Service de métadonnées
Service de métadonnées (instance metadata service, IMDS) : service HTTP que le fournisseur expose à chaque instance sur une adresse lien-local (169.254.42.42 chez Scaleway, 169.254.169.254 chez AWS, Azure et OpenStack, metadata.google.internal chez Google Cloud). L'instance y lit son nom, son identifiant, ses adresses, ses clés SSH autorisées et ses données utilisateur ; cloud-init s'en sert au démarrage.
C'est une cible classique des attaques par falsification de requête côté serveur (SSRF), surtout quand il délivre des identifiants temporaires (rôles IAM chez AWS). Protections : IMDSv2 et son jeton de session chez AWS, en-têtes obligatoires chez Azure et Google Cloud, port source privilégié pour les données utilisateur chez Scaleway, et blocage de l'adresse pour les conteneurs qui n'en ont pas besoin.
Dans les cours
- Le cloud : les fondamentaux, leçon 4 : Le calcul : instances, images et cloud-init
- Le modèle TCP/IP, leçon 3 : Les adresses IPv4