Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

使用 IMDSv2

您可以使用以下其中一种方法，从正在运行的实例中访问实例元数据：

默认情况下，您可以使用 IMDSv1 和/或 IMDSv2。实例元数据服务根据以下条件区分 IMDSv1 和 IMDSv2 请求：对于任何给定请求，PUT 或 GET 标头（对于 IMDSv2 是唯一的）在该请求中是否存在。有关更多信息，请参阅借助 EC2 实例元数据服务的增强功能，为开放式防火墙、反向代理和 SSRF 漏洞增加深度防御。

您可以在每个实例上配置实例元数据服务，以确保本地代码或用户必须使用 IMDSv2。在指定必须使用 IMDSv2 时，IMDSv1 不再起作用。有关更多信息，请参阅配置实例元数据选项。

要检索实例元数据，请参阅检索实例元数据。

实例元数据服务版本 2 的工作原理

IMDSv2 使用面向会话的请求。对于面向会话的请求，您创建一个会话令牌以定义会话持续时间，该时间最少为 1 秒，最多为 6 小时。在指定的持续时间内，您可以将相同的会话令牌用于后续请求。在指定的持续时间到期后，您必须创建新的会话令牌以用于将来的请求。

以下示例使用 Linux Shell 脚本和 IMDSv2 检索顶级实例元数据项。示例：

您可以运行两个单独的命令，也可以将它们组合使用。

单独的命令

首先，使用以下命令生成令牌。

[ec2-user ~]$ TOKEN=`curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 21600"`

然后，通过令牌使用以下命令生成顶级元数据项。

[ec2-user ~]$ curl -H "X-aws-ec2-metadata-token: $TOKEN" -v http://169.254.169.254/latest/meta-data/

组合命令

您可以存储令牌并组合命令。以下示例将上述两个命令组合在一起，并将会话令牌标头存储在名为 TOKEN 的变量中。

[ec2-user ~]$ TOKEN=`curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 21600"` \
&& curl -H "X-aws-ec2-metadata-token: $TOKEN" -v http://169.254.169.254/latest/meta-data/

在创建令牌后，您可以重复使用令牌，直到令牌过期。在以下示例命令（获取用于启动实例的 AMI 的 ID）中，将重复使用上一示例中的令牌（存储在 $TOKEN 中）。

[ec2-user ~]$ curl -H "X-aws-ec2-metadata-token: $TOKEN" -v http://169.254.169.254/latest/meta-data/ami-id

在使用 IMDSv2 请求实例元数据时，请求必须包含以下内容：

允许在 IMDSv2 实例元数据请求中使用 HTTP GET 和 HEAD 方法。如果 PUT 请求包含 X-Forwarded-For 标头，则会被拒绝。

默认情况下，PUT 请求的响应在 IP 协议级别的响应跃点数限制（生存时间）为 1。如果需要增大跃点数限制，您可以使用 modify-instance-metadata-options 命令进行调整。例如，您可能需要使用更大的跃点数限制，以便与实例上运行的容器服务保持向后兼容。有关更多信息，请参阅 Amazon CLI Command Reference 中的 modify-instance-metadata-options。

转换为使用 实例元数据服务版本 2

如果迁移到 IMDSv2，我们建议您使用以下工具和转换途径。

帮助转换为 IMDSv2 的工具

如果您的软件使用 IMDSv1，请使用以下工具帮助重新配置软件，以使用 IMDSv2。

要求 IMDSv2 访问的建议途径

在使用上述工具时，我们建议您按照以下途径转换为 IMDSv2：

步骤 1：在开始时

将在 EC2 实例上使用角色凭证的 SDK、CLI 和软件更新为与 IMDSv2 兼容的版本。有关更新 CLI 的信息，请参阅 Amazon Command Line Interface 用户指南中的升级到最新版本的 Amazon CLI。

然后，使用 IMDSv2 请求更改直接访问实例元数据的软件（换句话说，不使用开发工具包）。

第 2 步：跟踪转换进度

使用 CloudWatch 指标 MetadataNoToken 跟踪您的转换进度。此指标显示对在实例上使用 IMDSv1 的实例元数据服务的调用次数。有关更多信息，请参阅实例指标。

第 3 步：当 IMDSv1 的使用量为零时

当 CloudWatch 指标 MetadataNoToken 记录的 IMDSv1 使用量为零时，表明您的实例已准备好完全转换到使用 IMDSv2。在此阶段，您可以执行以下操作：

步骤 4：将所有实例转换为 IMDSv2 时

可以使用 ec2:MetadataHttpTokens、ec2:MetadataHttpPutResponseHopLimit 和 ec2:MetadataHttpEndpoint IAM 条件键来控制对 RunInstances 和 ModifyInstanceMetadataOptions API 以及相应 CLI 的使用。如果创建了策略，并且 API 调用中的参数与使用条件键的策略中指定的状态不匹配，API 或 CLI 调用将失败并显示 UnauthorizedOperation 响应。有关示例 IAM policies，请参阅 使用实例元数据。

使用支持的 Amazon 开发工具包

要使用 IMDSv2，EC2 实例必须使用支持 IMDSv2 的 Amazon 开发工具包版本。所有 Amazon 开发工具包的最新版本均支持使用 IMDSv2。

以下是支持使用 IMDSv2 的最低版本：