ECS Task访问IMDS且不暴露实例角色凭证的解决方案咨询

核心结论 #

单独启用IMDSv2无法完全解决你的需求，IMDSv2仅能防护SSRF类的凭证窃取攻击，只要容器网络允许访问IMDS服务，依然可以正常请求到你提到的凭证路径http://169.254.169.254/latest/meta-data/iam/security-credentials/<INSTANCE_ROLE_NAME>拿到实例角色凭证。

以下是三种经过验证的可行方案，你可以根据自身业务场景选择： #

方案1：宿主机部署反向代理拦截IAM路径（最推荐） #

既保留容器对非IAM类元数据的完整访问权限，又彻底拦截凭证泄露路径：

• 在EC2宿主机上部署轻量反向代理（Nginx、Caddy均可），配置规则示例（Nginx）：

server {
    listen 8111;
    # 非IAM路径正常转发到元数据服务
    location / {
        proxy_pass http://169.254.169.254;
    }
    # 拦截所有IAM相关路径
    location ~* ^/latest/meta-data/iam/ {
        deny all;
        return 403;
    }
}

• 配置iptables NAT规则，把所有容器网段发往169.254.169.254:80的流量转发到本地代理端口，示例（替换为你实际的容器网段）：

iptables -t nat -A PREROUTING -s 172.17.0.0/16 -d 169.254.169.254 -p tcp --dport 80 -j REDIRECT --to-port 8111

• 如果你使用awsvpc网络模式，可先配置ECS参数ECS_AWSVPC_BLOCK_IMDS=true禁用默认IMDS访问，再通过上述代理为容器开放过滤后的元数据访问即可。

方案2：预注入需要的实例元数据到任务环境（最安全） #

如果你的业务需要的实例元数据字段是固定的（比如实例ID、可用区、实例类型等），可以彻底阻断容器对IMDS的直接访问：

• 在EC2实例启动脚本（UserData）中，提前把需要的元数据字段抓取出来，存到宿主机本地文件或者环境变量中，示例：

# 抓取实例可用区
AZ=$(curl -s http://169.254.169.254/latest/meta-data/placement/availability-zone)
# 抓取实例ID
INSTANCE_ID=$(curl -s http://169.254.169.254/latest/meta-data/instance-id)

• 启动ECS任务时，通过environment配置项，把对应的元数据值注入到容器的环境变量里，容器直接读取环境变量即可拿到需要的实例信息。
• 直接开启ECS的IMDS访问禁用配置，完全阻断容器对169.254.169.254的访问路径，不存在任何凭证泄露风险。

方案3：结合IMDSv2和最小权限控制（轻量化方案） #

如果不想额外部署代理，也可以通过权限收敛控制风险：

• 开启IMDSv2，设置令牌跳数为2，保证容器可以正常拿到IMDSv2的访问令牌，获取非IAM类的元数据。
• 给EC2实例角色附加最小权限，仅保留ECS实例本身必须的权限（比如拉取镜像、上报任务状态等），不要附加任何业务侧需要的权限，业务所需权限全部通过ECS任务角色单独分配。
• 这种方案下即使容器意外拿到了实例角色凭证，也没有额外权限可以滥用，风险可控。

内容的提问来源于stack exchange，提问作者Ra'Jiska