한 회사에서 EC2 인스턴스에서 워크로드를 실행하며, 모든 인스턴스가 IMDSv2(Instance Metadata Service Version 2)를 사용하도록 요구합니다. 인스턴스가 여전히 IMDSv1을 허용하는 경우 해당 인스턴스는 종료되어야 합니다. 어떤 접근 방식이 이 요구 사항을 충족합니까?

이 접근 방식은 AWS Config의 관리형 규칙을 사용하여 IMDSv2 사용 여부를 지속적으로 모니터링하고, 비준수 인스턴스를 자동으로 수정(종료)할 수 있는 가장 효율적이고 확장 가능한 방법입니다. AWS Config는 계정 내 리소스의 규정 준수 상태를 평가하고, 비준수 리소스에 대해 Systems Manager Automation 문서를 실행하여 자동화된 수정 조치를 취할 수 있습니다. 다른 옵션들은 다음과 같은 이유로 적합하지 않습니다: IAM 권한 경계는 새로운 인스턴스 시작 시 IMDSv2를 강제할 수 있지만, 이미 실행 중인 IMDSv1을 허용하는 인스턴스를 종료하지는 못합니다. Amazon Inspector는 주로 보안 취약점 및 구성 오류를 탐지하며, IMDSv1 허용 여부를 직접적으로 평가하고 자동 종료하는 데 최적화된 도구가 아닙니다. EventBridge와 Lambda 함수는 사용자 지정 로직을 구현할 수 있지만, 모든 인스턴스의 IMDSv1 허용 여부를 지속적으로 모니터링하고 평가하는 데는 AWS Config만큼 효율적이지 않으며, 인스턴스 시작 이벤트에만 반응하므로 기존 인스턴스에는 적용하기 어렵습니다.