Firma uruchamia obciążenia na instancjach EC2 i wymaga, aby wszystkie instancje korzystały z Instance Metadata Service Version 2 (IMDSv2). Jeśli instancja nadal zezwala na IMDSv1, musi zostać zakończona. Które podejście spełnia ten wymóg?

Prawidłowa odpowiedź to włączenie AWS Config z zarządzaną regułą i automatyczną naprawą. AWS Config umożliwia ciągłe monitorowanie zasobów i ocenę ich zgodności z określonymi regułami. Istnieje zarządzana reguła (np. ec2-imdsv2-required), która sprawdza, czy instancje EC2 wymuszają IMDSv2. W przypadku niezgodności, AWS Config może wywołać dokument AWS Systems Manager Automation, który automatycznie zakończy instancję, spełniając tym samym wymaganie. Granica uprawnień IAM (opcja 2) zapobiega uruchamianiu nowych instancji bez IMDSv2, ale nie rozwiązuje problemu istniejących instancji. Amazon Inspector (opcja 3) skupia się na lukach bezpieczeństwa i zgodności, ale nie ma wbudowanej funkcji do bezpośredniego wymuszania IMDSv2 i automatycznego kończenia instancji w taki sposób, jak AWS Config. Reguła EventBridge z funkcją Lambda (opcja 4) wymagałaby niestandardowej logiki do sprawdzania i kończenia instancji, co jest bardziej złożone i mniej wydajne niż użycie wbudowanych możliwości AWS Config.