Birden çok EC2 örneği çalıştıran hesapları bir AWS Organizasyonu (tüm özellikler etkin) yönetmektedir. Şirket, mevcut tüm EC2 örneklerinin Instance Metadata Service v2'yi (IMDSv2) kullanmasını şart koşmaktadır. IMDSv2 kullanmayan EC2 örneklerinden kaynaklanan AWS API çağrılarını engellemek istiyorlar. Hangi yaklaşım bu gereksinimi karşılar?

Doğru cevap, ec2:MetadataHttpTokens koşul anahtarı değeri gerekli değere eşit olmadığında eylemleri reddeden bir SCP oluşturmaktır. IMDSv2'yi zorunlu kılmak için, HttpTokens parametresinin required olarak ayarlanması gerekir. Bu SCP, yeni başlatılan veya mevcut EC2 örneklerinde IMDSv2 kullanılmadığında AWS API çağrılarını engelleyerek bu gereksinimi karşılar. SCP'yi kuruluş köküne eklemek, tüm hesaplarda bu kuralın uygulanmasını sağlar. Diğer seçenekler yanlıştır çünkü: ec2:RunInstances reddetmek yalnızca yeni örneklerin başlatılmasını etkiler, mevcut örnekleri değil. ec2:MetadataHttpPutResponseHopLimit IMDSv2'nin zorunlu kılınmasıyla doğrudan ilgili değildir; bu, bir proxy arkasındaki örnekler için atlama sınırını kontrol eder. ec2:RoleDelivery EC2 örneklerinin IAM rolü teslimiyle ilgilidir, IMDSv2 kullanımıyla değil.