网站首页 >技术帮助文档 > 阿里云服务器ECS >云服务器 ECS使用实例元数据

云服务器 ECS使用实例元数据

发布时间: 2020-10-29 09:50:04文章作者: 网站编辑阅读量: 547

　　阿里云云服务器 ECS的使用实例元数据相关介绍，包括实例元数据访问模式、获取实例元数据详细内容，典名科技为您优质的服务。
　　典名科技介绍实例元数据的概念，典名科技为您并列出了支持的实例元数据项，您可以使用实例元数据灵活管理或配置ECS实例。
　　什么是实例元数据？
　　实例元数据包含了ECS实例在阿里云系统中的基本信息，例如实例ID、IP地址、网卡MAC地址和操作系统类型等。实例还支持动态实例元数据项，动态实例元数据是在实例初次启动以后产生或自定义的数据，目前包括系统事件、实例标识和实例自定义数据。
　　实例元数据列表
　　下表包含了ECS实例目前能获取的基本实例元数据项：
　　


实例元数据项	说明	引入版本
/dns-conf/nameservers	实例的DNS配置。	2016-01-01
/eipv4	实例主网卡挂载的弹性公网IP（IPv4类型）。	2016-01-01
/hostname	实例的主机名。	2016-01-01
/instance/instance-type	实例规格。	2016-01-01
/image-id	创建实例时所使用的镜像ID。	2016-01-01
/image/market-place/product-code	镜像市场镜像的商品码。	2016-01-01
/image/market-place/charge-type	镜像市场镜像的计费方式。	2016-01-01
/instance-id	实例ID。	2016-01-01
/mac	实例的MAC地址，如果实例存在多个网卡，只显示eth0上的MAC地址。	2016-01-01
/network-type	网络类型，只支持VPC类型实例。	2016-01-01
/network/interfaces/macs	网卡的MAC地址列表。	2016-01-01
/network/interfaces/macs/[mac]/network-interface-id	网卡的标识ID，其中[mac]参数需要替换为实例MAC地址。	2016-01-01
/network/interfaces/macs/[mac]/netmask	网卡对应的子网掩码。	2016-01-01
/network/interfaces/macs/[mac]/vswitch-cidr-block	网卡所属的虚拟交换机IPv4 CIDR段。	2016-01-01
/network/interfaces/macs/[mac]/vpc-cidr-block	网卡所属的VPC IPv4 CIDR段。	2016-01-01
/network/interfaces/macs/[mac]/private-ipv4s	网卡分配的私网IPv4地址列表。	2016-01-01
/network/interfaces/macs/[mac]/vpc-ipv6-cidr-blocks	网卡所属的VPC IPv6 CIDR段，仅支持已配置了IPv6的VPC类型实例。	2016-01-01
/network/interfaces/macs/[mac]/vswitch-id	网卡所属安全组的虚拟交换机ID。	2016-01-01
/network/interfaces/macs/[mac]/vpc-id	网卡所属安全组的VPC ID。	2016-01-01
/network/interfaces/macs/[mac]/primary-ip-address	网卡主私有IP地址。	2016-01-01
/network/interfaces/macs/[mac]/gateway	网卡对应的IPv4网关地址。	2016-01-01
/instance/max-netbw-egress	实例规格的出方向内网最大带宽。单位：Kbit/s。	2016-01-01
/instance/max-netbw-ingerss	实例规格的入方向内网最大带宽。单位：Kbit/s。	2016-01-01
/network/interfaces/macs/[mac]/ipv6s	网卡分配的IPv6地址列表，仅支持已配置了IPv6的VPC类型实例。	2016-01-01
/network/interfaces/macs/[mac]/ipv6-gateway	网卡所属的VPC的IPv6网关地址。	2016-01-01
/network/interfaces/macs/[mac]/vswitch-ipv6-cidr-block	网卡所属的虚拟交换机IPv6 CIDR段，仅支持已配置了IPv6的VPC类型实例。	2016-01-01
/private-ipv4	实例主网卡的私网IPv4地址。	2016-01-01
/public-ipv4	实例主网卡的公网IPv4地址。	2016-01-01
/ntp-conf/ntp-servers	NTP服务器地址。	2016-01-01
/owner-account-id	实例拥有者的阿里云账号ID。	2016-01-01
/public-keys	当前实例所有公钥的列表。	2016-01-01
/region-id	实例所属地域。	2016-01-01
/zone-id	实例所属可用区。	2016-01-01
/serial-number	实例所对应的序列号。	2016-01-01
/source-address	Linux实例的包管理软件（主要为Yum源或者apt源）获取更新的镜像库。	2016-01-01
/kms-server	Windows实例的KMS激活服务器。	2016-01-01
/wsus-server/wu-server	Windows实例的更新服务器。	2016-01-01
/wsus-server/wu-status-server	Windows实例的更新状态监控服务器。	2016-01-01
/vpc-id	实例所属VPC ID。	2016-01-01
/vpc-cidr-block	实例所属VPC CIDR段。	2016-01-01
/vswitch-cidr-block	实例所属虚拟交换机CIDR段。	2016-01-01
/vswitch-id	实例所属虚拟交换机ID。	2016-01-01
/ram/security-credentials/[role-name]	实例RAM角色策略所生成的STS临时凭证。只有在实例指定了RAM角色后，您才能获取STS临时凭证。其中[role-name]参数需要替换为实例RAM角色的名称。说明 STS临时凭证更新时间早于凭证失效前半小时，在这半小时内，新旧STS临时凭证均可以使用。	2016-01-01
/instance/spot/termination-time	抢占式实例的操作系统设置的停机释放时间，时区标准为UTC+0，格式为yyyy-MM-ddThh:mm:ssZ。例如，2018-04-07T17:03:00Z。	2016-01-01
/instance/virtualization-solution	ECS虚拟化方案，支持Virt 1.0和Virt 2.0。	2016-01-01
/instance/virtualization-solution-version	内部Build号。	2016-01-01
/instance-identity/pkcs7	实例标识签名。	2016-01-01

