EC2 の宣言型ポリシー

概要

EC2 の宣言型ポリシー（DECLARATIVE_POLICY_EC2）は 宣言型ポリシー の一つで、Amazon VPC、Amazon EC2、Amazon EBS の基本設定を組織全体に強制する。

サポートされている属性

VPC Block Public Access

VPC / サブネットの IGW 経由のインターネットアクセスを制御する。

モード：

• off — VPC BPA 無効
• block_ingress — インバウンドのインターネットトラフィックをブロック（NAT Gateway / Egress-only IGW 経由のアウトバウンドは許可）
• block_bidirectional — IGW / Egress-only IGW 経由の全トラフィックをブロック

Exclusions（除外）：

• VPC 単位またはサブネット単位で除外を設定可能
• ポリシーで exclusions_allowed を enabled / disabled に設定
• 除外の作成はアカウント側で行う（ポリシー内では除外の作成はできない）

EBS Snapshot Block Public Access

EBS スナップショットの公開を制御する。

モード：

• block_all_sharing — 全てのパブリック共有をブロック（既存のパブリック共有もアクセス不可になる）
• block_new_sharing — 新規のパブリック共有をブロック（既存のパブリック共有は維持）
• unblocked — 制限なし

Image Block Public Access

AMI のパブリック共有を制御する。

モード：

• block_new_sharing — 新規のパブリック共有をブロック（既存のパブリック共有は維持）
• unblocked — 制限なし

Instance Metadata Defaults

新規 EC2 インスタンスの IMDS デフォルトを設定する。

主な設定：

• http_tokens — required（IMDSv2 強制）/ optional（IMDSv1 も許可）/ no_preference
• http_put_response_hop_limit — メタデータトークンの最大ホップ数（-1〜64）
• http_endpoint — IMDS エンドポイントの有効 / 無効
• instance_metadata_tags — インスタンスタグへのメタデータアクセスの有効 / 無効
• http_tokens_enforced — enabled にすると IMDSv1 インスタンスの起動自体が失敗する

Serial Console Access

EC2 シリアルコンソールのアクセスを制御する。

• enabled — シリアルコンソールアクセスを許可
• disabled — シリアルコンソールアクセスをブロック

Allowed Images Settings

EC2 で使用可能な AMI を制限する。

• state — enabled / disabled / audit_mode
• image_criteria — 許可する AMI の条件（プロバイダー、名前、Marketplace プロダクトコード、作成日、非推奨日）

検証ステータス