Bir şirket, Amazon EC2 iş yüklerini Instance Metadata Service Sürüm 2'ye (IMDSv2) geçiriyor. Bir güvenlik mühendisi, herhangi bir EC2 örneğinin hala Instance Metadata Service Sürüm 1'i (IMDSv1) kullanıp kullanmadığını belirlemelidir. Mühendis, IMDSv1 uç noktasının artık kullanılmadığını nasıl doğrulayabilir?

Doğru cevap, IMDSv1 kullanımını izlemek için EC2:MetadataNoToken metriğini kullanmaktır. Bu metrik, IMDSv2'nin gerektirdiği bir belirteç olmadan IMDS uç noktasına yapılan başarılı çağrıların sayısını gösterir. Bu metrik sıfır olduğunda, IMDSv1'in artık kullanılmadığı doğrulanır. CloudWatch panosu, bu metriği tüm EC2 örnekleri için görselleştirmeyi ve izlemeyi kolaylaştırır. Diğer seçenekler neden yanlış: CloudWatch agent ile günlük kaydını etkinleştirmek, IMDSv1 kullanımını doğrudan izlemek için standart bir yöntem değildir ve daha karmaşık bir yapılandırma gerektirir. Güvenlik grubu oluşturmak, IMDSv1 erişimini engeller ancak mevcut kullanımı doğrulamaz. Engelleme, doğrulama sonrası bir adımdır. user data betikleriyle CloudTrail'e günlük göndermek, IMDSv1 kullanımını izlemek için dolaylı ve daha az verimli bir yöntemdir. EC2:MetadataNoToken metriği, bu amaç için özel olarak tasarlanmıştır.