"AWSSupport-ConfigureEC2Metadata" 자동화 런북을 사용하여 Amazon EC2 인스턴스에 대한 인스턴스 메타데이터 서비스(IMDS) 옵션을 구성하는 방법

AWS Systems Manager에서 제공하는 "AWSSupport-ConfigureEC2Metadata" 자동화 런북을 사용하면 Amazon EC2 인스턴스에 대한 인스턴스 메타데이터 서비스(IMDS) 옵션을 쉽고 빠르게 구성할 수 있습니다.

인스턴스 메타데이터 요청에 대해 원하는 HTTP PUT 응답 홉(hop) 제한을 구성하고, 인스턴스 메타데이터 액세스를 허용하거나 거부하도록 설정할 수 있습니다. 또한, 이 자동화 런북은 Amazon EC2 인스턴스에 구성된 인스턴스 메타데이터 서비스 버전을 IMDSv2로 변경하려는 경우에도 유용합니다.

 

중요 : IMDSv2를 적용하면 IMDSv1이 더 이상 작동하지 않으며 IMDSv1을 사용하는 애플리케이션이 제대로 작동하지 않을 수 있습니다. IMDSv2를 적용하기 전에 Amazon EC2 메타데이터를 사용하는 모든 애플리케이션이 IMDSv2를 지원하는 버전으로 업그레이드되었는지 확인하십시오. 인스턴스 메타데이터에 대한 자세한 내용은 인스턴스 메타데이터 서비스 구성을 참조해 주세요.

 

사전 요구 사항

이 자동화 런북을 성공적으로 실행하려면 "AutomationAssumeRole" 파라미터에 다음을 수행할 수 있는 권한을 가진 IAM 역할(role)이 있어야 합니다.

● ec2:DescribeInstances

● ec2:ModifyInstanceMetadataOptions

● ssm:GetAutomationExecution

● ssm:StartAutomationExecution

 

자동화 런북 실행 방법

1. 인스턴스 메타데이터 서비스 옵션을 구성할 EC2 인스턴스의 ID를 확인합니다.
2. AWS Systems Manager 콘솔로 이동하여 왼쪽 네비게이션에서 자동화(Automation)을 선택합니다.
3. 오른쪽의 자동화 실행(Execute automation) 버튼을 클릭합니다.
4. 중앙의 자동화 런북에서 "AWSSupport-ConfigureEC2Metadata"을 검색하고 선택한 뒤 하단에서 다음(Next)를 클릭합니다.

5. 기본적으로 단순 실행(Simple execution)으로 선택됩니다. 입력 파라미터 섹션에서 필요한 정보를 입력합니다.

● InstanceId : 앞서 확인한 인스턴스 메타데이터 서비스 옵션을 구성할 EC2 인스턴스의 ID를 선택합니다. 만약 해당 인스턴스가 리스트에 없을 경우 "Show interactive instance picker" 스위치를 토글하시면 직접 인스턴스 ID를 입력할 수 있습니다.

● HttpputResponseHopLimit : 인스턴스 메타데이터 요청에 필요한 HTTP PUT 응답 홉 제한 값입니다. 이 값은 PUT 응답이 통과할 수 있는 홉 수를 제어합니다. 응답이 인스턴스 외부로 이동하는 것을 방지하기 위해 파라미터 값에 1을 권장합니다.

● EnforceIMDSv2 : IMDSv2 적용 여부를 설정합니다. Required로 선택한 경우 Amazon EC2 인스턴스는 IMDSv2만 사용합니다. Optional을 선택할 경우 메타데이터 액세스를 위해 IMDSv1과 IMDSv2 중 하나를 선택할 수 있습니다.

● MetadataAccess : 인스턴스 메타데이터 액세스를 허용하거나 거부하도록 설정합니다. Enabled를 선택하면 Amazon EC2 인스턴스에서 메타데이터에 액세스할 수 있습니다. Disabled를 선택할 경우 다른 모든 파라미터가 무시되고 설정한 인스턴스에 대한 인스턴스 메타데이터 액세스가 거부됩니다.

● AutomationAssumeRole : 드롭다운 목록에서 이 자동화 런북을 실행하는 IAM 역할을 선택합니다.

6. 하단에 실행(Execute)를 클릭합니다.
7. 자동화 런북이 실행되는 동안 위에서 설명한 작업이 자동으로 진행됩니다.
8. 자동화 런북이 성공적으로 실행 완료되며, 그 결과(Output)을 통해 설정 확인 및 설정 변경 사항을 확인하실 수 있습니다. 아래 예는 HTTP PUT 홉을 1로 설정하고 IMDSv2의 사용을 강제하며, 인스턴스 메타데이터 액세스를 허용하도록 입력 파라미터를 설정하고 실행한 결과 입니다.

   

참고

[+] AWSSupport-ConfigureEC2Metadata

[+] Instance metadata and user data

[+] 인스턴스 메타데이터 서비스 구성