BluePallet esegue Amazon ECS su EC2. Un audit interno ha mostrato che i container potevano raggiungere 169.254.169.254 per recuperare le credenziali del profilo dell'istanza, aggirando il privilegio minimo a livello di task. Non possono migrare a Fargate. Qual è la modifica più efficace per impedire ai container di accedere ai metadati dell'istanza, preservando al contempo i ruoli IAM dei task?

L'opzione corretta blocca l'accesso ai metadati dell'istanza (IMDS) per i container ECS su EC2, mantenendo i ruoli IAM dei task. Impostando ECSAWSVPCBLOCKIMDS=true sulle istanze container, si impedisce ai container che utilizzano la modalità di rete awsvpc di raggiungere l'indirizzo IP dei metadati dell'istanza (169.254.169.254). Questo è efficace perché la modalità awsvpc assegna un'interfaccia di rete elastica (ENI) a ciascun task, consentendo un controllo granulare. Minimizzare il profilo dell'istanza e affidarsi ai ruoli dei task garantisce il principio del privilegio minimo. Le altre opzioni sono meno efficaci o errate: L'uso della modalità bridge con regole iptables è complesso da gestire e meno robusto rispetto a una soluzione nativa ECS. Impostare hop-limit IMDSv2 a 1 non impedisce ai container di accedere ai metadati se il container è in grado di raggiungere l'IMDS direttamente, e rimuovere il ruolo del task dai task impedirebbe loro di funzionare correttamente. Aggiungere un endpoint VPC per STS e negare le chiamate non impedisce l'accesso ai metadati dell'istanza, che è un problema separato dall'accesso a STS.