Un'azienda esegue carichi di lavoro su istanze EC2 e richiede che tutte le istanze utilizzino la versione 2 del servizio di metadati dell'istanza (IMDSv2). Se un'istanza consente ancora IMDSv1, deve essere terminata. Quale approccio soddisfa questo requisito?

L'opzione corretta sfrutta AWS Config per il monitoraggio continuo della conformità. Una regola gestita di Config può valutare se le istanze EC2 aderiscono all'uso esclusivo di IMDSv2. Quando un'istanza viene rilevata come non conforme (cioè, IMDSv1 è ancora consentito), la funzionalità di correzione automatica di Config può invocare un documento di automazione di AWS Systems Manager per terminare l'istanza, soddisfacendo il requisito. Le opzioni errate: Un IAM permissions boundary impedirebbe l'avvio di nuove istanze non conformi, ma non terminerebbe le istanze esistenti che già consentono IMDSv1. Amazon Inspector si concentra sulla valutazione delle vulnerabilità e delle esposizioni, non sulla configurazione di IMDSv1/v2, e non offre una correzione diretta per questo specifico requisito. Una regola EventBridge con Lambda che ispeziona gli eventi di avvio potrebbe essere reattiva, ma ispezionare i metadati dell'istanza per IMDSv1/v2 non è un'operazione diretta e affidabile da una funzione Lambda esterna senza credenziali o un meccanismo di interrogazione specifico, rendendola meno efficiente e robusta rispetto a Config.