Amazon EC2 が IMDSv1 の有効状態を示す ImdsV1Enabled CloudWatch メトリクスの提供を開始

公式発表で確認できる事実

• Amazon EC2 が ImdsV1Enabled CloudWatch メトリクスの提供を開始しました。
• このメトリクスにより、IMDSv1 が有効になっている EC2 インスタンスを可視化できます。
• CloudWatch ダッシュボードおよびアラームを設定することで、IMDSv1 を許可しているインスタンスの追跡、移行漏れの特定、修正の優先付けが可能です。
• 複数のアカウントおよびリージョンにまたがるスケールでの IMDSv2 移行追跡に対応しています。
• インスタンスのメタデータオプションを確認するための独自ツールを構築する必要がなくなります。
• すべての AWS リージョンで追加費用なしで利用できます。
• 詳細は Amazon EC2 User Guide の ImdsV1Enabled CloudWatch metric を参照してください。
• 移行手順は Amazon EC2 User Guide の Transition to IMDSv2 を参照してください。

当サイトの考察

IMDSv1 はリクエストフォージェリ攻撃に対して脆弱であることが知られており、AWS は IMDSv2 への移行を推奨しています。これまで移行状況の把握には独自のスクリプトや運用ツールが必要でしたが、ImdsV1Enabled メトリクスの登場により、標準の CloudWatch 機能だけで継続的な監視が可能になります。移行を完了していない環境では、このメトリクスを活用して残存インスタンスを早期に特定することが望ましいです。

確認できていない事項

• 東京リージョン（ap-northeast-1）や大阪リージョン（ap-northeast-3）での提供については資料に明示されていません（「すべての AWS リージョン」との記載はあります）。
• メトリクスの具体的な更新頻度や粒度については資料に記載がありません。

この記事は、AWS 公式の発表をもとに AI が作成し、自動で公開しています。