amazon-web-services - AWS 从实例元数据中检索安全凭证

Question

这不是问题“使用 API 调用获取我的 AWS 凭证”的重复，因为我专门询问亚马逊在他们给出的示例中的含义。

我在这里看:http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/iam-roles-for-amazon-ec2.html

我看到这一点:

Warning

If you use services that use instance metadata with IAM roles, ensure that you don't expose your credentials when the services make HTTP calls on your behalf. The types of services that could expose your credentials include HTTP proxies, HTML/CSS validator services, and XML processors that support XML inclusion.

The following command retrieves the security credentials for an IAM role named s3access.

$ curl http://169.254.169.254/latest/meta-data/iam/security-credentials/s3access

这个IP地址来自哪里？什么是 169.254.169.254？它不能是我的服务器，因为我没有在端口 80 上运行软件，我也不会在我的服务器上授予 Amazon 别名。

但我确实运行了上面的程序，它只是超时了。所以IP地址169.254.169.254并不是亚马逊主动运行的服务。那是什么？

有人理解亚马逊提供的这个例子吗？

Answer 1

169.254 位于链接本地地址空间内:https://en.wikipedia.org/wiki/Link-local_address
它通常用于许多本地主机/本地子网用例。 Amazon 恰好将他们的元数据服务放在 169.254.169.254 以便它可以从 EC2 实例查询。curl http://169.254.169.254/latest/meta-data应该总是返回一些东西，完整的http://169.254.169.254/latest/meta-data/iam/security-credentials/s3access如果您将 IAM 角色附加到名为 s3access 的实例，则只会返回一些内容。 .