Muitas equipas tratam a AMI como algo que se cria uma vez e se esquece. O problema aparece meses depois: dezenas de imagens sem etiquetas, snapshots EBS que ninguém sabe se pode apagar, e uma fatura que cresce sem explicação. Gerir o ciclo de vida de uma AMI significa tratá-la como um artefacto de software com nascimento, versões, maturidade, depreciação e retirada.
Uma boa governação de imagens reduz custos, melhora a segurança —ninguém arranca por engano uma imagem sem patches de há um ano— e facilita as auditorias de conformidade.
Fase 1 — Versionamento com significado
O versionamento é a coluna vertebral. Sem ele, «a última AMI boa» é uma conversa de corredor, não um dado. Recomendamos um esquema legível e consistente.
- Nome versionado: por exemplo
imaxe-ubuntu22-nginx-2026.07.1, com produto, base e versão de calendário. - Tags obrigatórias:
Version,GitCommit,BuildDate,Owner,Environment,CISLevel,Status. - Imutável: uma versão, um artefacto. Nunca modifique uma AMI publicada; crie uma nova versão.
- Registo central: use o AWS Systems Manager Parameter Store para guardar o ID da «AMI de produção atual» e que os seus Launch Templates a leiam por referência.
Fase 2 — Cifragem de ponta a ponta
Os dados de uma AMI vivem em snapshots EBS. Se não estiverem cifrados, qualquer cópia mal governada é uma fuga potencial. A cifragem deve ser a norma, não a exceção.
- Cifragem por omissão: ative EBS encryption by default ao nível da conta e da região.
- Chaves geridas por si (CMK): use uma chave KMS própria em vez da chave da AWS por omissão para controlar permissões e rotação.
- Copiar é recifrar: ao copiar uma AMI para outra região ou conta, aproveite para a recifrar com a chave de destino.
- Partilhe com KMS grants: se distribuir a AMI a outras contas, conceda acesso à chave com políticas mínimas.
Fase 3 — Depreciação: avisar antes de apagar
A AWS permite marcar uma AMI como obsoleta (deprecated) com uma data. A partir daí deixa de aparecer por omissão nas pesquisas, mas continua a funcionar para quem a referencie explicitamente. É o passo intermédio civilizado entre «vigente» e «apagada»: avisa, dá margem de migração e evita partir implantações.
Fase 4 — Limpeza automatizada (e o custo oculto dos snapshots)
Aqui está o dinheiro. Quando apaga uma AMI, os seus snapshots EBS associados não são eliminados automaticamente. É a causa número um de faturas de armazenamento que crescem misteriosamente. Uma política de retirada deve desregistar a AMI e, depois, apagar os seus snapshots órfãos.
- Política de retenção: conserve N versões recentes (por exemplo as três últimas) e retire o resto.
- Automatize com a nuvem: o Amazon Data Lifecycle Manager (DLM) pode gerir criação e eliminação de imagens por política.
- Cace snapshots órfãos: audite periodicamente os snapshots sem AMI associada e elimine-os.
- Nunca apague às cegas: verifique que nenhuma instância nem Launch Template ativo depende da AMI antes de a retirar.
Tabela-resumo do ciclo de vida
| Fase | Ação-chave | Ferramenta ou serviço |
|---|---|---|
| Criação | Build reproduzível e etiquetagem | Packer / EC2 Image Builder |
| Cifragem | Snapshots cifrados com CMK | AWS KMS + EBS default encryption |
| Distribuição | Cópia e recifragem multirregião ou multiconta | AMI copy / AWS RAM |
| Vigência | Registo do ID atual | SSM Parameter Store |
| Depreciação | Marcar obsoleta com data | ec2 enable-image-deprecation |
| Retirada | Desregisto e eliminação de snapshots | DLM / scripts agendados |
As seis fases da governação de uma AMI e como automatizá-las.
Métricas que deve vigiar
- Idade média das AMIs em uso: quanto menor, mais atualizadas.
- Número de snapshots órfãos e o seu custo mensal.
- Percentagem de AMIs cifradas, com objetivo de 100 %.
- Tempo desde o CVE crítico até à nova imagem publicada, o MTTR de patches.
Perguntas frequentes
Porque sobe a minha fatura de EBS se já apaguei as AMIs?
Porque desregistar uma AMI não apaga os seus snapshots. Tem de os eliminar explicitamente. Audite snapshots órfãos com regularidade; costumam ser o maior custo oculto.
É seguro partilhar uma AMI cifrada com outra conta?
Sim, desde que conceda acesso à chave KMS com um grant específico e permissões mínimas. Sem esse acesso, a conta de destino não conseguirá lançar a imagem.
Quantas versões de uma AMI devo conservar?
Depende da sua necessidade de rollback e conformidade, mas conservar entre duas e quatro versões recentes costuma ser um bom equilíbrio entre segurança de reversão e custo.
Na imaxe.cloud desenhamos as nossas imagens com versionamento e cifragem desde a origem, para que o seu ciclo de vida seja previsível e auditável.
