Por padrão, os nós ECS em um cluster ACK suportam o modo normal e o modo aprimorado (IMDSv2) para acessar metadados da instância, como IDs de instância, informações de VPC e dados da placa de interface de rede (NIC). Para aumentar a segurança do serviço de metadados da instância, alterne para o uso exclusivo do modo aprimorado (IMDSv2).
Após alternar para o modo exclusivamente aprimorado, o sistema rejeita requisições no modo normal. Se houver aplicações no cluster que dependam do serviço de metadados da instância, atualize o código delas para usar IMDSv2 antes de aplicar essa alteração.
Pré-requisitos
Antes de começar, verifique se você tem:
Um cluster gerenciado ACK ou um cluster dedicado ACK executando a versão 1.28 ou posterior. Para fazer upgrade, consulte Fazer upgrade manual de um cluster
-
Componentes instalados listados nas tabelas a seguir com versão igual ou superior à mínima exigida para o modo exclusivamente aprimorado
Aplicações que chamam o IMDS atualizadas para usar IMDSv2 (requisições baseadas em token). Para mais detalhes sobre o funcionamento do IMDSv2, consulte Metadados da instância
Ative o modo exclusivamente aprimorado
Defina o modo de acesso aos metadados da instância apenas durante a criação de um node pool ou na configuração de um node pool ao criar o cluster. Não é possível alterar essa opção após a criação do node pool. O procedimento abaixo usa a criação de um node pool como exemplo. Os itens de configuração são idênticos durante a criação de um cluster.
Faça login no ACK console. No painel de navegação à esquerda, clique em Clusters.
Na página Clusters, clique no nome do cluster. No painel de navegação à esquerda, clique em .
-
Clique em Create Node Pool e configure o node pool. Para todos os itens de configuração, consulte Crie e gerencie um node pool. Os itens a seguir são específicos deste recurso:
-
Operating System: Selecione uma imagem compatível com o modo exclusivamente aprimorado e que atenda à versão mínima necessária.
-
Public image
Operating system image
Minimum version
Container-optimized Alibaba Cloud Linux 3.2104 LTS 64-bit
20241226
Alibaba Cloud Linux 3.2104 LTS 64-bit
20241218
Ubuntu 22.04
20250722
ContainerOS 3.6
20250916
Verifique se a versão do cloud-init na imagem é 23.2.2 ou posterior. Para verificar e atualizar o cloud-init, consulte Instale cloud-init.
-
Instance Metadata Access Mode: Selecione Security Hardening Mode.
-