Uma empresa executa workloads em instâncias EC2 e exige que todas as instâncias usem o Instance Metadata Service Version 2 (IMDSv2). Se uma instância ainda permitir o IMDSv1, ela deverá ser encerrada. Qual abordagem satisfaz esse requisito?

A abordagem correta utiliza o AWS Config para monitorar a conformidade das instâncias EC2 em relação ao IMDSv2. Uma regra gerenciada do AWS Config pode detectar instâncias que ainda permitem o IMDSv1. Ao configurar essa regra para usar um documento de automação do AWS Systems Manager, é possível remediar automaticamente as instâncias não conformes, encerrando-as conforme o requisito. As outras opções são menos eficazes ou não atendem diretamente ao requisito: Um limite de permissões do IAM impediria a inicialização de novas instâncias não conformes, mas não remediaria as existentes. O Amazon Inspector foca em vulnerabilidades e não na configuração do IMDSv2 para remediação automática de encerramento. Uma regra do EventBridge com uma função Lambda para cada evento de inicialização seria reativa e não proativa, além de exigir lógica personalizada complexa para inspecionar e encerrar.