Elastic Compute Service:インスタンスメタデータ

インスタンスメタデータの取得

インスタンスメタデータは、インスタンス ID、ネットワーク環境、アクセス認証情報などの主要なプロパティを含む、インスタンス属性のコレクションです。

セキュリティ強化モードでのみアクセスを有効にする

深刻なセキュリティリスクを防ぐため、ECS インスタンスで [セキュリティ強化モード] を有効にしてください。このモードを有効にすると、セキュリティ強化モードでのみメタデータにアクセスできます。通常モードでメタデータにアクセスしようとすると、403 - Forbidden エラーが返されます。デフォルトでは、ECS インスタンスはトークンなしでのメタデータへのアクセス (通常モード) を許可しており、これは SSRF 攻撃の高いリスクをもたらします。

典型的な攻撃シナリオでは、外部 URL からイメージをダウンロードするなどのアプリケーション機能を悪用します。攻撃者は、サーバーを騙して内部のメタデータサービスに代理でアクセスさせる悪意のあるリクエストを作成できます。これを利用して、インスタンスにアタッチされた RAM ロールの一時的なアクセス認証情報を盗むことができます。ロールに高いレベルの権限がある場合、攻撃者はクラウドリソースを制御したり、Alibaba Cloud アカウント全体を乗っ取ったりする可能性があります。

aliyun ecs RunInstances \
--region cn-hangzhou \
--RegionId 'cn-hangzhou' \
--ImageId 'aliyun_3_x64_20G_alibase_20250629.vhd' \
--InstanceType 'ecs.g7.large' \
--VSwitchId 'vsw-bp1******trg' \
--SecurityGroupId 'sg-bp1******dgl' \
--SystemDisk.Size 40 \
--SystemDisk.Category cloud_essd \
--HttpEndpoint enabled \
--HttpTokens required

aliyun ecs ModifyInstanceMetadataOptions \
--region cn-hangzhou \
--RegionId 'cn-hangzhou' \
--InstanceId 'i-bp1******ke' \
--HttpEndpoint enabled \
--HttpTokens required

インスタンスメタデータの詳細

インスタンスメタデータは、レベルごとにアクセスできるディレクトリのような階層構造に編成されています。メタデータディレクトリにアクセスすると、次のレベルのメタデータエントリまたはサブディレクトリが返されます。たとえば、meta-data/instance/ にアクセスすると、instance-name や instance-type などの情報が返されます。

{
    "AccessKeyId": "****",
    "AccessKeySecret": "****",
    "Expiration": "2024-11-08T09:44:50Z",
    "SecurityToken": "****",
    "LastUpdated": "2024-11-08T03:44:50Z",
    "Code": "Success"
}

よくある質問

• SSRF 攻撃とは何ですか。また、セキュリティ強化モードはどのようにして SSRF 攻撃から防御しますか。

  SSRF は、攻撃者がサーバーをだまして不正なネットワークリクエストを行わせるセキュリティの脆弱性です。これは、メタデータサービスやデータベースなどの保護された内部システムにアクセスするために使用される可能性があります。たとえば、攻撃者は http://100.100.100.200/latest/meta-data/ を含む URL を送信して、アプリケーションをだましてメタデータから機密情報を取得して返させることができます。これにより、データ侵害が発生します。

  デフォルトでは、ECS インスタンスはメタデータへのトークンなしのアクセス (通常モード) を許可します。セキュリティ強化モードを有効にすると、トークン検証メカニズムが強制されます。クライアントは、まず PUT リクエストを送信して一時的なトークンを取得し、その後、後続の GET リクエストにそのトークンを含める必要があります。SSRF 攻撃は PUT リクエストを簡単に開始できないため、トークンを取得できません。これにより、アクセスが効果的にブロックされ、メタデータのセキュリティが向上します。

• セキュリティ強化モードでコマンドを使用してインスタンスメタデータにアクセスできません。どうすれば修正できますか。

  以下のコマンドエラーが一般的です:

  • インスタンスメタデータアクセス資格情報の TTL が範囲外です (400 - Missing or Invalid Parameters)

    インスタンスメタデータアクセス資格情報の TTL は 1～21,600 秒です。値がこの制限を超えると、400 - Missing or Invalid Parameters エラーが返されます。

    curl -X PUT "http://100.100.100.200/latest/api/token" -H "X-aliyun-ecs-metadata-token-ttl-seconds: 21700"

  • リクエストに X-Forwarded-For ヘッダーが含まれています (403 - Forbidden)

    curl -X PUT "http://100.100.100.200/latest/api/token" -H "X-Forwarded-For: www.ba****.com"

  • 指定されたインスタンスメタデータアクセス資格情報が無効です (401 - Unauthorized)

    curl -H "X-aliyun-ecs-metadata-token: aaa" -v http://100.100.100.200/latest/meta-data/

• メタデータサービスへの高頻度のアクセスがスロットリングされた場合はどうすればよいですか。

  メタデータサービスにはアクセス頻度の制限があります。ベストプラクティスは、instance-id など、ほとんど変更されないメタデータ項目をアプリケーションの起動時に一度取得することです。その後、それらをローカルメモリまたはファイルに、妥当な生存時間でキャッシュします。

• インスタンスメタデータのアクセスモードをセキュリティ強化モードに変更した後、アプリケーションが動作しなくなりました。この問題をトラブルシューティングするにはどうすればよいですか。

  インスタンス上のアプリケーションまたはスクリプトがまだ通常モードを使用している可能性があります。「既存のインスタンスをセキュリティ強化モードにアップグレードする」の手順に従って、通常モードを使用するアプリケーションを確認し、アップグレードしてください。

