Компания переносит свои рабочие нагрузки Amazon EC2 на Instance Metadata Service Version 2 (IMDSv2). Инженер по безопасности должен определить, используют ли какие-либо экземпляры EC2 по-прежнему Instance Metadata Service Version 1 (IMDSv1). Как инженер может подтвердить, что конечная точка IMDSv1 больше не используется?

Правильный ответ — создание дашборда Amazon CloudWatch и отслеживание метрики EC2:MetadataNoToken. Эта метрика указывает количество успешных запросов к IMDSv1, которые не использовали токен сессии. Если все экземпляры успешно переведены на IMDSv2, эта метрика должна быть равна нулю, так как IMDSv2 всегда требует токен. Первый вариант неверен, потому что CloudWatch агент не логирует использование IMDSv1. Третий вариант не является методом мониторинга использования IMDSv1, а скорее способом его блокировки, что может нарушить работу приложений, все еще использующих IMDSv1. Четвертый вариант непрактичен и неэффективен, так как требует изменения пользовательских данных на всех экземплярах и не является стандартным способом мониторинга IMDS.