Orion Analytics должна обеспечить применение IMDSv2 на всех инстансах EC2. Они уже используют управляемое правило AWS Config ec2-imdsv2-check и хотят полностью автоматизированное устранение проблем с минимальными привилегиями, которое устанавливает HttpTokens в значение required без перезагрузки инстансов. Что им следует сделать?

Правильный ответ обеспечивает полностью автоматизированное исправление с минимальными привилегиями без перезагрузки. Привязка исправления AWS Config к правилу ec2-imdsv2-check с использованием документа автоматизации SSM AWS-ConfigureEC2InstanceMetadataOptions позволяет автоматически установить HttpTokens=required. Роль AutomationAssumeRole с разрешением ec2:ModifyInstanceMetadataOptions предоставляет необходимые минимальные привилегии. Неправильные варианты: Systems Manager Patch Manager предназначен для установки патчей ОС, а не для настройки метаданных инстансов. SCP может предотвратить запуск новых инстансов без IMDSv2, но не исправит существующие инстансы и не является механизмом автоматического исправления. Остановка и запуск инстансов приведет к простою, что не соответствует требованию отсутствия перезагрузки.