Lancer votre première instance EC2

Amazon Elastic Compute Cloud (EC2) fournit des machines virtuelles redimensionnables dans le cloud, appelées instances. Vous choisissez le système d'exploitation, le CPU, la mémoire, le stockage et la capacité réseau. EC2 est le service de calcul fondamental d'AWS : presque toutes les architectures nécessitant un calcul persistant et avec état reposent directement sur EC2 ou sur des services construits au-dessus (ECS, EKS, EMR). Les instances s'exécutent dans votre VPC et peuvent être démarrées, arrêtées, redémarrées ou supprimées à la demande.

Une Amazon Machine Image (AMI) est un modèle qui définit le système d'exploitation, les logiciels et la configuration d'une instance EC2. AWS fournit des milliers d'AMI (Amazon Linux 2023, Ubuntu, Windows Server), les fournisseurs de Marketplace publient des AMI contenant des logiciels préconfigurés, et vous pouvez créer vos propres AMI personnalisées en capturant une instance en cours d'exécution. Lorsque vous lancez une instance, vous sélectionnez une AMI : elle détermine le contenu du volume racine et l'architecture (x86_64 ou ARM).

L'assistant de lancement EC2 de la console vous guide à travers les étapes suivantes : 1) nom et balises ; 2) sélection de l'AMI ; 3) type d'instance (combinaison de CPU et de mémoire) ; 4) paire de clés pour l'accès SSH ; 5) paramètres réseau (VPC, sous-réseau, groupe de sécurité) ; 6) stockage (taille et type du volume EBS racine) ; 7) paramètres avancés (rôle IAM, script de données utilisateur, options de métadonnées). Comprendre chaque étape vous permet de répondre sereinement aux questions d'examen fondées sur la configuration.

Une paire de clés se compose d'une clé publique (stockée par AWS) et d'une clé privée (téléchargée par vos soins, une seule fois). Lorsque vous lancez une instance EC2, AWS injecte la clé publique dans le fichier ~/.ssh/authorized_keys de l'utilisateur par défaut (par exemple, ec2-user pour Amazon Linux et ubuntu pour Ubuntu). Vous vous connectez à l'aide de la clé privée : ssh -i my-key.pem ec2-user@<public-ip>. Si vous perdez la clé privée, vous ne pouvez plus vous connecter à l'instance avec SSH, sauf si vous utilisez Systems Manager Session Manager comme solution de remplacement.

Une instance EC2 passe par plusieurs états. Pending : l'instance démarre (aucune facturation). Running : l'instance est active (facturation à la seconde ou à l'heure). Stopping : transition vers l'état arrêté (uniquement pour les instances reposant sur EBS). Stopped : l'instance est éteinte, vous ne payez que le stockage EBS attaché. Terminated : l'instance est définitivement supprimée et ne peut pas être redémarrée. Comprendre ces états est important pour la facturation (les frais On-Demand ne s'accumulent que pendant l'état Running) et pour l'architecture (les instances Spot sont supprimées sans passer par l'état Stopped).

Par défaut, les instances des sous-réseaux publics reçoivent une adresse IPv4 publique (dynamique, elle change lors d'un arrêt ou d'un démarrage) et une adresse IPv4 privée (persistante lors d'un arrêt ou d'un démarrage au sein du VPC). Pour obtenir une IP publique persistante, allouez une Elastic IP (EIP) : il s'agit d'une adresse IPv4 publique statique qui vous appartient jusqu'à ce que vous la libériez. Les EIP sont gratuites lorsqu'elles sont attachées à une instance en cours d'exécution, mais elles sont facturées lorsqu'elles ne sont pas attachées ou lorsque vous en avez plusieurs par instance en cours d'exécution.

Les données utilisateur sont un script shell (ou une configuration cloud-init) qui s'exécute une fois, lors du premier lancement d'une instance. Utilisez-les pour installer des paquets, configurer des logiciels ou récupérer le code d'une application depuis S3. Les données utilisateur s'exécutent avec les privilèges root et ne sont pas réexécutées par défaut lors d'un redémarrage. Elles sont transmises sous forme de texte encodé en base64 via la configuration de lancement. En gardant les données utilisateur courtes et en vous appuyant sur des AMI préconfigurées pour les installations lourdes, vous accélérez les lancements lors de la mise à l'échelle automatique.

Il existe deux principales façons d'accéder aux instances EC2. SSH : nécessite l'ouverture du port 22 dans le groupe de sécurité et l'utilisation du fichier de clé privée. AWS Systems Manager Session Manager : fournit un accès shell depuis un navigateur ou via la CLI sans ouvrir de port, sans paire de clés et avec une piste d'audit complète grâce à CloudTrail. Session Manager nécessite l'agent SSM (préinstallé sur les AMI Amazon Linux et Windows Server) ainsi qu'un rôle IAM doté de la policy AmazonSSMManagedInstanceCore. Session Manager est la méthode d'accès à privilégier pour les instances de production.

Le service de métadonnées des instances EC2 (IMDS) est un point de terminaison HTTP à l'adresse 169.254.169.254, accessible uniquement depuis l'instance. Il fournit des informations d'exécution : ID d'instance, ID d'AMI, IP publique, informations d'identification du rôle IAM, zone de disponibilité et autres données. IMDSv2 (la meilleure pratique actuelle) exige un jeton associé à une session, ce qui empêche les attaques par falsification de requête côté serveur (SSRF) de lire les métadonnées via une application vulnérable. Configurez toujours les instances pour qu'elles exigent IMDSv2.

Les groupes de placement contrôlent la manière dont les instances sont réparties sur le matériel sous-jacent. Cluster : regroupe les instances à proximité les unes des autres dans une même AZ pour obtenir une latence réseau extrêmement faible et une bande passante élevée, ce qui est idéal pour le HPC. Spread : place chaque instance sur un matériel distinct afin de réduire les défaillances corrélées, ce qui convient aux petits ensembles d'instances critiques (7 au maximum par AZ). Partition : répartit les instances en partitions logiques sur des racks distincts, ce qui est idéal pour les grands systèmes distribués comme Hadoop ou Cassandra, lorsque la connaissance de la topologie des racks est importante.

La protection contre la suppression empêche la suppression accidentelle d'une instance via la console, la CLI ou l'API. Activez-la lors du lancement des instances critiques. Remarque : même lorsque cette protection est activée, les groupes Auto Scaling peuvent toujours supprimer des instances lors des opérations de réduction, sauf si vous configurez séparément la protection des instances. L'attribut DeleteOnTermination du volume EBS racine détermine si le volume est automatiquement supprimé lorsque l'instance est supprimée. La bonne pratique consiste à utiliser true pour les volumes racine et false pour les volumes de données que vous souhaitez conserver.

Testez votre compréhension des concepts AWS Solutions Architect (SAA-C03) présentés dans cette leçon.

Dans cette leçon, vous avez appris que les instances EC2 sont lancées depuis des AMI avec un type d'instance, une paire de clés, un groupe de sécurité et des données utilisateur facultatives choisis, que les Elastic IP fournissent des adresses publiques persistantes tandis que les IP publiques standard changent lors d'un arrêt ou d'un démarrage, et que Systems Manager Session Manager est la méthode d'accès à privilégier par rapport à SSH pour les instances de production. Ensuite, nous comparerons les types d'instances et les modèles tarifaires.