　　标识类动态实例元数据项
　　实例标识用于快速辨识并区分 ECS 实例，可以为应用程序权限控制和软件激活等提供重要的信任基础。实例标识由动态生成的实例标识文档（document）和实例标识签名（signature）组成。
　　
　　配置类动态实例元数据项
　　实例自定义数据主要通过不同类型的自定义脚本实现，然后在创建实例时指定，提供了自定义启动行为及传入数据的功能，例如，自动获取软件资源包、开启服务、打印日志、安装依赖包、初始化Web服务环境等其他配置实例环境的操作。实例自定义数据也可以作为普通数据，将某些信息传入实例中，您可以在实例中引用这些数据。

　　在实例开始运行时（Running），系统首先以管理员或者root权限运行实例自定义数据，其次运行初始化或/etc/init信息。

　　一、实例元数据访问模式
　　访问实例元数据时支持普通模式和加固模式。加固模式下，ECS实例基于token鉴权访问实例元数据。加固模式相比普通模式，对SSRF攻击有更好的防范效果。
　　典名科技介绍实例元数据访问模式
　　SSRF（Server-Side Request Forgery）是指攻击者利用服务器漏洞，篡改获取资源的请求发给服务端，进而利用服务端访问其所在内网资源的攻击方式。由于访问实例元数据时，服务端通过URL方式分享数据内容，因此可能被恶意篡改用于攻击从外网无法访问的内部系统。针对SSRF攻击，建议您采用加固模式访问实例元数据。
　　普通模式和加固模式的对比如下：
　

对比项	普通模式	加固模式
交互方式	请求/响应	会话
安全校验	同VPC内源IP地址校验	基于token鉴权
访问方法	通过curl命令直接访问endpoint	通过curl命令访问endpoint，请求中必须包含token标头

　　普通模式下，每次访问实例元数据时都需要建立新连接，且校验方式简单，请求完毕即释放连接。如果实例元数据服务器遭受攻击泄露RAM角色等敏感数据，会威胁到您的数据和资产。
　　加固模式下，ECS实例和实例元数据服务器间建立一个会话，并在访问实例元数据时通过token验证身份，超过有效期后关闭会话并清除token。访问流程详情请参见加固模式访问流程。token具有以下特点：
　　仅适用于一台ECS实例，将token文件复制到其它ECS实例使用，会被拒绝访问。
　　必须定义token有效期，范围为1秒~21600秒（6小时）。在有效期内可以重复使用，方便您平衡安全性和用户体验。
　　不接受代理访问，如果创建token的请求中包含X-Forwarded-For标头，则拒绝签发token。
　　不限制向ECS实例签发的token数量。
　　
　　加固模式应用场景
　　在以下场景中，建议您利用加固模式访问实例元数据，防范SSRF攻击，提高应用安全性。
　　自建网络防火墙应用
　　自建反向代理应用
　　自建并提供转码、下载服务的Web应用
　　
　　加固模式访问流程
　　以下为加固模式下创建token并使用token访问实例元数据的流程，但执行时可以通过一条curl命令实现。
　　1、使用PUT方法发起创建token请求。必须指定token有效期，标头格式为X-aliyun-ecs-metadata-token-ttl-seconds:。
　　2、实例元数据服务器签发token。
　　3、访问实例元数据时填入实例元数据服务器endpoint和token标头。token标头格式为X-aliyun-ecs-metadata-token: $TOKEN。
　　4、鉴权通过，实例元数据服务器返回实例元数据信息。

