A Orion Analytics deve aplicar o IMDSv2 em todas as instâncias EC2. Eles já usam a regra gerenciada do AWS Config ec2-imdsv2-check e desejam uma remediação totalmente automatizada e com privilégios mínimos que defina HttpTokens como required sem reiniciar as instâncias. O que eles devem fazer?

A opção correta utiliza a remediação automática do AWS Config, que é projetada para resolver violações de conformidade. O documento de automação AWS-ConfigureEC2InstanceMetadataOptions do SSM é a ferramenta específica para modificar as opções de metadados de instância, incluindo a configuração de HttpTokens para required, sem a necessidade de reiniciar a instância. A AutomationAssumeRole com ec2:ModifyInstanceMetadataOptions garante os privilégios mínimos necessários. As outras opções são incorretas porque: O Systems Manager Patch Manager é para aplicar patches de software, não para configurar metadados de instância. Uma SCP negaria novas instâncias não conformes, mas não remediaria instâncias existentes e não é uma ferramenta de remediação automática para configurações de instância. Um alarme do CloudWatch que aciona uma função Lambda para parar e iniciar instâncias causaria interrupção de serviço, o que não atende ao requisito de não reiniciar as instâncias.