Amazon DOP-C02: Systems Manager, application de correctifs et automatisation opérationnelle — Guide d'étude

By Laurynas Brazys · 4 August 2026 · #amazon #dop-c02 #certification #exam-prep #study-guide

Fait partie du AWS DevOps Engineer Professional DOP-C02 — Guide d’étude. Entraînez-vous avec des réponses vérifiées dans le centre d’examens Amazon, ou passez des tests chronométrés sur ExamRoll.io.

Vue d’ensemble

L’automatisation opérationnelle sur AWS repose sur AWS Systems Manager, qui unifie le contrôle d’accès, la configuration, l’application de correctifs et la remédiation sur les instances EC2, les serveurs sur site et en périphérie (edge). Les services environnants fournissent des pipelines d’images de référence (golden images) (EC2 Image Builder), la gouvernance des licences (AWS License Manager), l’optimisation continue (AWS Trusted Advisor et AWS Compute Optimizer) et des contrôles des coûts (Savings Plans). L’objectif est d’obtenir des opérations standardisées, auditables, pilotées par les événements et applicables à travers les comptes et les Régions.

Accès, Paramètres, Inventaire et Conformité avec Systems Manager

Systems Manager Session Manager fournit un accès shell interactif et auditable aux instances gérées sans ouvrir de ports entrants ni gérer de clés SSH. Vous vous connectez via le plan de contrôle AWS, éventuellement par le biais de points de terminaison d’interface VPC pour une connectivité privée. La redirection de port permet un accès sécurisé aux services locaux ou distants derrière l’instance :

Les sessions de redirection de port local acheminent un port du poste de travail local vers un port de l’instance cible (par exemple, rediriger localhost:8080 vers instance:8080).
La redirection de port d’hôte distant achemine un port local via l’instance vers un autre hôte privé accessible depuis cette instance. Session Manager prend en charge la journalisation d’audit centralisée des transcriptions de session et des E/S vers Amazon S3 et Amazon CloudWatch Logs, avec un chiffrement KMS optionnel. L’activité des API (StartSession, TerminateSession) est capturée dans AWS CloudTrail. Appliquez des contrôles via les préférences de Session Manager : exiger le chiffrement, restreindre la redirection de port ou le presse-papiers, et journaliser vers les deux destinations.

Systems Manager Parameter Store centralise la configuration et les secrets. Utilisez des paramètres SecureString chiffrés avec une clé KMS gérée par le client pour les secrets d’application. Organisez les valeurs en chemins hiérarchiques (par exemple, /prod/payments/db/password) pour permettre une portée par environnement et par application, une portée pour les politiques et des opérations en masse. Le versionnage des paramètres maintient un historique immuable ; les étiquettes (telles que current) vous permettent de faire pointer les applications vers une cible mobile sans changer de code. Les références dynamiques dans CloudFormation, CodeBuild et d’autres services résolvent les paramètres au moment du déploiement ou de l’exécution, évitant ainsi la prolifération des secrets. Le niveau Standard offre un débit de base et une taille de valeur maximale de 4 Ko ; le niveau Avancé prend en charge les politiques de paramètres (expiration, notifications de rotation), des valeurs plus grandes (8 Ko) et un débit plus élevé. Les règles EventBridge peuvent notifier les changements de paramètres, et les politiques de ressources permettent le partage de paramètres entre comptes lorsque cela est nécessaire.

Systems Manager Inventory et Compliance offrent une visibilité au niveau de la flotte. Inventory (activé via une association State Manager) collecte des métadonnées telles que les packages logiciels installés, les rôles Windows, les adaptateurs réseau et les éléments d’inventaire personnalisés. Utilisez Resource Data Sync pour exporter vers S3 pour des analyses avec Athena/Glue, et faites remonter l’état de toute la flotte dans Systems Manager Explorer. Compliance agrège les états d’application des correctifs et d’association : vous pouvez voir quelles instances ont des correctifs manquants ou des référentiels de configuration en échec. Cela crée la base de données opérationnelles requise pour la remédiation automatisée, les audits et la découverte de licences.

Patch Manager et Orchestration Opérationnelle

Patch Manager standardise l’application des correctifs pour le système d’exploitation et les applications à l’aide de référentiels de correctifs, de groupes de correctifs et de fenêtres de maintenance.

