# EC2 ImdsV1Enabled: AWS เพิ่มเมตริก CloudWatch ดูว่าเครื่องไหนยังเปิด IMDSv1 ฟรีทุก Region

> EC2 ImdsV1Enabled คือเมตริก CloudWatch ใหม่ที่ AWS ประกาศเมื่อ 5 พฤศจิกายน 2026 บอกว่าอินสแตนซ์ไหนยังอนุญาต IMDSv1 ใช้ได้ทุก Region ไม่มีค่าใช้จ่ายเพิ่ม

- ประเภท: ข่าว · หมวด: Cloud
- เผยแพร่: 2026-11-07T10:23:00.000Z · อัปเดต: 2026-11-07T10:23:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/cloud/ec2-imdsv1enabled-cloudwatch-metric-imdsv2-migration/

## สรุปประเด็นสำคัญ

- AWS ประกาศเมื่อ **5 พฤศจิกายน 2026** ว่า Amazon EC2 เผยแพร่เมตริก **ImdsV1Enabled** ใน CloudWatch เพื่อบอกว่าอินสแตนซ์ใดยังเปิดใช้ Instance Metadata Service Version 1 (IMDSv1)
- เมตริกมีค่า **1** เมื่อ IMDSv1 เปิดอยู่ (httpTokens = optional) และ **0** เมื่อปิดแล้ว (httpTokens = required) ใช้ได้ใน **ทุก AWS Region** โดย **ไม่มีค่าใช้จ่ายเพิ่ม**
- ต่างจากเมตริกเดิม MetadataNoToken ที่ส่งค่าเฉพาะตอนมีการเรียก IMDSv1 จริง ImdsV1Enabled ส่งตามการตั้งค่าของอินสแตนซ์ จึงเห็นเครื่องที่ยังเปิดไว้แม้ไม่มีใครเรียกใช้
- เอกสาร AWS แนะนำเส้นทางย้าย **5 ขั้น** ตั้งแต่หาเครื่องที่ยังเปิด IMDSv1 ไปจนถึงบังคับ IMDSv2 และ Amazon Linux 2023 ปิด IMDSv1 เป็นค่าเริ่มต้นอยู่แล้ว

Amazon Web Services (AWS) ประกาศเมื่อวันที่ 5 พฤศจิกายน 2026 ว่า Amazon EC2 เผยแพร่เมตริก EC2 ImdsV1Enabled ใน CloudWatch ให้เห็นว่าอินสแตนซ์ใดยังอนุญาต Instance Metadata Service Version 1 (IMDSv1) อยู่ ใช้ได้ทุก AWS Region และไม่มีค่าใช้จ่ายเพิ่ม ช่วยให้ทีมที่ย้ายไป IMDSv2 ไม่ต้องเขียนเครื่องมือตรวจเอง

## EC2 ImdsV1Enabled วัดอะไร

IMDS คือบริการเมทาดาทาที่ซอฟต์แวร์บนอินสแตนซ์เรียกเพื่ออ่านข้อมูลของเครื่อง เช่น ข้อมูลบทบาท (role) ที่ใช้ขอ credentials เอกสาร AWS อธิบายว่า IMDSv2 ใช้เซสชันที่มีโทเค็น ส่วน IMDSv1 ไม่ใช้โทเค็น

เมตริก EC2 ImdsV1Enabled บอกว่าอินสแตนซ์นั้นตั้งให้ยอมรับ IMDSv1 หรือไม่

| ค่าเมตริก | ความหมาย | การตั้งค่า httpTokens |
| --- | --- | --- |
| 1 | IMDSv1 ยังเปิดอยู่ | optional |
| 0 | IMDSv1 ปิดแล้ว | required |

เอกสาร AWS ระบุว่าค่าผลรวม (Sum) ของเมตริกในหนึ่งบัญชีและหนึ่ง Region คือจำนวนอินสแตนซ์ที่ยังอนุญาต IMDSv1 AWS แนะนำให้ตั้งแดชบอร์ดและสัญญาณเตือนใน CloudWatch เพื่อดูช่องว่างของการย้ายและจัดลำดับการแก้

![ภาพหน้าจอประกาศ Amazon EC2 now publishes ImdsV1Enabled CloudWatch metric บนหน้า What's New ของ AWS](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/ec2-imdsv1enabled-cloudwatch-metric-imdsv2-migration/ec2-imdsv1enabled-whats-new-screenshot.webp?v=b0d02acc) _(ภาพ: Amazon Web Services (ภาพหน้าจอ))_

## ต่างจากเมตริกเดิมอย่างไร

CloudWatch มีเมตริกที่เกี่ยวกับ IMDS อยู่แล้วสองตัว คือ MetadataNoToken นับจำนวนการเรียก IMDSv1 และ MetadataNoTokenRejected นับจำนวนครั้งที่เรียก IMDSv1 แล้วถูกปฏิเสธหลังปิดแล้ว สองตัวนี้ส่งค่าเมื่อมีการเข้าถึง IMDS เท่านั้น

