c3.12 ゴールデンイメージのパイプラインを構築する
最新のパッチ適用済み OS から、必要なエージェントをプリインストールしたハードニング済みの「ゴールデンイメージ」の作成を自動化し、承認済みイメージのみが使われるよう強制します。EC2 Image Builder はこれを追加費用なしで再現可能にします。
実装ガイダンス
ゴールデンイメージのパイプラインが生み出すもの
アプリケーションのデプロイに使うベースイメージを構築するパイプラインを自動化します。 1. すべてのパッチを適用した最新の OS から始めます。 2. ポリシーに沿った構成ハードニングを適用します（たとえば CIS ベンチマーク）。 3. 必要なエージェントをプリインストールします。アンチマルウェア、ファイル整合性監視、そして特に AWS Systems Manager（SSM）エージェント。多くの AWS AMI（Amazon Linux、Windows）は SSM エージェントがプリインストールされています。
EC2 Image Builder で構築する
EC2 Image Builder は、イメージの構築・ハードニング・テスト・配布を自動化します。HashiCorp Packer などのサードパーティの選択肢も使えます。AWS Config ルール approved-amis-by-id または approved-amis-by-tag を使い、承認済みイメージのみが実行されるよう強制します。
How to validate
- ゴールデンイメージのパイプラインを導入しましたか？
- 組織全体で広く採用されていますか？
- 承認済みイメージのみが使われるよう強制していますか（たとえば AWS Config で）？
Threats addressed
- ゴールデンイメージのパイプラインがないと、OS のハードニングが逸脱し、パッチ未適用の OS やミドルウェアが残り、攻撃者が公開アプリケーションを悪用して初期アクセスを得られてしまいます。
AWS サービス
EC2 Image Builder 
AWS Config 
AWS Systems Manager 料金
追加料金なし
EC2 Image Builder は無料で、イメージの構築と保存に使うリソースにのみ課金されます。EC2 Image Builder の料金を参照してください。