1. Systems Manager (SSM)

Systems Manager(SSM)는 EC2 인스턴스와 온프레미스 Server Fleet을 대규모로 관리하는 데 도움을 주는 서비스입니다.
단일 서비스라기보단 인프라 관리, 문제 탐지, 패치, 자동화, 규정 준수를 위한 강격한 도구 모음입니다.

Server Fleet이란?
규모가 큰 시스템을 운영하기 위해, 다수의 서버를 하나의 그룹으로 묶어 중앙에서 효율적으로 관리하는 것을 의미합니다.

1-1. 핵심 구성 요소

SSM이 EC2 인스턴스를 관리하기 위해서는 두 가지 핵심 요소가 필요합니다.

1). SSM 에이전트

관리하려는 모든 EC2 인스턴스 및 온프레미스 서버에 SSM 에이전트가 설치되고 실행 중이어야 합니다.
Amazon Linux 2 AMI와 일부 Ubuntu AMI에는 이 에이전트가 기본적으로 포함되어 있습니다.

2). IAM 권한

인스턴스가 SSM 서비스와 통신할 수 있도록 올바른 IAM 권한을 가지고 있어야 합니다.
이 IAM 권한에는 AWS 관리형 정책인 AmazonSSMManagedInstanceCore를 반드시 연결해야 합니다.

# 인스턴스 프로파일(Instance Profile) 생성
aws iam create-role \ --role-name AmazonEC2RoleForSSM \ --assume-role-policy-document file://trust-policy.json

# 인스턴스 프로파일에 AmazonSSMManagedInstanceCore 연결
aws iam attach-role-policy \ --role-name AmazonEC2RoleForSSM \ --policy-arn arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore

AmazonSSMManagedInstanceCore 정책은 인스턴스 프로파일(Instance Profile) 을 통해 EC2 인스턴스에 할당됩니다.
인스턴스는 이 프로파일을 통해 SSM 서비스와 통신할 수 있는 임시 자격 증명을 자동으로 얻게 됩니다.

1-2. 주요 기능 및 활용

2. Resource Groups

Tags이란?
AWS 리소스(EC2, S3, Lambda 등)에 연결하는 키-값(Key-Value) 페어입니다.
해당 기능을 이용해 리소스 그룹화, 자동화, 보안, 비용 할당 등 다양한 용도로 사용됩니다.

공통 태그를 가진 리소스들을 논리적인 그룹으로 묶는 기능입니다.
태그 기반으로 필터링하여 생성된 그룹을 리소스 그룹이라고 부르며, 리전 단위(Regional) 로 작동합니다.

SSM은 이렇게 생성된 리소스 그룹을 작업 대상(Target) 으로 지정할 수 있습니다.
이를 통해 ‘dev 그룹 전체에 패치 적용’처럼 그룹 단위의 자동화 작업을 효율적으로 수행할 수 있습니다.

3. Documents

Documents는 SSM의 핵심 구성 요소로, 수행할 작업을 정의하는 설명서 또는 플레이북입니다.
형식은 JSON, YAML으로 지원되며, 문서 내에는 파라미터, 단계, 액션 등이 정의가 됩니다.

해당 기능을 통해 Run Command, Automation, Patch Manager, State Manager 등 다른 모든 SSM 기능의 실행 템플릿으로 사용됩니다. 또한 Parameter Store의 값을 동적으로 가져와 사용할 수도 있습니다.

3-1. 유형

3-2. 구성 요소

# 파일명: InstallApache.yaml
schemaVersion: '2.2'
description: Install Apache and a custom index page.
parameters:
  Message:
    type: String
    default: Hello World
mainSteps:
  - action: aws:runShellScript
    name: runShellScript
    inputs:
      runCommand:
        - sudo yum update -y
        - sudo yum install -y httpd
        - sudo systemctl start httpd
        - echo "" > /var/www/html/index.html

4. Run Command

Run Command는 위에서 정의한 SSM Document를 다수의 인스턴스를 fleet에서 원격으로 실행하는 기능입니다.

# 위 'InstallApache.yaml' 문서를 특정 대상에게 실행시키는 명령어
aws ssm send-command \\
    --document-name "InstallApache" \\
    --targets "Key=tag:Environment,Values=WebServer" \\
    --parameters '{"Message":["Custom Hello World From CLI"]}'

4-1. 특징

5. Automations

Automations은 EC2 인스턴스 뿐만 아니라 RDS, S3, EBS와 같은 다양한 AWS 리소스에 대한 일반적인 유지 관리 및 배포 작업을 단순화하고 자동화하는 기능입니다.

5-1. Automations vs Run Command

5-2. Runbook 동작 방식

SSM Automation은 Runbook이라고 불리는 SSM Document를 기반으로 작동합니다.
이 Runbook은 AWS-RestartEC2InstanceWithApproval처럼 AWS가 미리 정의한 것을 사용하거나, JSON/YAML을 이용해 사용자가 직접 작성할 수 있습니다.

