صورة golden AMI («الصورة الذهبية») هي صورة Amazon Machine Image مُهيّأة مسبقًا ومُحصَّنة ومُتحقَّق منها، تعمل قالبًا وحيدًا لإطلاق نسخ EC2 متطابقة. فبدل إقلاع خادم فارغ وتثبيت التبعيات يدويًا في كل مرة، تخبز كل شيء مرة واحدة —نظام تشغيل مُرقَّع ووكلاء وبيئة تشغيل وإعداد وضوابط أمان— وتعيد استخدامه في كل عملية نشر.
هذا النهج أساس البنية التحتية غير القابلة للتغيير: لا تُرقّع الخوادم وهي تعمل، بل تبني صورة جديدة وتستبدل النسخ. والنتيجة انحراف أقل في الإعداد، وإقلاع أسرع عند التوسّع التلقائي، وعمليات نشر قابلة للتدقيق والتراجع.
الصورة الذهبية مقابل التهيئة عند الإقلاع
هناك فلسفتان. في التهيئة عند الإقلاع تُعِدّ النسخة نفسها عند بدء التشغيل (user-data أو Ansible pull أو cloud-init). وهي مرنة لكنها بطيئة وهشّة: إذا سقط مستودع حزم فشل توسّعك التلقائي. أما في نموذج الصورة الذهبية (الخبز) فيجري العمل الثقيل مرة واحدة في خطّ الإنتاج؛ والإقلاع شبه فوري وحتمي. ومعظم الفرق الناضجة تمزج الاثنين: تخبز الثابت وتترك للإقلاع الإعداد الذي يتغيّر بحسب البيئة.
لماذا Packer
Packer من HashiCorp هو الأداة المعيارية فعليًا لبناء صور الآلات آليًا وعبر عدة سحابات من قالب واحد. تُعرِّف الصورة كشيفرة (HCL2)؛ فيُطلق نسخة مؤقتة، ويطبّق مزوّداتك، وينشئ الصورة، ثم يدمّر الموارد المؤقتة. ويستطيع القالب نفسه توليد صور لـ AWS وAzure وGCP، وهو ما يجعله مثاليًا إن كنت تنشر في أكثر من سحابة.
- قابل للتكرار: الصورة موصوفة في ملف مُرقَّم الإصدارات في Git.
- متعدّد السحابات: تدفّق واحد لـ AMI وAzure Managed Image وGCP Custom Image.
- قابل للدمج: يندمج في CI/CD (GitHub Actions وGitLab CI وCodePipeline).
- قابل للتدقيق: كل عملية بناء تُسجَّل مع بيانها ومخرجاتها.
تشريح قالب Packer (HCL2)
ينتظم القالب الحديث في كتل. تُعرِّف كتلة source الباني (مثل amazon-ebs) والصورة
الأساسية ونوع النسخة والمنطقة. وتسلسل كتلة build المزوّدات التي تثبّت البرمجيات
وتعدّها. أما المعالِجات اللاحقة فتنتج مخرجات مثل بيان JSON يحمل معرّف الصورة الناتجة.
مثال أدنى مشروح
source "amazon-ebs" "app" — ينطلق من صورة أساسية رسمية تُبحث ديناميكيًا عبر
data "amazon-ami" بترشيح المالك ونمط الاسم، كي لا تثبّت معرّفًا سينتهي أجله.
provisioner "shell" — ينفّذ نصوص التثبيت والتحديث (dnf update -y، وتثبيت بيئة التشغيل
ووكيل CloudWatch ووكيل SSM).
provisioner "ansible" — إن كانت لديك أدوار Ansible فأعد استخدامها لإعداد الصورة بحياد
تكراري.
post-processor "manifest" — يكتب manifest.json مع artifact_id الذي يقرأه خطّ إنتاجك
ليعرف أي صورة وُلدت.
