第3章 · デプロイ・プロビジョニング・自動化·v3.1.0·更新 2026/6/11·読了目安約9分

変更要約: コンテナ運用節 s4 に図 aws-container-ops（ECR→ECS/EKS/Fargate→Container Insights）を追加。クローン基底章は SOA-C02 の図を継承済みで、図欠落は本 s4 のみだったため補完。

3.2Systems Manager によるフリート管理

この節の要点

Systems Manager の Run Command（一括コマンド）、Patch Manager（パッチ管理）、Parameter Store（設定/シークレット）、メンテナンスウィンドウといった大規模運用の自動化を理解します。

多数のインスタンスをSSH せず安全に・一括で運用するのが AWS Systems Manager（SSM）です。コマンド実行・パッチ・設定管理を統合します。

3.2.1SSM の運用機能

Run Command（SSH なしで大規模に一括コマンド・SSM エージェント＋ロール）、Patch Manager（OS パッチをスケジュール・パッチベースライン・メンテナンスウィンドウ）、Parameter Store（設定とシークレット・SecureString は KMS・アプリから参照）の3機能を示した図。 — Systems Manager のフリート管理

Run Command：多数のインスタンスへSSH なしで一括コマンドを実行する。
Patch Manager：パッチベースラインとメンテナンスウィンドウでパッチ適用を標準化・スケジュールする。
Parameter Store：設定値やシークレットを保管（SecureString は KMS 暗号化）。アプリから参照する。
Session Manager：ブラウザ/CLI からSSH ポートを開けずにシェルにアクセスできる。

SSM は「SSH/RDP を開けずに大規模運用する」ための統合ツール群です。前提として各インスタンスに SSM エージェント（Amazon Linux 等はプリインストール）と、SSM 権限を持つ IAM ロール（インスタンスプロファイル）が必要で、これが無いと「マネージドノードに出てこない」典型トラブルになります。Run Command は多数のノードへドキュメント（SSM Document）に基づき一括コマンドを実行、State Manager は望ましい状態を継続的に適用、Patch Manager はパッチベースライン（承認ルール）とメンテナンスウィンドウ（適用時間枠）でパッチを標準化します。Session Manager はインバウンドポート開放・踏み台不要でシェルに接続でき、操作を CloudTrail や S3/CloudWatch Logs に残せて監査に強い。Parameter Store は設定値（String/StringList）とシークレット（SecureString＝KMS 暗号化）を階層管理し、CloudFormation やアプリから参照します（簡易な無料枠。高度なローテーションが要るなら Secrets Manager）。Inventory でソフト資産を、Compliance でパッチ準拠状況を可視化します。

やりたいこと	使うもの
SSH なしでシェル接続	Session Manager
多数ノードへ一括コマンド	Run Command
パッチの標準化・スケジュール	Patch Manager（ベースライン＋メンテナンスウィンドウ）
設定/シークレット保管	Parameter Store（SecureString＝KMS）

例

シナリオ：踏み台を廃止し、SSH を一切開けずに運用したい。 インスタンスに SSM エージェント＋IAM ロールを付与し、シェルは Session Manager（ポート開放不要・操作を監査ログへ）。設定変更は Run Command、毎週のパッチは Patch Manager のメンテナンスウィンドウで自動化。DB 接続情報は Parameter Store の SecureString に置きアプリから参照します。

補足

Q. ノードが SSM に出てこない。 エージェント未導入か IAM ロール不足。Q. SSH なしでシェル？ Session Manager。Q. 一括コマンド？ Run Command。Q. パッチ標準化？ Patch Manager（ベースライン＋メンテナンスウィンドウ）。Q. 自動ローテーションが要る？ Secrets Manager（Parameter Store は簡易）。

注意

混同に注意：
①SSM が効かない原因の定番は SSM エージェント未導入か IAM ロール（インスタンスプロファイル）不足、もしくはエンドポイントへの到達性欠如。
②Session Manager はインバウンドポート不要（SSH を開ける必要はない）。
③高度な自動ローテーションは Secrets Manager（Parameter Store の SecureString は暗号化保管だが自動ローテーションは限定的）。

3.2.2この節のまとめ

Run Command/Session Manager（SSH 不要）／Patch Manager／Parameter Store
SSM 利用にはエージェント＋IAM ロール

進捗の記録にはログインが必要です。

理解度チェック

（軽い確認用）

Q1. 多数の EC2 へ SSH を開けずに一括でコマンドを実行したい。何を使いますか？

Q2. OS のパッチ適用をベースラインとスケジュールで標準化したい。何を使いますか？

Q3. SSH ポートを開けずにブラウザや CLI からインスタンスのシェルにアクセスしたい。何を使いますか？

理解度を確認第3章「デプロイ・プロビジョニング・自動化」の問題を解く