1). 실행 트리거

2). 대규모 실행 제어

6. Prameter Store

Parameter Store는 애플리케이션의 Configuration 데이터와 Secrets을 안전하게 저장하고 관리하는 Serverless 스토리지 서비스입니다.

6-1. 특징

CloudFormation 템플릿이란?
AWS 인프라(EC2, S3, VPC 등)를 코드로 정의한 ‘설계도’ (JSON/YAML 파일)입니다.

이 설계도를 CloudFormation 서비스에 제출하면, AWS가 템플릿에 적힌 모든 리소스를 자동으로, 순서대로, 반복 가능하게 생성해 줍니다. 이를 ‘Infrastructure as Code (IaC)’ 라고 부릅니다.

6-2. 주요 기능

1). 파라미터 계층 구조 (Hierarchy)

파라미터를 /my-app/dev/db-password처럼 경로(Path) 기반의 계층 구조로 정리할 수 있습니다.
해당 구조 덕분에 IAM 정책을 효율적으로 관리할 수 있습니다.

ex). /my-app/dev/*의 하위 경로의 모든 파라미터에 대해 dev 팀에게 접근 권한 부여

2). 암호화 (Encryption)

6-3. Tiers

6-4. 기타 기능

1). Parameter Policies

파라미터에 만료 날짜나 변경 규칙을 적용하는 고급 기능입니다.

• Expiration (TTL): 파라미터에 만료 날짜(Time to Live) 를 할당합니다.
  • 비밀번호와 같은 민감한 데이터를 주기적으로 강제로 교체하거나 삭제해야할 때 유용
  • EventBridge와 통합하여, 파라미터 만료 전에 알림을 받아 미리 조치 가능
• No-Change Notification: 파라미터가 설정된 기간 동안 변경되지 않으면 알림(EventBridge 통합)을 보냅니다.

2). Public Parameters

AWS가 공식적으로 제공하고 관리하는 공용 파라미터입니다.
사용자는 이 파라미터를 통해 AWS 서비스의 최신 정보를 쉽게 조회할 수 있습니다.

3). Secrets Manager 통합

Parameter Store와 Secrets Manager는 둘 다 보안 암호를 저장할 수 있지만,
Secrets Manager는 DB 암호 자동 순환(Rotation), 무작위 암호 생성 등 더 강력하고 전문적인 보안 암호 관리 기능을 제공합니다.

7. Inventory

Inventory는 인스턴스(EC2, 온프레미스)에서 메타데이터를 수집하여 중앙에서 조회하고 분석할 수 있게 하는 기능힙니다.
이를 통해 인스턴스에 설치된 소프트웨어, 구성, 서비스 상태 등을 파악할 수 있습니다.

7-1. 수집 및 활용

7-2. Inventory Resource Data Sync

여러 인스턴스와 계정에서 수집된 인벤토리 데이터를 중앙 S3 버킷으로 자동 전송하여 Athena를 통해 통합 분석할 수 있도록 설정하는 기능입니다.

8. State Manager

State Manager는 인스턴스를 사용자가 정의한 특정 상태로 일관되게 유지하는 프로세스를 자동화하는 기능입니다.

8-1. 동작 방식

State Manager는 연결(Association) 이라는 개념을 사용합니다.
이는 ‘무엇을’(SSM 문서), ‘어디에’(대상 인스턴스), ‘언제’(스케줄) 적용할지 정의하는 것입니다.

Inventory와 State Manager의 관계
“인벤토리 수집 활성화” 자체를 하나의 ‘상태’로 정의할 수 있습니다.
State Manager는 이 설정을 모든 대상 인스턴스에 일관되게 적용하고 유지하는 역할을 합니다..

9. Patch Manager

Patch Manager는 인스턴스의 패치 적용 프로세스를 자동화하는 기능입니다.
OS/애플리케이션/보안 업데이트를 모두 관리합니다.

9-1. 구성 요소

10. Maintenance Windows

Maintenance Windows는 OS 패치, 드라이버 업데이트 등 시스템에 영향을 줄 수 있는 작업을 수행할 시기(스케줄) 를 정의하는 기능입니다.

10-1. 구성 요소

Patch Manager와 Maintenance Windows 관계
Patch Manager은 어떤 패치를 설치할지 정의하는 것이며,
Maintenance Windows은 언제 패치를 적용할지 정의하는 스케줄링 도구로, 서비스 영향을 최소화합니다.

11. Session Manager

Session Manager는 인스턴스에 안전한 Shell 환경을 제공하는 기능입니다.
가장 큰 특징은 SSH 키, Bastion Host, 인바운드 포트 개방 없이 AWS 콘솔, CLI, SDK를 통해 인스턴스에 직접 연결할 수 있다는 점입니다.

11-1. 구성 요소

Session Manager는 SSM 에이전트와 IAM 권한을 기반으로 동작합니다.

11-2. 특징 및 장점