ある金融機関は、AWS Organizationsで管理する20のAWSアカウントに300台のEC2インスタンスを分散して運用しています。セキュリティ監査により、多くのインスタンスがIMDSv1（HTTPベースのインスタンスメタデータ）をサポートしており、SSRF攻撃によってIAM認証情報が奪取されるリスクがあることが判明しました。セキュリティチームは「既存インスタンスへのIMDSv2強制適用」と「新規インスタンスでのIMDSv1使用防止」の両方を、実行中ワークロードを中断せずに達成する必要があります。最も効果的なアプローチはどれですか？
IMDSv2はトークンベースのセッション認証を採用し、SSRFによる不正なメタデータアクセスを防止する。本要件は「既存インスタンスの修正」と「新規インスタンスの予防」の両面が求められる。 SCPにec2:MetadataHttpTokensがrequiredでない場合にec2:RunInstancesを拒否する条件を追加することで、Organizations全アカウントで新規インスタンス起動時のIMDSv1使用を防止できる。さらにAWS ConfigマネージドルールEC2-imdsv2-checkは既存インスタンスの準拠状態を継続的に評価し、SSM Automationによる自動修復でmodify-instance-metadata-optionsを実行して非準拠インスタンスを修正できる。この2つの組み合わせで既存・新規両方の要件を満たす。 選択肢Bの起動テンプレート更新は新規起動インスタンスには有効だが、既存の実行中インスタンスへの適用には別の仕組みが必要。 選択肢CのSecurity Hub FSBPはIMDSv2の準拠状態を可視化するが、自動修復機能は持たない。 選択肢DのHopLimit制限はコンテナ環境のSSRF経路制限に有効だが、IMDSv1を無効化するものではなくSSRFリスクを完全排除する手段ではない。