实例元数据服务是什么
实例元数据服务是云平台在实例内部提供的一个只读查询接口：通过固定链路地址就能读到自身的信息，例如实例 ID、所在地域与可用区、私有 IP、镜像 ID 与初始化数据。它的价值在于让脚本不必预先硬编码环境信息，开机后自己发现身份与位置。
基本信息
| 访问方式 | 在实例内发起 HTTP 请求读取，无需鉴权 |
|---|---|
| 可读内容 | 实例 ID、地域与可用区、私网 IP、镜像 ID、初始化数据等 |
| 地址差异 | 不同厂商使用的链路地址不同，需按文档确认 |
| 初始化数据 | 创建实例时传入的自定义数据可通过元数据读取 |
| 角色凭证 | 绑定角色的实例可通过元数据接口获取临时凭证 |
| 加固选项 | 部分平台支持限制访问方式或强制使用带令牌的请求 |
读取元数据示例
读取元数据示例
curl -s http://100.100.100.200/latest/meta-data/instance-id # 阿里云读取实例 ID
curl -s http://169.254.169.254/latest/meta-data/instance-id # 腾讯云与华为云常见地址
curl -s http://169.254.169.254/latest/meta-data/placement/region # 读取地域
curl -s http://169.254.169.254/latest/meta-data/local-ipv4 # 读取私网地址
curl -s http://169.254.169.254/latest/user-data # 读取创建时传入的初始化数据
# 严格按厂商文档确认可用字段与加固开关典型字段与用途
| 字段类别 | 用途 | 注意点 |
|---|---|---|
| 实例标识 | 脚本自注册、日志打标、监控维度 | 容器内网络隔离后可能读取失败，需要兜底 |
| 位置信息 | 自动选择就近的存储与接口接入点 | 跨地域部署时用于确认自身所处地域 |
| 网络信息 | 读取私网地址用于服务注册 | 公网地址可能是映射的弹性 IP，需区分 |
| 初始化数据 | 开机时按参数完成个性化配置 | 内容不宜存放敏感信息，实例内可读 |
| 角色凭证 | 程序获取临时凭证访问云服务 | 接口可被 SSRF 利用，需要加固 |
元数据服务只在实例内部可达，但一旦应用存在 SSRF 漏洞，攻击者可能借它读取临时凭证。应关注厂商提供的元数据加固选项，并对应用的出网请求做限制。
初始化数据适合传配置而不是传密码：它在实例内可被任意本地读取，也会出现在元数据接口返回中。敏感参数应通过配置中心或密钥服务下发，并在首次使用时轮转。