Una empresa ejecuta cargas de trabajo en instancias EC2 y requiere que todas las instancias utilicen la versión 2 del servicio de metadatos de instancia (IMDSv2). Si una instancia aún permite IMDSv1, debe terminarse. ¿Qué enfoque satisface este requisito?

La opción correcta es habilitar AWS Config con una regla administrada y un documento de automatización de Systems Manager. AWS Config monitorea continuamente los recursos para detectar el cumplimiento. La regla ec2-imdsv2-required puede identificar instancias que no cumplen con IMDSv2. Un documento de automatización de Systems Manager puede configurarse como acción de remediación para terminar automáticamente las instancias no conformes, asegurando que solo las instancias que cumplen con IMDSv2 permanezcan en ejecución. Las otras opciones son incorrectas porque: Un límite de permisos de IAM solo evitaría el lanzamiento de nuevas instancias con IMDSv1, pero no abordaría las instancias existentes. Amazon Inspector se centra en vulnerabilidades de seguridad y no tiene una capacidad directa para evaluar y remediar la configuración de IMDSv2 de forma automatizada para la terminación. Una regla de EventBridge con una función Lambda personalizada podría funcionar, pero AWS Config ofrece una solución más robusta y gestionada para el cumplimiento continuo y la remediación automática, que es preferible para este tipo de requisito.