Skip to main content
NetApp Console setup and administration
O português é fornecido por meio de tradução automática para sua conveniência. O inglês precede o português em caso de inconsistências.

Exigir o uso do IMDSv2 em instâncias do Amazon EC2

Colaboradores netapp-tonias
PDFs

O NetApp Console oferece suporte ao Amazon EC2 Instance Metadata Service Versão 2 (IMDSv2) com o agente do Console e com o Cloud Volumes ONTAP (incluindo o mediador para implantações de HA). Na maioria dos casos, o IMDSv2 é configurado automaticamente em novas instâncias do EC2. O IMDSv1 foi habilitado antes de março de 2024. Se exigido por suas políticas de segurança, talvez seja necessário configurar manualmente o IMDSv2 em suas instâncias do EC2.

Antes de começar

  • A versão do agente do Console deve ser 3.9.38 ou posterior.

  • O Cloud Volumes ONTAP deve estar executando uma das seguintes versões:

    • 9.12.1 P2 (ou qualquer patch subsequente)

    • 9.13.0 P4 (ou qualquer patch subsequente)

    • 9.13.1 ou qualquer versão posterior a este lançamento

  • Essa alteração exige que você reinicie as instâncias do Cloud Volumes ONTAP .

  • Essas etapas exigem o uso da AWS CLI porque você deve alterar o limite de salto de resposta para 3.

Sobre esta tarefa

O IMDSv2 oferece proteção aprimorada contra vulnerabilidades. "Saiba mais sobre o IMDSv2 no blog de segurança da AWS"

O Serviço de Metadados de Instância (IMDS) é habilitado da seguinte maneira em instâncias do EC2:

  • Para novas implantações de agentes do Console a partir do Console ou usando "Scripts do Terraform" O IMDSv2 é habilitado por padrão na instância do EC2.

  • Se você iniciar uma nova instância do EC2 na AWS e depois instalar manualmente o software do agente do Console, o IMDSv2 também será habilitado por padrão.

  • Se você iniciar o agente do Console no AWS Marketplace, o IMDSv1 será habilitado por padrão. Você pode configurar manualmente o IMDSv2 na instância do EC2.

  • Para agentes de console existentes, o IMDSv1 ainda é suportado, mas você pode configurar manualmente o IMDSv2 na instância do EC2, se preferir.

  • Para o Cloud Volumes ONTAP, o IMDSv1 é habilitado por padrão em instâncias novas e existentes. Você pode configurar manualmente o IMDSv2 nas instâncias do EC2, se preferir.

Passos

  1. Exigir o uso do IMDSv2 na instância do agente do Console:

    1. Conecte-se à VM Linux para o agente do Console.

      Ao criar a instância do agente do Console na AWS, você forneceu uma chave de acesso e uma chave secreta da AWS. Você pode usar esse par de chaves para fazer SSH na instância. O nome de usuário para a instância do EC2 Linux é ubuntu (para agentes do Console criados antes de maio de 2023, o nome de usuário era ec2-user).

      "Documentação da AWS: Conecte-se à sua instância do Linux"

    2. Instale a AWS CLI.

      "Documentação da AWS: instalar ou atualizar para a versão mais recente da AWS CLI"

    3. Use o aws ec2 modify-instance-metadata-options comando para exigir o uso do IMDSv2 e alterar o limite de salto de resposta PUT para 3.

      Exemplo

      aws ec2 modify-instance-metadata-options \
    --instance-id <instance-id> \
    --http-put-response-hop-limit 3 \
    --http-tokens required \
    --http-endpoint enabled
    Observação O http-tokens conjuntos de parâmetros IMDSv2 como obrigatórios. Quando http-tokens é necessário, você também deve definir http-endpoint para habilitado.

  2. Exigir o uso do IMDSv2 em instâncias do Cloud Volumes ONTAP :

    1. Vá para o "Console Amazon EC2"

    2. No painel de navegação, selecione Instâncias.

    3. Selecione uma instância do Cloud Volumes ONTAP .

    4. Selecione Ações > Configurações da instância > Modificar opções de metadados da instância.

    5. Na caixa de diálogo Modificar opções de metadados da instância, selecione o seguinte:

      • Para Serviço de metadados de instância, selecione Ativar.

      • Para IMDSv2, selecione Obrigatório.

      • Selecione Salvar.

    6. Repita essas etapas para outras instâncias do Cloud Volumes ONTAP , incluindo o mediador HA.

    7. "Pare e inicie as instâncias do Cloud Volumes ONTAP"

Resultado

A instância do agente do Console e as instâncias do Cloud Volumes ONTAP agora estão configuradas para usar o IMDSv2.