Elastic Compute Service:Instance metadata

Dapatkan instance metadata

Instance metadata mencakup atribut seperti ID instans, konfigurasi jaringan, dan kredensial akses.

Hanya aktifkan mode penguatan keamanan

Aktifkan Security Hardening Mode agar metadata hanya dapat diakses dengan token. Permintaan dalam mode normal akan mengembalikan error 403 - Forbidden. Secara default, Instance ECS mengizinkan akses tanpa token (mode normal), yang berisiko tinggi terhadap serangan SSRF.

Serangan umum mengeksploitasi fitur aplikasi seperti mengunduh gambar dari URL eksternal. Penyerang membuat permintaan yang memancing server untuk mengakses layanan metadata dan mencuri kredensial sementara peran RAM. Jika peran tersebut memiliki izin tingkat tinggi, penyerang dapat mengambil alih sumber daya cloud Anda atau seluruh akun Alibaba Cloud Anda.

aliyun ecs RunInstances \
--region cn-hangzhou \
--RegionId 'cn-hangzhou' \
--ImageId 'aliyun_3_x64_20G_alibase_20250629.vhd' \
--InstanceType 'ecs.g7.large' \
--VSwitchId 'vsw-bp1******trg' \
--SecurityGroupId 'sg-bp1******dgl' \
--SystemDisk.Size 40 \
--SystemDisk.Category cloud_essd \
--HttpEndpoint enabled \
--HttpTokens required

aliyun ecs ModifyInstanceMetadataOptions \
--region cn-hangzhou \
--RegionId 'cn-hangzhou' \
--InstanceId 'i-bp1******ke' \
--HttpEndpoint enabled \
--HttpTokens required

Detail metadata instans

Metadata diorganisasikan dalam hierarki menyerupai direktori. Mengakses suatu direktori akan mengembalikan entri atau subdirektori-nya. Misalnya, meta-data/instance/ mengembalikan instance-name dan instance-type.

{
    "AccessKeyId": "****",
    "AccessKeySecret": "****",
    "Expiration": "2024-11-08T09:44:50Z",
    "SecurityToken": "****",
    "LastUpdated": "2024-11-08T03:44:50Z",
    "Code": "Success"
}

FAQ

• Apa itu serangan SSRF, dan bagaimana mode penguatan keamanan melindungi dari serangan tersebut?

  SSRF adalah kerentanan di mana penyerang memancing server untuk membuat permintaan jaringan tidak sah guna mengakses sistem internal seperti layanan metadata atau database. Misalnya, penyerang dapat mengirimkan URL yang berisi http://100.100.100.200/latest/meta-data/ untuk menipu aplikasi agar mengambil dan mengembalikan metadata sensitif.

  Secara default, instans ECS mengizinkan akses tanpa token (mode normal). Mode penguatan keamanan menerapkan validasi token: klien terlebih dahulu mengirim permintaan PUT untuk mendapatkan token sementara, lalu menyertakannya dalam permintaan GET. Karena serangan SSRF tidak dapat memulai permintaan PUT, mereka tidak bisa mendapatkan token, sehingga secara efektif memblokir akses tidak sah.

• Saya tidak dapat mengakses metadata instans menggunakan perintah dalam mode penguatan keamanan. Bagaimana cara memperbaikinya?

  Galat perintah umum:

  • TTL kredensial akses metadata instans berada di luar rentang (400 - Missing or Invalid Parameters)

    TTL harus antara 1 hingga 21.600 detik. Nilai di luar rentang ini akan mengembalikan 400 - Missing or Invalid Parameters.

    curl -X PUT "http://100.100.100.200/latest/api/token" -H "X-aliyun-ecs-metadata-token-ttl-seconds: 21700"

  • Permintaan berisi header X-Forwarded-For (403 - Forbidden)

    curl -X PUT "http://100.100.100.200/latest/api/token" -H "X-Forwarded-For: www.ba****.com"

  • Kredensial akses metadata instans yang ditentukan tidak valid (401 - Unauthorized)

    curl -H "X-aliyun-ecs-metadata-token: aaa" -v http://100.100.100.200/latest/meta-data/

• Apa yang harus saya lakukan jika akses frekuensi tinggi saya ke layanan metadata dibatasi lajunya?

  Layanan metadata memiliki batas laju akses. Ambil item yang jarang berubah—seperti instance-id—sekali saat startup dan simpan di cache lokal dengan TTL yang wajar.

• Aplikasi saya berhenti berfungsi setelah saya mengubah mode akses metadata instans ke mode penguatan keamanan. Bagaimana cara memecahkan masalah ini?

  Aplikasi atau skrip pada instans mungkin masih menggunakan mode normal. Ikuti panduan di Upgrade an existing instance untuk memeriksa dan memperbaruinya.

