🖼️ See the drawing + lab 🏠 Course home 🌿 Branch on GitHub ✏️ View source

🖼️ आकृती आणि labThe drawing + lab पूर्ण पानावर उघडा ↗Open full page ↗

🪪 धडा 07 — Metadata आणि roles: "मी कोण?" आणि badge

📍 तुम्ही इथे आहात: 12 पैकी धडा 07 · मागे: lesson-06-connecting · पुढे: lesson-08-pricing

📦 या ब्रँचमध्ये काय आहे

धडे 01–06, आणि instance metadata service (प्रत्येक डेस्क "मी कोण?" विचारू शकतो), IMDSv2 आणि hop limit 1 का महत्त्वाचे आहेत, आणि instance profile — डेस्कला अल्पकाळ चालणारी credentials देणारा badge, म्हणजे त्यावर कोणालाही keys चिकटवाव्या लागत नाहीत. Lab म्हणजे ec2/check_template.py, एक reviewer जो launch template वाचतो आणि कोणताही डेस्क बनण्याआधी काय दुरुस्त करायचे त्याची यादी देतो — ec2/templates/risky.json आणि ec2/templates/web.json वर वापरून पाहिलेला.

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

प्रत्येक डेस्कच्या भिंतीवर एक छोटे मदत-केंद्र 🛎️ असते, जिथे फक्त तोच डेस्क पोहोचू शकतो. त्याला विचारा "मी कोणता डेस्क? कोणती इमारत? माझी पहिल्या boot ची script कोणती होती?" आणि ते उत्तर देते. डेस्कने badge 🪪 घातला असेल (role असलेले एक instance profile), तर मदत-केंद्र डेस्कला दिवसाचे पास सुद्धा देऊ शकते — काही तासांनी संपणाऱ्या आणि आपोआप नव्या होणाऱ्या परवानग्या. डेस्कखाली चिकटवलेल्या keys नाहीत.

जुने मदत-केंद्र (IMDSv1) त्याला चिठ्ठी पाठवणाऱ्या कोणालाही उत्तर द्यायचे. त्यामुळे एखादी लबाड व्यक्ती डेस्कवरच्या मदतीला तयार असलेल्या program कडे चिठ्ठी पाठवू शकायची — "कृपया मदत-केंद्राकडून दिवसाचा पास माग आणि उत्तर मला वाचून दाखव" — आणि तो घेऊन पसार व्हायची.

नवे मदत-केंद्र (IMDSv2) आधी म्हणते: "स्वतः इथे ये आणि session ticket (एक token) साठी sign in कर; मग प्रत्येक प्रश्नासोबत ते ticket दाखव." मदतनिसामार्फत पाठवलेली चिठ्ठी सहसा ती sign-in ची पायरी करू शकत नाही. आणि ticket फक्त एकच पाऊल जाते (hop limit): तुम्ही परवानगी दिलेल्यापेक्षा ते डेस्कपासून दूर नेता येत नाही.

🗺️ आकृती

flowchart LR
    app["🖥️ program on the desk"]
    sess["1 sign in: ask for a session token<br/>(IMDSv2: HttpTokens = required)"]
    imds["🛎️ metadata service<br/>link-local, only this desk"]
    q["2 every question carries the token"]
    hop["hop limit 1: the token cannot travel<br/>past the desk (2 only for containers that need it)"]
    badge["🪪 instance profile → role<br/>short-lived credentials, rotated automatically"]
    app --> sess --> imds
    app --> q --> imds
    imds -.-> hop
    badge -->|"3 SDKs pick these up — you write no code"| app
    check["🔍 check_template.py reads the recipe card first<br/>risky.json: 6 findings · web.json: nothing risky"]
    check -.->|"0 before any desk exists"| sess

🗺️ काढलेली आकृती + एक lab: https://school-edh.pages.dev/ec2/lesson-diagrams.html#l07

