Viele Teams behandeln ein AMI als etwas, das man einmal erstellt und dann vergisst. Das Problem zeigt sich Monate später: Dutzende Images ohne Tags, EBS-Snapshots, bei denen niemand weiß, ob man sie löschen darf, und eine Rechnung, die ohne Erklärung wächst. Den Lebenszyklus eines AMI zu verwalten heißt, es als Softwareartefakt mit Geburt, Versionen, Reife, Abkündigung und Ausmusterung zu behandeln.
Gute Image-Governance senkt Kosten, verbessert die Sicherheit —niemand startet versehentlich ein ungepatchtes Image von vor einem Jahr— und erleichtert Compliance-Audits.
Phase 1 — Versionierung mit Bedeutung
Versionierung ist das Rückgrat. Ohne sie ist „das letzte gute AMI" ein Flurgespräch, keine Tatsache. Wir empfehlen ein lesbares, konsistentes Schema.
- Versionierter Name: etwa
imaxe-ubuntu22-nginx-2026.07.1, mit Produkt, Basis und Kalenderversion. - Pflicht-Tags:
Version,GitCommit,BuildDate,Owner,Environment,CISLevel,Status. - Unveränderlich: eine Version, ein Artefakt. Ändern Sie nie ein veröffentlichtes AMI; erstellen Sie eine neue Version.
- Zentrales Register: Nutzen Sie AWS Systems Manager Parameter Store für die ID „des aktuellen Produktions-AMI", damit Ihre Launch Templates sie per Referenz lesen.
Phase 2 — Durchgängige Verschlüsselung
Die Daten eines AMI liegen in EBS-Snapshots. Sind sie unverschlüsselt, ist jede schlecht verwaltete Kopie ein potenzielles Leck. Verschlüsselung sollte die Regel sein, nicht die Ausnahme.
- Standardverschlüsselung: Aktivieren Sie EBS encryption by default auf Konto- und Regionsebene.
- Von Ihnen verwaltete Schlüssel (CMK): Nutzen Sie einen eigenen KMS-Schlüssel statt des AWS-Standardschlüssels, um Rechte und Rotation zu steuern.
- Kopieren heißt neu verschlüsseln: Beim Kopieren eines AMI in eine andere Region oder ein anderes Konto gleich mit dem Zielschlüssel neu verschlüsseln.
- Mit KMS-Grants teilen: Verteilen Sie das AMI an andere Konten, gewähren Sie den Schlüsselzugriff mit minimalen Richtlinien.
Phase 3 — Abkündigung: warnen, bevor gelöscht wird
AWS erlaubt es, ein AMI mit Datum als deprecated zu markieren. Ab dann taucht es standardmäßig nicht mehr in Suchen auf, funktioniert aber weiterhin für alle, die es explizit referenzieren. Das ist der zivilisierte Zwischenschritt zwischen „gültig" und „gelöscht": Sie warnen, geben Migrationsspielraum und brechen keine Deployments.
Phase 4 — Automatisiertes Aufräumen (und die versteckten Snapshot-Kosten)
Hier liegt das Geld. Wenn Sie ein AMI löschen, werden die zugehörigen EBS-Snapshots nicht automatisch entfernt. Das ist Ursache Nummer eins für Speicherrechnungen, die mysteriös wachsen. Eine Ausmusterungsrichtlinie muss das AMI deregistrieren und danach die verwaisten Snapshots löschen.
- Aufbewahrungsrichtlinie: N aktuelle Versionen behalten (etwa die letzten drei), den Rest ausmustern.
- Mit der Cloud automatisieren: Amazon Data Lifecycle Manager (DLM) kann Erstellung und Löschung von Images per Richtlinie verwalten.
- Verwaiste Snapshots jagen: Prüfen Sie regelmäßig Snapshots ohne zugehöriges AMI und löschen Sie sie.
- Niemals blind löschen: Prüfen Sie vor der Ausmusterung, dass keine aktive Instanz und kein Launch Template vom AMI abhängt.
Zusammenfassung des Lebenszyklus
| Phase | Schlüsselaktion | Werkzeug oder Dienst |
|---|---|---|
| Erstellung | Reproduzierbarer Build und Tagging | Packer / EC2 Image Builder |
| Verschlüsselung | Mit CMK verschlüsselte Snapshots | AWS KMS + EBS default encryption |
| Verteilung | Kopie und Neuverschlüsselung über Regionen/Konten | AMI copy / AWS RAM |
| Gültigkeit | Register der aktuellen ID | SSM Parameter Store |
| Abkündigung | Mit Datum als veraltet markieren | ec2 enable-image-deprecation |
| Ausmusterung | Deregistrieren und Snapshots löschen | DLM / geplante Skripte |
Die sechs Phasen der AMI-Governance und wie man sie automatisiert.
Kennzahlen, die Sie beobachten sollten
- Durchschnittsalter der genutzten AMIs: je niedriger, desto besser gepatcht.
- Anzahl verwaister Snapshots und deren monatliche Kosten.
- Anteil verschlüsselter AMIs, Ziel 100 %.
- Zeit vom kritischen CVE bis zum neu veröffentlichten Image, die Patch-MTTR.
Häufig gestellte Fragen
Warum steigt meine EBS-Rechnung, obwohl ich die AMIs gelöscht habe?
Weil das Deregistrieren eines AMI seine Snapshots nicht löscht. Sie müssen sie explizit entfernen. Prüfen Sie regelmäßig verwaiste Snapshots; sie sind meist der größte versteckte Kostenblock.
Ist es sicher, ein verschlüsseltes AMI mit einem anderen Konto zu teilen?
Ja, solange Sie den Zugriff auf den KMS-Schlüssel per spezifischem Grant und mit minimalen Rechten gewähren. Ohne diesen Zugriff kann das Zielkonto das Image nicht starten.
Wie viele Versionen eines AMI sollte ich aufbewahren?
Das hängt von Rollback- und Compliance-Bedarf ab, aber zwei bis vier aktuelle Versionen sind meist ein gutes Gleichgewicht zwischen Rollback-Sicherheit und Kosten.
Bei imaxe.cloud entwerfen wir unsere Images von Anfang an mit Versionierung und Verschlüsselung, damit ihr Lebenszyklus vorhersehbar und prüfbar ist.
