Avvio della prima istanza EC2

Amazon Elastic Compute Cloud (EC2) fornisce macchine virtuali ridimensionabili nel cloud, chiamate istanze. Può scegliere il sistema operativo, la CPU, la memoria, lo storage e la capacità di rete. EC2 è il servizio di calcolo fondamentale di AWS: quasi tutte le architetture che richiedono capacità di calcolo persistente e con stato si basano direttamente su EC2 o su servizi costruiti sopra di esso (ECS, EKS, EMR). Le istanze vengono eseguite all'interno del VPC e possono essere avviate, arrestate, riavviate o terminate su richiesta.

Un'Amazon Machine Image (AMI) è un modello che definisce il sistema operativo, il software e la configurazione di un'istanza EC2. AWS fornisce migliaia di AMI (Amazon Linux 2023, Ubuntu, Windows Server), i fornitori del Marketplace pubblicano AMI con software preconfigurato e può creare AMI personalizzate acquisendo un'istanza in esecuzione. Quando avvia un'istanza, seleziona un'AMI: questa determina il contenuto del volume root e l'architettura (x86_64 o ARM).

La procedura guidata di avvio di EC2 nella console la guida attraverso questi passaggi: 1) nome e tag; 2) selezione dell'AMI; 3) tipo di istanza (combinazione di CPU e memoria); 4) key pair per l'accesso SSH; 5) impostazioni di rete (VPC, subnet, security group); 6) storage (dimensioni e tipo del volume EBS root); 7) impostazioni avanzate (ruolo IAM, script user data, opzioni dei metadati). Comprendere ogni passaggio consente di rispondere con sicurezza alle domande d'esame basate sulla configurazione.

Una key pair è composta da una chiave pubblica (memorizzata da AWS) e da una chiave privata (scaricata da Lei, una sola volta). Quando avvia un'istanza EC2, AWS inserisce la chiave pubblica nel file ~/.ssh/authorized_keys dell'utente predefinito (ad esempio ec2-user per Amazon Linux, ubuntu per Ubuntu). Per connettersi utilizzi la chiave privata: ssh -i my-key.pem ec2-user@<public-ip>. Se perde la chiave privata, non potrà collegarsi all'istanza tramite SSH, a meno di utilizzare Systems Manager Session Manager come alternativa.

Un'istanza EC2 attraversa diversi stati. Pending: l'istanza è in fase di avvio (non viene addebitato alcun costo). Running: l'istanza è attiva (con addebito al secondo o all'ora). Stopping: transizione verso lo stato arrestato (solo per istanze basate su EBS). Stopped: l'istanza è spenta; paga solo lo storage EBS collegato. Terminated: l'istanza è stata eliminata definitivamente e non può essere riavviata. Comprendere questi stati è importante per la fatturazione (i costi On-Demand maturano solo nello stato Running) e per l'architettura (le istanze Spot vengono terminate senza passare per lo stato Stopped).

Per impostazione predefinita, le istanze nelle subnet pubbliche ricevono un indirizzo IPv4 pubblico (dinamico, cambia dopo un arresto e un nuovo avvio) e un indirizzo IPv4 privato (persistente dopo arresto e nuovo avvio all'interno del VPC). Per ottenere un IP pubblico persistente, allochi un Elastic IP (EIP), ovvero un indirizzo IPv4 pubblico statico che rimane di Sua proprietà finché non lo rilascia. Gli EIP sono gratuiti quando sono collegati a un'istanza in esecuzione, ma vengono addebitati quando non sono collegati o quando ne ha più di uno per istanza in esecuzione.

User data è uno script shell (o una configurazione cloud-init) che viene eseguito una volta, al primo avvio di un'istanza. Lo utilizzi per installare pacchetti, configurare software o recuperare il codice dell'applicazione da S3. User data viene eseguito come root e, per impostazione predefinita, non viene rieseguito dopo un riavvio. Viene passato come testo codificato in base64 tramite la configurazione di avvio. Mantenere user data breve e affidarsi ad AMI preconfigurate per le attività più onerose accelera i tempi di avvio dell'auto scaling.

Esistono due modi principali per accedere alle istanze EC2. SSH: richiede che la porta 22 sia aperta nel security group e che si disponga del file della chiave privata. AWS Systems Manager Session Manager: fornisce l'accesso a una shell tramite browser o CLI senza aprire porte, senza key pair e con un audit trail completo tramite CloudTrail. Session Manager richiede l'agente SSM (preinstallato nelle AMI Amazon Linux e Windows Server) e un ruolo IAM con la policy AmazonSSMManagedInstanceCore. Session Manager è il metodo di accesso preferito per le istanze di produzione.

EC2 Instance Metadata Service (IMDS) è un endpoint HTTP all'indirizzo 169.254.169.254, accessibile solo dall'interno dell'istanza. Fornisce informazioni di runtime: ID dell'istanza, ID dell'AMI, IP pubblico, credenziali del ruolo IAM, Availability Zone e altro. IMDSv2 (la best practice attuale) richiede un token associato a una sessione e impedisce agli attacchi di server-side request forgery (SSRF) di leggere i metadati tramite un'applicazione vulnerabile. Configuri sempre le istanze in modo che richiedano IMDSv2.

I placement group controllano il modo in cui le istanze vengono distribuite sull'hardware sottostante. Cluster: raggruppa le istanze vicine all'interno di una AZ per ottenere latenza di rete estremamente bassa e larghezza di banda elevata, ideale per l'HPC. Spread: colloca ogni istanza su hardware distinto per ridurre i guasti correlati, ideale per piccoli gruppi di istanze critiche (massimo 7 per AZ). Partition: suddivide le istanze in partizioni logiche su rack separati, ideale per sistemi distribuiti di grandi dimensioni come Hadoop o Cassandra, in cui la consapevolezza della disposizione sui rack è importante.

La protezione dalla terminazione impedisce che un'istanza venga terminata accidentalmente tramite console, CLI o API. La abiliti quando avvia istanze critiche. Nota: anche con la protezione dalla terminazione abilitata, gli Auto Scaling Group possono comunque terminare le istanze durante gli eventi di scale-in, a meno che non configuri separatamente la protezione dell'istanza. L'attributo DeleteOnTermination del volume EBS root controlla se il volume viene eliminato automaticamente quando l'istanza viene terminata: la best practice consiste nell'impostare true per i volumi root e false per i volumi dati che desidera conservare.

Verifichi la comprensione dei concetti di AWS Solutions Architect (SAA-C03) trattati in questa lezione.

In questa lezione ha imparato che: le istanze EC2 vengono avviate da AMI con un tipo di istanza, una key pair, un security group e, facoltativamente, user data; gli Elastic IP forniscono indirizzi pubblici persistenti, mentre gli IP pubblici standard cambiano dopo arresto e nuovo avvio; infine, Systems Manager Session Manager è il metodo di accesso preferito rispetto a SSH per le istanze di produzione. Ora confronteremo i tipi di istanza e i modelli di prezzo.