Orion Analytics deve applicare IMDSv2 a tutte le istanze EC2. Utilizzano già la regola gestita di AWS Config ec2-imdsv2-check e desiderano una remediation completamente automatizzata, con privilegi minimi, che imposti HttpTokens su required senza riavviare le istanze. Cosa dovrebbero fare?

La risposta corretta è l'unica che soddisfa tutti i requisiti: automazione completa, privilegi minimi e nessuna interruzione. Allegare una remediation di AWS Config alla regola ec2-imdsv2-check che utilizza il documento di automazione SSM AWS-ConfigureEC2InstanceMetadataOptions è il metodo più efficiente. Questo documento SSM è progettato specificamente per modificare le opzioni dei metadati dell'istanza, inclusa l'impostazione di HttpTokens su required, senza richiedere un riavvio dell'istanza. L' AutomationAssumeRole con ec2:ModifyInstanceMetadataOptions garantisce il principio del privilegio minimo. Le altre opzioni sono errate perché: Systems Manager Patch Manager è per l'applicazione di patch del sistema operativo, non per la configurazione dei metadati dell'istanza. Un SCP che nega ec2:RunInstances non rimedia le istanze esistenti e non impone IMDSv2 su di esse; impedisce solo la creazione di nuove istanze non conformi. Un allarme CloudWatch che attiva una funzione Lambda per arrestare e avviare le istanze causerebbe interruzioni del servizio, il che è esplicitamente escluso dal requisito "senza riavviare le istanze".