在工作區上強製執行AWS實例元數據服務v2

需求

• IMDSv2實施不支持使用孤立的AWS膠水目錄．要禁用隔離，請參見如何為所有集群遷移和實施IMDSv2．

• IMDSv2強製要求使用一個受支持的Databricks Runtime版本，如下所示Databricks運行時發布，但是不支持Light 2.4擴展支持版本。

如何為所有集群遷移和實施IMDSv2

要在新的非無服務器集群上強製執行IMDSv2:

1. IMDSv2實施不支持使用孤立的AWS膠水目錄．若要使用Glue目錄，請在集群中添加一個Spark conf行以禁用隔離模式:

   spark.databricks.hive.metastore.glueCatalog.isolation.enabled假

2. 升級代碼以使用IMDSv2。

   1. 升級您的工作負載使用的任何現有AWS cli和sdk。注意，Databricks已經升級了在Databricks運行時中默認安裝的SDK。Databricks建議您遵循AWS的標準升級指南確保安全過渡。

      修改工作區中的所有筆記本，以刪除任何現有的IMDSv1使用，並替換為IMDSv2使用。

      以IMDSv1 API客戶端代碼為例:

      curl http://169.254.169.254/latest/meta-data/

      例如，將其更改為IMDSv2 API客戶端代碼:

      令牌＝｀curl -X PUT“http://169.254.169.254/latest/api/token”＼- h“X-aws-ec2-metadata-token-ttl-seconds: 21600”｀& &＼＼curl - h“X-aws-ec2-metadata-token:美元的令牌＂＼- v http://169.254.169.254/latest/meta-data/

      有關更多指導和示例，請參閱AWS文章檢索實例元數據．

   2. 測試修改後的代碼，以確保它能在IMDSv2上正常工作。

3. 為工作空間啟用IMDSv2強製。

   1. 作為工作空間管理員，轉到管理控製台．

   2. 單擊工作空間設置選項卡。

   3. 點擊對所有集群強製執行AWS實例元數據服務V2．

   4. 刷新頁麵，確保設置生效。

4. 重新啟動任何正在運行的集群，以確保所有EC2實例都強製執行IMDSv2。如果集群附加到艦隊實例池，則創建一個新的艦隊實例池，並使用新的艦隊實例池重新創建集群。

5. 監控CloudWatch指標MetadataNoToken以確保您的工作空間沒有發出任何活動的IMDSv1調用。