EC2 ImdsV1Enabled คือเมตริก CloudWatch ใหม่ที่ AWS ประกาศเมื่อ 5 พฤศจิกายน 2026 บอกว่าอินสแตนซ์ไหนยังอนุญาต IMDSv1 ใช้ได้ทุก Region ไม่มีค่าใช้จ่ายเพิ่ม
โดย กองบรรณาธิการ THAI DATA อ่าน 3 นาที
สรุปประเด็นสำคัญ
- AWS ประกาศเมื่อ 5 พฤศจิกายน 2026 ว่า Amazon EC2 เผยแพร่เมตริก ImdsV1Enabled ใน CloudWatch เพื่อบอกว่าอินสแตนซ์ใดยังเปิดใช้ Instance Metadata Service Version 1 (IMDSv1)
- เมตริกมีค่า 1 เมื่อ IMDSv1 เปิดอยู่ (httpTokens = optional) และ 0 เมื่อปิดแล้ว (httpTokens = required) ใช้ได้ใน ทุก AWS Region โดย ไม่มีค่าใช้จ่ายเพิ่ม
- ต่างจากเมตริกเดิม MetadataNoToken ที่ส่งค่าเฉพาะตอนมีการเรียก IMDSv1 จริง ImdsV1Enabled ส่งตามการตั้งค่าของอินสแตนซ์ จึงเห็นเครื่องที่ยังเปิดไว้แม้ไม่มีใครเรียกใช้
- เอกสาร AWS แนะนำเส้นทางย้าย 5 ขั้น ตั้งแต่หาเครื่องที่ยังเปิด IMDSv1 ไปจนถึงบังคับ IMDSv2 และ Amazon Linux 2023 ปิด IMDSv1 เป็นค่าเริ่มต้นอยู่แล้ว
Amazon Web Services (AWS) ประกาศเมื่อวันที่ 5 พฤศจิกายน 2026 ว่า Amazon EC2 เผยแพร่เมตริก EC2 ImdsV1Enabled ใน CloudWatch ให้เห็นว่าอินสแตนซ์ใดยังอนุญาต Instance Metadata Service Version 1 (IMDSv1) อยู่ ใช้ได้ทุก AWS Region และไม่มีค่าใช้จ่ายเพิ่ม ช่วยให้ทีมที่ย้ายไป IMDSv2 ไม่ต้องเขียนเครื่องมือตรวจเอง
EC2 ImdsV1Enabled วัดอะไร
IMDS คือบริการเมทาดาทาที่ซอฟต์แวร์บนอินสแตนซ์เรียกเพื่ออ่านข้อมูลของเครื่อง เช่น ข้อมูลบทบาท (role) ที่ใช้ขอ credentials เอกสาร AWS อธิบายว่า IMDSv2 ใช้เซสชันที่มีโทเค็น ส่วน IMDSv1 ไม่ใช้โทเค็น
เมตริก EC2 ImdsV1Enabled บอกว่าอินสแตนซ์นั้นตั้งให้ยอมรับ IMDSv1 หรือไม่
| ค่าเมตริก | ความหมาย | การตั้งค่า httpTokens |
|---|---|---|
| 1 | IMDSv1 ยังเปิดอยู่ | optional |
| 0 | IMDSv1 ปิดแล้ว | required |
เอกสาร AWS ระบุว่าค่าผลรวม (Sum) ของเมตริกในหนึ่งบัญชีและหนึ่ง Region คือจำนวนอินสแตนซ์ที่ยังอนุญาต IMDSv1 AWS แนะนำให้ตั้งแดชบอร์ดและสัญญาณเตือนใน CloudWatch เพื่อดูช่องว่างของการย้ายและจัดลำดับการแก้
ต่างจากเมตริกเดิมอย่างไร
CloudWatch มีเมตริกที่เกี่ยวกับ IMDS อยู่แล้วสองตัว คือ MetadataNoToken นับจำนวนการเรียก IMDSv1 และ MetadataNoTokenRejected นับจำนวนครั้งที่เรียก IMDSv1 แล้วถูกปฏิเสธหลังปิดแล้ว สองตัวนี้ส่งค่าเมื่อมีการเข้าถึง IMDS เท่านั้น
