Como posso usar a automação do Systems Manager para impor somente o acesso IMDSv2 aos metadados da minha instância do EC2?

Breve descrição

Por padrão, você usa um ou os dois métodos a seguir para recuperar metadados da instância de uma instância do Amazon EC2 em execução:

• Instance Metadata Service versão 1 (IMDSv1), um método de solicitação/resposta
• IMDSv2, um método orientado à sessão

Para exigir o uso do IMDSv2 em uma instância, execute o runbook AWSSupport-ConfigureEC2Metadata do AWS Systems Manager.

Importante: ao aplicar o IMDSv2, você desativa o IMDSv1. Isso pode afetar aplicações que dependem do IMDSv1. Antes de aplicar o IMDSv2, certifique-se de que todas as aplicações que usam metadados do Amazon EC2 sejam compatíveis com o IMDSv2. Para obter orientação adicional sobre as melhores práticas de implementação, consulte Caminho recomendado para exigir o IMDSv2.

Resolução

Pré-requisitos: para executar a automação e ler a saída, você deve ter as permissões ssm:StartAutomationExecution e ssm:GetAutomationExecution.

Execute a automação AWSSupport-ConfigureEC2Metadata e escolha Execução simples para o modo Execute. Ou escolha Controle de taxa para executar a automação em vários alvos. Em seguida, defina as seguintes configurações para os parâmetros de entrada:

• Em InstanceId, insira o ID da sua instância do EC2.
• Para HttpPutResponseHopLimit, mantenha o 0 padrão para reter o valor atual. Ou insira um novo valor entre 1 e 64.
• Para EnforceIMDSv2, escolha obrigatório.
• Para MetadataAccess, escolha ativado.
• (Opcional) Em AutomationAssumeRole, escolha seu perfil. Se você não especificar um perfil, a automação usará as permissões do usuário que executa o documento.
  Observação: para alterar a instância EC2 de destino, o AutomationAssumeRole ou o perfil de usuário devem ter as permissões ec2:ModifyInstanceMetadataOptions e ec2:DescribeInstances. Para obter mais informações sobre como configurar perfis, consulte Criar perfis de serviço para automação usando o console.

Informações relacionadas

Acesse os metadados da instância para uma instância do EC2