Amazon Linux/Amazon Linux2の初回起動時のセキュリティ自動更新を停止する

はじめに

運用しているAmazon Linuxのサーバーで、yum updateが自動的に適用されるという事象が発生しました。場合によっては一大事です。
踏み台（bastion)サーバにはyum-cronを設定していたりしますが、ウェブサーバでは基本的に自動アップデートは設定していません。確認したところ、Amazon Linux/Amazon Linux2サーバでは、初回起動時に重要なセキュリティアップデートが自動的に適用されることがわかりました。

情報源

https://aws.amazon.com/jp/amazon-linux-ami/faqs/より。

Q: 初回起動時に非常に重要なセキュリティアップデートの自動インストールを無効にするにはどうすればよいですか?
初回起動時に Amazon Linux AMI では、パッケージリポジトリから、必須または重要と思われるすべてのユーザースペースセキュリティアップデートがインストールされます。このインストールは、SSH などのサービスが開始される前に実行されます。

https://aws.amazon.com/jp/amazon-linux-2/faqs/より。