ส่วน EC2 ImdsV1Enabled ส่งตามการตั้งค่าของอินสแตนซ์ จึงเห็นเครื่องที่ยังเปิด IMDSv1 ไว้แม้ไม่มีการเรียก IMDSv1 เลย เมตริกเดิมจึงเหมาะบอกว่ามีซอฟต์แวร์ตัวไหนยังเรียก IMDSv1 ส่วนเมตริกใหม่เหมาะบอกว่าต้องแก้ค่าตั้งบนกี่เครื่อง

## เส้นทางย้ายไป IMDSv2 5 ขั้นตามเอกสาร AWS

1. หาอินสแตนซ์ที่ยังเป็น optional ด้วย EC2 ImdsV1Enabled หรือตัวกรอง IMDSv2 = optional ใน EC2 console และตรวจการเรียก IMDSv1 ด้วย MetadataNoToken
2. อัปเดตซอฟต์แวร์ที่ใช้ role credentials ให้เป็น SDK และ CLI รุ่นที่รองรับ IMDSv2
3. ปิด IMDSv1 บนอินสแตนซ์เดิมและใหม่ หลังยืนยันว่า MetadataNoToken เป็นศูนย์ แล้วเฝ้า MetadataNoTokenRejected
4. ตั้ง IMDSv2 = required เป็นค่าเริ่มต้น
5. บังคับให้อินสแตนซ์ต้องใช้ IMDSv2

เอกสารระบุว่าแก้ค่านี้บนเครื่องที่กำลังรันได้ และมีผลทันทีโดยไม่ต้องรีสตาร์ต Amazon Linux 2 และ Amazon Linux 2023 รองรับ IMDSv2 ทุกแพ็กเกจ และ Amazon Linux 2023 ปิด IMDSv1 เป็นค่าเริ่มต้น

## หาเครื่องที่ยังเปิด IMDSv1 ด้วยมือ

เมตริกบอกจำนวน ส่วนจะรู้ว่าเป็นเครื่องไหนต้องใช้ EC2 console หรือ AWS CLI ตามเอกสาร AWS ใน console ให้เลือก Instances แล้วเพิ่มตัวกรอง IMDSv2 = optional หรือเปิดคอลัมน์ IMDSv2 ในหน้า Preferences ส่วน CLI ใช้คำสั่ง describe-instances กรองด้วย metadata-options.http-tokens = optional แล้วดึงรหัสอินสแตนซ์ออกมา

เมื่อได้รายชื่อแล้ว ให้ใช้ MetadataNoToken ดูว่าเครื่องไหนมีการเรียก IMDSv1 จริง และใช้ IMDS Packet Analyzer ซึ่งเป็นเครื่องมือโอเพนซอร์สของ AWS บันทึกการเรียก IMDSv1 ช่วงบูตและช่วงทำงาน เพื่อรู้ว่าซอฟต์แวร์ตัวไหนต้องอัปเดต เครื่องที่ไม่มีการเรียก IMDSv1 เลยปิดได้ง่ายที่สุด แต่ยังควรเฝ้า MetadataNoTokenRejected หลังปิด เพราะถ้ามีค่าแปลว่ามีซอฟต์แวร์พยายามเรียกแบบเดิมและถูกปฏิเสธ

## ทำไมเรื่องนี้สำคัญ

AWS บอกว่าเมตริกนี้ช่วยให้ติดตามการย้ายไป IMDSv2 ข้ามหลายบัญชีและหลาย Region ได้โดยไม่ต้องสร้างเครื่องมือตรวจเอง ทีมที่ตั้งสัญญาณเตือนไว้จึงรู้เมื่อมีเครื่องที่ยังเปิด IMDSv1 อยู่ และเมตริกนี้ไม่ต้องรอให้ซอฟต์แวร์เรียก IMDS ก่อนจึงจะมีค่า

เรื่องที่ใกล้กันคือการจัดการต้นทุนและบันทึกบน AWS ดู[ข่าว Amazon RDS คิดค่า snapshot แยกรายตัว](/cloud/amazon-rds-per-snapshot-billing-cost-allocation-tags/) และหมวด[คลาวด์](/cloud/)

