新規インスタンスのインスタンスメタデータオプションの設定

指定したリージョンのアカウントのデフォルトとして IMDSv2 を設定するには

modify-instance-metadata-defaults コマンドを使用して、IMDS アカウントレベルの設定を変更するリージョンを指定します。インスタンスがコンテナをホストする場合は--http-tokens を required に、--http-put-response-hop-limit を 2 に設定します。それ以外の場合は-1 を指定して、設定がないことを示します。-1 (設定なし) が指定されているとき、AMI に ImdsSupport: v2.0 の設定がある場合は起動時の値がデフォルトで 2 になります。それ以外の場合はデフォルトで 1 になります。

aws ec2 modify-instance-metadata-defaults \
    --region us-east-1 \
    --http-tokens required \
    --http-put-response-hop-limit 2

以下は出力の例です。

{
    "Return": true
}

指定したリージョンのインスタンスメタデータオプションのデフォルトのアカウント設定を表示するには

get-instance-metadata-defaults コマンドを使用して、リージョンを指定します。

aws ec2 get-instance-metadata-defaults --region us-east-1

以下は出力の例です。

{
    "AccountLevel": {
        "HttpTokens": "required",
        "HttpPutResponseHopLimit": 2
    },
    "ManagedBy": "account"
}

ManagedBy フィールドは設定を設定したエンティティを示します。この例では accountは設定がアカウントで直接設定されたことを示します。declarative-policyという値は宣言的ポリシーによって設定が構成されたことを意味します。詳細については、「AWS OrganizationsIAM ユーザーガイド」の「 管理されたポリシー」を参照してください。

すべてのリージョンのアカウントのデフォルトとして IMDSv2 を設定するには

すべてのリージョンの IMDS アカウントレベル設定を変更するにはmodify-instance-metadata-defaults コマンドを使用します。インスタンスがコンテナをホストする場合は--http-tokens を required に、--http-put-response-hop-limit を 2 に設定します。それ以外の場合は-1 を指定して、設定がないことを示します。-1 (設定なし) が指定されているとき、AMI に ImdsSupport: v2.0 の設定がある場合は起動時の値がデフォルトで 2 になります。それ以外の場合はデフォルトで 1 になります。

echo -e "Region          \t Modified" ; \
echo -e "--------------  \t ---------" ; \
for region in $(
    aws ec2 describe-regions \
        --region us-east-1 \
        --query "Regions[*].[RegionName]" \
        --output text
    ); 
    do (output=$(
        aws ec2 modify-instance-metadata-defaults \
            --region $region \
            --http-tokens required \
            --http-put-response-hop-limit 2 \
            --output text)
        echo -e "$region        \t $output"
    );
done

以下は出力の例です。

Region                   Modified
--------------           ---------
ap-south-1               True
eu-north-1               True
eu-west-3                True
...

すべてのリージョンのインスタンスメタデータオプションのデフォルトアカウント設定を表示するには

get-instance-metadata-defaults コマンドを使用します。

echo -e "Region   \t Level          Hops    HttpTokens" ; \
echo -e "-------------- \t ------------   ----    ----------" ; \
for region in $(
    aws ec2 describe-regions \
        --region us-east-1 \
        --query "Regions[*].[RegionName]" \
        --output text
    ); 
    do (output=$(
        aws ec2 get-instance-metadata-defaults \
            --region $region \
            --output text)
        echo -e "$region \t $output" 
    );
done

以下は出力の例です。

Region           Level          Hops    HttpTokens
--------------   ------------   ----    ----------
ap-south-1       ACCOUNTLEVEL   2       required
eu-north-1       ACCOUNTLEVEL   2       required
eu-west-3        ACCOUNTLEVEL   2       required
...

