[Amazon EC2] AMI をゼロから作る CentOS 6.2 / S3-Backed 版

こちらもほぼ公式のドキュメント通りですが、ビルドに使用するホストが Momonga Linux で CentOS の GPG 公開鍵を持っていないため、事前にダウンロードしています。

5. 最小限の構成をインストール

setarch i386 yum -y -c ../repos.conf --installroot=$PWD --disablerepo=* --enablerepo=ami-base,ami-updates groupinstall Core

公式のドキュメントでは「Base」グループでインストールしていますが、ここではさらに少ない「Core」グループでインストールします。
「setarch i386」は、ビルドに使用するホストが 64bit 環境のため指定しています。
「--disablerepo=* --enablerepo=ami-base,ami-updates」は、ビルドに使用するホストに設定してあるリポジトリまでロードされてしまうため、このように指定しています。
以降 yum を実行する際は、すべてこれらを指定します。

6. 不要なパッケージを削除

rpm -e --root $PWD selinux-policy-targeted selinux-policy policycoreutils libselinux-utils libsemanage checkpolicy iptables-ipv6
setarch i386 yum -y --installroot=$PWD remove "*-firmware"

SELinux や IPv6 は使わないので、関連するパッケージを削除します。
さらに、EC2 で動かすには必要ないファームウェアも削除してしまいます。

7. kernel をインストール

setarch i386 yum -y -c ../repos.conf --installroot=$PWD --disablerepo=* --enablerepo=ami-base,ami-updates install kernel

PV-GRUB で User Provided Kernel による起動をするので、kernel をインストールします。
ディストリビューションによっては Xen 用の kernel が別にあるものもありますが、CentOS6 では kernel パッケージで問題ないようです。

8. ec2-ami-tools と ec2-metadata をインストール

setarch i386 yum -y -c ../repos.conf --installroot=$PWD --disablerepo=* --enablerepo=ami-base,ami-updates install ruby rsync
rpm -Uvh --root=$PWD http://s3.amazonaws.com/ec2-downloads/ec2-ami-tools.noarch.rpm
wget -O usr/bin/ec2-metadata http://s3.amazonaws.com/ec2metadata/ec2-metadata
chmod +x usr/bin/ec2-metadata

ここは必須ではありませんが、あると便利なので入れておきます。

9. fstab に /mnt と swap パーティションの設定を追加

cat >> etc/fstab << EOS
/dev/xvde2 /mnt      ext4    defaults        1 0
/dev/xvde3 swap      swap    defaults        0 0
EOS

instance storage をマウントする設定を追加します。デバイス名が xvde2, xvde3 と決め打ちですが、これは t1.micro を除く 32bit のインスタンスで設定されます。
64bit 環境ではまた変わってくるので、詳しくは「Amazon EC2 Instance Storage - Amazon Elastic Compute Cloud」を参照してください。

ちなみに、Amazon Linux AMI を起動すると xvda になるのですが、今回の方法で作った AMI では xvde になってしまいました。
AWS 公式の RHEL6 の AMI でも xvde になるので、Amazon Linux AMI が特別なのでしょうか。

10. ネットワークの設定

cat > etc/sysconfig/network-scripts/ifcfg-eth0 << EOS
DEVICE=eth0
BOOTPROTO=dhcp
ONBOOT=yes
TYPE=Ethernet
USERCTL=yes
PEERDNS=yes
IPV6INIT=no
EOS

cat > etc/sysconfig/network << EOS
NETWORKING=yes
EOS

cat > etc/hosts << EOS
127.0.0.1       localhost.localdomain localhost
EOS

こちらはほぼ公式のドキュメントの通りです。

11. rc.local に ssh 公開鍵を取得する設定を追加

cat > etc/rc.local << EOS
# Update the Amazon EC2 AMI creation tools
rpm -Uvh http://s3.amazonaws.com/ec2-downloads/ec2-ami-tools.noarch.rpm
 
# Update ec2-metadata
wget -O /usr/bin/ec2-metadata http://s3.amazonaws.com/ec2metadata/ec2-metadata
chmod 755 /usr/bin/ec2-metadata

if [ -f "/root/firstrun" ] ; then
  dd if=/dev/urandom count=50|md5sum|passwd --stdin root
  rm -f /root/firstrun
else
  echo "* Firstrun *" && touch /root/firstrun
fi
 
if [ ! -d /root/.ssh ] ; then
  mkdir -p /root/.ssh
  chmod 0700 /root/.ssh
fi

ATTEMPTS=5
FAILED=0
# Fetch public key using HTTP
while [ ! -f /root/.ssh/authorized_keys ]; do
  curl -f http://169.254.169.254/latest/meta-data/public-keys/0/openssh-key > /tmp/aws-key 2>/dev/null
  if [ $? -eq 0 ]; then
    cat /tmp/aws-key >> /root/.ssh/authorized_keys
    chmod 0600 /root/.ssh/authorized_keys
    rm -f /tmp/aws-key
    echo "Successfully retrieved AWS public key from instance metadata"
  else
    FAILED=$(($FAILED + 1))
    if [ $FAILED -ge $ATTEMPTS ]; then
      echo "Failed to retrieve AWS public key after $FAILED attempts, quitting"
      break
    fi
    echo "Could not retrieve AWS public key (attempt #$FAILED/$ATTEMPTS), retrying in 5 seconds..."
    sleep 5
  fi
done
EOS

基本は「Sharing AMIs Safely - Amazon Elastic Compute Cloud」に記載されている通りです。
合わせて ec2-ami-tools と ec2-metadata のアップデートをするようにしています。

12. sshd の設定を変更

perl -p -i -e 's,^#PermitRootLogin yes,PermitRootLogin without-password,' etc/ssh/sshd_config
perl -p -i -e 's,^#UseDNS yes,UseDNS no,' etc/ssh/sshd_config
perl -p -i -e 's,^PasswordAuthentication yes,PasswordAuthentication no,' etc/ssh/sshd_config
perl -p -i -e 's,^UsePAM yes,UsePAM no,' etc/ssh/sshd_config

こちらも上記のドキュメントに記載されているのですが、更にパスワード認証と PAM を無効にしています。

13. grub の設定を追加

cat > boot/grub/menu.lst <

echo "hwcap 1 nosegneg" > etc/ld.so.conf.d/libc6-xen.conf
chroot . ldconfig

setarch ${ARCH} yum -y -c ../repos.conf --installroot=$PWD --disablerepo=* --enablerepo=ami-base,ami-updates clean all
cd ..
umount ami-root/proc
umount -d ami-root

mkdir ami-bundle
ec2-bundle-image -i CentOS-6.2-1.kray-i386.img -k ${EC2_PRIVATE_KEY} -c ${EC2_CERT} -u ${AWS_ACCOUNT_NUMBER} -d ./ami-bundle -r i386 --kernel aki-ec5df7ed

ec2-upload-bundle -b ${S3_BUCKET} -a ${AWS_ACCESS_KEY} -s ${AWS_SECRET_ACCESS_KEY} -m ./ami-bundle/CentOS-6.2-1.kray-i386.img.manifest.xml --retry --location ap-northeast-1