Passer à l’utilisation de Service des métadonnées d’instance Version 2

Les dernières versions du AWS SDKs support AWS CLI et IMDSv2. Pour les utiliserIMDSv2, mettez à jour vos EC2 instances afin d'utiliser les dernières versions. Pour connaître les versions minimales du AWS SDK prises en charge IMDSv2, consultezUtilisation d’un kit SDK AWS pris en charge.

Tous les packages logiciels Amazon Linux 2 et Amazon Linux 2023 sont pris en charge IMDSv2. Amazon Linux 2023 est désactivé IMDSv1 par défaut.

IMDS Packet Analyzer est un outil open source qui identifie et enregistre les IMDSv1 appels pendant la phase de démarrage et les opérations d'exécution de votre instance. En analysant ces journaux, vous pouvez identifier avec précision le logiciel effectuant des IMDSv1 appels sur vos instances et déterminer ce qui doit être mis à jour pour IMDSv2 ne prendre en charge que vos instances. Vous pouvez exécuter l’analyseur de packages IMDS à partir d’une ligne de commande ou l’installer en tant que service. Pour plus d'informations, voir AWS ImdsPacketAnalyzerci-dessous GitHub.

CloudWatch fournit les deux mesures suivantes pour surveiller vos instances :

MetadataNoToken— IMDSv2 utilise des sessions basées sur des jetons, ce qui n'est IMDSv1 pas le cas. La MetadataNoToken métrique suit le nombre d'appels utilisés par le service de métadonnées d'instance (IMDS). IMDSv1 En suivant cette métrique jusqu'à zéro, vous pouvez déterminer si la totalité de votre logiciel a été mis à niveau vers IMDSv2 et le moment auquel cela se produit.

MetadataNoTokenRejected— Après avoir désactivé IMDSv1, vous pouvez utiliser la MetadataNoTokenRejected métrique pour suivre le nombre de tentatives et de refus d'un IMDSv1 appel. En suivant cette métrique, vous pouvez déterminer si votre logiciel doit être mis à jour pour être utilisé IMDSv2.

Pour de plus amples informations, veuillez consulter Métriques des instances.

Nouvelles instances : utilisez l'RunInstancesAPI pour lancer de nouvelles instances nécessitant l'utilisation de IMDSv2. Pour de plus amples informations, veuillez consulter Configurer les options de métadonnées d’instance pour les nouvelles instances.

Instances existantes : utilisez l'ModifyInstanceMetadataOptionsAPI pour exiger l'utilisation IMDSv2 d'instances existantes. Pour de plus amples informations, veuillez consulter Configurer les options de métadonnées d’instance pour les instances existantes.

Nouvelles instances lancées par les groupes Amazon EC2 Auto Scaling : pour exiger l'utilisation de IMDSv2 toutes les nouvelles instances lancées par les groupes Amazon EC2 Auto Scaling, vos groupes Amazon EC2 Auto Scaling peuvent utiliser un modèle de lancement ou une configuration de lancement. Lorsque vous créez un modèle de lancement ou une configuration de lancement, vous devez configurer les paramètres MetadataOptions pour exiger l'utilisation de IMDSv2. Le groupe Amazon EC2 Auto Scaling lance de nouvelles instances à l'aide du nouveau modèle de lancement ou de la nouvelle configuration de lancement, mais les instances existantes ne sont pas affectées.

Instances existantes dans un groupe Amazon EC2 Auto Scaling : utilisez l'ModifyInstanceMetadataOptionsAPI pour exiger l'utilisation d'IMDSv2 instances existantes, ou mettez fin aux instances et le groupe Amazon EC2 Auto Scaling lancera de nouvelles instances de remplacement avec les paramètres des options de métadonnées d'instance définis dans le nouveau modèle de lancement ou la nouvelle configuration de lancement.

AMIs configuré avec le ImdsSupport paramètre défini sur v2.0 lancera les instances qui nécessitent IMDSv2 par défaut. Amazon Linux 2023 est configuré avecImdsSupport = v2.0.

Nouveau AMIs : utilisez la commande register-image CLI pour définir le ImdsSupport paramètre sur v2.0 lors de la création d'une nouvelle AMI.

Existant AMIs : utilisez la commande modify-image-attributeCLI pour définir le ImdsSupport paramètre sur v2.0 lorsque vous modifiez une AMI existante.

Pour de plus amples informations, veuillez consulter Configurer l’AMI.

Vous pouvez utiliser une stratégie IAM ou une politique de contrôle des AWS Organizations services (SCP) pour contrôler les utilisateurs comme suit :

La politique IAM ou la politique de contrôle des services doit contenir les clés de condition IAM suivantes :

Si un paramètre de l'appel d'API ou de CLI ne correspond pas à l'état spécifié dans la politique contenant la clé de condition, l'appel d'API ou de CLI échoue avec une UnauthorizedOperation réponse.

En outre, vous pouvez choisir une couche de protection supplémentaire pour appliquer le passage de IMDSv1 à IMDSv2. Au niveau de la couche de gestion des accès, en ce qui concerne les informations d'identification APIs appelées via le EC2 rôle, vous pouvez utiliser une clé de condition dans les politiques IAM ou dans les politiques de contrôle des AWS Organizations services (SCPs). Plus précisément, en utilisant la clé de condition ec2:RoleDelivery avec une valeur de 2.0 dans vos politiques IAM, les appels d'API effectués avec les informations d'identification de EC2 rôle obtenues auprès de IMDSv1 recevront une UnauthorizedOperation réponse. Vous pouvez aboutir au même résultat plus généralement avec cette condition requise par une SCP. Cela garantit que les informations d'identification fournies via IMDSv1 ne peuvent pas être réellement utilisées pour appeler, APIs car tout appel d'API ne correspondant pas à la condition spécifiée recevra une UnauthorizedOperation erreur.

Par exemple les stratégies IAM, consultez Utiliser des métadonnées d’instance. Pour plus d'informations SCPs, consultez la section Politiques de contrôle des services dans le Guide de AWS Organizations l'utilisateur.

Utilisez les politiques déclaratives (une fonctionnalité de AWS Organizations) pour définir et appliquer IMDSv2 de manière centralisée la version IMDS par défaut au sein de votre organisation. Pour un exemple de politique, consultez l'onglet Paramètres par défaut des métadonnées d'instance dans la section Politiques déclaratives prises en charge du guide de l'AWS Organizations utilisateur.