EC2：起動テンプレートにおけるセキュリティグループ設定

Question

ec2インスタンスを起動テンプレートを使って作成したいと考えています。
作成時に下記のような現象があり作成できずに作業が停止しています。

下記現象について、回避方法等あれば教えて頂きたいです。

　

事象

EC2 > 起動テンプレート > テンプレートからインスタンスを起動

「テンプレートからインスタンスを起動」の画面「ネットワーク設定」箇所において、「セキュリティグループ」の設定欄にてセキュリティグループを選択。
「ネットワークインターフェイス」はデフォルト ENI に設定内容はなく、追加 ENI も無いため未入力。

…とすると、

ネットワークインターフェイスとインスタンスレベルのセキュリティグループを一緒に指定することはできません

と表示され、画面下「テンプレートからインスタンスを起動」ボタンを押しても起動画面に進む事ができません。

回避

そこで、
「ネットワーク設定」の「セキュリティグループ」設定欄はブランクとして、
「ネットワークインターフェイス」のデフォルト ENI「セキュリティグループ ID」欄にセキュリティグループを設定
…としたらエラーが回避されました。

　

確認したい事

通常のEC2インスタンス作成方式では ENI ではなく EC2 自身にセキュリティグループを割り当てる事ができますので、不具合のようにも見受けられます。
ENI ではなくインスタンスにセキュリティグループを設定した状態で、起動テンプレートから EC2 作成する方法があれば教えて頂きたいです。

また、これは仕様なのでしょうか。
仕様であった場合、EC2起動テンプレートで上記のようにしなくてはいけない内容が公式に記載されているドキュメントや情報ページ等ありましたら教えて頂きたく思います。

(参考) その他の設定内容

・AMI「Amazon Linux AMI 2018.03.0 (HVM), SSD Volume Type」
・インスタンスタイプ「t3.medium」
・キーペア名「(既存のキーペアを選択)」
・ネットワーク「VPC」
・高度な詳細は全てデフォルト設定

Answer 1

起動テンプレートにENIを設定せずに起動するときに指定する、でいいと思うのですが、起動テンプレートに含めたい理由はあるのでしょうか？

これは公式見解ではなくて想像ですが、
セキュリティグループはVPCに紐付いている一方、ENIもサブネットに紐付いているため、テンプレートとして両方を設定できるようにすると設定に矛盾が生じる可能性があるためにできないようにしているのでは、と思います。

また、余談になりますが、Amazon Linuxはサポートが段階的に終了していくので、Amazon Linux2を使用することをおすすめします。

Comments

[th0167]

回答ありがとうございます。

起動テンプレートに ENI 設定は含めたいとは思っていません。
テンプレからのEC2起動時も設定必須項目ではない様なので ENI はデフォルトのまま何もしない想定ですが、そこでエラーが出てしまいます。

ENI のセキュリティグループ設定欄に記載するやり方は、エラーメッセージの回避方法を探る中で見つけた手順であり、正式なやり方としては採用したくないのです。
(質問文わかりにくくごめんなさい)

＞また、余談になりますが、Amazon Linuxはサポートが段階的に終了していくので、
こちら把握しております。
ツッコまれるかなと思いましたが、環境や乗っかるソフトウェアの都合上仕方なくこれで進めているんです。
(IT業界あるあると思ってます)

[yu_1985]

起動テンプレートの中にそもそもENIの設定を含めないようにする必要があるのではないでしょうか。
「設定項目がある」ということはENIのテンプレートが設定されてしまっている状態かと思います。
起動テンプレートを作り直すか、新しいバージョンのテンプレートを作って設定項目を確かめてみてください。（ENIのテンプレートがそもそも設定されていなければ問題なくできることは確認しました）

コンソールを見てるうちに、エラーが出てしまうのは「インスタンスにセキュリティグループを設定した」と言っても、結局紐付いてるのはインスタンスに設定されているENIであり、両方設定できると不整合が発生する可能性が高いからのような気もしてきました。
AWSの中の人に聞いたほうが確実だとは思いますが…。

> Amazon Linux

ああ、なるほど…。何とかできることを祈っております…。

[th0167]

デフォルトで１項目用意されている ENI 設定は削除できるんですね…。
これは気づけませんでした。

テンプレート内容を ENI 設定削除して試してみたいと思います。
時間の都合がありますので明日以降また続報を追記します。

[th0167]

デフォ ENI を削除する事でセキュリティグループをインスタンスに割り当てた状態で EC2 作成ができました。ありがとうございました。