Een bedrijf draait workloads op EC2-instances en vereist dat alle instances Instance Metadata Service Version 2 (IMDSv2) gebruiken. Als een instance nog steeds IMDSv1 toestaat, moet deze worden beëindigd. Welke aanpak voldoet aan deze vereiste?

De correcte optie is om AWS Config te gebruiken met een beheerde regel. AWS Config kan continu de configuratie van AWS-resources monitoren en evalueren aan de hand van gedefinieerde regels. Er is een specifieke beheerde regel (bijvoorbeeld ec2-instance-metadata-v2-required) die controleert of EC2-instances IMDSv2 afdwingen. Wanneer een instance niet-compatibel is (IMDSv1 toestaat), kan AWS Config een Systems Manager Automation-document activeren om de instance automatisch te beëindigen, wat voldoet aan de vereiste. De andere opties zijn minder geschikt: Een IAM permissions boundary voorkomt het starten van nieuwe instances zonder IMDSv2, maar beëindigt geen bestaande niet-compatibele instances. Amazon Inspector richt zich op kwetsbaarheden en onbedoelde netwerktoegang, niet primair op de configuratie van IMDS-versies. Een EventBridge-regel die luistert naar launch-events kan nieuwe instances controleren, maar mist de mogelijkheid om bestaande instances continu te evalueren en te beëindigen als hun configuratie verandert of als ze al draaien.