IMDS
InstanceMetaDataService
AWS EC2 のインスタンスの認証情報を取得できるエンドポイント
IMDSv1
SSRF攻撃が可能な脆弱性があると認証情報が抜かれる
IMDSv2
ベストプラクティス
code: (bash)
# v1
curl http://169.254.169.254/latest/meta-data/
# v2 はセッショントークンを取得する必要がある
TOKEN=curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 21600" \ && curl -H "X-aws-ec2-metadata-token: $TOKEN" -v http://169.254.169.254/latest/meta-data/
code: (bash)
$ curl http://169.254.169.254/latest/meta-data/
ami-id
ami-launch-index
ami-manifest-path
block-device-mapping/
events/
hibernation/
hostname
identity-credentials/
instance-action
instance-id
instance-life-cycle
instance-type
local-hostname
local-ipv4
mac
metrics/
network/
placement/
profile
public-hostname
public-ipv4
public-keys/
reservation-id
security-groups
services/
terraform では metadata_options から設定可能
Reference
IMDSv1を無効化したEC2でDatadog Agentを使うときは必ずec2_prefer_imdsv2オプションをtrueにしよう | by Daichi Harada | Medium