Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Configurer les options de métadonnées d’instance pour les instances existantes
Vous pouvez modifier les options des métadonnées d’instance pour les instances existantes.
De même, vous pouvez créer une politique IAM qui empêche les utilisateurs de modifier les options des métadonnées d’instance sur des instances existantes. Pour contrôler quels utilisateurs peuvent modifier les options de métadonnées de l'instance, définissez une politique qui empêche tous les utilisateurs autres que ceux ayant un rôle spécifié d'utiliser l'ModifyInstanceMetadataOptionsAPI. Pour examiner l’exemple de stratégie IAM, consultez Utiliser des métadonnées d’instance.
Note
Si une politique déclarative a été utilisée pour configurer les options de métadonnées de l’instance, vous ne pouvez pas les modifier directement dans le compte. Pour plus d’informations, consultez la rubrique Politiques déclaratives dans le Guide de l’utilisateur AWS Organizations .
Exigence d’utilisation d’IMDSv2
Utilisez l’une des méthodes suivantes pour modifier les options des métadonnées d’instance sur une instance existante afin d’imposer l’utilisation d’IMDSv2 pour pouvoir demander des métadonnées d’instance. Lorsque IMDSv2 est requis, IMDSv1 ne peut pas être utilisé.
Note
Avant de demander l’utilisation d’IMDSv2, assurez-vous que l’instance n’effectue pas d’appels IMDSv1. La MetadataNoToken CloudWatch métrique suit les appels IMDSv1. Lorsqu’aucune utilisation d’IMDSv1 MetadataNoToken n’est enregistrée pour une instance, celle-ci est alors prête à nécessiter IMDSv2.
Restaurer l’utilisation d’IMDSv1
Lorsque IMDSv2 est requis sur une instance, l'utilisation d'une requête IMDSv1 échouera. Lorsque IMDSv2 est facultatif, IMDSv2 et IMDSv1 fonctionnent. Par conséquent, pour restaurer IMDSv1, définissez IMDSv2 sur optional (httpTokens = optional) en utilisant l'une des méthodes suivantes.
La propriété httpTokensEnforced IMDS empêche également les tentatives d'activation d'IMDSv1 sur une instance existante. Lorsque cette option est activée pour un compte dans une région, toute tentative httpTokens de réglage optional entraîne une UnsupportedOperation exception. Pour plus d'informations, consultezRésolution des problèmes.
Important
Si le lancement de votre instance échoue en raison de l'application de l'IMDSv2, deux options s'offrent à vous pour permettre le succès des lancements :
-
Lancer les instances en tant que IMDSv2-only : si le logiciel qui s'exécute sur les instances utilise uniquement IMDSv2 (aucune dépendance vis-à-vis d'IMDSv1), vous pouvez lancer les instances en tant qu'IMDSv2 uniquement. Pour ce faire, configurez IMDSv2 uniquement en le définissant
httpTokens = requiredsoit dans les paramètres de lancement, soit dans les valeurs par défaut des métadonnées pour le compte de la Région. -
Désactiver l'application — Si votre logiciel dépend toujours d'IMDSv1, configurez cette option
httpTokensEnforceddisabledpour le compte de la région. Pour de plus amples informations, veuillez consulter Appliquez IMDSv2 au niveau du compte.
Modifier la durée de vie de la réponse PUT
Pour les instances existantes, vous pouvez modifier les paramètres de la durée de vie (hop limit) de la réponse PUT.
Actuellement, seuls les AWS SDK AWS CLI et prennent en charge la modification de la limite de sauts de réponse PUT.
Activer les points de terminaison IPv4 et IPv6 IMDS
L’IMDS possède deux points de terminaison sur une instance : IPv4 (169.254.169.254) et IPv6 ([fd00:ec2::254]). Lorsque vous activez l’IMDS, le point de terminaison IPv4 est automatiquement activé. Le point de terminaison IPv6 reste désactivé même si vous lancez une instance dans un IPv6-only sous-réseau. Pour activer le point de terminaison IPv6, vous devez le faire explicitement. Lorsque vous activez le point de terminaison IPv6, le point de terminaison IPv4 reste activé.
Vous pouvez activer le point de terminaison IPv6 au lancement de l’instance ou après.
Conditions requises pour activer le point de terminaison IPv6
-
Le type d'instance sélectionné est une Nitro-based instance.
-
Le sous-réseau sélectionné prend en charge le protocole IPv6, le sous-réseau étant soit à double pile, soit uniquement IPv6.
Actuellement, seuls les AWS SDK AWS CLI et prennent en charge l'activation du point de terminaison IPv6 IMDS après le lancement de l'instance.
Activer l’accès aux métadonnées d’instance
Vous pouvez activer l’accès aux métadonnées d’instance en activant le point de terminaison HTTP de l’IMDS sur votre instance, quelle que soit la version de ce dernier que vous utilisez. Vous pouvez annuler cette modification à tout moment en désactivant à nouveau le point de terminaison HTTP.
Pour activer l’accès aux métadonnées d’instance sur une instance, utilisez l’une des méthodes suivantes.
Désactiver l’accès aux métadonnées d’instance
Vous pouvez désactiver l’accès aux métadonnées d’instance en désactivant le point de terminaison HTTP de l’IMDS sur votre instance, quelle que soit la version de ce dernier que vous utilisez. Vous pouvez annuler cette modification à tout moment en activant à nouveau le point de terminaison HTTP.
Pour désactiver l’accès aux métadonnées d’instance sur une instance, utilisez l’une des méthodes suivantes.
Autoriser l’accès aux identifications dans les métadonnées d’instance
Vous pouvez autoriser l’accès aux balises dans les métadonnées de l’instance sur une instance en cours d’exécution ou arrêtée. Pour chaque instance, vous devez explicitement autoriser l’accès. Si l’accès est autorisé, les clés des balises d’instance doivent respecter des restrictions de caractères spécifiques, sinon vous obtenez une erreur. Pour de plus amples informations, veuillez consulter Activation de l’accès aux balises dans les métadonnées d’instance.
Résolution des problèmes
La modification d'une IMDSv1-enabled instance échoue
Description
Le message d'erreur suivant s'affiche :
You can't launch instances with IMDSv1 because httpTokensEnforced is
enabled for this account. Either launch the instance with httpTokens=required or
contact your account owner to disable httpTokensEnforced using the
ModifyInstanceMetadataDefaults API or the account settings in the EC2
console.
Cause
Cette erreur est générée lorsque vous tentez de modifier une instance existante pour activer IMDSv1 (httpTokens = optional) dans un compte où les paramètres du compte EC2 ou une politique déclarative de AWS l'organisation impose l'utilisation d'IMDSv2 (). httpTokensEnforced = enabled
Solution
Si vous avez besoin de la prise en charge d'IMDSv1 sur des instances existantes, vous devez désactiver l'application de l'IMDSv2 pour le compte de la Région. Pour désactiver l'application de la norme IMDSv2, définissez surHttpTokensEnforced. disabled Pour plus d'informations, consultez ModifyInstanceMetadataDefaults la référence de l'API Amazon EC2. Si vous préférez configurer ce paramètre à l'aide de la console, consultezAppliquez IMDSv2 au niveau du compte.
Nous vous recommandons d'utiliser uniquement IMDSv2 ()httpTokens=required. Pour de plus amples informations, veuillez consulter Passer à l’utilisation de Service des métadonnées d’instance Version 2.
