[アップデート] EC2 Image Builder が PrivateLink に対応しました

EC2 Image Builder が PrivateLink に対応しました。

EC2 Image Builder が AWS PrivateLink を介した接続のサポートを開始

やってみた

今回追加された VPC エンドポイントを利用し、インターネットに接続できないサブネットから Image Pipeline による AMI 作成を試してみました。

構成図

• AMI 作成用のサブネットとして Private subnet を指定
  • Internet Gateway および NAT Gateway へのルート無し
• Image Builder の動作および yum による httpd のインストールに必要となるため、imagebuilder 以外の各種 VPC エンドポイントを作成

VPC およびサブネットの作成

構成図のとおりに検証用の VPC とサブネットを作成しました。

ImagePipeline の作成

こちら のテンプレートを使用して Image Pipeline を作成しました。

セキュリティグループの作成

Image Builder 用のインスタンスと VPC エンドポイントに利用する下記のセキュリティグループを作成します。（表にはインバウンドルールのみ記載。アウトバウンドルールはすべてを許可。）

今回は検証を目的としているため、VPC エンドポイントには共通のセキュリティグループを割り当てます。

VPC エンドポイントの作成

EC2 Image Builder 用の VPC エンドポイントである com.amazonaws.region.imagebuilder を作成しました。

EC2 Image Builder の仕組みは SSM Automation によって実現されているため、Private subnet で SSM を使用するために必要な下記の VPC エンドポイントもあわせて作成します。

• com.amazonaws.region.ssm
• com.amazonaws.region.ssmmessages
• com.amazonaws.region.ec2messages

また、Image Pipeline の中で Amazon Linux 2 がyum -y install httpdを実行するため、S3用のエンドポイントも作成します。

• com.amazonaws.region.s3

参考：AWS Systems Manager / Create a Virtual Private Cloud endpoint

Image Pipelineの設定変更

上記の CFn テンプレートではネットワークの設定を施していないため、そのままではデフォルトVPCが使用されてしまいます。マネージメントコンソールから設定変更を行ないます。

EC2 Image Builder -> Image pipelines -> CFn-Pipeline -> Configration -> Configuration detailsの右側にある Edit をクリックし、ネットワーク設定の部分で今回作成したVPC・サブネット・インスタンス用のセキュリティグループ（ImageBuilderInstanceSecurityGroup）を指定します。

Image Pipeline を動かす

Run pipelineをクリックします。

しばらく待つとインスタンスが起動してきます。ここからさらに待ちます。

無事、AMI が作成されました。（地味）

終わりに

このブログがほんの少しでも世界を良くできれば嬉しいです。
コンサルティング部の西野 (@xiyegen) がお送りしました。

参考ブログ