指定したリージョンのアカウントのデフォルトとして IMDSv2 を設定するには

Edit-EC2InstanceMetadataDefault コマンドレットを使用して、IMDS アカウントレベルの設定を変更するリージョンを指定します。インスタンスがコンテナをホストする場合は-HttpToken を required に、-HttpPutResponseHopLimit を 2 に設定します。それ以外の場合は-1 を指定して、設定がないことを示します。-1 (設定なし) が指定されているとき、AMI に ImdsSupport: v2.0 の設定がある場合は起動時の値がデフォルトで 2 になります。それ以外の場合はデフォルトで 1 になります。

Edit-EC2InstanceMetadataDefault `
    -Region us-east-1 `
    -HttpToken required `
    -HttpPutResponseHopLimit 2

以下は出力の例です。

True

指定したリージョンのインスタンスメタデータオプションのデフォルトのアカウント設定を表示するには

Get-EC2InstanceMetadataDefault コマンドレットを使用して、リージョンを指定します。

Get-EC2InstanceMetadataDefault -Region us-east-1 | Format-List

以下は出力の例です。

HttpEndpoint            : 
HttpPutResponseHopLimit : 2
HttpTokens              : required
InstanceMetadataTags    : 

すべてのリージョンのアカウントのデフォルトとして IMDSv2 を設定するには

Edit-EC2InstanceMetadataDefault コマンドレットを使用して、すべてのリージョンの IMDS アカウントレベルの設定を変更します。インスタンスがコンテナをホストする場合は-HttpToken を required に、-HttpPutResponseHopLimit を 2 に設定します。それ以外の場合は-1 を指定して、設定がないことを示します。-1 (設定なし) が指定されているとき、AMI に ImdsSupport: v2.0 の設定がある場合は起動時の値がデフォルトで 2 になります。それ以外の場合はデフォルトで 1 になります。

(Get-EC2Region).RegionName | `
    ForEach-Object {
    [PSCustomObject]@{
        Region   = $_
        Modified = (Edit-EC2InstanceMetadataDefault `
                -Region $_ `
                -HttpToken required `
                -HttpPutResponseHopLimit 2)
    } 
} | `
Format-Table Region, Modified -AutoSize

正常な出力

Region         Modified
------         --------
ap-south-1         True
eu-north-1         True
eu-west-3          True
...

すべてのリージョンのインスタンスメタデータオプションのデフォルトアカウント設定を表示するには

Get-EC2InstanceMetadataDefault コマンドレットを使用します。

(Get-EC2Region).RegionName | `
    ForEach-Object {
    [PSCustomObject]@{
        Region = $_
        HttpPutResponseHopLimit = (Get-EC2InstanceMetadataDefault -Region $_).HttpPutResponseHopLimit
        HttpTokens              = (Get-EC2InstanceMetadataDefault -Region $_).HttpTokens
    }
} | `
Format-Table -AutoSize

出力の例

Region         HttpPutResponseHopLimit HttpTokens
------         ----------------------- ----------
ap-south-1                           2 required
eu-north-1                           2 required
eu-west-3                            2 required                    
...

指定されたリージョン内のアカウントに IMDSv2 を強制適用する

modify-instance-metadata-defaults コマンドを使用して、IMDSv2 を強制適用するリージョンを指定します。

aws ec2 modify-instance-metadata-defaults \
    --region us-east-1 \
    --http-tokens required \
    --http-tokens-enforced enabled

以下は出力の例です。

{
"Return": true
}

特定のリージョン内のアカウントに対する IMDSv2 の強制適用設定を表示する

get-instance-metadata-defaults コマンドを使用して、リージョンを指定します。

aws ec2 get-instance-metadata-defaults --region us-east-1

以下は出力の例です。

{
    "AccountLevel": {
        "HttpTokens": "required",
        "HttpTokensEnforced": "enabled"
    },
    "ManagedBy": "account"
}

ManagedBy フィールドは設定を設定したエンティティを示します。この例では accountは設定がアカウントで直接設定されたことを示します。declarative-policyという値は宣言的ポリシーによって設定が構成されたことを意味します。詳細については、「AWS Organizations ユーザーガイド」の「宣言型ポリシー」を参照してください。

すべてのリージョンのアカウントに IMDSv2 を強制適用する

modify-instance-metadata-defaults コマンドを使用して、すべてのリージョンで IMDSv2 を強制適用します。

echo -e "Region          \t Modified" ; \
echo -e "--------------  \t ---------" ; \
for region in $(
    aws ec2 describe-regions \
        --region us-east-1 \
        --query "Regions[*].[RegionName]" \
        --output text
    ); 
    do (output=$(
        aws ec2 modify-instance-metadata-defaults \
            --region $region \
            --http-tokens-enforced enabled \
            --output text)
        echo -e "$region        \t $output"
    );
done

以下は出力の例です。

Region                   Modified
--------------           ---------
ap-south-1               True
eu-north-1               True
eu-west-3                True
...

