AWS Organizations（すべての機能が有効）は、EC2 インスタンスを実行する複数のアカウントを管理しています。会社は、すべての現在の EC2 インスタンスが Instance Metadata Service v2 (IMDSv2) を使用することを要求しています。IMDSv2 を使用しない EC2 インスタンスから発信される AWS API コールをすべてブロックしたいと考えています。この要件を満たすアプローチはどれですか？

正解は、IMDSv2の使用を強制するec2:MetadataHttpTokens条件キーをrequiredに設定し、これに合致しないAPIコールを拒否するSCPを作成し、組織のルートにアタッチすることです。これにより、組織内のすべてのアカウントでIMDSv2が必須となり、IMDSv1を使用するEC2インスタンスからのAWS APIコールがブロックされます。 他の選択肢が不適切な理由は以下の通りです。 最初の選択肢はec2:RunInstancesのみを拒否するため、既存のインスタンスや他のAPIコールには適用されません。 2番目の選択肢のec2:MetadataHttpPutResponseHopLimitは、IMDSv2のホップリミットを制御しますが、IMDSv2の使用自体を強制するものではありません。 3番目の選択肢のec2:RoleDeliveryは、IMDSv2に関連する条件キーではありません。