• ローカルホストからメタデータアドレスにアクセスできますか。

  いいえ、できません。アドレス 100.100.100.200 は、ECS インスタンス内からその仮想ネットワークインターフェースを介してのみ到達可能なリンクローカルアドレスです。インスタンスの外部からこのアドレスに送信されたリクエストはルーティングできません。これは、メタデータのセキュリティを確保するための基本的な設計原則です。

• カスタムイメージからインスタンスを作成するときにセキュリティ強化モードを選択できない場合はどうすればよいですか。

  カスタム Linux イメージから ECS インスタンスを作成するときに、[セキュリティ強化モード] を選択または有効にできない場合があります。これは通常、イメージがこのセキュリティ機能の要件を満たしていないことを意味します。この問題を解決するには、次のようにイメージをアップグレードします:

  1. 一時インスタンスの作成: アップグレードしたいカスタムイメージを使用して、診断と変更のための一時的な ECS インスタンスを作成します。

  2. 一時インスタンスの変更: ステップ 1 で作成した一時インスタンスで、次の変更を実行します。詳細については、「既存のインスタンスをセキュリティ強化モードにアップグレードする」をご参照ください。

     • Cloud-init のアップグレード: Cloud-init をバージョン 23.2.2 以降にアップグレードします。

     • アプリケーションとスクリプトの変更: 通常モードを使用するすべてのアプリケーションまたはスクリプトを変更して、セキュリティ強化モードに適応させます。

  3. 新しいイメージの作成と属性の変更: 変更が完了したら、インスタンスから新しいカスタムイメージを作成します。次に、ModifyImageAttribute 操作を呼び出して、イメージの Features.ImdsSupport 属性を `v2` に設定します。

  4. リソースのリリース: 新しいイメージが作成されたら、コストを節約するために一時インスタンスを速やかにリリースします。

• どのバージョンの Credentials ツールがセキュリティ強化モードをサポートしていますか。

  以前のバージョンの Credentials は、セキュリティ強化モードでのメタデータへのアクセスをサポートしていません。セキュリティ強化モードに切り替えると、これらのバージョンは通常モードでメタデータから STS トークンを取得して SDK を初期化することができません。これにより、サービスが中断されます。

  モードを切り替える前に、Credentials の依存関係をセキュリティ強化モードをサポートするバージョンにアップグレードしてください。バージョンの要件は次のとおりです:

  • Java: credentials-java バージョン >= 0.3.10。

  • Node.js: credentials バージョン >= 2.3.1。

  • PHP: credentials バージョン >= 1.2.0。

  • Python: alibabacloud_credentials バージョン >= 0.3.6。

  • Go: credentials-go バージョン >= 1.3.10。

• ECS インスタンスが通常モードでアクセスされているかどうかを検出するにはどうすればよいですか。

  通常モードを使用するインスタンス上のアプリケーションコードを確認する場合、次の方法を使用して特定のプロセスを検出し、特定することができます。これは、必要なアップグレードを実行するのに役立ちます。

  方法 1: CloudMonitor を使用して通常モードのアクセスを確認する

  CloudMonitor コンソールで ECS メタデータのモニタリングデータを確認して、インスタンスが最近通常モードでアクセスされたかどうかを迅速に確認できます。

  1. CloudMonitor コンソールにログインします。

  2. 左側のナビゲーションウィンドウで、[クラウドリソースのモニタリング] > [クラウドサービスのモニタリング] を選択します。次に、[ECS メタデータ] モニタリングページを検索して移動します。

  3. 対象インスタンスの [通常モードでのアクセス成功] メトリックを表示します。

  4. このメトリックの値が 0 でない場合、インスタンスは通常モードでアクセスされています。このモードを使用するアプリケーションを見つけて、セキュリティ強化モードを使用するようにアップグレードする必要があります。

  方法 2: クラウドアシスタントプラグインを使用して特定のプロセスを特定する

  クラウドアシスタントプラグインを使用して、インスタンス内で通常モードを使用してメタデータにアクセスしているプロセスを正確に特定できます。

  サポートされているオペレーティングシステム

  Alibaba Cloud Linux 3 Alibaba Cloud Linux 3 Pro Anolis OS 8 CentOS Stream 8/9 CentOS 8

  Ubuntu: 20/24 Debian:10,11,12 Fedora 35+ AlmaLinux 8/9 Rocky Linux 8/9

  Red Hat Enterprise Linux 8/9 Red Hat の場合、RPM パッケージをダウンロードして「クラウドアシスタントクライアントのインストール」を行う必要があります。 SUSE 15.1/15.2/15.3/15.4/15.5/15.6 OpenSuse 15.2/15.3/15.4/15.5/15.6

  プロシージャ

  1. クラウドアシスタントプラグインのインストールと有効化

     ECS インスタンスにログインし、次のコマンドを実行してモニタリングサービスをインストールして開始します。このサービスを有効にすると、インスタンスリソースが消費されます。

     # モニタリングサービスをデプロイします。
     sudo acs-plugin-manager --exec --plugin ACS-ECS-ImdsPacketAnalyzer
     
     # モニタリングサービスのステータスを確認します。
     sudo systemctl status imds_tracer_tool

     

  2. 問題のあるプロセスの特定 コマンドを実行して、どのプロセスがまだ通常モードでメタデータにアクセスしているかを確認します。ログには、関連するプロセスのプロセス ID (PID) が表示されます。

     cat /var/log/imds/imds-trace.* | grep WARNING

     

  3. 分析と変更 ログの PID に基づいて、対応するアプリケーションまたはスクリプトを見つけ、セキュリティ強化モードでメタデータにアクセスするようにアップグレードします。