View a markdown version of this page

Configurazione delle opzioni del servizio di metadati di istanza - Amazon Elastic Compute Cloud
Dove configurare le opzioni dei metadati di istanzaOrdine di precedenza per le opzioni dei metadati di istanzaUtilizza le chiavi di condizione IAM per limitare le opzioni dei metadati di istanza

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione delle opzioni del servizio di metadati di istanza

Il servizio di metadati di istanza (IMDS) viene eseguito localmente su ogni istanza EC2. Le opzioni relative ai metadati dell'istanza si riferiscono a un insieme di configurazioni che controllano l'accessibilità e il comportamento dell'IMDS su un'istanza EC2.

Per ciascuna istanza puoi configurare le seguenti opzioni dei metadati di istanza:

Servizio di metadati di istanza (IMDS): enabled | disabled

È possibile abilitare o disabilitare l'IMDS su un'istanza. Se disabilitato, né tu né alcun codice sarete in grado di accedere ai metadati di istanza dell'istanza.

L'IMDS ha due endpoint su un'istanza: IPv4 (169.254.169.254) e IPv6 ([fd00:ec2::254]). Quando abiliti l'IMDS, l'endpoint IPv4 viene abilitato automaticamente. Se desideri abilitare l'endpoint IPv6, è necessario farlo in modo esplicito.

Endpoint IPv6 dell'IMDS: enabled | disabled

È possibile abilitare in modo esplicito l'endpoint IPv6 dell'IMDS su un'istanza. Quando l'endpoint IPv6 è abilitato, l'endpoint IPv4 rimane abilitato. L'endpoint IPv6 è supportato solo su Nitro-based istanze in IPv6-supported sottoreti (dual stack o solo IPv6).

Versione dei metadati: IMDSv1 or IMDSv2 (token optional) | IMDSv2 only (token required)

Quando richiedi i metadati di istanza è necessario un token per le chiamate IMDSv2. Le chiamate IMDSv1 non richiedono un token. È possibile configurare un'istanza per consentire le chiamate IMDSv1 o IMDSv2 (per cui un token è facoltativo) o per consentire solo le chiamate IMDSv2 (per cui è richiesto un token).

Limite di hop di risposta dei metadati: 1–64

Il limite di hop è il numero di hop di rete che la risposta PUT può effettuare. È possibile impostare il limite di hop su un minimo di 1 e un massimo di 64. In un ambiente container, un limite di hop di 1 può causare problemi. Per informazioni su come mitigare questi problemi, consulta le informazioni sugli ambienti container in Considerazioni sull'accesso ai metadati dell'istanza.

Accesso ai tag nei metadati di istanza: enabled | disabled

È possibile abilitare o disabilitare l'accesso ai tag di un'istanza dai metadati dell'istanza. Per ulteriori informazioni, consulta Visualizza i tag per le istanze EC2 utilizzando i metadati dell'istanza.

Per visualizzare la configurazione corrente di un’istanza, consulta Esegui una query sulle opzioni dei metadati dell'istanza per le istanze esistenti.

Dove configurare le opzioni dei metadati di istanza

Le opzioni dei metadati di istanza possono essere configurate a diversi livelli, come segue:

  • Account: è possibile impostare valori predefiniti per le opzioni dei metadati di istanza a livello di account per ciascuna Regione AWS. All'avvio di un'istanza, le opzioni dei metadati dell'istanza vengono impostate automaticamente sui valori a livello di account. È possibile modificare questi valori all'avvio. Account-level i valori predefiniti non influiscono sulle istanze esistenti.

  • AMI: quando registri o modifichi un'AMI, puoi impostare il parametro imds-support su v2.0. Quando un'istanza viene avviata con questa AMI, la versione dei metadati dell'istanza viene impostata automaticamente su IMDSv2 e il limite di hop è impostato su 2.

  • Istanza: puoi modificare tutte le opzioni dei metadati dell'istanza su un'istanza all'avvio, ignorando le impostazioni predefinite. È inoltre possibile modificare le opzioni dei metadati dell'istanza dopo l'avvio su un'istanza in esecuzione o interrotta. Tieni presente che le modifiche possono essere limitate da una policy IAM o SCP.

Per ulteriori informazioni, consultare Configurazione delle opzioni dei metadati dell'istanza per le nuove istanze e Modifica delle opzioni dei metadati dell'istanza per le istanze esistenti.

Ordine di precedenza per le opzioni dei metadati di istanza

Il valore per ciascuna opzione dei metadati di istanza viene determinato all'avvio dell'istanza, seguendo un ordine gerarchico di precedenza. La gerarchia, con la precedenza più alta nella parte superiore, è la seguente:

  • Precedenza 1: configurazione dell'istanza all'avvio: i valori possono essere specificati nel modello di avvio o nella configurazione dell'istanza. Tutti i valori qui specificati sostituiscono i valori specificati a livello di account o nell'AMI.

