Configurar o serviço de metadados da instância nas instâncias do ambiente

Metadados de instância são dados relacionados a uma instância do Amazon Elastic Compute Cloud (Amazon EC2) que as aplicações podem usar para configurar ou gerenciar a instância em execução. O serviço de metadados da instância (IMDS) é um componente na instância que o código na instância usa para acessar metadados da instância com segurança. Esse código pode ser o código da plataforma Elastic Beanstalk nas instâncias do seu ambiente AWS , o SDK que seu aplicativo pode estar usando ou até mesmo o próprio código do seu aplicativo. Para obter mais informações, consulte Metadados da instância e dados do usuário no Manual do usuário do Amazon EC2.

O código pode acessar metadados de instância de uma instância em execução usando um dos dois métodos: serviço de metadados de instância versão 1 (IMDSv1) ou serviço de metadados de instância versão 2 (IMDSv2). O IMDSv2 usa solicitações orientadas para sessão e mitiga vários tipos de vulnerabilidades que podem ser usadas para tentar acessar o IMDS. Para obter informações sobre esses dois métodos, consulte Como configurar o serviço de metadados da instância no Guia do usuário do Amazon EC2.

Suporte de plataforma ao IMDS

Versões mais antigas da plataforma do Elastic Beanstalk eram compatíveis com IMDSv1. As versões mais recentes da plataforma do Elastic Beanstalk (todas as versões da plataforma do Amazon Linux 2) são compatíveis com IMDSv1 e IMDSv2. É possível configurar o ambiente para oferecer suporte aos dois métodos (o padrão) ou desabilitar o IMDSv1.

nota

Desabilitar o IMDSv1 requer o uso dos modelos de lançamento do Amazon EC2.Quando você configura esse recurso durante a criação ou nas atualizações do ambiente, o Elastic Beanstalk tenta configurar o ambiente para usar oa modelos de lançamento do Amazon EC2 (se o ambiente ainda não os estiver usando). Nesse caso, se a sua política de usuário não tiver as permissões necessárias, a criação ou as atualizações do ambiente poderão falhar. Portanto, recomendamos que você use nossa política de usuário gerenciada ou adicione as permissões necessárias às suas políticas personalizadas. Para obter detalhes sobre as permissões necessárias, consulte Criar uma política de usuário personalizada.

Escolher métodos de IMDS

Ao tomar uma decisão sobre os métodos de IMDS que você deseja que o ambiente suporte, considere os seguintes casos de uso do:

• AWS SDK — Se seu aplicativo usa um AWS SDK, certifique-se de usar a versão mais recente do SDK. Os AWS SDKs fazem chamadas IMDS, e as versões mais recentes do SDK usam o IMDSv2 sempre que possível. Se você algum dia desabilitar o IMDSv1, ou se sua aplicação usar uma versão antiga do SDK, as chamadas de IMDS podem falhar.

• O código do seu aplicativo — Se seu aplicativo fizer chamadas IMDS, considere usar o AWS SDK para que você possa fazer as chamadas em vez de fazer solicitações HTTP diretas. Assim, não é necessário fazer alterações no código para alternar entre os métodos de IMDS. O AWS SDK usa o IMDSv2 sempre que possível.

• Código da plataforma Elastic Beanstalk — Nosso código faz chamadas IMDS AWS por meio do SDK e, portanto, usa o IMDSv2 em todas as versões de suporte da plataforma. Se seu código usa um up-to-date AWS SDK e faz todas as chamadas do IMDS por meio do SDK, você pode desativar o IMDSv1 com segurança.

Configurar o IMDS usando o console do Elastic Beanstalk

É possível modificar a configuração da instância do Amazon EC2 do ambiente do Elastic Beanstalk no console do Elastic Beanstalk.

Como configurar o IMDS em suas instâncias do Amazon EC2 no console do Elastic Beanstalk

1. Abra o console do Elastic Beanstalk e, na lista Regiões, selecione sua. Região da AWS

2. No painel de navegação, selecione Ambientes e selecione o nome do ambiente na lista.

   nota

   Se você tiver muitos ambientes, use a barra de pesquisa para filtrar a lista de ambientes.

3. No painel de navegação, escolha Configuration (Configuração).

4. Na categoria de configuração Instances (Instâncias), escolha Edit (Editar).

   

5. Defina Desabilitar o IMDSv1 para aplicar o IMDSv2. Desmarque Desabilitar o IMDSv1 para habilitar o IMDSv1 e o IMDSv2.

6. Para salvar as alterações, escolha Apply (Aplicar) na parte inferior da página.

O namespace aws:autoscaling:launchconfiguration

É possível usar uma opção de configuração no namespace aws:autoscaling:launchconfiguration para configurar o IMDS nas instâncias do ambiente.

O exemplo de arquivo de configuração a seguir desabilita o IMDSv1 usando a opção DisableIMDSv1.

option_settings:
  aws:autoscaling:launchconfiguration:
    DisableIMDSv1: true