AWS EC2 元数据服务访问说明

AWS EC2 元数据服务访问情况

访问目标：http://169.254.169.254/latest/meta-data/iam/security-credentials/

重要提示： AWS EC2元数据服务只能在EC2实例内部通过特定的链路本地地址访问。

EC2 元数据服务是什么？

AWS EC2元数据服务是一个特殊的网络端点，允许EC2实例查询自身的元数据信息。

这个服务仅在EC2实例内部可用，通过固定的链路本地地址：169.254.169.254 访问。

它提供了多种信息：

EC2元数据服务设计为只能在EC2实例内部访问，这是AWS的安全措施：

尝试从实例外部访问此地址将失败，因为网络数据包无法路由到目标实例。

如果您在EC2实例内部，可以使用以下命令访问元数据服务：

# 获取IAM角色名称

curl http://169.254.169.254/latest/meta-data/iam/security-credentials/

# 获取特定角色的临时凭证

curl http://169.254.169.254/latest/meta-data/iam/security-credentials/rolename

# 获取实例ID

curl http://169.254.169.254/latest/meta-data/instance-id

返回的数据包含临时安全凭据（AccessKeyId、SecretAccessKey、SessionToken）

保护EC2元数据访问非常重要：

最佳实践：

始终使用IMDSv2，它要求第一个请求是PUT操作，增加了攻击者直接从外部获取凭据的难度。

元数据服务提供了以下主要端点（均可通过 /latest/meta-data/ 前缀访问）：

此页面提供EC2元数据服务的信息说明。实际访问需要在EC2实例内部网络环境中进行。