セキュリティ監査の結果、EC2インスタンスのIMDS（Instance Metadata Service：インスタンスメタデータサービス）でIMDSv1が有効なままになっており、SSRF（Server-Side Request Forgery：攻撃者がサーバーを踏み台にして内部リソースへリクエストを送らせる攻撃）のリスクがあると指摘されました。既存のEC2インスタンスに対してIMDSv2のみを強制する最も直接的な方法はどれですか？
IMDSv2を強制するには modify-instance-metadata-options --http-tokens required を実行します。IMDSv2はセッション指向のプロトコルで、まずPUTリクエストでトークンを取得しそれをGETリクエストに付与する仕組みのため、単純なGETリクエストで動作するIMDSv1ベースのSSRF攻撃を防御できます。 選択肢AのセキュリティグループOutbound拒否は、169.254.169.254はリンクローカルアドレスでありEC2インスタンス内部からのアクセスはハイパーバイザー経由で処理されます。この設定ではIMDSを制御できず、IAMロール認証情報取得も不可能になります。 選択肢CのIAMポリシー権限削除は、ec2:DescribeInstancesはEC2 APIの操作権限であり、OS内部からのIMDSアクセスとは無関係です。 選択肢DのSystems Manager Session Manager導入は、SSHの廃止がIMDSへのアクセスを制限しません。