¿Cómo puedo usar la automatización de Systems Manager para exigir que solo IMDSv2 acceda a los metadatos de mi instancia de EC2?

Descripción corta

De forma predeterminada, utilizas uno de los siguientes métodos o ambos para recuperar los metadatos de la instancia de Amazon EC2 en ejecución:

• Versión 1 del servicio de metadatos de instancias (IMDSv1), un método de solicitud/respuesta
• IMDSv2, un método orientado a la sesión

Para requerir el uso de IMDSv2 en una instancia, ejecuta el runbook AWSSupport-ConfigureEC2Metadata de AWS Systems Manager.

Importante: Cuando se aplica el IMDSv2, se desactiva el IMDSv1. Esto podría afectar a las aplicaciones que dependen de IMDSv1. Antes de aplicar IMDSv2, asegúrate de que todas las aplicaciones que utilizan los metadatos de Amazon EC2 sean compatibles con IMDSv2. Para obtener orientación adicional sobre las prácticas recomendadas de implementación, consulta Ruta recomendada para requerir IMDSv2.

Resolución

Requisitos previos: Para ejecutar la automatización y leer el resultado, debes tener los permisos ssm:StartAutomationExecution y ssm:GetAutomationExecution.

Ejecuta la automatización de AWSSupport-ConfigureEC2Metadata y elige Ejecución simple en Modo de ejecución. O bien, elige el control de tasas para ejecutar la automatización en varios objetivos. A continuación, configura los siguientes ajustes para los parámetros de entrada:

• En InstanceId, introduce el ID de tu instancia de EC2.
• En HttpPutResponseHopLimit, mantén el valor predeterminado de 0 para retener el valor actual. O bien, introduce un nuevo valor entre 1 y 64.
• En EnforceIMDSv2, elige obligatorio.
• En MetadataAccess, elige habilitado.
• (Opcional) En AutomationAssumeRole, elige un rol. Si no especificas un rol, la automatización usa los permisos del usuario que ejecuta el documento.
  Nota: Para cambiar la instancia de EC2 de objetivo, AutomationAssumeRole o el rol de usuario deben tener los permisos ec2:ModifyInstanceMetadataOptions y ec2:DescribeInstances. Para obtener más información sobre cómo configurar los roles, consulta Creación de roles de servicio para la automatización mediante la consola.

Información relacionada

Acceso a los metadatos de la instancia de una instancia de EC2