すべてのリージョン内のアカウントに対する IMDSv2 の強制適用設定を表示する

get-instance-metadata-defaults コマンドを使用します。

echo -e "Region   \t Level           HttpTokensEnforced" ; \
echo -e "-------------- \t ------------   ----------------" ; \
for region in $(
    aws ec2 describe-regions \
        --region us-east-1 \
        --query "Regions[*].[RegionName]" \
        --output text
    ); 
    do (output=$(
        aws ec2 get-instance-metadata-defaults \
            --region $region \
            --query 'AccountLevel.HttpTokensEnforced' \           
            --output text)
        echo -e "$region \t ACCOUNTLEVEL $output" 
    );
done

以下は出力の例です。

Region           Level          HttpTokensEnforced
--------------   ------------   ------------------
ap-south-1       ACCOUNTLEVEL   enabled
eu-north-1       ACCOUNTLEVEL   enabled
eu-west-3        ACCOUNTLEVEL   enabled
...

指定されたリージョン内のアカウントに IMDSv2 を強制適用する

Edit-EC2InstanceMetadataDefault コマンドレットを使用して、IMDSv2 を強制適用するリージョンを指定します。

Edit-EC2InstanceMetadataDefault `
    -Region us-east-1 `
    -HttpToken required `
    -HttpPutResponseHopLimit 2

以下は出力の例です。

@{
    Return = $true
}

特定のリージョン内のアカウントに対する IMDSv2 の強制適用設定を表示する

Get-EC2InstanceMetadataDefault コマンドを使用して、リージョンを指定します。

Get-EC2InstanceMetadataDefault -Region us-east-1

以下は出力の例です。

@{
    AccountLevel = @{
        HttpTokens = "required"
        HttpTokensEnforced = "enabled"
    }
    ManagedBy = "account"
}

ManagedBy フィールドは設定を設定したエンティティを示します。この例では accountは設定がアカウントで直接設定されたことを示します。declarative-policyという値は宣言的ポリシーによって設定が構成されたことを意味します。詳細については、「AWS Organizations ユーザーガイド」の「宣言型ポリシー」を参照してください。

すべてのリージョンのアカウントに IMDSv2 を強制適用する

modify-instance-metadata-defaults コマンドを使用して、すべてのリージョンで IMDSv2 を強制適用します。

echo -e "Region          \t Modified" ; \
echo -e "--------------  \t ---------" ; \
for region in $(
    aws ec2 describe-regions \
        --region us-east-1 \
        --query "Regions[*].[RegionName]" \
        --output text
    ); 
    do (output=$(
        aws ec2 modify-instance-metadata-defaults \
            --region $region \
            --http-tokens-enforced enabled \
            --output text)
        echo -e "$region        \t $output"
    );
done

以下は出力の例です。

Region                   Modified
--------------           ---------
ap-south-1               True
eu-north-1               True
eu-west-3                True
...

すべてのリージョンのアカウントのデフォルトとして IMDSv2 を設定するには

Edit-EC2InstanceMetadataDefault コマンドレットを使用して、すべてのリージョンの IMDS アカウントレベル設定を変更します。インスタンスがコンテナをホストする場合は-HttpToken を required に、-HttpPutResponseHopLimit を 2 に設定します。それ以外の場合は-1 を指定して、設定がないことを示します。-1 (設定なし) が指定されているとき、AMI に ImdsSupport: v2.0 の設定がある場合は起動時の値がデフォルトで 2 になります。それ以外の場合はデフォルトで 1 になります。

(Get-EC2Region).RegionName | `
    ForEach-Object {
    [PSCustomObject]@{
        Region   = $_
        Modified = (Edit-EC2InstanceMetadataDefault `
                -Region $_ `
                -HttpToken required `
                -HttpPutResponseHopLimit 2)
    } 
} | `
Format-Table Region, Modified -AutoSize

正常な出力

Region         Modified
------         --------
ap-south-1         True
eu-north-1         True
eu-west-3          True
...

