一家公司正在将其 Amazon EC2 工作负载迁移到实例元数据服务版本 2 (IMDSv2)。一位安全工程师必须确定是否有任何 EC2 实例仍在使用实例元数据服务版本 1 (IMDSv1)。工程师如何确认不再使用 IMDSv1 端点？

正确答案是创建 Amazon CloudWatch 控制面板并验证所有 EC2 实例的 EC2:MetadataNoToken 指标是否为零。当实例元数据服务版本 1 (IMDSv1) 被调用时，EC2:MetadataNoToken 指标会增加。如果此指标为零，则表示没有实例正在使用 IMDSv1。 其他选项不正确： 在实例启动期间使用 CloudWatch 代理为 IMDSv1 启用日志记录并创建指标筛选器是不可行的，因为 IMDSv1 调用不会直接生成 CloudWatch 代理可捕获的日志。 创建一个安全组来阻止对 IMDSv1 端点的 HTTP 访问会破坏依赖 IMDSv1 的应用程序，而不是识别其使用情况。 配置用户数据脚本将 IMDSv1 使用日志发送到 CloudTrail 是无效的，因为 IMDSv1 调用不会自动记录到 CloudTrail。