خطّ الإنتاج خطوة بخطوة
هذا هو التدفّق الذي نوصي به لنقل صورة ذهبية من الالتزام إلى الإنتاج بأمان وقابلية تكرار:
| الخطوة | ماذا يحدث | الأداة المعتادة |
|---|---|---|
| 1. Commit | تعدّل القالب أو النصوص وتدفعها إلى Git | Git / مراجعة الطلب |
| 2. Validate | يتحقّق packer fmt وpacker validate من الصياغة | Packer وCI |
| 3. Build | يُطلق Packer نسخة مؤقتة ويطبّق المزوّدات | Packer |
| 4. Harden | يُطبَّق معيار CIS وتُنظَّف بيانات الاعتماد | Ansible / CIS |
| 5. Scan | فحص للثغرات وللأسرار | Trivy وInspector |
| 6. Test | تُقلَع نسخة ويجري التحقّق منها | InSpec / Goss |
| 7. Tag & version | تُوسَم الصورة (الإصدار والالتزام والتاريخ) | AWS CLI |
| 8. Distribute | تُشارَك أو تُنسَخ إلى مناطق أو حسابات أخرى | AWS RAM / copy |
| 9. Deploy | يُشار إلى الصورة في قالب الإطلاق | Terraform / ASG |
تدفّق مرجعي لخطّ إنتاج صورة ذهبية في تسع مراحل.
ممارسات تصنع الفارق
- لا تثبّت صورة أساسية بمعرّفها أبدًا: ابحث عنها ديناميكيًا بالمالك والاسم لترث دومًا أحدث الترقيعات.
- رقّم إصدار الصورة بمخطط واضح (مثل
app-2026.07.1) واحفظ التزام Git في وسوم الصورة. - نظّف قبل الختم: احذف السجلات وتواريخ الصدفة ومفاتيح SSH المؤقتة ومخابئ الحزم كي لا تسرّب أسرارًا.
- افحص دائمًا: ادمج Trivy أو Amazon Inspector كي لا تنشر ثغرات معروفة.
- شفّر اللقطات بمفتاح KMS خاص بك منذ الدقيقة الأولى.
- أتمِت انتهاء الصلاحية: علّم الإصدارات القديمة بالإهمال واحذفها لضبط التكاليف.
Packer أم EC2 Image Builder: أيّهما أختار؟
إن كنت تعمل حصرًا في AWS وتقدّر التكامل الأصيل مع Inspector ومكوّنات CIS المُدارة وصفر بنية تحتية تصونها، فـ EC2 Image Builder خيار متين بلا كلفة ترخيص. أما إن احتجت البناء لعدة سحابات من القالب نفسه، أو كانت لديك منظومة HashiCorp (Terraform وVault)، فسيمنحك Packer قابلية نقل أكبر. وهما لا يتعارضان: فرق كثيرة تستخدم Packer لمنطق تعدّد السحابات وImage Builder لخطوط الإنتاج الداخلية في AWS.
أسئلة شائعة
كل كم ينبغي أن أعيد بناء الصورة الذهبية؟
كحدّ أدنى مع كل دورة ترقيع لنظام التشغيل (الشهري إيقاع جيد عادةً)، وكلما ظهرت ثغرة حرجة في منظومتك. ويسمح خطّ الإنتاج المؤتمت بإعادة البناء عند الطلب خلال دقائق.
هل أستطيع استخدام قالب Packer نفسه لـ AWS وAzure؟
نعم. يدعم Packer عدة بانين في عملية بناء واحدة. تتشارك المزوّدات وتغيّر كتلة source لكل سحابة فقط، فتُنتج صورة AMI وManaged Image وCustom Image بالتوازي.
صورة ذهبية أم حاويات؟
ليست مسألة أحدهما. فالصور الذهبية مثالية لطبقة المضيف وللأحمال غير المُحوَّاة؛ أما الحاويات فتعيش فوقها. بل إن صورة ذهبية مُحصَّنة أساس ممتاز لعُقد Kubernetes لديك.
في imaxe.cloud نبني ونصون صورًا أساسية مُحصَّنة ومحدَّثة كي ينطلق خطّ إنتاجك من أساس موثوق.
