Uruchamianie pierwszej instancji EC2

Amazon Elastic Compute Cloud (EC2) udostępnia skalowalne maszyny wirtualne w chmurze, nazywane instancjami. Wybierasz system operacyjny, procesor, pamięć, magazyn danych i przepustowość sieci. EC2 to podstawowa usługa obliczeniowa AWS — niemal każda architektura wymagająca trwałych, stanowych zasobów obliczeniowych korzysta bezpośrednio z EC2 lub z usług zbudowanych na jego podstawie (ECS, EKS, EMR). Instancje działają w obrębie Twojego VPC i można je na żądanie uruchamiać, zatrzymywać, ponownie uruchamiać lub usuwać.

Amazon Machine Image (AMI) to szablon definiujący system operacyjny, oprogramowanie i konfigurację instancji EC2. AWS udostępnia tysiące obrazów AMI (Amazon Linux 2023, Ubuntu, Windows Server), dostawcy z Marketplace publikują AMI ze wstępnie skonfigurowanym oprogramowaniem, a także możesz utworzyć własne niestandardowe AMI, zapisując działającą instancję. Podczas uruchamiania instancji wybierasz AMI — określa ono zawartość wolumenu głównego i architekturę (x86_64 lub ARM).

Kreator uruchamiania EC2 w konsoli prowadzi przez kolejne kroki: 1) nazwa i tagi; 2) wybór AMI; 3) typ instancji (kombinacja CPU i pamięci); 4) para kluczy do dostępu SSH; 5) ustawienia sieciowe (VPC, podsieć, grupa bezpieczeństwa); 6) magazyn danych (rozmiar i typ głównego wolumenu EBS); 7) ustawienia zaawansowane (rola IAM, skrypt user data, opcje metadanych). Zrozumienie każdego kroku pozwala pewnie odpowiadać na pytania egzaminacyjne dotyczące konfiguracji.

Para kluczy składa się z klucza publicznego (przechowywanego przez AWS) i klucza prywatnego (pobieranego przez Ciebie — tylko raz). Gdy uruchamiasz instancję EC2, AWS wstawia klucz publiczny do pliku ~/.ssh/authorized_keys domyślnego użytkownika (na przykład ec2-user dla Amazon Linux, ubuntu dla Ubuntu). Łączysz się za pomocą klucza prywatnego: ssh -i my-key.pem ec2-user@<public-ip>. Utrata klucza prywatnego oznacza brak możliwości połączenia SSH z instancją, chyba że jako alternatywy użyjesz Systems Manager Session Manager.

Instancja EC2 przechodzi przez kilka stanów. Pending: instancja się uruchamia (brak opłat). Running: instancja jest aktywna (opłaty naliczane za sekundę lub godzinę). Stopping: przechodzenie do stanu zatrzymania (tylko instancje oparte na EBS). Stopped: instancja jest wyłączona — płacisz tylko za dołączony magazyn EBS. Terminated: trwale usunięta — nie można jej ponownie uruchomić. Zrozumienie tych stanów ma znaczenie dla rozliczeń (opłaty On-Demand są naliczane tylko w stanie Running) i architektury (instancje Spot kończą działanie bez przejścia do stanu Stopped).

Domyślnie instancje w publicznych podsieciach otrzymują publiczny adres IPv4 (dynamiczny — zmienia się po zatrzymaniu i uruchomieniu) oraz prywatny adres IPv4 (zachowywany po zatrzymaniu i uruchomieniu w obrębie VPC). Aby uzyskać trwały publiczny adres IP, przydziel Elastic IP (EIP) — statyczny publiczny adres IPv4 należący do Ciebie, dopóki go nie zwolnisz. EIP są bezpłatne, gdy są przypisane do działającej instancji, lecz podlegają opłatom, gdy nie są przypisane lub gdy masz więcej niż jeden na działającą instancję.