## สิ่งที่องค์กรควรทำ

- เปิดแดชบอร์ด CloudWatch นับผลรวมของ ImdsV1Enabled ทุกบัญชีและ Region ที่ใช้ แล้วจดจำนวนเริ่มต้นเป็นฐาน
- ใช้ MetadataNoToken และ IMDS Packet Analyzer หาซอฟต์แวร์ที่ยังเรียก IMDSv1 ก่อนปิด
- ตั้งค่า launch template และ Auto Scaling group ให้ใหม่ทุกเครื่องต้องใช้ IMDSv2
- ปิด IMDSv1 ทีละกลุ่ม เริ่มจากกลุ่มนำร่อง และเฝ้า MetadataNoTokenRejected หลังปิด
- ตั้งสัญญาณเตือนเมื่อมีเครื่องใหม่ที่ค่า ImdsV1Enabled เป็น 1

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

องค์กรไทยที่ใช้งานคลาวด์หลายบัญชีมักมีงานตรวจการตั้งค่าและติดตามผลต่อเนื่องมากกว่าทีมไอทีภายในจะดูแลไหว [Managed Cloud Services](https://msp.thaidata.cloud/services/managed-cloud-services/) ของ THAI DATA CLOUD ดูแลตั้งแต่ติดตั้ง บริหาร ไปจนถึง Monitoring ระบบคลาวด์ขององค์กรตลอด 24 ชั่วโมง เพื่อให้ทีมไอทีภายในโฟกัสงานหลักได้ (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

ติดตามข่าวคลาวด์ได้ที่[หมวดคลาวด์](/cloud/)

## ภาพบันทึก

![ทางเดินระหว่างแถวแร็กเซิร์ฟเวอร์ใน AWS Data Center](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/ec2-imdsv1enabled-cloudwatch-metric-imdsv2-migration/aws-ec2-data-center-aisle.webp?v=9d4349ce) _(ภาพ: Amazon)_

![ช่างเทคนิคทำงานระหว่างแถวแร็กเซิร์ฟเวอร์ใน AWS Data Center](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/ec2-imdsv1enabled-cloudwatch-metric-imdsv2-migration/aws-ec2-data-center-technician-racks.webp?v=007409b1) _(ภาพ: Amazon)_

![ห้องระบบไฟฟ้าของ AWS Data Center](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/ec2-imdsv1enabled-cloudwatch-metric-imdsv2-migration/aws-ec2-data-center-electrical-room.webp?v=a763d6e0) _(ภาพ: Amazon)_

## คำถามที่พบบ่อย

### EC2 ImdsV1Enabled คืออะไร?

EC2 ImdsV1Enabled คือเมตริก CloudWatch ที่ Amazon EC2 เผยแพร่ตามการตั้งค่าของแต่ละอินสแตนซ์ ค่า 1 แปลว่ายังอนุญาต IMDSv1 (httpTokens เป็น optional) ค่า 0 แปลว่าปิดแล้วและบังคับ IMDSv2 (httpTokens เป็น required)

### EC2 ImdsV1Enabled ต่างจาก MetadataNoToken อย่างไร?

MetadataNoToken ส่งค่าเฉพาะเมื่อมีการเรียก IMDSv1 จริง ส่วน EC2 ImdsV1Enabled ส่งตามการตั้งค่า ทำให้เห็นอินสแตนซ์ที่ยังเปิด IMDSv1 ไว้แม้ไม่มีการเรียกใช้เลย จึงเหมาะนับความคืบหน้าการย้ายข้ามหลายบัญชีและหลาย Region

### EC2 ImdsV1Enabled มีค่าใช้จ่ายหรือไม่ และใช้ได้ที่ไหน?

AWS ระบุว่าเมตริก EC2 ImdsV1Enabled ใช้ได้ในทุก AWS Region และไม่มีค่าใช้จ่ายเพิ่ม ส่วนการสร้างแดชบอร์ดหรือสัญญาณเตือนใน CloudWatch ผู้ใช้ควรตรวจราคา CloudWatch ของบัญชีตัวเองอีกครั้ง

### ปิด IMDSv1 บนเครื่องที่รันอยู่ต้องรีสตาร์ตหรือไม่?

ไม่ต้อง เอกสาร AWS ระบุว่าแก้ค่าตัวเลือกเมทาดาทาบนอินสแตนซ์ที่กำลังรันได้ และมีผลทันทีโดยไม่ต้องรีสตาร์ต แต่ควรยืนยันก่อนว่า MetadataNoToken เป็นศูนย์ เพื่อไม่ให้ซอฟต์แวร์ที่ยังเรียก IMDSv1 หยุดทำงาน


## แหล่งอ้างอิง

- [Amazon EC2 now publishes ImdsV1Enabled CloudWatch metric](https://aws.amazon.com/about-aws/whats-new/2026/11/ec2-imdsv1enabled-cloudwatch-metric/) — Amazon Web Services
- [Transition to using Instance Metadata Service Version 2 - Amazon EC2 User Guide](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/instance-metadata-transition-to-version-2.html) — Amazon Web Services
- [Instance metrics - Amazon EC2 User Guide](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/viewing_metrics_with_cloudwatch.html) — Amazon Web Services