ส่วน EC2 ImdsV1Enabled ส่งตามการตั้งค่าของอินสแตนซ์ จึงเห็นเครื่องที่ยังเปิด IMDSv1 ไว้แม้ไม่มีการเรียก IMDSv1 เลย เมตริกเดิมจึงเหมาะบอกว่ามีซอฟต์แวร์ตัวไหนยังเรียก IMDSv1 ส่วนเมตริกใหม่เหมาะบอกว่าต้องแก้ค่าตั้งบนกี่เครื่อง
เส้นทางย้ายไป IMDSv2 5 ขั้นตามเอกสาร AWS
- หาอินสแตนซ์ที่ยังเป็น optional ด้วย EC2 ImdsV1Enabled หรือตัวกรอง IMDSv2 = optional ใน EC2 console และตรวจการเรียก IMDSv1 ด้วย MetadataNoToken
- อัปเดตซอฟต์แวร์ที่ใช้ role credentials ให้เป็น SDK และ CLI รุ่นที่รองรับ IMDSv2
- ปิด IMDSv1 บนอินสแตนซ์เดิมและใหม่ หลังยืนยันว่า MetadataNoToken เป็นศูนย์ แล้วเฝ้า MetadataNoTokenRejected
- ตั้ง IMDSv2 = required เป็นค่าเริ่มต้น
- บังคับให้อินสแตนซ์ต้องใช้ IMDSv2
เอกสารระบุว่าแก้ค่านี้บนเครื่องที่กำลังรันได้ และมีผลทันทีโดยไม่ต้องรีสตาร์ต Amazon Linux 2 และ Amazon Linux 2023 รองรับ IMDSv2 ทุกแพ็กเกจ และ Amazon Linux 2023 ปิด IMDSv1 เป็นค่าเริ่มต้น
หาเครื่องที่ยังเปิด IMDSv1 ด้วยมือ
เมตริกบอกจำนวน ส่วนจะรู้ว่าเป็นเครื่องไหนต้องใช้ EC2 console หรือ AWS CLI ตามเอกสาร AWS ใน console ให้เลือก Instances แล้วเพิ่มตัวกรอง IMDSv2 = optional หรือเปิดคอลัมน์ IMDSv2 ในหน้า Preferences ส่วน CLI ใช้คำสั่ง describe-instances กรองด้วย metadata-options.http-tokens = optional แล้วดึงรหัสอินสแตนซ์ออกมา
เมื่อได้รายชื่อแล้ว ให้ใช้ MetadataNoToken ดูว่าเครื่องไหนมีการเรียก IMDSv1 จริง และใช้ IMDS Packet Analyzer ซึ่งเป็นเครื่องมือโอเพนซอร์สของ AWS บันทึกการเรียก IMDSv1 ช่วงบูตและช่วงทำงาน เพื่อรู้ว่าซอฟต์แวร์ตัวไหนต้องอัปเดต เครื่องที่ไม่มีการเรียก IMDSv1 เลยปิดได้ง่ายที่สุด แต่ยังควรเฝ้า MetadataNoTokenRejected หลังปิด เพราะถ้ามีค่าแปลว่ามีซอฟต์แวร์พยายามเรียกแบบเดิมและถูกปฏิเสธ
ทำไมเรื่องนี้สำคัญ
AWS บอกว่าเมตริกนี้ช่วยให้ติดตามการย้ายไป IMDSv2 ข้ามหลายบัญชีและหลาย Region ได้โดยไม่ต้องสร้างเครื่องมือตรวจเอง ทีมที่ตั้งสัญญาณเตือนไว้จึงรู้เมื่อมีเครื่องที่ยังเปิด IMDSv1 อยู่ และเมตริกนี้ไม่ต้องรอให้ซอฟต์แวร์เรียก IMDS ก่อนจึงจะมีค่า
เรื่องที่ใกล้กันคือการจัดการต้นทุนและบันทึกบน AWS ดูข่าว Amazon RDS คิดค่า snapshot แยกรายตัว และหมวดคลาวด์
สิ่งที่องค์กรควรทำ
- เปิดแดชบอร์ด CloudWatch นับผลรวมของ ImdsV1Enabled ทุกบัญชีและ Region ที่ใช้ แล้วจดจำนวนเริ่มต้นเป็นฐาน
- ใช้ MetadataNoToken และ IMDS Packet Analyzer หาซอฟต์แวร์ที่ยังเรียก IMDSv1 ก่อนปิด