User data to skrypt powłoki (lub konfiguracja cloud-init), który uruchamia się raz podczas pierwszego uruchomienia instancji. Używaj go do instalowania pakietów, konfigurowania oprogramowania lub pobierania kodu aplikacji z S3. User data działa jako root i domyślnie nie jest wykonywane ponownie po restarcie. Jest przekazywane jako tekst zakodowany w base64 za pośrednictwem konfiguracji uruchamiania. Krótkie user data oraz korzystanie z gotowych AMI przy rozbudowanej konfiguracji przyspiesza uruchamianie w ramach automatycznego skalowania.

Istnieją dwa podstawowe sposoby uzyskiwania dostępu do instancji EC2. SSH: wymaga otwartego portu 22 w grupie bezpieczeństwa oraz pliku klucza prywatnego. AWS Systems Manager Session Manager: zapewnia dostęp do powłoki przez przeglądarkę lub CLI bez otwierania portów, bez pary kluczy i z pełną ścieżką audytu w CloudTrail. Session Manager wymaga agenta SSM (preinstalowanego w obrazach AMI Amazon Linux i Windows Server) oraz roli IAM z polityką AmazonSSMManagedInstanceCore. Session Manager to preferowana metoda dostępu do instancji produkcyjnych.

EC2 Instance Metadata Service (IMDS) to punkt końcowy HTTP pod adresem 169.254.169.254, dostępny wyłącznie z wnętrza instancji. Udostępnia informacje o środowisku uruchomieniowym: identyfikator instancji, identyfikator AMI, publiczny adres IP, poświadczenia roli IAM, strefę dostępności i inne dane. IMDSv2 (obecnie zalecana praktyka) wymaga tokenu zorientowanego na sesję, co zapobiega odczytywaniu metadanych przez podatną aplikację w atakach server-side request forgery (SSRF). Zawsze konfiguruj instancje tak, aby wymagały IMDSv2.

Grupy rozmieszczenia kontrolują sposób rozmieszczania instancji na sprzęcie bazowym. Cluster: umieszcza instancje blisko siebie w jednej AZ, aby zapewnić bardzo niskie opóźnienia sieciowe i wysoką przepustowość — idealne dla HPC. Spread: umieszcza każdą instancję na odrębnym sprzęcie, aby ograniczyć skorelowane awarie — idealne dla małych, krytycznych zestawów instancji (maksymalnie 7 na AZ). Partition: dzieli instancje na logiczne partycje w osobnych szafach rack — idealne dla dużych systemów rozproszonych, takich jak Hadoop lub Cassandra, gdzie ważna jest świadomość topologii racków.

Ochrona przed usunięciem zapobiega przypadkowemu usunięciu instancji za pomocą konsoli, CLI lub API. Włącz ją podczas uruchamiania krytycznych instancji. Uwaga: nawet przy włączonej ochronie przed usunięciem grupy Auto Scaling nadal mogą usuwać instancje podczas zdarzeń scale-in, chyba że osobno skonfigurujesz ochronę instancji. Atrybut DeleteOnTermination głównego wolumenu EBS określa, czy wolumen jest automatycznie usuwany po usunięciu instancji — zalecaną praktyką jest true dla wolumenów głównych oraz false dla wolumenów danych, które chcesz zachować.

Sprawdź swoją znajomość zagadnień AWS Solutions Architect (SAA-C03) z tej lekcji.

W tej lekcji poznano następujące zagadnienia: instancje EC2 są uruchamiane z obrazów AMI z wybranym typem instancji, parą kluczy, grupą bezpieczeństwa i opcjonalnym user data, Elastic IP zapewniają trwałe adresy publiczne, podczas gdy standardowe publiczne adresy IP zmieniają się po zatrzymaniu i uruchomieniu oraz Systems Manager Session Manager jest preferowaną metodą dostępu do instancji produkcyjnych zamiast SSH. Następnie porównamy typy instancji i modele cenowe.