Ihre erste EC2-Instance starten

Amazon Elastic Compute Cloud (EC2) stellt in der Cloud anpassbare virtuelle Maschinen bereit, die als Instances bezeichnet werden. Sie wählen Betriebssystem, CPU, Arbeitsspeicher, Speicher und Netzwerkkapazität aus. EC2 ist der grundlegende Compute-Service von AWS – fast jede Architektur, die dauerhafte, zustandsbehaftete Rechenleistung benötigt, verwendet EC2 direkt oder über darauf aufbauende Services (ECS, EKS, EMR). Instances laufen innerhalb Ihrer VPC und können nach Bedarf gestartet, angehalten, neu gestartet oder beendet werden.

Ein Amazon Machine Image (AMI) ist eine Vorlage, die das Betriebssystem, die Software und die Konfiguration einer EC2-Instance festlegt. AWS stellt Tausende von AMIs bereit (Amazon Linux 2023, Ubuntu, Windows Server), Marketplace-Anbieter veröffentlichen AMIs mit vorkonfigurierter Software, und Sie können eigene benutzerdefinierte AMIs erstellen, indem Sie eine laufende Instance erfassen. Beim Starten einer Instance wählen Sie ein AMI aus. Es bestimmt den Inhalt des Root-Volumes und die Architektur (x86_64 oder ARM).

Der EC2-Startassistent in der Konsole führt Sie durch folgende Schritte: 1) Name und Tags; 2) AMI-Auswahl; 3) Instance-Typ (Kombination aus CPU und Arbeitsspeicher); 4) Schlüsselpaar für den SSH-Zugriff; 5) Netzwerkeinstellungen (VPC, Subnetz, Sicherheitsgruppe); 6) Speicher (Größe und Typ des Root-EBS-Volumes); 7) Erweiterte Einstellungen (IAM-Rolle, User-Data-Skript, Metadatenoptionen). Wenn Sie jeden Schritt verstehen, können Sie konfigurationsbezogene Prüfungsfragen sicher beantworten.

Ein Schlüsselpaar besteht aus einem öffentlichen Schlüssel (von AWS gespeichert) und einem privaten Schlüssel (von Ihnen heruntergeladen – nur einmal). Beim Starten einer EC2-Instance fügt AWS den öffentlichen Schlüssel in die Datei ~/.ssh/authorized_keys des Standardbenutzers ein (z. B. ec2-user für Amazon Linux oder ubuntu für Ubuntu). Sie stellen die Verbindung mit dem privaten Schlüssel her: ssh -i my-key.pem ec2-user@<public-ip>. Wenn Sie den privaten Schlüssel verlieren, können Sie sich nicht mehr per SSH mit der Instance verbinden, es sei denn, Sie verwenden alternativ Systems Manager Session Manager.

Eine EC2-Instance durchläuft mehrere Zustände. Pending: Die Instance wird gestartet (keine Abrechnung). Running: Die Instance ist aktiv (Abrechnung pro Sekunde oder Stunde). Stopping: Die Instance wechselt in den angehaltenen Zustand (nur bei EBS-basierten Instances). Stopped: Die Instance ist ausgeschaltet – Sie zahlen nur für die verbundenen EBS-Speicher. Terminated: Die Instance wurde dauerhaft gelöscht und kann nicht neu gestartet werden. Das Verständnis dieser Zustände ist für die Abrechnung wichtig (On-Demand-Kosten fallen nur im Zustand Running an) und für die Architektur (Spot-Instances werden beendet, ohne den Zustand Stopped zu durchlaufen).

Instances in öffentlichen Subnetzen erhalten standardmäßig eine öffentliche IPv4-Adresse (dynamisch – sie ändert sich beim Anhalten und Starten) und eine private IPv4-Adresse (innerhalb der VPC über das Anhalten und Starten hinweg beständig). Für eine beständige öffentliche IP-Adresse reservieren Sie eine Elastic IP (EIP) – eine statische öffentliche IPv4-Adresse, die Ihnen gehört, bis Sie sie freigeben. EIPs sind kostenlos, wenn sie einer laufenden Instance zugewiesen sind, verursachen jedoch Kosten, wenn sie nicht zugewiesen sind oder wenn Sie mehr als eine EIP pro laufender Instance verwenden.

