AWS SSM WindowsのInventory機能でライセンス管理を自動化するVPC設計｜資産台帳の統合

この記事のポイント

・AWS SSM InventoryでWindowsのアプリ・サービス・レジストリを自動収集できる
・インターネット不要の構成はInterface型エンドポイント3つでマルチAZ冗長化できる
・State ManagerのInventory関連付けでタグ指定の全インスタンス一括適用が可能
・収集データはS3+Athenaで横断クエリし、ライセンス台帳の自動更新に活用できる

# カスタムInventoryの配置パス（Windows）
C:\ProgramData\Amazon\SSM\InventoryData\

# ファイル名は半角英数字で拡張子 .json
# 例: asset-custom.json
{
  "SchemaVersion": "1.0",
  "TypeName": "Custom:AssetManagement",
  "Content": [
    {
      "AssetId": "ASSET-2024-WEB-001",
      "LicenseKey": "XXXX-XXXX-XXXX-XXXX",
      "PurchaseDate": "2024-04-01"
    }
  ]
}

# SSMエンドポイントを3AZのプライベートサブネットに作成
aws ec2 create-vpc-endpoint \
  --vpc-id vpc-0a1b2c3d4e5f6a7b8 \
  --vpc-endpoint-type Interface \
  --service-name com.amazonaws.ap-northeast-1.ssm \
  --subnet-ids \
    subnet-011aa222bb333cc4 \
    subnet-055ee666ff777aa8 \
    subnet-099bb000cc111dd2 \
  --security-group-ids sg-0fedcba987654321 \
  --private-dns-enabled

# 作成後の確認
aws ec2 describe-vpc-endpoints \
  --filters Name=service-name,Values=com.amazonaws.ap-northeast-1.ssm \
  --query 'VpcEndpoints[*].{ID:VpcEndpointId,State:State}' \
  --output table

----------------------------------------------
|         DescribeVpcEndpoints               |
+---------------------------+----------------+
|  ID                       |  State         |
+---------------------------+----------------+
|  vpce-0aabb1122ccdd3344   |  available     |
+---------------------------+----------------+

# インスタンスプロファイルを作成してロールをアタッチ
aws iam create-instance-profile \
  --instance-profile-name SSMWindowsInstanceProfile

aws iam add-role-to-instance-profile \
  --instance-profile-name SSMWindowsInstanceProfile \
  --role-name AmazonSSMRoleForInstancesQuickSetup

# EC2インスタンスにアタッチ
aws ec2 associate-iam-instance-profile \
  --instance-id i-0a1b2c3d4e5f6a7b8 \
  --iam-instance-profile Name=SSMWindowsInstanceProfile

# SSM管理対象のWindowsインスタンスを確認
aws ssm describe-instance-information \
  --filters Key=PlatformType,Values=Windows \
  --query 'InstanceInformationList[*].{
    ID:InstanceId,
    OS:PlatformName,
    Ver:PlatformVersion,
    Agent:AgentVersion,
    Ping:PingStatus
  }' \
  --output table

------------------------------------------------------------------------------------
|                         DescribeInstanceInformation                              |
+-------------+----------------------+--------+---------+--------------------+
|  Agent      |  ID                  |  OS    |  Ping   |  Ver               |
+-------------+----------------------+--------+---------+--------------------+
|  3.3.987.0  |  i-0a1b2c3d4e5f6a7b8  |  Windows Server 2022  |  Online  |  10.0.20348  |
|  3.3.987.0  |  i-0c2d3e4f5a6b7c8d9  |  Windows Server 2022  |  Online  |  10.0.20348  |
+-------------+----------------------+--------+---------+--------------------+

# Inventory関連付けをCLIで作成（タグでWindowsインスタンスを一括対象）
aws ssm create-association \
  --name AWS-GatherSoftwareInventory \
  --targets Key=tag:Platform,Values=Windows \
  --schedule-expression "rate(1 day)" \
  --parameters \
    applications=Enabled,\
    awsComponents=Enabled,\
    windowsRegistry=Enabled,\
    windowsRoles=Enabled,\
    windowsUpdates=Enabled,\
    services=Enabled,\
    networkConfig=Enabled

# 関連付けの実行状態を確認
aws ssm list-associations \
  --association-filter-list Key=AssociationName,Value=AWS-GatherSoftwareInventory \
  --query 'Associations[*].{Name:Name,Status:Overview.Status,Last:LastExecutionDate}' \
  --output table

---------------------------------------------------------------------------
|                            ListAssociations                             |
+------------------------------+------------------------------+-----------+
|  Last                        |  Name                        |  Status   |
+------------------------------+------------------------------+-----------+
|  2026-10-14T03:00:00.000Z    |  AWS-GatherSoftwareInventory |  Success  |
+------------------------------+------------------------------+-----------+

-- 全WindowsインスタンスのMicrosoft製品インストール状況を一覧取得
SELECT
  resourceid AS instance_id,
  json_extract_scalar(content, '$.Name')          AS app_name,
  json_extract_scalar(content, '$.Version')       AS version,
  json_extract_scalar(content, '$.Publisher')     AS publisher,
  json_extract_scalar(content, '$.InstalledTime') AS installed_at
FROM ssm_inventory_aws_application
WHERE
  json_extract_scalar(content, '$.Publisher') LIKE '%Microsoft%'
ORDER BY instance_id, app_name;

# Windows PowerShellで疎通確認（SSMエンドポイント）
Test-NetConnection -ComputerName ssm.ap-northeast-1.amazonaws.com -Port 443
Test-NetConnection -ComputerName ssmmessages.ap-northeast-1.amazonaws.com -Port 443
Test-NetConnection -ComputerName ec2messages.ap-northeast-1.amazonaws.com -Port 443

# 正常な場合の出力例
ComputerName     : ssm.ap-northeast-1.amazonaws.com
RemoteAddress    : 172.31.xx.xxx
RemotePort       : 443
TcpTestSucceeded : True