¿Cómo configuro los metadatos de la instancia y activo las etiquetas en mi instancia de EC2?

Descripción corta

Puedes configurar las capacidades de IMDS predeterminadas para las nuevas instancias de tu cuenta de AWS en todas las regiones de AWS. De forma predeterminada, los tipos de instancia más recientes utilizan la versión 2 del servicio de metadatos de instancias (IMDSv2). Para usar la versión 1 del servicio de metadatos de instancias (IMDSv1) en estos tipos de instancias, debes activar IMDSv1 manualmente en la instancia. Se recomienda usar IMDSv2 por motivos de seguridad, a menos que debas usar IMDSv1.

Importante: Si configuras IMDSv2 en la instancia, IMDSv1 dejará de funcionar y es posible que las aplicaciones que utilizan IMDSv1 no funcionen correctamente. Antes de aplicar IMDSv2, actualiza las aplicaciones que utilizan metadatos de Amazon EC2 a una versión compatible con IMDSv2. Para obtener más información sobre las diferencias entre IMDSv1 e IMDSv2, consulta Uso del servicio de metadatos de instancias para acceder a los metadatos de la instancia.

De forma predeterminada, Amazon EC2 no proporciona acceso a las etiquetas de instancia en los metadatos de la instancia. Debes permitir el acceso en el momento del inicio de la instancia o después del inicio en una instancia en ejecución o detenida.

Resolución

Nota: Si se muestran errores al ejecutar comandos de la Interfaz de la línea de comandos de AWS (AWS CLI), consulta Solución de problemas de AWS CLI. Además, asegúrate de utilizar la versión más reciente de la AWS CLI.

Puedes usar una combinación de los siguientes métodos para configurar los metadatos de la instancia. Sin embargo, al iniciar la instancia, estableces el orden jerárquico de prioridad de las opciones de metadatos.

Configuración de los metadatos de la instancia en el nivel de AMI

Puedes configurar una imagen de máquina de Amazon (AMI) nueva o existente para usar IMDSv2. Cuando inicias una instancia con la AMI configurada, Amazon EC2 establece automáticamente la versión de los metadatos de la instancia en IMDSv2 y el límite de saltos en 2.

Importante: Asegúrate de comprobar que el software de la AMI es compatible con IMDSv2. Después de establecer el valor de imds-support en v2.0, no podrás revertirlo. La única forma de restablecer la AMI es usar la instantánea subyacente para crear una nueva AMI.

Para configurar una nueva AMI para usar IMDSv2, ejecuta el siguiente comando register-image de la AWS CLI:

aws ec2 register-image \
    --name my-image \
    --root-device-name /dev/xvda \
    --block-device-mappings DeviceName=/dev/xvda,Ebs={SnapshotId=snap-0123456789example} \
    --architecture x86_64 \
    --imds-support v2.0

Nota: Sustituye my-image por el nombre de tu AMI, /dev/xvda por el nombre del dispositivo de volumen raíz, snap-0123456789example por tu ID de instantánea y x86_64 por tu arquitectura.

Para configurar una AMI existente para que utilice IMDSv2, ejecuta el siguiente comando modify-image-attribute:

aws ec2 modify-image-attribute \
    --image-id ami-0123456789example \
    --imds-support v2.0

Nota: Sustituye ami-0123456789example por tu ID de AMI existente.

Permitir etiquetas en los metadatos de la plantilla de inicio

No puedes configurar directamente el acceso a las etiquetas de tus AMI. Debes crear una plantilla de inicio de Amazon EC2. En Detalles avanzados, define Permitir etiquetas en los metadatos en -. Las instancias que inicias desde esta plantilla de inicio permiten el acceso a todas las etiquetas de la instancia desde los metadatos de la instancia.

Configuración de los metadatos de la instancia a nivel de cuenta

Configura IMDSv2 para todas las instancias de tu cuenta. O bien, para permitir IMDSv1, para la versión de metadatos, selecciona V1 y V2 (token opcional). Para permitir el acceso a las etiquetas de los metadatos de la instancia a nivel de cuenta, en Valores predeterminados del IMDS, establece el Acceso a las etiquetas de los metadatos en Habilitado.

Importante: Debes configurar los metadatos de la instancia una vez para cada región de tu cuenta.

Configuración de los metadatos de la instancia a nivel de instancia

Nota: Las políticas de AWS Identity and Access Management (IAM) o las políticas de control de servicios (SCP) pueden restringir los cambios que puedes realizar en la configuración de las instancias.

Para configurar el acceso al IMDS y a las etiquetas de los metadatos de una instancia nueva, expande Detalles avanzados al iniciar la instancia. A continuación, configura los siguientes ajustes:

• En Metadatos accesibles, selecciona Habilitado.
• En Versión de metadatos, selecciona Solo V2 (se requiere el token) o V1 y V2 (el token es opcional).
  Nota: Si utilizas un entorno de contenedores, como Amazon Elastic Container Service (Amazon ECS) o Amazon Elastic Kubernetes Service (Amazon EKS), para el límite de saltos de respuesta de metadatos, selecciona 2.
• En Acceso a las etiquetas de los metadatos, selecciona Habilitado.

Para modificar una instancia existente, modifica la configuración. Para usar IMDSv1 o IMDSv2, selecciona Opcional para IMDSv2. Para aplicar IMDSv2, selecciona Necesario. A continuación, en Configuración de la instancia, selecciona Permitir etiquetas en los metadatos de la instancia.

Información relacionada

Servicio de metadatos de instancias de Amazon EC2 IMDSv2 de forma predeterminada

Obtener todas las ventajas de IMDSv2 y desactivar IMDSv1 en toda tu infraestructura de AWS