云元数据地址 169.254.169.254 的风险控制

云主机元数据服务在 169.254.169.254 提供实例信息与临时凭据，历史上多次成为 SSRF 的涉猎目标；应优先启用需要令牌的元数据访问机制，并收紧实例网络出口。

防护动作清单

1. 启用需会话令牌的元数据访问（如 AWS IMDSv2）
2. 网络策略：业务容器与进程禁止直连 169.254.169.254
3. 最小化实例角色权限（限制临时凭据能力）
4. 应用层 SSRF 修复同步推进

aws ec2 modify-instance-metadata-options \
  --instance-id i-xxxxxxxx \
  --http-tokens required \
  --http-endpoint enabled

元数据凭据短期有效但仍可被滥用；确认疑似命中后，按凭据泄露流程轮换并审计调用记录。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