インスタンスメタデータサービスのオプションを設定する

インスタンスメタデータサービス (IMDS) は、すべての EC2 インスタンスでローカルに実行されます。インスタンスメタデータオプションは、EC2 インスタンス上の IMDS のアクセシビリティと動作を制御する一連の設定を参照します。

各インスタンスで、以下のインスタンスメタデータオプションを設定できます。

インスタンスメタデータオプションを設定する場所

インスタンスメタデータオプションは、次のようにさまざまなレベルで設定できます。

詳細については、新規インスタンスのインスタンスメタデータオプションの設定および既存インスタンスのインスタンスメタデータオプションの変更を参照してください。

インスタンスメタデータオプションの優先順位

各インスタンスメタデータオプションの値は、インスタンスの起動時に優先順位に従って決定されます。最上位の優先順位を持つ階層は次のとおりです。

各メタデータオプションは個別に評価されます。インスタンスは、直接インスタンス設定、アカウントレベルのデフォルト、および AMI からの設定を組み合わせて設定できます。

IAM または SCP ポリシーによって変更が制限されていない限り、実行中または停止中のインスタンスで起動した後に、任意のメタデータオプションの値を変更できます。

メタデータオプションの値を決定する – 例 1

この例では、EC2 インスタンスは、アカウントレベルで HttpPutResponseHopLimit が 1 に設定されているリージョンで起動されます。指定された AMI では、ImdsSupport が v2.0 に設定されています。起動時に、インスタンスでメタデータオプションが直接指定されることはありません。インスタンスは、次のメタデータオプションを使用して起動されます。

"MetadataOptions": {
    ...
    "HttpTokens": "required",
    "HttpPutResponseHopLimit": 1,
    ...

これらの値は次のように決定されました。

メタデータオプションの値を決定する – 例 2

この例では、EC2 インスタンスは前の例 1 と同じ設定で起動されますが、起動時にインスタンスで直接 HttpTokens が optional に設定されています。インスタンスは、次のメタデータオプションを使用して起動されます。

"MetadataOptions": {
    ...
    "HttpTokens": "optional",
    "HttpPutResponseHopLimit": 1,
    ...

HttpPutResponseHopLimit の値は、例 1 と同じ方法で決定されます。ただし、HttpTokens の値は次のように決定されます。起動時にインスタンスで設定されているメタデータオプションが最優先されます。AMI が ImdsSupport: v2.0 で設定されている (つまり、HttpTokens が required に設定されている) 場合でも、起動時にインスタンスで指定されている値 (HttpTokens が optional に設定されている) が優先されます。

インスタンスのメタデータバージョンを設定する

インスタンスが起動すると、インスタンスのメタデータバージョンの値は IMDSv1 or IMDSv2 (token optional) または IMDSv2 only (token required) になります。

インスタンスの起動時に、メタデータバージョンの値を手動で指定するか、デフォルト値を使用できます。値を手動で指定すると、すべてのデフォルト値が上書きされます。値を手動で指定しないことを選択した場合は、次の表に示すように、デフォルト設定の組み合わせによって値が決定されます。

この表は、起動時のインスタンスのメタデータバージョン (列 4 の [結果として生じるインスタンス設定] で示される) が、さまざまなレベルの設定によってどのように決定されるかを示しています。優先順位は左から右で、次のように最初の列が最も優先されます。

IAM 条件キーを使用してインスタンスメタデータオプションを制限する

IAM ポリシーまたは SCP で IAM 条件キーを次のように使用できます。