Amazon EC2 に IMDSv1 有効化状態を監視できる CloudWatch メトリクスが追加

Amazon EC2 は、インスタンスメタデータサービス Version 1 (IMDSv1) が有効な EC2 インスタンスを可視視化するための新しい CloudWatch メトリクス ImdsV1Enabled が提供開始されました。このメトリクスは、複数の AWS アカウントやリージョンを横断して、IMDSv2 への移行が進捗状況をimks_v2_migration_tracking_at_scale scale で追跡することが可能です。追加費用なしで、すべての AWS リージョンで利用可能です。

IMDSv1 移行の可視化が標準機能で実現可能に

これまで、大規模な環境において「どのインスタンスがまだ IMDSv1 を許可しているか」を特定するには、カスタムスクリプトの実行や、独自のツール開発、あるいは手動での監査が必要でした。今回の発表- [x] IMDSv2 への移行を進めるセキュリティ強化の取り組みにおいて、この「可視化」のステップは非常に大きな負担でした。

運用上のメリット

• 自動化された監視: CloudWatch ダッシュボードやアラームを設定することで、IMDSv1 が残存しているインスタンスを即座に検知できます。
• 大規模環境への対応: アカウントやリージョンを跨いだ移行状況の把握が、標準的な CloudWatch 機能だけで完結します。

日本国内リージョンの状況

最新のリージョン状況を確認したところ、東京 (ap-northeast-1) および 大阪 (ap-northeast-3) の両リージョンで利用可能であることが確認されています。

実務でのアドバイス

IMDSv2 は、SSRF（Server-Side Request Forgery）攻撃に対する耐性を高めるための重要なセキュリティ対策です。単に「移行を進める」だけでなく、以下の運用を推奨します。

1. 現状把握: まずは ImdsV1Enabled メトリクスを使用して、現在の IMDSv1 有効インスタンス数をカウントする。
2. アラーム設定: 新しいインスタンスが誤って IMDSv1 を許可した状態で起動されないよう、CloudWatch アラームを設定する。
3. 段階的移行: アプリケーションの互換性を確認しながら、IMDSv2 への強制適用を進める。

次に行うべきアクション: まずは既存の EC2 インスタンスの CloudWatch メトリクスを確認し、現在の IMDSv1 有効状態を可視化することから始めてください。

Reference: Amazon EC2 User Guide (ImdsV1Enabled CloudWatch metric) https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/viewing_metrics_with_cloudwatch.html#ec2-cloudwatch-metrics