A BluePallet executa o Amazon ECS no EC2. Uma auditoria interna mostrou que os contêineres poderiam acessar 169.254.169.254 para buscar credenciais de perfil de instância, ignorando o privilégio mínimo no nível da tarefa. Eles não podem migrar para o Fargate. Qual é a mudança mais eficaz para impedir que os contêineres acessem metadados da instância, preservando as funções do IAM da tarefa?

A opção correta impede o acesso a metadados da instância de forma eficaz e segura. Ao usar o modo de rede awsvpc, cada tarefa recebe sua própria interface de rede elástica, isolando-a. Definir ECSAWSVPCBLOCKIMDS=true nas instâncias de contêiner bloqueia explicitamente o acesso ao IMDS (Instance Metadata Service) para contêineres que usam o modo awsvpc. Minimizar o perfil da instância e usar funções de tarefa garante que as tarefas ainda possam acessar os serviços AWS necessários com privilégio mínimo, sem depender das credenciais da instância. A opção de usar o modo de rede bridge com regras de iptables é menos robusta e mais complexa de gerenciar, podendo ser contornada ou mal configurada. Definir o IMDSv2 hop-limit para 1 não impede o acesso de contêineres no mesmo host, pois eles compartilham o mesmo namespace de rede ou podem ter seu próprio namespace com um hop-limit de 1. Remover a função de tarefa é inviável, pois as tarefas precisam de permissões. Adicionar um endpoint de interface da VPC para STS e negar chamadas é irrelevante, pois o problema é o acesso aos metadados da instância, não diretamente ao STS.