Transição para usar o Serviço de metadados da instância versão 2

As versões mais recentes da AWS CLI e dos AWS SDKs são compatíveis com o IMDSv2. Para usar o IMDSv2, certifique-se de que as instâncias do EC2 tenham as versões mais recentes da CLI e dos SDKs. Para obter informações sobre como atualizar a CLI, consulte Instalação, atualização e desinstalação da AWS CLI no Guia do usuário da AWS Command Line Interface.

Todos os pacotes de software Amazon Linux 2 e Amazon Linux 2023 são compatíveis com o IMDSv2. No Amazon Linux 2023, o IMDSv1 é desabilitado por padrão.

Para obter as versões mínimas do AWS SDK compatíveis com IMDSv2, consulte Usar um AWS SDK compatível.

O IMDS Packet Analyzer é uma ferramenta de código aberto que identifica e registra as chamadas IMDSv1 da fase de inicialização da sua instância. Isso pode ajudar a identificar o software que faz chamadas IMDSv1 em instâncias do EC2, permitindo que você identifique exatamente o que precisa atualizar para preparar suas instâncias para usar somente o IMDSv2. Você pode executar o IMDS Packet Analyzer em uma linha de comando ou instalá-lo como um serviço. Para obter mais informações, consulte IMDS Packet Analyzer no GitHub.

O IMDSv2 usa sessões baseadas em token, enquanto o IMDSv1 não o faz. A métrica MetadataNoToken do CloudWatch rastreia o número de chamadas para o Serviço de metadados da instância (IMDS) que estão usando o IMDSv1. Rastreando essa métrica até zero, é possível determinar se e quando todo o software foi atualizado para usar o IMDSv2.

Após desabilitar o IMDSv1, é possível usar a métrica MetadataNoTokenRejected do CloudWatch para rastrear o número de vezes que uma chamada do IMDSv1 foi tentada e rejeitada. Ao rastrear essa métrica, você pode verificar se o software precisa ser atualizado para usar o IMDSv2.

Para ter mais informações, consulte Métricas de instância.

Para novas instâncias, é possível usar a API RunInstances para executar novas instâncias que exijam o uso do IMDSv2. Para ter mais informações, consulte Configurar opções de metadados da instância para novas instâncias.

Para instâncias existentes, é possível usar a API ModifyInstanceMetadataOptions para exigir o uso do IMDSv2. Para ter mais informações, consulte Modificar as opções de metadados de instância para as instâncias existentes.

Para exigir o uso do IMDSv2 em todas as novas instâncias executadas por grupos de Auto Scaling, seus grupos de Auto Scaling podem usar um modelo de execução ou uma configuração de execução. Quando você cria um modelo de execução ou cria uma configuração de execução, é necessário configurar os parâmetros de MetadataOptions para exigir o uso do IMDSv2. O grupo do Auto Scaling inicia novas instâncias usando o novo modelo de execução ou configuração de execução, mas as instâncias existentes não serão afetadas. Para instâncias existentes em um grupo do Auto Scaling, é possível usar a API ModifyInstanceMetadataOptions para exigir o uso do IMDSv2 em instâncias existentes, ou encerrar as instâncias e o grupo do Auto Scaling executará novas instâncias de substituição com as configurações das opções de metadados de instância definidas no modelo ou na configuração de execução.

Ao iniciar uma instância, você pode configurá-la automaticamente para usar o IMDSv2 por padrão (o parâmetro HttpTokens é definido como required) iniciando-a com uma AMI configurada com o parâmetro ImdsSupport definido como v2.0. É possível definir o parâmetro ImdsSupport como v2.0 ao registrar a AMI usando o comando register-image da CLI, ou modificar uma AMI existente usando o comando modify-image-attribute da CLI. Para ter mais informações, consulte Configurar a AMI.

Você pode usar uma política do IAM ou uma política de controle de serviços (SCP) do AWS Organizations para controlar os usuários como se segue:

A política do IAM ou a SCP devem conter as seguintes chaves de condição do IAM:

Se um parâmetro da chamada de API ou CLI não corresponder ao estado especificado na política que contém a chave de condição, a chamada de API ou CLI falhará com uma resposta UnauthorizedOperation.

Além disso, é possível escolher uma camada adicional de proteção para exigir a alteração do IMDSv1 para o IMDSv2. Na camada de gerenciamento de acesso com relação às APIs chamadas por meio de credenciais de função do EC2, é possível usar uma nova chave de condição nas políticas do IAM ou nas políticas de controle de serviço (SCPs) do AWS Organizations. Especificamente, usando a chave de condição da política ec2:RoleDelivery com um valor 2.0 nas políticas do IAM, as chamadas de API feitas com as credenciais do perfil do EC2 obtidas do IMDSv1 receberão uma resposta UnauthorizedOperation. A mesma coisa pode ser obtida de forma mais ampla com essa condição exigida por uma SCP. Isso garante que as credenciadas entregues por meio do IMDSv1 não podem ser realmente usadas para chamar APIs porque todas as chamadas à API que não corresponderem à condição especificada receberão um erro UnauthorizedOperation.

Para obter exemplos de políticas do IAM, consulte Trabalhar com metadados de instância. Para obter mais informações sobre SCPs, consulte Políticas de controle de serviço no Guia do usuário do AWS Organizations.