❓ काय

Instance metadata service (IMDS) — एक link-local endpoint (169.254.169.254), जो फक्त instance च्या आतूनच गाठता येतो. त्यात instance ID, AZ, network तपशील, user data, tags (चालू केले असल्यास) असतात — आणि, role जोडलेला असेल तेव्हा, त्या role ची तात्पुरती credentials.
IMDSv1 — साधे request/response. एखाद्या application ला attacker साठी URL आणायला फसवता आले (SSRF), तर त्याला metadata वाचायलाही फसवता येते.
IMDSv2 — session-oriented: program आधी session token साठी PUT request करतो (6 तासांपर्यंत आयुष्य असलेला), मग प्रत्येक read सोबत तो token header मध्ये पाठवतो. नेहमीचे SSRF bugs फक्त साधे GET करू शकतात, म्हणून ते पहिली पायरी पूर्ण करू शकत नाहीत. ते MetadataOptions.HttpTokens = required ने चालू करा — मग v1 पद्धतीच्या requests नाकारल्या जातात.
Hop limit — HttpPutResponseHopLimit म्हणजे token चे response किती network hops जाऊ शकते. 1 ते instance वरच ठेवतो; 2 त्या instance वर bridge network मागे असलेल्या containers ना खरोखर गरज असेल तेव्हा तिथे पोहोचू देतो. त्याहून जास्त काहीही token ला तुमच्या इच्छेपेक्षा दूर जाऊ देते.
Instance profile — instance ला IAM role जोडणारा container (badge). Instance वरचे AWS SDKs आणि CLI त्यांच्या default credential chain मधून role ची credentials आपोआप शोधतात — तुमचा code फक्त AWS ला call करतो; files, environment variables किंवा user data मध्ये access keys नाहीत. Role मर्यादित ठेवा: त्या डेस्कला लागणाऱ्या actions आणि resources पुरताच.
ते लागू करा — ec2:MetadataHttpTokens IAM condition key, account-level default (modify-instance-metadata-defaults), आणि Amazon Linux 2023 AMIs मध्ये default नुसार IMDSv2 required असते. डेस्कला metadata कधीच लागत नसेल तर HttpEndpoint = disabled set करा.

🤔 का

कारण चोरलेल्या दीर्घकाळ चालणाऱ्या access keys हा AWS accounts फोडण्याचा सर्वात नेहमीचा एक मार्ग आहे, आणि IMDSv1 विरुद्धच्या SSRF ने खऱ्या incidents मध्ये "एक web bug" चे रूपांतर "attacker कडे server चा role आहे" मध्ये केले आहे. IMDSv2, hop limit 1 आणि मर्यादित role ही साखळी तीन ठिकाणी तोडतात — launch template मधल्या तीन ओळींच्या किमतीत.

🔧 कसे (या repo मध्ये)

ec2/check_template.py मध्ये सहा नियम आहेत — IMDSv2 required नाही, hop limit 2 पेक्षा जास्त, encrypted नसलेला volume, instance profile नाही, key pair (Session Manager ला प्राधान्य द्या, धडा 06), आणि gp3 ऐवजी gp2 — आणि review() प्रत्येक finding त्याच्या उपायासह परत देते. ec2/demo.py मधले metadata() दोन्ही templates review करते. ते फक्त JSON वाचते; ते AWS किंवा metadata service शी कधीच संपर्क करत नाही. ec2/test_ec2.py मधला test L07 risky.json साठी नेमक्या 6 findings अपेक्षित धरतो.

🧪 करून पाहा

python3 ec2/demo.py metadata
python3 ec2/check_template.py ec2/templates/risky.json
python3 ec2/check_template.py ec2/templates/web.json
python3 - <<'EOF'
import json, sys; sys.path.insert(0, "ec2")
from check_template import review
t = json.load(open("ec2/templates/risky.json"))
print("before:", len(review(t)), "finding(s)")
# fix the two metadata settings and give the desk a badge — in memory; the file is untouched
t["MetadataOptions"] = {"HttpTokens": "required", "HttpPutResponseHopLimit": 1}
t["IamInstanceProfile"] = {"Name": "school-web"}
left = review(t)
print("after:", len(left), "finding(s):", [name for name, fix in left])
EOF

आता तुमची पाळी: त्याच snippet मध्ये उरलेल्या तीन दुरुस्त करा (volume encrypt करा, KeyName काढून टाका, gp3 वर जा), जोपर्यंत तो after: 0 finding(s) छापत नाही.

खऱ्या account वर (AWS credentials लागतात; हे settings बदलतात, credentials नाही — तुमचे स्वतःचे IDs आणि role नाव वापरा):

aws ec2 modify-instance-metadata-options --instance-id i-0123456789abcdef0 \
    --http-tokens required --http-put-response-hop-limit 1 --http-endpoint enabled
aws ec2 describe-instances --instance-ids i-0123456789abcdef0 \
    --query 'Reservations[].Instances[].MetadataOptions'
aws iam create-instance-profile --instance-profile-name school-web
aws iam add-role-to-instance-profile --instance-profile-name school-web --role-name school-web-role
aws ec2 associate-iam-instance-profile --instance-id i-0123456789abcdef0 --iam-instance-profile Name=school-web
aws ec2 modify-instance-metadata-defaults --http-tokens required --http-put-response-hop-limit 2

