Orion Analytics 必須在所有 EC2 實例上強制執行 IMDSv2。他們已經使用 AWS Config 受管規則 ec2-imdsv2-check，並希望實現完全自動化、最小權限的補救措施，將 HttpTokens 設定為 required，而無需重新啟動實例。他們應該怎麼做？

正確答案描述了使用 AWS Config 補救措施自動強制執行 IMDSv2 的最佳實踐。ec2-imdsv2-check 規則會識別不合規的 EC2 實例。將 AWS-ConfigureEC2InstanceMetadataOptions SSM 自動化文件附加為補救措施，可以直接將實例的 HttpTokens 設定為 required，而無需重新啟動，這是題目要求。AutomationAssumeRole 需要 ec2:ModifyInstanceMetadataOptions 權限才能執行此操作。 其他選項不符合要求： Systems Manager Patch Manager 用於修補作業系統，而非設定實例元資料選項。 建立 SCP 拒絕 ec2:RunInstances 僅影響新啟動的實例，不會自動補救現有不合規的實例。 建立 CloudWatch 警報觸發 Lambda 函數來停止和啟動實例會導致服務中斷，且題目明確要求「無需重新啟動實例」。