• Bisakah saya mengakses alamat metadata dari host lokal?

  Tidak. 100.100.100.200 adalah alamat link-lokal yang hanya dapat dijangkau dari dalam instans ECS melalui antarmuka jaringan virtualnya. Permintaan dari luar instans tidak dapat diarahkan ke alamat ini.

• Apa yang harus saya lakukan jika saya tidak dapat memilih mode penguatan keamanan saat membuat instans dari gambar kustom?

  Saat membuat instans ECS dari gambar Linux kustom, Anda mungkin menemukan bahwa Security Hardening Mode tidak tersedia. Hal ini berarti gambar tersebut tidak memenuhi persyaratan. Perbarui gambar tersebut sebagai berikut:

  1. Buat instans sementara: Gunakan gambar kustom untuk membuat instans ECS sementara.

  2. Modifikasi instans sementara: Pada instans sementara, lakukan modifikasi berikut. Lihat Upgrade an existing instance.

     • Upgrade Cloud-init: Upgrade Cloud-init ke versi 23.2.2 atau lebih baru.

     • Modifikasi aplikasi dan skrip: Perbarui semua aplikasi atau skrip yang menggunakan mode normal menjadi mode penguatan keamanan.

  3. Buat gambar baru dan perbarui atributnya: Buat gambar kustom baru dari instans tersebut. Kemudian panggil ModifyImageAttribute untuk mengatur Features.ImdsSupport ke `v2`.

  4. Lepaskan sumber daya: Lepaskan instans sementara setelah gambar baru dibuat.

• Versi tool Credentials mana yang mendukung mode penguatan keamanan?

  Versi Credentials sebelumnya tidak mendukung akses metadata dalam mode penguatan keamanan. Beralih ke mode penguatan keamanan tanpa melakukan upgrade akan mencegah SDK mendapatkan token STS, sehingga menyebabkan gangguan layanan.

  Upgrade dependensi Credentials ke versi yang didukung sebelum mengganti mode:

  • Java: credentials-java versi >= 0.3.10.

  • Node.js: credentials versi >= 2.3.1.

  • PHP: credentials versi >= 1.2.0.

  • Python: alibabacloud_credentials versi >= 0.3.6.

  • Go: credentials-go versi >= 1.3.10.

• Bagaimana cara mendeteksi apakah instans ECS sedang diakses dalam mode normal?

  Gunakan metode berikut untuk mendeteksi dan melokalisasi proses yang mengakses metadata dalam mode normal.

  Metode 1: Gunakan CloudMonitor untuk memeriksa akses mode normal

  Periksa data pemantauan metadata ECS di konsol CloudMonitor untuk menentukan apakah instans tersebut diakses dalam mode normal.

  1. Masuk ke CloudMonitor console.

  2. Pada panel navigasi kiri, pilih Cloud Resource Monitoring > Cloud Service Monitoring. Cari dan buka halaman pemantauan ECS Metadata.

  3. Lihat metrik Successful Normal Mode Accesses untuk instans target.

  4. Jika metrik ini tidak bernilai 0, berarti instans tersebut sedang diakses dalam mode normal. Temukan dan upgrade aplikasi yang menggunakan mode normal tersebut.

  Metode 2: Gunakan plugin Cloud Assistant untuk melokalisasi proses tertentu

  Gunakan plugin Cloud Assistant untuk melokalisasi proses yang mengakses metadata dalam mode normal.

  Sistem operasi yang didukung

  Alibaba Cloud Linux 3 Alibaba Cloud Linux 3 Pro Anolis OS 8 CentOS Stream 8/9 CentOS 8

  Ubuntu: 20/24 Debian:10,11,12 Fedora 35+ AlmaLinux 8/9 Rocky Linux 8/9

  Red Hat Enterprise Linux 8/9 Untuk Red Hat, unduh paket RPM untuk menginstal Cloud Assistant Agent. SUSE 15.1/15.2/15.3/15.4/15.5/15.6 OpenSuse 15.2/15.3/15.4/15.5/15.6

  Prosedur

  1. Instal dan aktifkan plugin Cloud Assistant

     Masuk ke instans ECS dan instal layanan pemantauan. Layanan ini mengonsumsi sebagian sumber daya instans.

     # Deploy the monitoring service.
     sudo acs-plugin-manager --exec --plugin ACS-ECS-ImdsPacketAnalyzer
     
     # Check the status of the monitoring service.
     sudo systemctl status imds_tracer_tool

     

  2. Lokalisasi proses bermasalah Periksa proses mana yang masih mengakses metadata dalam mode normal. Log menampilkan ID proses (PID).

     cat /var/log/imds/imds-trace.* | grep WARNING

     

  3. Analisis dan modifikasi Temukan aplikasi atau skrip yang sesuai dengan PID tersebut dan upgrade ke mode penguatan keamanan.