BluePallet ejecuta Amazon ECS en EC2. Una auditoría interna mostró que los contenedores podían acceder a 169.254.169.254 para obtener credenciales de perfil de instancia, eludiendo el privilegio mínimo a nivel de tarea. No pueden migrar a Fargate. ¿Cuál es el cambio más efectivo para evitar que los contenedores accedan a los metadatos de la instancia mientras se preservan los roles de IAM de las tareas?

La opción correcta aborda directamente el problema de seguridad y mantiene la funcionalidad. Al cambiar al modo de red awsvpc, cada tarea obtiene su propia interfaz de red elástica, lo que permite un control más granular. Establecer ECSAWSVPCBLOCKIMDS=true en las instancias de contenedor bloquea el acceso a los metadatos de la instancia (IMDS) desde los contenedores, impidiendo que accedan a las credenciales del perfil de instancia. Minimizar el perfil de instancia y usar roles de tarea para el acceso a la aplicación es una práctica de seguridad recomendada que adhiere al principio de privilegio mínimo. La opción de bridge y iptables es menos efectiva porque es compleja de gestionar y propensa a errores, además de no ser una solución nativa de ECS. La opción de hop-limit en 1 es incorrecta porque, si bien IMDSv2 es más seguro, un hop-limit de 1 no bloquea el acceso desde contenedores que comparten el mismo host de red. Además, eliminar el rol de tarea rompería la funcionalidad de la aplicación. La opción del VPC interface endpoint para STS es irrelevante para bloquear el acceso a los metadatos de la instancia, ya que el problema es el acceso local a 169.254.169.254, no el acceso a STS a través de la red de la VPC.