BluePallet exécute Amazon ECS sur EC2. Un audit interne a montré que les conteneurs pouvaient atteindre 169.254.169.254 pour récupérer les identifiants de profil d'instance, contournant ainsi le principe du moindre privilège au niveau des tâches. Ils ne peuvent pas migrer vers Fargate. Quel est le changement le plus efficace pour empêcher les conteneurs d'accéder aux métadonnées d'instance tout en préservant les rôles IAM des tâches ?

L'option correcte est la plus efficace car elle utilise une fonctionnalité ECS native pour bloquer l'accès aux métadonnées d'instance. En définissant ECSAWSVPCBLOCKIMDS=true sur les instances de conteneur et en utilisant le mode réseau awsvpc, les conteneurs ne peuvent plus atteindre l'adresse IP des métadonnées d'instance (169.254.169.254). Cela garantit que les rôles IAM des tâches sont la seule source d'informations d'identification pour les applications, respectant ainsi le principe du moindre privilège. Le profil d'instance doit être minimisé pour les opérations de l'agent ECS uniquement. L'utilisation du mode réseau bridge avec des règles iptables est une solution manuelle et complexe à gérer, moins efficace et plus sujette aux erreurs. La modification de la limite de saut IMDSv2 à 1 n'empêche pas l'accès aux métadonnées d'instance depuis un conteneur sur le même hôte, et la suppression du rôle de tâche est contre-productive. L'ajout d'un point de terminaison d'interface VPC pour STS ne bloque pas l'accès aux métadonnées d'instance et n'est pas la solution directe au problème.