Standardmäßig aktiviert, und das sollte auch so sein
IMDSv2-Durchsetzung
Warum der Instanzmetadatendienst v2 auf BYOC-Läufern erzwungen wird und was kaputt geht, wenn dies nicht der Fall ist.
Der Instanzmetadatendienst verteilt temporäre IAM-Anmeldeinformationen an alles, was ihn erreichen kann. Auf IMDSv1 handelt es sich dabei um einen einzelnen nicht authentifizierten HTTP-GET – der problemlos über einen kompromittierten Build-Schritt oder eine serverseitige Anforderungsfälschung in einem Testgerät erreichbar ist.
IMDSv2 erfordert ein mit einem PUT erhaltenes Sitzungstoken, das die gängigen Angriffsformen abwehrt. Es wird standardmäßig auf BYOC-Läufern erzwungen und wir würden davon abraten, es zu deaktivieren.
Ihr nächster Build könnte doppelt so schnell sein — zum halben Preis
Kostenlos starten. Der Wechsel zurück ist dieselbe eine Zeile — auch dieses Diff veröffentlichen wir.