Elastic Compute Service:インスタンスメタデータ

インスタンスメタデータの取得

インスタンスメタデータには、インスタンス ID、ネットワーク構成、アクセス認証情報などの属性が含まれます。

セキュリティ強化モードのみを有効化

セキュリティ強化モード を有効化すると、トークンを使用した場合にのみメタデータにアクセスできるようになります。通常モードでのリクエストは、403 - Forbidden エラーを返します。デフォルトでは、ECS インスタンスはトークン不要のアクセス（通常モード）を許可しており、SSRF 攻撃のリスクが高くなります。

典型的な攻撃では、外部 URL から画像をダウンロードするなどのアプリケーション機能を悪用します。攻撃者は、サーバーがメタデータサービスにクエリを送信するように仕向け、RAM ロールの一時的な認証情報を盗み出します。このロールが高度な権限を持っている場合、攻撃者はクラウドリソースや Alibaba Cloud アカウント全体を乗っ取る可能性があります。

aliyun ecs RunInstances \
--region cn-hangzhou \
--RegionId 'cn-hangzhou' \
--ImageId 'aliyun_3_x64_20G_alibase_20250629.vhd' \
--InstanceType 'ecs.g7.large' \
--VSwitchId 'vsw-bp1******trg' \
--SecurityGroupId 'sg-bp1******dgl' \
--SystemDisk.Size 40 \
--SystemDisk.Category cloud_essd \
--HttpEndpoint enabled \
--HttpTokens required

aliyun ecs ModifyInstanceMetadataOptions \
--region cn-hangzhou \
--RegionId 'cn-hangzhou' \
--InstanceId 'i-bp1******ke' \
--HttpEndpoint enabled \
--HttpTokens required

インスタンスメタデータの詳細

メタデータはディレクトリのような階層構造で整理されています。ディレクトリにアクセスすると、そのエントリまたはサブディレクトリが返されます。たとえば、meta-data/instance/ にアクセスすると、instance-name および instance-type が返されます。

{
    "AccessKeyId": "****",
    "AccessKeySecret": "****",
    "Expiration": "2024-11-08T09:44:50Z",
    "SecurityToken": "****",
    "LastUpdated": "2024-11-08T03:44:50Z",
    "Code": "Success"
}

よくある質問

• SSRF 攻撃とは何ですか？また、セキュリティ強化モードはどのように防御しますか？

  SSRF は、攻撃者がサーバーをだまして内部システム（メタデータサービスやデータベースなど）への不正なネットワークリクエストを実行させる脆弱性です。たとえば、攻撃者は http://100.100.100.200/latest/meta-data/ を含む URL を送信し、アプリケーションに機密メタデータをフェッチさせて返させることができます。

  デフォルトでは、ECS インスタンスはトークン不要のアクセス（通常モード）を許可しています。セキュリティ強化モード ではトークンの検証が必須となり、クライアントはまず一時トークンを取得するための PUT リクエストを送信し、その後の GET リクエストにトークンを含める必要があります。SSRF 攻撃は PUT リクエストを開始できないため、トークンを取得できず、不正アクセスを効果的に阻止します。

• セキュリティ強化モードでコマンドを使用してインスタンスメタデータにアクセスできません。どうすればよいですか？

  一般的なコマンドエラー：

  • インスタンスメタデータアクセス認証情報の TTL が範囲外です（400 - Missing or Invalid Parameters）

    TTL は 1 ～ 21,600 秒の範囲内で指定する必要があります。この範囲外の値を指定すると、400 - Missing or Invalid Parameters エラーが返されます。

    curl -X PUT "http://100.100.100.200/latest/api/token" -H "X-aliyun-ecs-metadata-token-ttl-seconds: 21700"

  • リクエストに X-Forwarded-For ヘッダーが含まれています（403 - Forbidden）

    curl -X PUT "http://100.100.100.200/latest/api/token" -H "X-Forwarded-For: www.ba****.com"

  • 指定されたインスタンスメタデータアクセス認証情報が無効です（401 - Unauthorized）

    curl -H "X-aliyun-ecs-metadata-token: aaa" -v http://100.100.100.200/latest/meta-data/

• メタデータサービスへの高頻度アクセスがスロットルされた場合はどうすればよいですか？

  メタデータサービスにはレート制限があります。インスタンス ID など、あまり変更されない項目は起動時に一度取得し、適切な TTL でローカルにキャッシュしてください。

• インスタンスメタデータアクセスモードをセキュリティ強化モードに変更した後、アプリケーションが動作しなくなりました。この問題をトラブルシューティングするにはどうすればよいですか？

  インスタンス上のアプリケーションまたはスクリプトがまだ通常モードを使用している可能性があります。「既存のインスタンスのアップグレード」に従って、これらをチェックおよびアップグレードしてください。

