Eine Instanz aus einem AMI zu starten heißt praktisch, von einer anderen Person verpackte Software in Ihrem Konto auszuführen. Enthält das Image Malware, Kryptowährungs-Miner, eingebettete Schlüssel oder schlicht ungepatchte Pakete, wandert dieses Risiko direkt in Ihre Infrastruktur. Es gibt dokumentierte Fälle bösartiger öffentlicher Images, die genau dafür gebaut wurden.
Die Lösung ist keine Paranoia, sondern ein wiederholbarer Prüfprozess. Ein AMI gut auszuwählen ähnelt einer Einstellung: Sie prüfen Identität, Referenzen und Zustand, bevor Sie die Schlüssel übergeben.
Die fünf Säulen eines vertrauenswürdigen AMI
Bewerten Sie jedes Kandidaten-Image entlang dieser fünf Achsen. Fällt es bei mehreren durch, suchen Sie ein anderes.
1. Herkunft: Wer veröffentlicht es?
- Prüfen Sie die Owner ID des veröffentlichenden Kontos; misstrauen Sie anonymen oder unbekannten Eigentümern.
- Bevorzugen Sie Images offizieller Anbieter, verifizierter Partner oder Publisher mit nachweisbarem Ruf.
- Prüfen Sie, ob Name und Beschreibung zu einer legitimen Quelle passen: Vorsicht vor Typosquatting-Nachahmungen.
2. Sicherheit: Was steckt drin?
- Ist es gehärtet (CIS oder gleichwertig) oder eine ungeschützte Basis?
- Sind die Snapshots verschlüsselt?
- Scannen Sie es vor der Produktion selbst mit Inspector, Trivy o. Ä. auf CVEs und Secrets.
- Prüfen Sie, dass keine unbekannten autorisierten SSH-Schlüssel oder überzähligen Benutzer vorhanden sind.
3. Pflege: lebt es noch?
- Wie oft wird es aktualisiert? Ein Image ohne neue Version seit einem Jahr ist ein Warnsignal.
- Nennt der Publisher die in jeder Version behobenen CVEs?
- Gibt es klare Dokumentation, was enthalten ist und wie es konfiguriert wird?
4. Kompatibilität: passt es zu Ihrem Fall?
- Richtige Architektur (x86_64 gegenüber ARM/Graviton) und Virtualisierungstyp.
- Verfügbare Region und Möglichkeit, es in Ihre zu kopieren.
- Unterstützung des benötigten Instanztyps und Kompatibilität mit Ihrer Automatisierung.
5. Kosten und Lizenz: Was zahlen Sie, und zu welchen Bedingungen?
- Kostenmodell: kostenlos, stündlich oder BYOL.
- Lizenz der enthaltenen Software und deren Pflichten.
- Kosten der Snapshots und des zugehörigen Speichers.
Schnelle Prüfcheckliste
| Prüfung | Gutes Zeichen | Warnsignal |
|---|---|---|
| Eigentümer | Verifiziert und bekannt | Anonymes oder brandneues Konto |
| Verschlüsselung | Verschlüsselte Snapshots | Ohne Verschlüsselung |
| Aktualisierung | Aktuelle, häufige Versionen | Seit über 12 Monaten unverändert |
| Dokumentation | Release Notes und CVEs | Keine oder nicht vorhanden |
| Eigener Scan | Keine kritischen CVEs oder Secrets | Schwachstellen oder eingebettete Schlüssel |
| Kosten | Klares, planbares Modell | Versteckte Speicherkosten |
Prüfen Sie jeden Punkt, bevor ein AMI in Produktion geht.
Gute Praxis: neu backen auf dem, was Sie erhalten
Auch ein vertrauenswürdiges Image altert. Am sichersten ist es, ein verlässliches Basis-AMI zu nehmen und es in der eigenen Pipeline neu zu backen: Ihre Patches, Ihr Hardening, Ihre Konfiguration anwenden, mit Ihrem Schlüssel verschlüsseln und versionieren. So erben Sie das Gute des Ursprungs-Images und ergänzen eigene Qualitätssicherung und Nachvollziehbarkeit.
Häufig gestellte Fragen
Ist es sicher, ein öffentliches Community-AMI zu nutzen?
Kann es sein, aber Sie müssen Eigentümer, Inhalt und Zustand prüfen und es vor dem Einsatz scannen. Für Produktion ist ein Image eines vertrauenswürdigen Publishers – oder selbst neu gebacken – vorzuziehen.
Wie erkenne ich, ob ein AMI eine Hintertür hat?
Keine Methode ist unfehlbar, aber das Image scannen, Benutzer und autorisierte Schlüssel prüfen, geplante Aufgaben inspizieren und den Netzwerkverkehr auf einer isolierten Testinstanz analysieren senkt das Risiko erheblich.
Sollte ich kostenpflichtigen Images mehr vertrauen als kostenlosen?
Der Preis garantiert keine Sicherheit, aber ein Publisher, der seine Images pflegt und dokumentiert – kostenpflichtig oder nicht –, bietet meist mehr Gewähr als ein verwaistes anonymes Image.
Bei imaxe.cloud bauen wir Images mit klarer Herkunft, Verschlüsselung und kontinuierlicher Aktualisierung, damit Sie mit Vertrauen ausrollen können.