- ตั้งค่า launch template และ Auto Scaling group ให้ใหม่ทุกเครื่องต้องใช้ IMDSv2
- ปิด IMDSv1 ทีละกลุ่ม เริ่มจากกลุ่มนำร่อง และเฝ้า MetadataNoTokenRejected หลังปิด
- ตั้งสัญญาณเตือนเมื่อมีเครื่องใหม่ที่ค่า ImdsV1Enabled เป็น 1
บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง
องค์กรไทยที่ใช้งานคลาวด์หลายบัญชีมักมีงานตรวจการตั้งค่าและติดตามผลต่อเนื่องมากกว่าทีมไอทีภายในจะดูแลไหว Managed Cloud Services ของ THAI DATA CLOUD ดูแลตั้งแต่ติดตั้ง บริหาร ไปจนถึง Monitoring ระบบคลาวด์ขององค์กรตลอด 24 ชั่วโมง เพื่อให้ทีมไอทีภายในโฟกัสงานหลักได้ (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)
ติดตามข่าวคลาวด์ได้ที่หมวดคลาวด์
ภาพบันทึก
คำถามที่พบบ่อย
EC2 ImdsV1Enabled คืออะไร?
EC2 ImdsV1Enabled คือเมตริก CloudWatch ที่ Amazon EC2 เผยแพร่ตามการตั้งค่าของแต่ละอินสแตนซ์ ค่า 1 แปลว่ายังอนุญาต IMDSv1 (httpTokens เป็น optional) ค่า 0 แปลว่าปิดแล้วและบังคับ IMDSv2 (httpTokens เป็น required)
EC2 ImdsV1Enabled ต่างจาก MetadataNoToken อย่างไร?
MetadataNoToken ส่งค่าเฉพาะเมื่อมีการเรียก IMDSv1 จริง ส่วน EC2 ImdsV1Enabled ส่งตามการตั้งค่า ทำให้เห็นอินสแตนซ์ที่ยังเปิด IMDSv1 ไว้แม้ไม่มีการเรียกใช้เลย จึงเหมาะนับความคืบหน้าการย้ายข้ามหลายบัญชีและหลาย Region
EC2 ImdsV1Enabled มีค่าใช้จ่ายหรือไม่ และใช้ได้ที่ไหน?
AWS ระบุว่าเมตริก EC2 ImdsV1Enabled ใช้ได้ในทุก AWS Region และไม่มีค่าใช้จ่ายเพิ่ม ส่วนการสร้างแดชบอร์ดหรือสัญญาณเตือนใน CloudWatch ผู้ใช้ควรตรวจราคา CloudWatch ของบัญชีตัวเองอีกครั้ง
ปิด IMDSv1 บนเครื่องที่รันอยู่ต้องรีสตาร์ตหรือไม่?
ไม่ต้อง เอกสาร AWS ระบุว่าแก้ค่าตัวเลือกเมทาดาทาบนอินสแตนซ์ที่กำลังรันได้ และมีผลทันทีโดยไม่ต้องรีสตาร์ต แต่ควรยืนยันก่อนว่า MetadataNoToken เป็นศูนย์ เพื่อไม่ให้ซอฟต์แวร์ที่ยังเรียก IMDSv1 หยุดทำงาน
แหล่งอ้างอิง
- Amazon EC2 now publishes ImdsV1Enabled CloudWatch metric — Amazon Web Services
- Transition to using Instance Metadata Service Version 2 - Amazon EC2 User Guide — Amazon Web Services
- Instance metrics - Amazon EC2 User Guide — Amazon Web Services
บุคคล องค์กร และสถานที่ในข่าวนี้
เลือกชื่อเพื่ออ่านข่าวทั้งหมดที่กล่าวถึง ตัวเลขคือจำนวนข่าว
- ผลิตภัณฑ์และเทคโนโลยี
- Amazon EC28Linux134
พบข้อมูลคลาดเคลื่อน? แจ้งกองบรรณาธิการ