すべてのリージョンのインスタンスメタデータオプションのデフォルトアカウント設定を表示するには

Get-EC2InstanceMetadataDefault コマンドレットを使用します。

(Get-EC2Region).RegionName | `
    ForEach-Object {
    [PSCustomObject]@{
        Region = $_
        HttpPutResponseHopLimit = (Get-EC2InstanceMetadataDefault -Region $_).HttpPutResponseHopLimit
        HttpTokens              = (Get-EC2InstanceMetadataDefault -Region $_).HttpTokens
    }
} | `
Format-Table -AutoSize

出力の例

Region         HttpPutResponseHopLimit HttpTokens
------         ----------------------- ----------
ap-south-1                           2 required
eu-north-1                           2 required
eu-west-3                            2 required                    
...

新しいインスタンスで IMDSv2 の使用を要求するには

次の run-instances の例ではc6i.large を --metadata-options に設定して HttpTokens=required インスタンスを起動します。HttpTokens の値を指定する場合はHttpEndpoint も enabled に設定する必要があります。メタデータの取得リクエストではセキュリティで保護されたトークンヘッダーは required に設定されるので、インスタンスメタデータのリクエストに際してはそのインスタンスは必ず IMDSv2 を使用することになります。

コンテナ環境ではIMDSv2 が要求されている場合、HttpPutResponseHopLimit=2 を使用してホップ制限を 2 に設定することをお勧めします。

aws ec2 run-instances \
    --image-id ami-0abcdef1234567890 \
    --instance-type c6i.large \
	...
    --metadata-options "HttpEndpoint=enabled,HttpTokens=required,HttpPutResponseHopLimit=2"

新しいインスタンスで IMDSv2 の使用を要求するには

次の New-EC2Instance コマンドレット例は、MetadataOptions_HttpEndpoint が enabled に、MetadataOptions_HttpTokens パラメータが required に設定された c6i.large インスタンスを起動します。HttpTokens の値を指定する場合はHttpEndpoint も enabled に設定する必要があります。メタデータの取得リクエストではセキュリティで保護されたトークンヘッダーは required に設定されるので、インスタンスメタデータのリクエストに際してはそのインスタンスは必ず IMDSv2 を使用することになります。

New-EC2Instance `
    -ImageId ami-0abcdef1234567890 `
    -InstanceType c6i.large `
    -MetadataOptions_HttpEndpoint enabled `
    -MetadataOptions_HttpTokens required 

CloudFormation を使用してインスタンスのメタデータオプションを指定するには「AWS CloudFormation ユーザーガイド」の「AWS::EC2::LaunchTemplate MetadataOptions」プロパティを参照してください。

以下の register-image の例ではEBS ルートボリュームの指定されたスナップショットをデバイス /dev/xvda として使用して、AMI を登録しています。imds-support パラメータ用に v2.0 を指定し、この AMI から起動するインスタンスに対して、インスタンスメタデータのリクエスト時に IMDSv2 を使用することが、この AMI から起動されるインスタンスでの必須になります。

aws ec2 register-image \
    --name my-image \
    --root-device-name /dev/xvda \
    --block-device-mappings DeviceName=/dev/xvda,Ebs={SnapshotId=snap-0123456789example} \
    --architecture x86_64 \
    --imds-support v2.0

次の Register-EC2Image コマンドレット例は、EBS ルートボリュームの指定されたスナップショットをデバイス /dev/xvda として使用して、AMI を登録します。ImdsSupport パラメータ用に v2.0 を指定し、この AMI から起動するインスタンスに対して、インスタンスメタデータのリクエスト時に IMDSv2 を使用することが、この AMI から起動されるインスタンスでの必須になります。