• ローカルホストからメタデータアドレスにアクセスできますか？

  いいえ。100.100.100.200 はリンクローカルアドレスであり、ECS インスタンス内の仮想ネットワークインターフェースからのみ到達可能です。インスタンス外からのリクエストはこのアドレスにルーティングできません。

• カスタムイメージからインスタンスを作成する際にセキュリティ強化モードを選択できません。どうすればよいですか？

  Linux のカスタムイメージから ECS インスタンスを作成する際、セキュリティ強化モード が利用できない場合があります。これは、イメージが要件を満たしていないことを意味します。次のようにイメージをアップグレードしてください。

  1. 一時インスタンスの作成：カスタムイメージを使用して一時的な ECS インスタンスを作成します。

  2. 一時インスタンスの修正：一時インスタンス上で、次の修正を行います。「既存のインスタンスのアップグレード」をご参照ください。

     • cloud-init のアップグレード：cloud-init をバージョン 23.2.2 以降にアップグレードします。

     • アプリケーションおよびスクリプトの修正：通常モードを使用しているすべてのアプリケーションまたはスクリプトをセキュリティ強化モードに更新します。

  3. 新しいイメージの作成と属性の更新：インスタンスから新しいカスタムイメージを作成します。その後、ModifyImageAttribute を呼び出して、Features.ImdsSupport を `v2` に設定します。

  4. リソースの解放：新しいイメージの作成後、一時インスタンスを解放します。

• Credentials ツールのどのバージョンがセキュリティ強化モードをサポートしていますか？

  古いバージョンの Credentials はセキュリティ強化モードでのメタデータアクセスをサポートしていません。モード切り替え前にアップグレードせずに セキュリティ強化モード に切り替えると、SDK が STS トークンを取得できなくなり、サービス中断が発生します。

  モード切り替え前に、Credentials 依存関係をサポート対象のバージョンにアップグレードしてください。

  • Java: credentials-java バージョン >= 0.3.10。

  • Node.js: credentials バージョン >= 2.3.1。

  • PHP: credentials バージョン >= 1.2.0。

  • Python: alibabacloud_credentials バージョン >= 0.3.6。

  • Go: credentials-go バージョン >= 1.3.10。

• ECS インスタンスが通常モードでアクセスされているかどうかを検出するにはどうすればよいですか？

  次の方法を使用して、通常モードでメタデータにアクセスするプロセスを検出および特定します。

  方法 1：CloudMonitor を使用して通常モードのアクセスを確認

  CloudMonitor コンソールで ECS メタデータのモニタリングデータを確認し、インスタンスが通常モードでアクセスされているかどうかを判断します。

  1. CloudMonitor コンソールにログインします。

  2. 左側のナビゲーションウィンドウで、クラウドリソースモニタリング > クラウドサービスモニタリング を選択します。「ECS メタデータ」モニタリングページを検索して移動します。

  3. 対象インスタンスの 通常モードでの成功したアクセス回数 メトリックを確認します。

  4. このメトリックが 0 でない場合、インスタンスが通常モードでアクセスされています。通常モードを使用しているアプリケーションを特定してアップグレードしてください。

  方法 2：クラウドアシスタントプラグインを使用して特定のプロセスを特定

  クラウドアシスタントプラグインを使用して、通常モードでメタデータにアクセスするプロセスを特定します。

  サポートされるオペレーティングシステム

  Alibaba Cloud Linux 3 Alibaba Cloud Linux 3 Pro Anolis OS 8 CentOS Stream 8/9 CentOS 8

  Ubuntu: 20/24 Debian:10,11,12 Fedora 35+ AlmaLinux 8/9 Rocky Linux 8/9

  Red Hat Enterprise Linux 8/9 Red Hat の場合は、RPM パッケージをダウンロードしてクラウドアシスタントエージェントをインストールします。 SUSE 15.1/15.2/15.3/15.4/15.5/15.6 OpenSuse 15.2/15.3/15.4/15.5/15.6

  手順

  1. クラウドアシスタントプラグインのインストールと有効化

     ECS インスタンスにログインし、モニタリングサービスをインストールします。このサービスは一部のインスタンスリソースを消費します。

     # モニタリングサービスをデプロイします。
     sudo acs-plugin-manager --exec --plugin ACS-ECS-ImdsPacketAnalyzer
     
     # モニタリングサービスのステータスを確認します。
     sudo systemctl status imds_tracer_tool

     

  2. 問題のあるプロセスの特定 まだ通常モードでメタデータにアクセスしているプロセスを確認します。ログにはプロセス ID (PID) が表示されます。

     cat /var/log/imds/imds-trace.* | grep WARNING

     

  3. 分析と修正 PID に対応するアプリケーションまたはスクリプトを特定し、セキュリティ強化モード にアップグレードします。