Eine Lücke bei der Migrationskontrolle schließen
Amazon EC2 veröffentlicht die CloudWatch-Metrik ImdsV1Enabled. Sie zeigt, ob eine Instanz Version 1 des Instance Metadata Service noch zulässt. AWS hat die Funktion am 5. November 2026 angekündigt.
Der Wert 1 bedeutet, dass IMDSv1 erlaubt ist und die Option httpTokens auf optional steht. Bei 0 ist IMDSv1 deaktiviert und httpTokens steht auf required. Das ist eine Aussage zur Konfiguration, kein Nachweis eines tatsächlichen Zugriffs.
Warum ein ausbleibender Zugriff nicht genügt
Die bestehende Metrik MetadataNoToken zählt erfolgreiche Metadatenzugriffe ohne Token. Wenn eine Software gerade keine solchen Anfragen stellt, kann eine weiterhin erlaubte IMDSv1-Konfiguration dadurch unentdeckt bleiben. ImdsV1Enabled wird dagegen anhand der Instanzkonfiguration veröffentlicht.
Teams können damit die Umstellung über Konten und Regionen verfolgen sowie CloudWatch-Dashboards und Alarme einrichten. AWS nennt die neue Metrik für alle AWS-Regionen ohne zusätzliche Kosten. Dies ist keine Aussage, dass sämtliche CloudWatch-Nutzung kostenlos wäre.
Die Metrik ändert die Einstellung nicht
AWS empfiehlt, zunächst erlaubte Konfigurationen und tatsächliche IMDSv1-Aufrufe zu prüfen, betroffene Software auf IMDSv2 umzustellen und anschließend IMDSv2 vorauszusetzen. ImdsV1Enabled führt diese Änderungen nicht selbst durch.
Nach dem Abschalten lässt sich mit MetadataNoTokenRejected verfolgen, ob Software weiterhin IMDSv1-Anfragen versucht. Die verlinkte EC2-Dokumentation beschreibt die einzelnen Schritte und unterscheidet bestehende Instanzen, neue Starts und Kontovorgaben.
