한 회사에서 모든 EC2 인스턴스를 보안 팀이 생성한 AMI로 시작하도록 요구합니다. 매달 보안 팀은 승인된 AMI를 개발자에게 이메일로 보내고, 개발자는 이를 CloudFormation 템플릿에 복사합니다. 한 DevOps 엔지니어가 승인된 AMI ID를 개발자에게 가장 확장 가능한 방식으로 자동 배포하려고 합니다. 어떤 접근 방식이 최선일까요?

이 접근 방식은 EC2 Image Builder를 사용하여 AMI 생성 프로세스를 자동화하고, AMI ARN을 Systems Manager Parameter Store에 저장하여 중앙 집중식으로 관리합니다. 개발자는 CloudFormation 템플릿에서 SSM 파라미터 유형을 사용하여 최신 AMI ARN을 직접 참조할 수 있으므로 수동 업데이트가 필요 없고 확장성이 뛰어납니다. 다른 옵션들은 다음과 같은 이유로 최적의 솔루션이 아닙니다. CloudFormation 스택 출력에 암호화된 S3 객체를 사용하는 것은 불필요하게 복잡하며, CloudFormation의 교차 스택 참조는 S3 객체 자체를 참조하는 데 적합하지 않습니다. CodePipeline을 사용하여 AMI ARN을 S3에 기록하는 것은 가능하지만, CloudFormation에서 S3 객체 내용을 직접 참조하는 것은 복잡하며 Parameter Store만큼 효율적이지 않습니다. SNS 알림을 통해 Lambda를 트리거하여 CloudFormation 스택을 업데이트하는 것은 가능하지만, Parameter Store를 사용하는 것보다 더 많은 구성과 관리 오버헤드가 발생합니다.