Molti team trattano la AMI come qualcosa che si crea una volta e si dimentica. Il problema arriva mesi dopo: decine di immagini senza etichette, snapshot EBS che nessuno sa se si possono cancellare e una bolletta che cresce senza spiegazione. Gestire il ciclo di vita di una AMI significa trattarla come un artefatto software con nascita, versioni, maturità, deprecazione e ritiro.
Una buona governance delle immagini riduce i costi, migliora la sicurezza —nessuno avvia per sbaglio un’immagine non aggiornata di un anno fa— e semplifica gli audit di conformità.
Fase 1 — Versionare con significato
Il versionamento è la spina dorsale. Senza, «l’ultima AMI buona» è una chiacchiera da corridoio, non un dato. Consigliamo uno schema leggibile e coerente.
- Nome versionato: per esempio
imaxe-ubuntu22-nginx-2026.07.1, con prodotto, base e versione calendario. - Tag obbligatori:
Version,GitCommit,BuildDate,Owner,Environment,CISLevel,Status. - Immutabile: una versione, un artefatto. Non modificare mai una AMI pubblicata; crea una nuova versione.
- Registro centrale: usa AWS Systems Manager Parameter Store per conservare l’ID della «AMI di produzione attuale» e far sì che i Launch Template la leggano per riferimento.
Fase 2 — Cifratura da estremo a estremo
I dati di una AMI vivono negli snapshot EBS. Se non sono cifrati, qualsiasi copia mal governata è una fuga potenziale. La cifratura dev’essere la norma, non l’eccezione.
- Cifratura di default: attiva EBS encryption by default a livello di account e regione.
- Chiavi gestite da te (CMK): usa una chiave KMS propria al posto di quella di default di AWS per controllare permessi e rotazione.
- Copiare significa ricifrare: quando copi una AMI in un’altra regione o account, approfittane per ricifrarla con la chiave di destinazione.
- Condividi con KMS grant: se distribuisci la AMI ad altri account, concedi l’accesso alla chiave con policy minime.
Fase 3 — Deprecazione: avvisare prima di cancellare
AWS permette di marcare una AMI come deprecata con una data. Da quel momento smette di comparire per default nelle ricerche, ma continua a funzionare per chi la referenzia esplicitamente. È il passo intermedio civile tra «vigente» e «cancellata»: avvisi, dai margine per migrare ed eviti di rompere i rilasci.
Fase 4 — Pulizia automatizzata (e il costo nascosto degli snapshot)
Qui c’è il denaro. Quando cancelli una AMI, i suoi snapshot EBS associati non vengono eliminati automaticamente. È la causa numero uno delle bollette di storage che crescono misteriosamente. Una policy di ritiro deve deregistrare la AMI e poi cancellare i suoi snapshot orfani.
- Policy di retention: conserva N versioni recenti (per esempio le ultime tre) e ritira il resto.
- Automatizza con il cloud: Amazon Data Lifecycle Manager (DLM) può gestire creazione e cancellazione di immagini per policy.
- Caccia gli snapshot orfani: verifica periodicamente gli snapshot senza AMI associata ed eliminali.
- Non cancellare mai alla cieca: controlla che nessuna istanza né Launch Template attivo dipenda dalla AMI prima di ritirarla.
Tabella riassuntiva del ciclo di vita
| Fase | Azione chiave | Strumento o servizio |
|---|---|---|
| Creazione | Build riproducibile ed etichettatura | Packer / EC2 Image Builder |
| Cifratura | Snapshot cifrati con CMK | AWS KMS + EBS default encryption |
| Distribuzione | Copia e ricifratura multiregione o multiaccount | AMI copy / AWS RAM |
| Vigenza | Registro dell’ID attuale | SSM Parameter Store |
| Deprecazione | Marcare deprecata con data | ec2 enable-image-deprecation |
| Ritiro | Deregister e cancellazione degli snapshot | DLM / script pianificati |
Le sei fasi della governance di una AMI e come automatizzarle.
Metriche da tenere d’occhio
- Età media delle AMI in uso: più bassa, più aggiornate.
- Numero di snapshot orfani e il loro costo mensile.
- Percentuale di AMI cifrate, con obiettivo del 100 %.
- Tempo dal CVE critico alla nuova immagine pubblicata, l’MTTR delle patch.
Domande frequenti
Perché la mia bolletta EBS sale se ho già cancellato le AMI?
Perché deregistrare una AMI non cancella i suoi snapshot. Devi eliminarli esplicitamente. Verifica regolarmente gli snapshot orfani: di solito sono il maggior costo nascosto.
È sicuro condividere una AMI cifrata con un altro account?
Sì, purché conceda l’accesso alla chiave KMS con un grant specifico e permessi minimi. Senza quell’accesso, l’account di destinazione non potrà avviare l’immagine.
Quante versioni di una AMI devo conservare?
Dipende dalle tue esigenze di rollback e conformità, ma conservarne tra due e quattro recenti è di solito un buon equilibrio tra sicurezza del ripristino e costo.
In imaxe.cloud progettiamo le nostre immagini con versionamento e cifratura fin dall’origine, perché il loro ciclo di vita sia prevedibile e verificabile.
