Amazon EC2 インスタンスで IMDSv2 の使用を必須にする
NetApp Consoleは、コンソール エージェントとCloud Volumes ONTAP (HA 展開のメディエーターを含む) を使用して、Amazon EC2 インスタンス メタデータ サービス バージョン 2 (IMDSv2) をサポートします。ほとんどの場合、IMDSv2 は新しい EC2 インスタンスで自動的に構成されます。 IMDSv1 は 2024 年 3 月より前に有効化されました。セキュリティ ポリシーで必要な場合は、EC2 インスタンスで IMDSv2 を手動で設定する必要がある場合があります。
- 
コンソール エージェントのバージョンは 3.9.38 以降である必要があります。 
- 
Cloud Volumes ONTAP は次のいずれかのバージョンを実行している必要があります。 - 
9.12.1 P2(またはそれ以降のパッチ) 
- 
9.13.0 P4(またはそれ以降のパッチ) 
- 
9.13.1 またはこのリリース以降のバージョン 
 
- 
- 
この変更を行うには、Cloud Volumes ONTAPインスタンスを再起動する必要があります。 
- 
これらの手順では、応答ホップ制限を 3 に変更する必要があるため、AWS CLI を使用する必要があります。 
IMDSv2 は脆弱性に対する保護を強化します。 "IMDSv2 の詳細については、AWS セキュリティブログをご覧ください。"
インスタンス メタデータ サービス (IMDS) は、EC2 インスタンスで次のように有効化されます。
- 
コンソールから、またはコンソールを使用して新しいコンソールエージェントを展開する場合 "Terraformスクリプト"、IMDSv2 は EC2 インスタンスでデフォルトで有効になっています。 
- 
AWS で新しい EC2 インスタンスを起動し、コンソールエージェントソフトウェアを手動でインストールすると、IMDSv2 もデフォルトで有効になります。 
- 
AWS Marketplace からコンソールエージェントを起動すると、IMDSv1 がデフォルトで有効になります。 EC2 インスタンスで IMDSv2 を手動で設定できます。 
- 
既存のコンソールエージェントの場合、IMDSv1 は引き続きサポートされますが、必要に応じて EC2 インスタンスで IMDSv2 を手動で設定することもできます。 
- 
Cloud Volumes ONTAPの場合、新規インスタンスと既存インスタンスで IMDSv1 がデフォルトで有効になっています。必要に応じて、EC2 インスタンスで IMDSv2 を手動で設定することもできます。 
- 
コンソール エージェント インスタンスで IMDSv2 の使用を必須にします。 - 
コンソール エージェントの Linux VM に接続します。 AWS でコンソール エージェント インスタンスを作成したときに、AWS アクセス キーとシークレット キーを指定しました。このキー ペアを使用してインスタンスに SSH 接続できます。 EC2 Linux インスタンスのユーザー名は ubuntu です (2023 年 5 月より前に作成されたコンソールエージェントの場合、ユーザー名は ec2-user でした)。 
- 
AWS CLI をインストールします。 
- 
使用 `aws ec2 modify-instance-metadata-options`IMDSv2 の使用を必須にし、PUT 応答のホップ制限を 3 に変更するコマンド。 例 aws ec2 modify-instance-metadata-options \ --instance-id <instance-id> \ --http-put-response-hop-limit 3 \ --http-tokens required \ --http-endpoint enabled
 その `http-tokens`パラメータは IMDSv2 を必須に設定します。いつ `http-tokens`必須の場合は、 `http-endpoint`有効にします。 
- 
- 
Cloud Volumes ONTAPインスタンスで IMDSv2 の使用を必須にします。 
- 
ナビゲーション ペインから、[インスタンス] を選択します。 
- 
Cloud Volumes ONTAPインスタンスを選択します。 
- 
*アクション > インスタンス設定 > インスタンスメタデータオプションの変更*を選択します。 
- 
インスタンス メタデータ オプションの変更 ダイアログ ボックスで、以下を選択します。 - 
インスタンス メタデータ サービス の場合は、有効 を選択します。 
- 
*IMDSv2*の場合は*必須*を選択します。 
- 
*保存*を選択します。 
 
- 
- 
HA メディエーターを含む他のCloud Volumes ONTAPインスタンスに対しても、これらの手順を繰り返します。 
 
コンソール エージェント インスタンスとCloud Volumes ONTAPインスタンスが IMDSv2 を使用するように構成されました。
 PDF
PDF