✅ तपासा — तुम्हाला काय दिसायला हवे

metadata सहा ⚠️ ओळींसह 📄 risky.json: 6 finding(s) छापते — metadata service v2 not required, metadata hop limit above 2, root volume not encrypted, no instance profile (the desk has no badge), a key pair for SSH, gp2 instead of gp3 — मग 📄 web.json: ✅ nothing risky. risky.json वर check_template.py 6 thing(s) to fix before launching ने संपते; web.json वर ते ✅ nothing risky found छापते. तुमचा snippet छापतो before: 6 finding(s) आणि after: 3 finding(s): ['root volume not encrypted', 'a key pair for SSH', 'gp2 instead of gp3'].

🏁 तुम्ही आत्ताच काय सिद्ध केले

तुम्ही launch template वाचून सांगू शकता की त्याचे डेस्क session-token metadata required ठेवतील का, token डेस्कवरच ठेवतील का, आणि keys ऐवजी badge घालतील का — एकही डेस्क अस्तित्वात येण्याआधी.

⚠️ नेहमीच्या चुका

"v1 काहीच वापरत नाही" म्हणून HttpTokens optional वरच ठेवणे — आधी तपासा, मग required करा
एका container साठी hop limit वाढवणे, आणि तो संपूर्ण instance ला लागू होतो हे विसरणे
instance वर ~/.aws/credentials, environment variables किंवा user data मध्ये access keys — instance profile वापरा
"सोपे ठेवण्यासाठी" प्रत्येक डेस्कने वाटून घेतलेला एकच व्यापक role (*:*)
CLI नाव विचारते तेव्हा instance profile (धारक) आणि role (परवानग्या) यांत गोंधळ करणे

🏭 प्रत्यक्ष वापरात हे का महत्त्वाचे: "IMDSv2 required" हा AWS Security Hub मधला आणि बहुतेक audits मधला default check आहे, आणि संस्था ec2:MetadataHttpTokens वर SCPs ने तो लागू करतात. मर्यादित roles सोबत, म्हणूनच एका डेस्कवरचा web bug फक्त web bug राहतो.

⏭️ पुढे

डेस्क सुरक्षित आहेत. आता, त्यांचा खर्च किती — आणि तोच डेस्क अर्ध्या किमतीत कसा मिळू शकतो? Pricing: on-demand, Savings Plans आणि spot.

git checkout lesson-08-pricing

🪪 Lesson 07 — Metadata & roles: "who am I?" and the badge

📍 You are here: Lesson 07 of 12 · Previous: lesson-06-connecting · Next: lesson-08-pricing

📦 What's in this branch

Lessons 01–06, plus the instance metadata service (every desk can ask "who am I?"), why IMDSv2 and a hop limit of 1 matter, and the instance profile — the badge that gives a desk short-lived credentials so nobody pastes keys onto it. The lab is ec2/check_template.py, a reviewer that reads a launch template and lists what to fix before any desk is built — tried on ec2/templates/risky.json and ec2/templates/web.json.

🧒 Explain like I'm 5

Every desk has a little help point on the wall 🛎️ that only that desk can reach. Ask it "which desk am I? which building? what was my first-boot script?" and it answers. If the desk wears a badge 🪪 (an instance profile holding a role), the help point can also give the desk day-passes — permissions that expire after a few hours and are renewed automatically. No keys taped under the desk.

The old help point (IMDSv1) answered anyone who passed a note to it. So a trickster could pass a note to a helpful program on the desk — "please ask the help point for the day-pass and read me the answer" — and walk off with it.

The new help point (IMDSv2) first asks: "come here in person and sign in for a session ticket (a token); then show that ticket with every question." A note passed through a helper usually cannot do that sign-in step. And the ticket only travels one step (the hop limit): it cannot be carried further away from the desk than you allow.