Register-EC2Image `
    -Name 'my-image' `
    -RootDeviceName /dev/xvda `
    -BlockDeviceMapping  ( 
    New-Object `
        -TypeName Amazon.EC2.Model.BlockDeviceMapping `
        -Property @{ 
        DeviceName = '/dev/xvda'; 
        EBS        = (New-Object -TypeName Amazon.EC2.Model.EbsBlockDevice -Property @{ 
                SnapshotId = 'snap-0123456789example'
                VolumeType = 'gp3' 
                } )      
        }  ) `
    -Architecture X86_64 `
    -ImdsSupport v2.0 

次の modify-image-attribute の例ではIMDSv2 用の既存の AMI のみを変更します。imds-support パラメータ用に v2.0 を指定し、この AMI から起動するインスタンスに対して、インスタンスメタデータのリクエスト時に IMDSv2 を使用することが、この AMI から起動されるインスタンスでの必須になります。

aws ec2 modify-image-attribute \
    --image-id ami-0abcdef1234567890 \
    --imds-support v2.0

次の Edit-EC2ImageAttribute コマンドレット例は、IMDSv2 用の既存の AMI のみを変更します。imds-support パラメータ用に v2.0 を指定し、この AMI から起動するインスタンスに対して、インスタンスメタデータのリクエスト時に IMDSv2 を使用することが、この AMI から起動されるインスタンスでの必須になります。

Edit-EC2ImageAttribute `
    -ImageId ami-0abcdef1234567890 `
    -ImdsSupport 'v2.0'

詳細については、「高度な詳細」を参照してください。

インスタンス起動時に IMDS IPv6 エンドポイントを有効にするには

以下の run-instances の例ではIMDS 用に IPv6 エンドポイントが有効化された、c6i.large インスタンスを起動しています。IPv6 エンドポイントを有効にするには--metadata-options パラメータに HttpProtocolIpv6=enabled を指定します。HttpProtocolIpv6 の値を指定する場合はHttpEndpoint も enabled に設定する必要があります。

aws ec2 run-instances \
    --image-id ami-0abcdef1234567890 \
    --instance-type c6i.large \
    ...
    --metadata-options "HttpEndpoint=enabled,HttpProtocolIpv6=enabled"

インスタンス起動時に IMDS IPv6 エンドポイントを有効にするには

次の New-EC2Instance コマンドレット例は、IMDS 用に IPv6 エンドポイントが有効化された c6i.large インスタンスを起動します。IPv6 エンドポイントを有効にするにはMetadataOptions_HttpProtocolIpv6 を enabled に指定します。MetadataOptions_HttpProtocolIpv6 の値を指定する場合はMetadataOptions_HttpEndpoint も enabled に設定する必要があります。

New-EC2Instance `
    -ImageId ami-0abcdef1234567890 `
    -InstanceType c6i.large `
    -MetadataOptions_HttpEndpoint enabled `
    -MetadataOptions_HttpProtocolIpv6 enabled 

詳細については、「高度な詳細」を参照してください。

起動時にインスタンスメタデータへのアクセスを無効にするには

--metadata-options に HttpEndpoint=disabled を設定し、インスタンスを起動します。

aws ec2 run-instances \
    --image-id ami-0abcdef1234567890 \
    --instance-type c6i.large \
    ... 
    --metadata-options "HttpEndpoint=disabled"

起動時にインスタンスメタデータへのアクセスを無効にするには

次の New-EC2Instance コマンドレット例は、MetadataOptions_HttpEndpoint が disabled に設定されたインスタンスを起動します。

New-EC2Instance `
    -ImageId ami-0abcdef1234567890 `
    -InstanceType c6i.large `
    -MetadataOptions_HttpEndpoint disabled

CloudFormation を使用してインスタンスのメタデータオプションを指定するには「CloudFormation ユーザーガイド」の「AWS::EC2::LaunchTemplate MetadataOptions」プロパティを参照してください。