AWS Organizations(모든 기능 활성화됨)는 EC2 인스턴스를 실행하는 여러 계정을 관리합니다. 회사는 모든 현재 EC2 인스턴스가 인스턴스 메타데이터 서비스 v2(IMDSv2)를 사용하도록 요구합니다. IMDSv2를 사용하지 않는 EC2 인스턴스에서 시작되는 AWS API 호출을 차단하려고 합니다. 어떤 접근 방식이 이 요구 사항을 충족합니까?

정답은 ec2:MetadataHttpTokens 조건 키 값이 필수 값과 같지 않을 때 작업을 거부하는 SCP를 생성하고 이를 조직 루트에 연결하는 것입니다. 이 SCP는 IMDSv2 사용을 강제하여, IMDSv2를 사용하지 않는 EC2 인스턴스에서 시작되는 모든 AWS API 호출을 차단합니다. 오답 설명: ec2:RunInstances를 거부하는 SCP는 새 인스턴스 시작에만 영향을 미치며, 이미 실행 중인 인스턴스에서 IMDSv2를 강제하지 못합니다. ec2:MetadataHttpPutResponseHopLimit은 IMDSv2의 홉 제한을 설정하는 데 사용되지만, IMDSv2 사용 여부를 직접 강제하지는 않습니다. ec2:RoleDelivery는 유효한 조건 키가 아니며, IMDSv2와 관련이 없습니다.