Images machine et images de conteneurs

Une instance qui passe 8 minutes à s'installer avant de servir sa première requête a un problème d'empaquetage, pas un problème de calcul. Ce sujet traite l'unité que vous livrez : l'image. Deux leçons, deux formats. Une AMI transporte une machine entière et se construit par un pipeline qui la teste avant de la distribuer. Une image de conteneur transporte l'application posée sur des couches partagées, et vit dans un registry qui décide qui peut la tirer, ce qu'elle contient et combien de temps elle est conservée.

Ce que couvre ce sujet

• Ce qu'une AMI contient réellement : block device mapping, métadonnées de boot, launch permissions, et les propriétés figées à la création
• La décision entre intégrer à l'image et amorcer au démarrage, et la règle qui répartit la configuration entre les deux
• Les cinq ressources d'EC2 Image Builder, l'ordre des étapes de build, de snapshot, de test et de distribution, et pourquoi un test en échec ne distribue rien
• La planification d'un pipeline sur horloge ou sur mise à jour de dépendances, et le versionnage sémantique dont dépend cette détection
• Le partage inter-comptes et inter-Régions, avec l'exigence de clé KMS gérée par le client pour une AMI chiffrée
• Déprécier, désactiver et désenregistrer : trois actions distinctes, leurs effets sur les lancements, le partage et la facture des snapshots
• Les couches, le manifest, les tags et le digest d'une image de conteneur, et l'immuabilité des tags dans ECR
• L'authentification ECR avec son token de 12 heures, et les trois niveaux de policy qui décident des accès
• Le scan basique face au scan amélioré, les lifecycle policies et leur ordre d'évaluation, la réplication et le pull through cache

Pourquoi c'est important

La compétence 3.1 du SOA-C03 commence par la création et la gestion des AMI et des images de conteneurs, et les questions y sont rarement descriptives. Elles décrivent un Auto Scaling group qui lance encore depuis une image rejetée, une AMI qui n'est jamais arrivée dans la Region de reprise, une facture EBS qui refuse de baisser après un nettoyage, ou un cache d'images qui a cessé de se mettre à jour. Chacune se joue sur une frontière précise entre deux actions qui se ressemblent.

Le même travail se retrouve en exploitation. Une image que vous pouvez reconstruire depuis une recipe, tester automatiquement et retirer sur planning est un artefact que l'équipe maîtrise. Une image que quelqu'un a montée à la main il y a huit mois est une dette dont personne ne connaît le contenu.