The AWS EC2 Instance Metadata API menyediakan banyak fungsi yang berguna. Siapa pun di instance EC2 yang sebenarnya dapat melakukan panggilan ke http://169.254.169.254/dan melihat metadata untuk instance panggilan itu dibuat. Keamanan API sedemikian rupa sehingga hanya memeriksa bahwa panggilan berasal dari instance. Oleh karena itu, jika saya mengizinkan seseorang untuk menjalankan kode pada contoh saya, saya ingin tahu cara terbaik memblokir akses ke url tertentu sambil mempertahankan akses sendiri.
Sebagai highlight, saya terkejut menemukan bahwa API Metadata juga dapat diakses melalui http://instance-data/(yang saya temukan secara tidak sengaja di suatu tempat).
Saya dapat memeriksa url yang dipanggil oleh semua kode yang berjalan pada contoh ini, tetapi saya berasumsi bahwa ini bukan pendekatan yang baik mengingat alamat IPv6 (mungkin), atau beberapa pengkodean URI aneh yang akan menyelesaikan ke dalam Metadata IP (169.254 .169.254), atau beberapa URL yang tidak berdokumen (sepertinya) http://instance-data/.