Orion Analytics 必须在所有 EC2 实例上强制执行 IMDSv2。他们已经在使用 AWS Config 托管规则 ec2-imdsv2-check，并希望实现完全自动化、最小权限的补救措施，将 HttpTokens 设置为 required，且无需重启实例。他们应该怎么做？

正确答案是使用 AWS Config 补救措施。ec2-imdsv2-check 规则可以检测不合规的实例。通过将 SSM Automation 文档 AWS-ConfigureEC2InstanceMetadataOptions 附加为补救措施，并设置 HttpTokens=required，可以自动将实例配置为强制使用 IMDSv2，而无需重启。ec2:ModifyInstanceMetadataOptions 权限是执行此操作所必需的。 其他选项不正确： Systems Manager Patch Manager 用于操作系统补丁，而不是 EC2 实例元数据选项。 SCP 只能阻止新实例的创建，不能修复现有不合规的实例。 停止和启动实例会导致停机，并且不是修改 IMDSv2 设置的最佳方法，因为 ModifyInstanceMetadataOptions API 可以在不重启的情况下完成此操作。