云元数据服务IMDSv2实施检测报告.docVIP

云元数据服务IMDSv2实施检测报告

一、IMDSv2技术架构与核心特性

（一）IMDSv2的技术演进背景

云元数据服务（InstanceMetadataService，IMDS）是云平台为虚拟机实例提供的一种内置服务，允许实例查询自身的元数据信息，如实例ID、区域信息、安全凭证等。早期的IMDSv1版本采用无状态的请求响应模式，实例通过简单的HTTP请求即可获取元数据，虽然实现简单，但存在显著的安全风险。攻击者可通过SSRF（服务器端请求伪造）漏洞，利用实例的网络权限访问IMDSv1接口，获取敏感的元数据信息，进而发起进一步的攻击。

为解决IMDSv1的安全隐患，云厂商推出了IMDSv2版本。IMDSv2引入了会话认证机制，要求实例在获取元数据前，先通过PUT请求获取一个临时的会话令牌，后续的元数据请求必须携带该令牌才能成功。这一机制有效防范了SSRF攻击，因为攻击者无法直接获取到有效的会话令牌，即使发起请求也会被拒绝。

（二）IMDSv2的核心技术架构

IMDSv2的技术架构主要由会话管理模块、认证授权模块和元数据存储模块三部分组成。

会话管理模块负责处理会话令牌的生成、分发和失效。当实例发送PUT请求到IMDSv2接口时，会话管理模块会生成一个具有时效性的会话令牌，并将其返回给实例。会话令牌的有效期可由用户配置，默认为6小时。同时，会话管理模块会记录每个令牌的关联信息，如