User Data ist ein Shell-Skript (oder eine cloud-init-Konfiguration), das beim ersten Start einer Instance einmalig ausgeführt wird. Verwenden Sie es, um Pakete zu installieren, Software zu konfigurieren oder Anwendungscode aus S3 abzurufen. User Data wird als Root ausgeführt und standardmäßig beim Neustart nicht erneut ausgeführt. Die Daten werden als Base64-kodierter Text über die Startkonfiguration übergeben. Wenn Sie User Data kurz halten und für umfangreiche Einrichtung auf vorbereitete AMIs setzen, verkürzen Sie die Startzeiten beim automatischen Skalieren.

Es gibt zwei primäre Möglichkeiten, auf EC2-Instances zuzugreifen. SSH: Erfordert, dass Port 22 in der Sicherheitsgruppe geöffnet ist, sowie die Datei mit dem privaten Schlüssel. AWS Systems Manager Session Manager: Bietet Shell-Zugriff über Browser oder CLI, ohne Ports zu öffnen und ohne Schlüsselpaar, mit vollständiger Nachvollziehbarkeit über CloudTrail. Session Manager erfordert den SSM-Agenten (in den AMIs von Amazon Linux und Windows Server vorinstalliert) und eine IAM-Rolle mit der Richtlinie AmazonSSMManagedInstanceCore. Session Manager ist die bevorzugte Zugriffsmethode für Produktions-Instances.

Der EC2 Instance Metadata Service (IMDS) ist ein HTTP-Endpunkt unter 169.254.169.254, der nur innerhalb der Instance erreichbar ist. Er stellt Laufzeitinformationen bereit: Instance-ID, AMI-ID, öffentliche IP-Adresse, Anmeldeinformationen der IAM-Rolle, Availability Zone und mehr. IMDSv2 (die aktuelle Best Practice) erfordert ein sitzungsbezogenes Token und verhindert dadurch, dass Server-Side-Request-Forgery-(SSRF-)Angriffe über eine verwundbare Anwendung Metadaten auslesen. Konfigurieren Sie Instances immer so, dass IMDSv2 erforderlich ist.

Placement Groups steuern, wie Instances auf der zugrunde liegenden Hardware verteilt werden. Cluster: Platziert Instances in einer AZ möglichst nahe beieinander, um extrem niedrige Netzwerklatenzen und eine hohe Bandbreite zu erreichen – ideal für HPC. Spread: Platziert jede Instance auf separater Hardware, um korrelierte Ausfälle zu reduzieren – ideal für kleine Gruppen kritischer Instances (maximal 7 pro AZ). Partition: Teilt Instances in logische Partitionen auf getrennten Racks auf – ideal für große verteilte Systeme wie Hadoop oder Cassandra, bei denen Rack-Awareness wichtig ist.

Beendigungsschutz verhindert, dass eine Instance versehentlich über die Konsole, CLI oder API beendet wird. Aktivieren Sie ihn beim Starten kritischer Instances. Hinweis: Auch bei aktiviertem Beendigungsschutz können Auto Scaling Groups Instances während einer Verkleinerung weiterhin beenden, sofern Sie den Instance-Schutz nicht separat konfigurieren. Das Attribut DeleteOnTermination des Root-EBS-Volumes steuert, ob das Volume beim Beenden der Instance automatisch gelöscht wird. Als Best Practice gilt true für Root-Volumes und false für Daten-Volumes, die Sie behalten möchten.

Testen Sie Ihr Verständnis der Konzepte aus dieser Lektion für AWS Solutions Architect (SAA-C03).

In dieser Lektion haben Sie gelernt: EC2-Instances werden aus AMIs mit einem ausgewählten Instance-Typ, Schlüsselpaar, einer Sicherheitsgruppe und optionalen User Data gestartet; Elastic IPs stellen beständige öffentliche Adressen bereit, während sich normale öffentliche IP-Adressen beim Anhalten und Starten ändern; und Systems Manager Session Manager ist für Produktions-Instances die bevorzugte Zugriffsmethode gegenüber SSH. Als Nächstes vergleichen wir Instance-Typen und Preismodelle.