ある企業が、Amazon EC2 ワークロードを Instance Metadata Service Version 2 (IMDSv2) に移行しています。セキュリティエンジニアは、EC2 インスタンスがまだ Instance Metadata Service Version 1 (IMDSv1) を使用していないかどうかを判断する必要があります。エンジニアは、IMDSv1 エンドポイントが使用されなくなったことをどのように確認できますか？

正解は、EC2:MetadataNoToken CloudWatchメトリクスを監視することです。このメトリクスは、IMDSv1リクエストがトークンなしで行われた回数をカウントします。IMDSv2ではトークンが必須であるため、このメトリクスがゼロであれば、IMDSv1が使用されていないことを示します。 CloudWatchエージェントでIMDSv1のロギングを有効にする方法は存在しません。セキュリティグループでIMDSv1エンドポイントへのアクセスをブロックすると、IMDSv1が使用されていないことを確認できますが、これは移行後の確認方法であり、移行中の使用状況を監視する方法ではありません。ユーザーデータスクリプトでIMDSv1の使用ログをCloudTrailに送信することは可能ですが、EC2:MetadataNoTokenメトリクスの方がより直接的で効率的な監視方法です。