Orion Analytics muss IMDSv2 für alle EC2-Instances durchsetzen. Sie verwenden bereits die von AWS Config verwaltete Regel ec2-imdsv2-check und wünschen sich eine vollständig automatisierte, Least-Privilege-Remediation, die HttpTokens auf „required“ setzt, ohne die Instances neu zu starten. Was sollten sie tun?

Die korrekte Option nutzt AWS Config für die Erkennung von Non-Compliance und die automatische Behebung. Das SSM Automation-Dokument AWS-ConfigureEC2InstanceMetadataOptions kann die IMDSv2-Einstellungen (HttpTokens=required) einer laufenden EC2-Instance ändern, ohne einen Neustart zu erfordern, was die Anforderung erfüllt. Die AutomationAssumeRole mit ec2:ModifyInstanceMetadataOptions stellt die notwendigen Least-Privilege-Berechtigungen bereit. Systems Manager Patch Manager ist für Betriebssystem-Patches gedacht, nicht für die Konfiguration von Instance-Metadaten. Eine SCP würde neue Instance-Starts verhindern, aber bestehende Non-Compliant-Instances nicht beheben und kann zu Dienstunterbrechungen führen. Ein CloudWatch-Alarm, der Lambda zum Stoppen und Starten von Instances auslöst, würde einen Neustart erfordern, was explizit vermieden werden soll, und zu Ausfallzeiten führen.