创建并使用token示例：

TOKEN=`curl -X PUT "http://100.100.100.200/latest/api/token" -H "X-aliyun-ecs-metadata-token-ttl-seconds: 21600"` \
&& curl -H "X-aliyun-ecs-metadata-token: $TOKEN"  http://100.100.100.200/latest/meta-data/instance-id

示例说明如下：

通过PUT方法创建一个有效期为21600秒（6小时）的token。
使用变量TOKEN存储token。
访问实例元数据中的ECS实例ID，并在请求中填入了token变量名称$TOKEN。

在token有效期内可以重复使用token，使用已有token示例：

curl -H "X-aliyun-ecs-metadata-token: $TOKEN"  http://100.100.100.200/latest/meta-data/instance-id

错误示例：

有效期过长。

curl -X PUT "http://100.100.100.200/latest/api/token" -H "X-aliyun-ecs-metadata-token-ttl-seconds: 21700"

创建token的请求中存在X-Forwarded-For标头。

curl -X PUT "http://100.100.100.200/latest/api/token" -H "X-Forwarded-For: www.ba****.com"

访问实例元数据时指定的token无效。

curl -H "X-aliyun-ecs-metadata-token: aaa" -v http://100.100.100.200/latest/meta-data/

　　二、如何为Linux实例和Windows实例获取实例元数据

仅支持获取专有网络VPC类型实例的实例元数据。

说明如果您手动更改了部分实例信息，这种更改不会体现到实例元数据中。

为Linux实例获取实例元数据

远程连接实例。
执行以下命令访问元数据的根目录。
```
curl http://100.100.100.200/latest/meta-data/
```
在URL中添加具体的元数据名称即可获取具体的元数据。
例如：
- 执行以下命令获取实例ID。
```
curl http://100.100.100.200/latest/meta-data/instance-id
```
- 执行以下命令获取创建实例时所使用的镜像ID。
```
curl http://100.100.100.200/latest/meta-data/image-id
```
- 执行以下命令获取活跃中的系统事件。
```
curl http://100.100.100.200/latest/maintenance/active-system-events
```
- 执行以下命令获取实例标识文档。
```
curl http://100.100.100.200/latest/dynamic/instance-identity/document
```
- 执行以下命令获取实例自定义数据。
```
curl http://100.100.100.200/latest/user-data
```

为Windows实例获取实例元数据

远程连接实例。
使用PowerShell执行以下命令可以获取实例元数据信息。
```
Invoke-RestMethod http://100.100.100.200/latest/meta-data/
```

在URL中添加具体的实例元数据项名称即可获取元数据信息。

例如：

执行以下命令获取实例ID。

Invoke-RestMethod http://100.100.100.200/latest/meta-data/instance-id

执行以下命令获取创建实例时所使用的镜像ID。

Invoke-RestMethod http://100.100.100.200/latest/meta-data/image-id

执行以下命令获取活跃中的系统事件。

Invoke-RestMethod http://100.100.100.200/latest/maintenance/active-system-events

执行以下命令获取实例标识文档。

Invoke-RestMethod http://100.100.100.200/latest/dynamic/instance-identity/document

执行以下命令获取实例自定义数据。

Invoke-RestMethod http://100.100.100.200/latest/user-data

上一篇：开启和关闭云服务器ECS实例释放保护可发送远程命令

下一篇：阿里云云服务器ECS实例使用实例自定义数据

最热文章

随机推荐

rds使用方法：阿里云服务器怎么连接rds

活动推荐

N4 1核2G 云服务器
C7 2核4G 云服务器
C6 2核4G 云服务器
S6 1核1G 云服务器
S6 1核2G 云服务器
C6a 2核4G 云服务器

内容推荐更多

咨询服务热线：18623333330 7X24小时服务专线：18905162986 在线咨询

阿里云旗舰级代理商— 重庆典名科技有限公司联系地址：重庆九龙坡区石桥铺一城精英国际40层