  • Precedenza 2: impostazioni dell'account: se un valore non viene specificato all'avvio dell'istanza, viene determinato dalle impostazioni a livello di account (che sono impostate per ciascuna). Regione AWS Account-levelle impostazioni includono un valore per ogni opzione di metadati o non indicano alcuna preferenza.

  • Precedenza 3: configurazione dell'AMI: se un valore non è specificato all'avvio dell'istanza o a livello di account, viene determinato dalla configurazione dell'AMI. Questo vale solo per gli eventi HttpTokens e HttpPutResponseHopLimit.

Ciascuna opzione di metadati viene valutata separatamente. L'istanza può essere configurata con una combinazione di configurazione diretta dell'istanza, impostazioni predefinite a livello di account e configurazione dall'AMI.

È possibile modificare il valore di qualsiasi opzione di metadati dopo l'avvio su un'istanza in esecuzione o interrotta, a meno che le modifiche non siano limitate da una policy IAM o SCP.

Nota

L'impostazione di imposizione IMDSv2 a livello di account viene valutata dopo che l'ordine di precedenza ha determinato le impostazioni IMDS dell'istanza. Quando l'imposizione di IMDSv2 è abilitata, le istanze abilitate con IMDSv1 falliranno. Per ulteriori informazioni sull'applicazione, vedere. Applica IMDSv2 a livello di account

avvertimento

Se l'applicazione di IMDSv2 è abilitata e non è stata impostata required nella configurazione dell'istanza all'avvio, nelle impostazioni dell'account o nella configurazione AMI, l'avvio httpTokens avrà esito negativo.

Esempio 1 — Determinare i valori per le opzioni di metadati

In questo esempio, un'istanza EC2 viene avviata in una regione in cui HttpPutResponseHopLimit è impostato su 1 a livello di account. L'AMI specificata ha ImdsSupport impostato su v2.0. Nessuna opzione di metadati viene specificata direttamente sull'istanza al momento dell'avvio. L'istanza viene avviata con le seguenti opzioni di metadati:

"MetadataOptions": {
    ...
    "HttpTokens": "required",
    "HttpPutResponseHopLimit": 1,
    ...

Questi valori sono stati determinati nel modo seguente:

  • Nessuna opzione di metadati specificata all'avvio: durante l'avvio dell'istanza, i valori specifici per le opzioni di metadati non sono stati forniti né nei parametri di avvio dell'istanza né nel modello di avvio.

  • Le impostazioni dell'account hanno priorità successiva: in assenza di valori specifici indicati all'avvio, le impostazioni a livello di account all'interno della Regione hanno la precedenza. Ciò significa che vengono applicati i valori predefiniti configurati a livello di account. In questo caso, HttpPutResponseHopLimit era impostato su 1.

  • Le impostazioni AMI hanno priorità per ultime: in assenza di un valore specifico indicato all'avvio o a livello di account per HttpTokens (la versione dei metadati di istanza), viene applicata l'impostazione dell'AMI. In questo caso, l'impostazione ImdsSupport: v2.0 dell'AMI ha determinato che HttpTokens era impostato su required. Tieni presente che, sebbene l'impostazione ImdsSupport: v2.0 dell'AMI sia progettata per essere impostata su HttpPutResponseHopLimit: 2, è stata sostituita dall'impostazione HttpPutResponseHopLimit: 1 a livello di account, che ha una priorità più alta.

Esempio 2 — Determinare i valori per le opzioni di metadati

In questo esempio, l'istanza EC2 viene avviata con le stesse impostazioni del precedente Esempio 1, ma con HttpTokens impostato su optional direttamente sull'istanza al momento dell'avvio. L'istanza viene avviata con le seguenti opzioni di metadati:

"MetadataOptions": {
    ...
    "HttpTokens": "optional",
    "HttpPutResponseHopLimit": 1,
    ...

Il valore di HttpPutResponseHopLimit è determinato nello stesso modo dell'Esempio 1. Tuttavia, il valore di HttpTokens è determinato come segue: le opzioni di metadati configurate sull'istanza al momento dell'avvio hanno la priorità. Anche se l'AMI era configurata con ImdsSupport: v2.0 (in altre parole, HttpTokens è impostato su required), il valore specificato nell'istanza all'avvio (HttpTokens impostato su optional) aveva la precedenza.

Esempio 3 — Determinare i valori per le opzioni di metadati con l'opzione abilitata HttpTokensEnforced

In questo esempio, l'account nella Regione ha HttpTokens = required e. HttpTokensEnforced = enabled

Considera i seguenti tentativi di avvio dell'istanza EC2:

  • Tentativo di avvio con HttpTokens impostazione suoptional: l'avvio non riesce perché l'applicazione a livello di account è abilitata (HttpTokensEnforced = enabled) e il parametro di avvio ha la precedenza sull'impostazione predefinita dell'account.

