AWS Systems ManagerがEC2インスタンスの「管理対象外」となる原因診断機能を拡張

AWS Systems Managerは、Amazon EC2インスタンスやハイブリッドアクティベーション済みノードが管理対象にならない原因を特定するための診断機能を拡張しました。従来のネットワーク接続性の診断に加え、IAM権限、SSM Agentのバージョン、インスタンスのステータスチェック、OS構成、デフォルトホスト管理設定、ハイブリッドアクティベーションの6つのカテゴリが新たに追加されました。診断は統合コンソールから実行でき、具体的な解決策のガイダンスや、一部の問題についてはAutomationランブックによる直接的な修復が可能です。本機能はデフォルトで有効な全リージョンで提供され、実行には標準的なAutomationの利用料金が発生します。

運用上のメリット

これまで「なぜかSSMで接続できない」という問題が発生した際、IAMロールの不足か、エージェントの不具合か、あるいはネットワーク経路の問題か、切り分けにかなりの時間を要していました。今回のアップデートで、IAM権限やOS構成まで含めた包括的な診断が可能になり、MTTR（平均復旧時間）の大幅な短縮が期待できます。

日本リージョンでの利用状況

リサーチの結果、本機能は東京リージョン（ap-northeast-1）および大阪リージョン（ap-northeast-3）を含む、デフォルトで有効な全リージョンで利用可能です。国内の運用環境ですぐに導入いただけます。

実務上の注意点

• コスト面: 診断機能は内部的にAutomationランブックとして動作するため、実行ごとにAutomationの利用料金が発生します。大量のインスタンスに対して頻繁に実行する際は、コストへの影響を確認してください。
• Security: 診断結果に基づきAutomationで自動修復を行う場合、実行ロールに適切な権限が付与されているか事前に確認してください。

次のアクション

まずは、現在「管理対象外」となっているインスタンスがある環境で、統合コンソールから診断を試行し、具体的にどのカテゴリでエラーが出ているかを確認することをお勧めします。

参考ドキュメント

• AWS Systems Manager User Guide: https://docs.aws.amazon.com/systems-manager/latest/userguide/diagnosing-ec2-category-types.html