit 0; }
[[ "$DRY_RUN" == "true" ]] && { echo "[DRY_RUN] 変更は行いません。"; exit 0; }

# 3) 実行前の確認(--yes の場合はスキップ)
if [[ "$YES" != "true" ]]; then
  IDS=$(awk '{print $2}' "$TARGETS" | paste -sd, - | sed 's/,/, /g')
  echo
  echo "以下のインスタンスID一覧を保護しますか？"
  echo "  ${IDS}"
  # 標準入力が端末でない(EOF等)場合は空文字になり、中止扱いになる
  read -r -p "終了保護を有効化します。よろしいですか？ [y/N]: " ANS || ANS=""
  if [[ ! "$ANS" =~ ^[Yy]([Ee][Ss])?$ ]]; then
    echo "中止しました。変更は行っていません。"
    exit 0
  fi
fi

# 4) 有効化(並列実行)
xargs -P "$PARALLEL" -L1 bash -c 'enable "$@"' _ < "$TARGETS"

chmod +x enable-termination-protection.sh

./enable-termination-protection.sh --dry-run

./enable-termination-protection.sh

./enable-termination-protection.sh test gio

# 東京とバージニア北部を対象に、並列数20で、Nameに web を含むものだけ
./enable-termination-protection.sh -r ap-northeast-1,us-east-1 -p 20 web

# 確認をスキップして実行(自動化用)
./enable-termination-protection.sh -y -r ap-northeast-1

./enable-termination-protection.sh 2> error.log

検索条件: Nameタグに「web」を含むインスタンス(複数指定はOR)
設定: dry-run=false yes=false parallel=3 regions=ap-northeast-1
終了保護が未設定のインスタンス: 2 件
ap-northeast-1 i-0aaaaaaaaaaaaaaaa
ap-northeast-1 i-0cccccccccccccccc

以下のインスタンスID一覧を保護しますか？
  i-0aaaaaaaaaaaaaaaa, i-0cccccccccccccccc
終了保護を有効化します。よろしいですか？ [y/N]: y
OK ap-northeast-1 i-0aaaaaaaaaaaaaaaa
OK ap-northeast-1 i-0cccccccccccccccc

aws ec2 modify-instance-attribute \
  --instance-id i-0123456789abcdef0 \
  --no-disable-api-termination

set -euo pipefail
export AWS_PAGER=""

PARALLEL="${PARALLEL:-3}"
DRY_RUN="${DRY_RUN:-false}"
YES="${YES:-false}"
REGIONS="${REGIONS:-ap-northeast-1}"

while [[ $# -gt 0 ]]; do
  case "$1" in
    -n|--dry-run)  DRY_RUN=true; shift ;;
    -p|--parallel) [[ $# -ge 2 ]] || die "$1 には値が必要です"
                   PARALLEL="$2"; shift 2 ;;
    ...
    *)             NAMES+=("$1"); shift ;;
  esac
done

FILTERS=("Name=instance-state-name,Values=pending,running,stopping,stopped")
if [[ ${#NAMES[@]} -gt 0 ]]; then
  NAME_VALUES=$(printf '*%s*,' "${NAMES[@]}")
  FILTERS+=("Name=tag:Name,Values=${NAME_VALUES%,}")
fi

check() {
  local v
  v=$(aws ec2 describe-instance-attribute --region "$1" --instance-id "$2" \
        --attribute disableApiTermination \
        --query 'DisableApiTermination.Value' --output text) \
    || { echo "CHECK_ERROR $1 $2" >&2; return 0; }
  [[ "$v" == "False" ]] && echo "$1 $2"
  return 0
}

export -f check enable

done | xargs -P "$PARALLEL" -L1 bash -c 'check "$@"' _ > "$TARGETS"

IDS=$(awk '{print $2}' "$TARGETS" | paste -sd, - | sed 's/,/, /g')
read -r -p "終了保護を有効化します。よろしいですか？ [y/N]: " ANS || ANS=""
if [[ ! "$ANS" =~ ^[Yy]([Ee][Ss])?$ ]]; then
  echo "中止しました。変更は行っていません。"
  exit 0
fi