  • Tentativo di avvio con HttpTokens impostazione impostata surequired: il lancio ha esito positivo perché è conforme all'applicazione a livello di account.

  • Tentativo di avvio senza HttpTokens valore specificato: l'avvio ha esito positivo perché il valore predefinito è basato sulle impostazioni dell'account. required

Configurazione della versione dei metadati di istanza

Quando viene avviata un'istanza, il valore per la versione dei metadati dell'istanza è IMDSv1 o IMDSv2 (token opzionale) () o solo IMDSv2 (token richiesto) (httpTokens=optional). httpTokens=required

All'avvio dell'istanza, è possibile specificare manualmente il valore per la versione dei metadati o utilizzare il valore predefinito. Se specifichi manualmente il valore, esso sostituisce qualsiasi valore predefinito. Se si sceglie di non specificare manualmente il valore, questo verrà determinato da una combinazione di impostazioni predefinite.

Il seguente diagramma di flusso mostra come la versione dei metadati per un'istanza all'avvio sia determinata dalle impostazioni ai diversi livelli della configurazione e da dove viene valutata l'applicazione. La tabella che segue fornisce le impostazioni specifiche a ciascun livello.

Un diagramma di flusso che mostra i punti di valutazione per la versione dei metadati dell'istanza e l'applicazione di IMDSv2.

La tabella mostra come la versione dei metadati per un'istanza all'avvio (indicata dalla Configurazione dell'istanza risultante nella colonna 4) è determinata dalle impostazioni ai diversi livelli di configurazione. L'ordine di precedenza va da sinistra a destra, dove la prima colonna ha la priorità più alta, come segue:

  • Colonna 1: parametro di avvio: rappresenta l'impostazione sull'istanza specificata manualmente all'avvio.

  • Colonna 2: livello di account predefinito: rappresenta l'impostazione dell'account.

  • Colonna 3: AMI predefinita: rappresenta l'impostazione sull'AMI.

Parametro di avvio Livello di account predefinito AMI predefinita Configurazione dell'istanza risultante
Solo V2 (token richiesto) Nessuna preferenza Solo V2 Solo V2
Solo V2 (token richiesto) Solo V2 Solo V2 Solo V2
Solo V2 (token richiesto) V1 o V2 Solo V2 Solo V2
V1 o V2 (token facoltativo) Nessuna preferenza Solo V2 V1 o V2
V1 o V2 (token facoltativo) Solo V2 Solo V2 V1 o V2
V1 o V2 (token facoltativo) V1 o V2 Solo V2 V1 o V2
Non impostato Nessuna preferenza Solo V2 Solo V2
Non impostato Solo V2 Solo V2 Solo V2
Non impostato V1 o V2 Solo V2 V1 o V2
Solo V2 (token richiesto) Nessuna preferenza null Solo V2
Solo V2 (token richiesto) Solo V2 null Solo V2
Solo V2 (token richiesto) V1 o V2 null Solo V2
V1 o V2 (token facoltativo) Nessuna preferenza null V1 o V2
V1 o V2 (token facoltativo) Solo V2 null V1 o V2
V1 o V2 (token facoltativo) V1 o V2 null V1 o V2
Non impostato Nessuna preferenza null V1 o V2
Non impostato Solo V2 null Solo V2
Non impostato V1 o V2 null V1 o V2

Utilizza le chiavi di condizione IAM per limitare le opzioni dei metadati di istanza

È possibile utilizzare le chiavi di condizione IAM in una policy IAM o SCP come riportato di seguito:

  • Consentire il lancio di un'istanza solo se è configurata per richiedere l'uso di IMDSv2

  • Limitare il numero di hop consentiti

  • Disattivazione dell'accesso ai metadati dell'istanza

Processi
Nota

È opportuno procedere con cautela e condurre test accurati prima di apportare qualsiasi modifica. Prendi nota di quanto segue:

  • Se imponi l'uso di IMDSv2, applicazioni o agenti che utilizzano IMDSv1 per l'accesso ai metadati dell'istanza verranno interrotti.

  • Se disattivi tutto l'accesso ai metadati dell'istanza, applicazioni o agenti il cui funzionamento si basa sull'accesso ai metadati dell'istanza verranno interrotti.

  • Per IMDSv2, devi utilizzare /latest/api/token durante il recupero del token.

  • (Solo Windows) Se la PowerShell versione è precedente alla 4.0, è necessario eseguire l'aggiornamento a Windows Management Framework 4.0 per richiedere l'uso di IMDSv2.