检索实例元数据

由于您的正在运行的实例存在实例元数据，因此您无需使用 Amazon EC2 控制台或 Amazon CLI。这在您编写脚本以实现从实例运行时非常有用。例如，您可从实例元数据访问您的实例的本地 IP 地址来以管理与外部应用程序的连接。

实例元数据可划分成不同类别。有关每个实例元数据类别的描述，请参阅实例元数据类别。

要查看正在运行的实例内所有类别的实例元数据，请使用以下 IPv4 或 IPv6 URI。

IPv4


http://169.254.169.254/latest/meta-data/

IPv6


http://[fd00:ec2::254]/latest/meta-data/

IP 地址是链路本地地址，仅从该实例访问时有效。有关更多信息，请参阅 Wikipedia 上的链路本地地址。

注意

本部分中的示例使用 IMDS 的 IPv4 地址：169.254.169.254。如果要通过 IPv6 地址检索 EC2 实例的实例元数据，请确保启用并改用 IPv6 地址：fd00:ec2::254。IMDS 的 IPv6 地址与 IMDSv2 命令兼容。IPv6 地址仅可在基于 Nitro 系统构建的实例上访问。

根据您使用的是 IMDSv1 还是 IMDSv2，命令格式会有所不同。默认情况下，可以使用 IMDS 的两个版本。要要求使用 IMDSv2，请参阅使用 IMDSv2。

您可以使用 cURL 等工具，如以下示例中所示。

有关从 Windows 实例检索实例元数据的命令，请参阅 Amazon EC2 用户指南（适用于 Windows 实例）中的检索实例元数据。

成本

您无需为用于检索实例元数据和用户数据的 HTTP 请求付费。

注意事项

为避免实例元数据检索出现问题，请考虑以下事项：

在容器环境中，我们建议将跃点限制设置为 2。

默认情况下，Amazon开发工具包使用 IMDSv2 调用。如果 IMDSv2 调用没有收到任何响应，SDK 将重新调用，如果仍然不成功，则使用 IMDSv1。这可能会导致延迟，尤其是在容器环境中。在容器环境中，如果跃点限制为 1，则 IMDSv2 响应不会返回，因为转到容器被视为额外的网络跃点。为避免出现回退到 IMDSv1 的流程以及由此产生的延迟，在容器环境中，我们建议您将跃数限制设置为 2。有关更多信息，请参阅配置实例元数据选项。
对于 IMDSv2，在检索令牌时必须使用 /latest/api/token。

将 PUT 请求发放到任何版本特定的路径（例如 /2021-03-23/api/token）将导致元数据服务返回 403 禁止错误。这是预期行为。
如果需要 IMDSv2，则 IMDSv1 不起作用。

您可以检查某个实例是否需要 IMDSv2，如下所示：选择该实例以查看其详细信息，然后检查 IMDSv2 的值。其值为必需（只能使用 IMDSv2）或可选（可以使用 IMDSv2 和 IMDSv1）。

响应和错误消息

所有实例元数据以文本形式返回（HTTP 内容类型 text/plain）。

特定元数据资源的请求返回相应的值；如果资源不可用，则返回 HTTP 错误代码 404 - Not Found。

对通用元数据资源的请求 (以 / 结尾的 URI) 会返回一个可用资源列表，如果此类资源不存在，则会返回 HTTP 错误代码 404 - Not Found。列表中的各个项目位于被换行符 (ASCII 10) 终止的不同的行上。

对于使用实例元数据服务版本 2 发出的请求，可能会返回以下 HTTP 错误代码：

400 - Missing or Invalid Parameters – PUT 请求无效。
401 - Unauthorized – GET 请求使用无效的令牌。建议的措施是生成新的令牌。
403 - Forbidden – 该请求不被允许，或者 IMDS 已关闭。

检索实例元数据的示例

以下示例提供了可以在 Linux 实例上使用的命令。有关从 Windows 实例检索实例元数据的命令，请参阅 Amazon EC2 用户指南（适用于 Windows 实例）中的检索实例元数据。

获取实例元数据的可用版本

此示例可以获取实例元数据的可用版本。当有新的实例元数据类别发布时，每个版本都引用一个实例元数据构建。实例元数据构建版本与 Amazon EC2 API 版本不相关。如果您有依赖于以前版本中所存在的结构和信息的脚本，则您可使用早期版本。

