Como configurar os metadados da instância e ativar as tags na minha instância do EC2?

Breve descrição

É possível configurar os recursos padrão do IMDS para novas instâncias em sua conta da AWS em todas as regiões da AWS. Por padrão, os tipos de instância mais recentes usam a versão 2 do serviço de metadados de instância (IMDSv2). Para usar a versão 1 do serviço de metadados de instância (IMDSv1) nesses tipos de instância, você deve ativar manualmente o IMDSv1 na instância. É uma prática recomendada usar o IMDSv2 para segurança, a menos que você precise usar o IMDSv1.

Importante: se você configurar o IMDSv2 em sua instância, o IMDSv1 não funcionará mais e as aplicações que usam o IMDSv1 poderão não funcionar corretamente. Antes de aplicar o IMDSv2, atualize as aplicações que usam metadados do Amazon EC2 para uma versão compatível com o IMDSv2. Para mais informações sobre as diferenças entre o IMDSv1 e o IMDSv2, consulte Usar o serviço de metadados de instância para acessar os metadados da instância.

Por padrão, o Amazon EC2 não fornece acesso às tags de instância nos metadados da instância. Você deve permitir o acesso na inicialização da instância ou após a execução de uma instância em execução ou parada.

Resolução

Observação: se você receber erros ao executar comandos da AWS Command Line Interface (AWS CLI), consulte Solução de problemas da AWS CLI. Além disso, verifique se você está usando a versão mais recente da AWS CLI.

É possível usar uma combinação dos métodos a seguir para configurar os metadados da instância. No entanto, você define a ordem hierárquica de precedência das opções de metadados na inicialização da instância.

Configurar metadados da instância no nível da AMI

É possível configurar uma imagem de máquina da Amazon (AMI) ou criar uma nova para usar o IMDSv2. Quando você executa uma instância com a AMI configurada, o Amazon EC2 define automaticamente a versão dos metadados da instância como IMDSv2 e o limite de saltos como 2.

Importante: certifique-se de verificar se o software da AMI é compatível com o IMDSv2. Depois de definir o valor de imds-support como v2.0, não será possível revertê-lo. A única maneira de redefinir sua AMI é usar o snapshot subjacente para criar uma nova AMI.

Para configurar uma nova AMI para usar o IMDSv2, execute o seguinte comando register-image da AWS CLI:

aws ec2 register-image \
    --name my-image \
    --root-device-name /dev/xvda \
    --block-device-mappings DeviceName=/dev/xvda,Ebs={SnapshotId=snap-0123456789example} \
    --architecture x86_64 \
    --imds-support v2.0

Observação: substitua my-image pelo nome da AMI, /dev/xvda pelo nome do dispositivo do volume raiz, snap-0123456789example pelo ID do snapshot e x86_64 pela arquitetura.

Para configurar uma AMI para usar o IMDSv2, execute o seguinte comando modify-image-attribute:

aws ec2 modify-image-attribute \
    --image-id ami-0123456789example \
    --imds-support v2.0

Observação: substitua ami-0123456789example pelo ID da AMI.

Permitir tags nos metadados em seu modelo de inicialização

Não é possível configurar diretamente o acesso às tags para suas AMIs. Você deve criar um modelo de inicialização do Amazon EC2. Em Detalhes avançados, defina Permitir tags nos metadados como \ -. As instâncias que você inicia a partir desse modelo de execução permitem acesso a todas as tags da instância a partir dos metadados da instância.

Configurar os metadados da instância no nível da conta

Configure o IMDSv2 para todas as instâncias em sua conta. Ou, para permitir o IMDSv1, em Versão dos metadados, selecione V1 e V2 (token opcional). Para permitir o acesso às tags nos metadados da instância no nível da conta, em Padrões do IMDS, defina Acesso às tags nos metadados como Ativado.

Importante: você deve configurar os metadados da instância uma vez para cada região em sua conta.

Configurar os metadados da instância no nível da instância

Observação: as políticas do AWS Identity and Access Management (AWS IAM) ou as políticas de controle de serviços (SCP) podem restringir as alterações que é possível fazer nas configurações da instância.

Para configurar o acesso ao IMDS e às tags nos metadados em uma nova instância, expanda Detalhes avançados ao iniciar a instância. Feito isso, defina as seguintes configurações:

• Em Metadados acessíveis, selecione Ativado.
• Em Versão dos metadados, selecione Somente V2 (token obrigatório) ou V1 e V2 (token opcional).
  Observação: se você usa um ambiente de contêiner, como o Amazon Elastic Container Service (Amazon ECS) ou o Amazon Elastic Kubernetes Service (Amazon EKS), em Limite de saltos da resposta de metadados, selecione 2.
• Em Acesso às tags nos metadados, selecione Ativado.

Para modificar uma instância, modifique as configurações. Para usar o IMDSv1 ou o IMDSv2, selecione Opcional para IMDSv2. Para aplicar o IMDSv2, selecione Obrigatório. Em seguida, em Configurações da instância, selecione Permitir tags nos metadados da instância.

Informações relacionadas

Serviço de metadados de instância do Amazon EC2 (IMDSv2) por padrão

Aproveite todos os benefícios do IMDSv2 e desative o IMDSv1 em toda a sua infraestrutura da AWS