Orion Analyticsは、すべてのEC2インスタンスでIMDSv2を強制する必要があります。彼らはすでにAWS Configマネージドルールec2-imdsv2-checkを使用しており、インスタンスを再起動せずにHttpTokensをrequiredに設定する、完全に自動化された最小特権の修復を望んでいます。彼らは何をすべきですか？

正解は、AWS Configの自動修復機能を使用して、SSM AutomationドキュメントAWS-ConfigureEC2InstanceMetadataOptionsをアタッチすることです。このドキュメントは、インスタンスの再起動なしにIMDSv2を強制するためにHttpTokensをrequiredに設定できます。AutomationAssumeRoleには、必要なec2:ModifyInstanceMetadataOptions権限が付与されている必要があります。 Systems Manager Patch Managerは、OSのパッチ適用に使用され、IMDSv2の設定には直接関係ありません。SCPは新規インスタンスの作成時にIMDSv2を強制できますが、既存のインスタンスを自動的に修復するものではありません。CloudWatchアラームとLambda関数による停止・起動は、インスタンスの再起動を伴うため、要件である「インスタンスを再起動せずに」に反します。