Les référentiels de correctifs définissent ce qu’il faut approuver et quand. Pour chaque famille de système d’exploitation, vous pouvez commencer avec un référentiel par défaut fourni par AWS ou créer un référentiel personnalisé avec :

Des règles d’approbation automatique par produit/version, classification (par exemple, Sécurité, Correctif), sévérité et architecture
Un délai d’approbation (par exemple, approuver automatiquement les correctifs de sécurité sept jours après leur publication)
Des listes d’autorisation et des listes de blocage explicites
Des sources/dépôts de correctifs (par exemple, ajouter un dépôt yum ou apt personnalisé pour les logiciels internes) Associez un référentiel à un groupe de correctifs. Un groupe de correctifs est un ensemble d’instances identifiées par le tag Patch Group avec une valeur spécifique (par exemple, Patch Group=linux-prod) ; l’association garantit que le bon référentiel cible les bons serveurs. Chaque instance doit appartenir à un seul groupe de correctifs pour éviter toute ambiguïté. Les opérations de correctifs utilisent le document AWS-RunPatchBaseline avec Operation=Scan pour calculer la conformité et Operation=Install pour appliquer les correctifs approuvés. Contrôlez la simultanéité, les seuils d’erreur et le comportement au redémarrage. Utilisez InstallOverrideList pour l’épinglage d’urgence de paquets spécifiques. Les résultats de conformité sont transmis à Systems Manager Compliance, où vous pouvez alerter et remédier.

Les fenêtres de maintenance confinent les opérations perturbatrices à des plages horaires sûres. Définissez une planification (rate/cron), une durée et une heure limite pour empêcher le démarrage de nouvelles tâches à l’approche de la fin de la fenêtre. Enregistrez les cibles par tags ou groupes de ressources, puis enregistrez les tâches avec une priorité. Patch Manager s’intègre nativement : enregistrez une tâche AWS-RunPatchBaseline pour vos groupes et référentiels de correctifs. Les paramètres de simultanéité et de seuil d’erreur sur les tâches empêchent un rayon d’impact étendu en cas d’échec.

Systems Manager Automation opérationnalise la remédiation répétable et auditable. Utilisez des runbooks intégrés et personnalisés pour orchestrer les activités pré et post-correctifs (par exemple, drainer du load balancer, arrêter les services applicatifs, appliquer les correctifs, exécuter des tests de fumée, ré-enregistrer), et pour appliquer des contrôles via la remédiation AWS Config. Automation prend en charge les approbations (Change Manager), les calendriers de changement (pour empêcher l’exécution pendant les périodes d’interdiction) et l’exécution inter-comptes/Régions via assume-role. Liez le tout avec des règles Amazon EventBridge qui réagissent aux événements de santé, aux dérives de configuration ou aux alarmes pour déclencher des exécutions Automation ciblées en vue de l’auto-réparation.

Images de référence (Golden Images) avec EC2 Image Builder

Les images immuables réduisent la dérive de configuration et raccourcissent les fenêtres d’application des correctifs. EC2 Image Builder codifie la création et la distribution d’AMI à l’aide de pipelines, de recettes et de paramètres de distribution.

Les recettes d’image (recipes) spécifient l’image de base (par exemple, la dernière version d’Amazon Linux 2023), les composants (étapes de construction/test définies en YAML, telles que l’installation de l’agent SSM, des environnements d’exécution de langages et le renforcement de la sécurité) et le versionnage sémantique. Les composants peuvent être réutilisés entre les recettes pour appliquer des contrôles de base.
Les pipelines définissent le flux de travail de bout en bout : la configuration de l’infrastructure (VPC/sous-réseaux/profil d’instance/groupes de sécurité), les étapes de construction, les étapes de test et la planification (par exemple, hebdomadaire). Image Builder applique automatiquement les correctifs du système d’exploitation au moment de la construction, exécute des tests et fait échouer les constructions qui ne les réussissent pas.
Les paramètres de distribution répliquent et partagent les images : publier des AMI dans des Régions sélectionnées, ajouter des autorisations de lancement pour des comptes ou des unités d’organisation (OU) AWS Organizations, imposer le chiffrement EBS (avec une clé KMS) et étiqueter les sorties. Image Builder peut publier l’ARN de la dernière AMI dans Systems Manager Parameter Store (par exemple, /prod/images/web/latest) afin que les groupes Auto Scaling, CodePipeline et CloudFormation utilisent l’image de référence actuelle sans mises à jour manuelles.

Cette approche par pipeline s’associe à Patch Manager : appliquez fréquemment des correctifs à l’AMI pour minimiser les deltas de correctifs sur les instances, puis utilisez des fenêtres de maintenance pour les plus petits correctifs delta sur les serveurs à longue durée de vie.

← Réseau et livraison de contenu · Tous les domaines

Entraînez-vous sur ces questions → · Tests chronométrés sur ExamRoll.io →