注意

为避免每次 Amazon EC2 发布新的实例元数据构建时都必须更新您的代码，我们建议您在路径中使用 latest，而不是版本号。例如，如下所示使用 latest：

curl http://169.254.169.254/latest/meta-data/ami-id

获取顶级元数据项

此示例获得顶级元数据项目。有关更多信息，请参阅实例元数据类别。

以下示例获取在前面的示例中获取的某些顶级元数据项的值。IMDSv2 请求使用在前面的示例命令中创建和存储的令牌，并假设该令牌尚未过期。

获取可用的公有密钥列表

此示例获得可用公有密钥的列表。

显示可以使用公有密钥 0 的格式

此示例显示了可以使用公有密钥 0 的格式。

获取公有密钥 0（采用 OpenSSH 密钥格式）

此示例获得公有密钥 0 (以 OpenSSH 密钥格式)。

IMDSv2


[ec2-user ~]$ TOKEN=`curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 21600"` \
&& curl -H "X-aws-ec2-metadata-token: $TOKEN" -v http://169.254.169.254/latest/meta-data/public-keys/0/openssh-key
ssh-rsa MIICiTCCAfICCQD6m7oRw0uXOjANBgkqhkiG9w0BAQUFADCBiDELMAkGA1UEBhMC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 my-public-key

IMDSv1


[ec2-user ~]$ curl http://169.254.169.254/latest/meta-data/public-keys/0/openssh-key
ssh-rsa MIICiTCCAfICCQD6m7oRw0uXOjANBgkqhkiG9w0BAQUFADCBiDELMAkGA1UEBhMC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 my-public-key

获取实例的子网 ID

此示例获取实例的子网 ID。

获取实例的实例标签

在以下示例中，示例实例具有启用实例元数据上的标签和实例标签 Name=MyInstance 和 Environment=Dev。

此示例获取实例的所有实例标签键。

以下示例获取在上述示例中获取的 Name 密钥的值。IMDSv2 请求使用在前面的示例命令中创建和存储的令牌，并假设该令牌尚未过期。

查询限制

我们基于每个实例来限制对 IMDS 的查询，并且对从实例到 IMDS 的同时连接数进行限制。

如果您使用 IMDS 检索 Amazon 安全凭证，请避免在每个事务期间查询凭证或从大量线程或进程中并发查询凭证，因为这可能会导致节流。相反，我们建议您缓存凭证，直到凭证开始接近其到期时间。有关 IAM 角色以及与其关联的安全凭证的更多信息，请参阅从实例元数据中检索安全凭证。

如果在访问 IMDS 时受到限制，请使用指数回退策略重试查询。

限制 IMDS 访问权限

您可以考虑使用本地防火墙规则，以禁止从某些进程或所有进程中访问 IMDS。

注意

对于基于 Nitro 系统构建的实例，如果 VPC 内的网络设备（例如虚拟路由器）将数据包转发到 IMDS 地址，且实例的原定设置 source/destination check（源/目标检查）被禁用，则可以从您自己的网络访问 IMDS。要防止源从 VPC 外部到达 IMDS，我们建议您修改网络设备的配置，以丢弃目标 IPv4 地址为 IMDS 169.254.169.254 的数据包，并且如果您启用 IPv6 端点，则丢弃目标 IPv6 地址为 IMDS fd00:ec2::254 的数据包。

使用 iptables 限制访问

以下示例使用 Linux iptables 及其 owner 模块禁止 Apache Web 服务器（基于其默认安装用户 ID apache）访问 169.254.169.254。它使用拒绝规则 拒绝来自以该用户身份运行的任何进程的所有实例元数据请求（无论是 IMDSv1 还是 IMDSv2）。


$ sudo iptables --append OUTPUT --proto tcp --destination 169.254.169.254 --match owner --uid-owner apache --jump REJECT

或者，您可以考虑使用允许规则 以仅允许特定用户或组进行访问。从安全的角度看，允许规则可能更易于管理，因为它们要求您决定哪种软件需要访问实例元数据。如果使用允许规则，在您以后更改实例上的软件或配置时，不太可能会意外允许软件访问元数据服务（您不打算让该软件进行访问）。您还可以将组与允许规则结合使用，以便您可以在允许的组中添加和删除用户，而无需更改防火墙规则。

以下示例禁止所有进程访问 IMDS，但在用户账户 trustworthy-user 中运行的进程除外。


$ sudo iptables --append OUTPUT --proto tcp --destination 169.254.169.254 --match owner ! --uid-owner trustworthy-user --jump REJECT

注意

要使用本地防火墙规则，您需要修改前面的示例命令以符合您的需求。
默认情况下，不会在系统重新引导之间持久保留 iptables 规则。可以使用此处未介绍的操作系统功能持久保留这些规则。
只有在组是给定本地用户的主要组时，iptables owner 模块才会匹配组成员资格。不会匹配其他组。

使用 PF 或 IPFW 限制访问

如果使用 FreeBSD 或 OpenBSD，您也可以考虑使用 PF 或 IPFW。以下示例将 IMDS 访问限制为仅根用户。


$ block out inet proto tcp from any to 169.254.169.254


$ pass out inet proto tcp from any to 169.254.169.254 user root

IPFW


$ allow tcp from any to 169.254.169.254 uid root


$ deny tcp from any to 169.254.169.254

注意

PF 和 IPFW 命令的顺序至关重要。PF 默认为最后一个匹配规则，而 IPFW 默认为第一个匹配规则。

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

对于现有实例

处理实例用户数据