Orion Analytics debe aplicar IMDSv2 en todas las instancias EC2. Ya utilizan la regla administrada de AWS Config ec2-imdsv2-check y desean una remediación totalmente automatizada y con privilegios mínimos que establezca HttpTokens en required sin reiniciar las instancias. ¿Qué deberían hacer?

La opción correcta es la que describe el uso de una remediación de AWS Config con un documento de automatización de SSM. El documento AWS-ConfigureEC2InstanceMetadataOptions está diseñado específicamente para modificar las opciones de metadatos de instancia, incluyendo HttpTokens, sin requerir un reinicio de la instancia. Config detecta el incumplimiento y el documento de automatización de SSM lo corrige de forma automática y con privilegios mínimos, utilizando un rol que solo necesita el permiso ec2:ModifyInstanceMetadataOptions. Las otras opciones son incorrectas porque: Systems Manager Patch Manager se utiliza para aplicar parches de software, no para configurar opciones de metadatos de instancia. Una SCP deniega acciones, no remedia instancias existentes ni aplica configuraciones. Detener e iniciar instancias para aplicar IMDSv2 causaría tiempo de inactividad, lo cual no es deseable y no cumple con el requisito de no reiniciar.