🗺️ Diagram

flowchart LR
    app["🖥️ program on the desk"]
    sess["1 sign in: ask for a session token<br/>(IMDSv2: HttpTokens = required)"]
    imds["🛎️ metadata service<br/>link-local, only this desk"]
    q["2 every question carries the token"]
    hop["hop limit 1: the token cannot travel<br/>past the desk (2 only for containers that need it)"]
    badge["🪪 instance profile → role<br/>short-lived credentials, rotated automatically"]
    app --> sess --> imds
    app --> q --> imds
    imds -.-> hop
    badge -->|"3 SDKs pick these up — you write no code"| app
    check["🔍 check_template.py reads the recipe card first<br/>risky.json: 6 findings · web.json: nothing risky"]
    check -.->|"0 before any desk exists"| sess

🗺️ Drawn version + a lab: https://school-edh.pages.dev/ec2/lesson-diagrams.html#l07

❓ What

Instance metadata service (IMDS) — a link-local endpoint (169.254.169.254) reachable only from inside the instance. It holds the instance ID, AZ, network details, user data, tags (if enabled) — and, when a role is attached, temporary credentials for that role.
IMDSv1 — a plain request/response. If an application can be tricked into fetching a URL for an attacker (SSRF), it can be tricked into reading the metadata too.
IMDSv2 — session-oriented: a program first makes a PUT request for a session token (with a lifetime of up to 6 hours), then sends that token in a header with every read. Typical SSRF bugs can only make simple GETs, so they cannot complete the first step. Turn it on with MetadataOptions.HttpTokens = required — then v1-style requests are refused.
Hop limit — HttpPutResponseHopLimit is how many network hops the token response may travel. 1 keeps it on the instance; 2 lets containers behind a bridge network on that instance reach it when they genuinely need to. Anything higher lets the token travel further than you meant.
Instance profile — the container that attaches an IAM role to an instance (the badge). AWS SDKs and the CLI on the instance find the role's credentials automatically through their default credential chain — your code just calls AWS; no access keys in files, environment variables or user data. Keep the role narrow: only the actions and resources that desk needs.
Enforce it — the ec2:MetadataHttpTokens IAM condition key, an account-level default (modify-instance-metadata-defaults), and Amazon Linux 2023 AMIs default to IMDSv2 required. If a desk never needs metadata, set HttpEndpoint = disabled.

🤔 Why

Because stolen long-lived access keys are one of the most common ways AWS accounts are breached, and SSRF against IMDSv1 has turned "a web bug" into "the attacker has the server's role" in real incidents. IMDSv2, a hop limit of 1 and a narrow role close that chain at three places — for the price of three lines in a launch template.

🔧 How (in this repo)

ec2/check_template.py has six rules — IMDSv2 not required, hop limit above 2, an unencrypted volume, no instance profile, a key pair (prefer Session Manager, lesson 06), and gp2 instead of gp3 — and review() returns each finding with its fix. metadata() in ec2/demo.py reviews both templates. It reads JSON only; it never contacts AWS or the metadata service. Test L07 in ec2/test_ec2.py expects exactly 6 findings for risky.json.

🧪 Try it

python3 ec2/demo.py metadata
python3 ec2/check_template.py ec2/templates/risky.json
python3 ec2/check_template.py ec2/templates/web.json
python3 - <<'EOF'
import json, sys; sys.path.insert(0, "ec2")
from check_template import review
t = json.load(open("ec2/templates/risky.json"))
print("before:", len(review(t)), "finding(s)")
# fix the two metadata settings and give the desk a badge — in memory; the file is untouched
t["MetadataOptions"] = {"HttpTokens": "required", "HttpPutResponseHopLimit": 1}
t["IamInstanceProfile"] = {"Name": "school-web"}
left = review(t)
print("after:", len(left), "finding(s):", [name for name, fix in left])
EOF

Your turn: fix the remaining three in the same snippet (encrypt the volume, remove KeyName, switch to gp3) until it prints after: 0 finding(s).

On a real account (needs AWS credentials; these change settings, not credentials — use your own IDs and role name):

aws ec2 modify-instance-metadata-options --instance-id i-0123456789abcdef0 \
    --http-tokens required --http-put-response-hop-limit 1 --http-endpoint enabled
aws ec2 describe-instances --instance-ids i-0123456789abcdef0 \
    --query 'Reservations[].Instances[].MetadataOptions'
aws iam create-instance-profile --instance-profile-name school-web
aws iam add-role-to-instance-profile --instance-profile-name school-web --role-name school-web-role
aws ec2 associate-iam-instance-profile --instance-id i-0123456789abcdef0 --iam-instance-profile Name=school-web
aws ec2 modify-instance-metadata-defaults --http-tokens required --http-put-response-hop-limit 2

✅ Verify — what you should see

metadata prints 📄 risky.json: 6 finding(s) with six ⚠️ lines — metadata service v2 not required, metadata hop limit above 2, root volume not encrypted, no instance profile (the desk has no badge), a key pair for SSH, gp2 instead of gp3 — then 📄 web.json: ✅ nothing risky. check_template.py on risky.json ends 6 thing(s) to fix before launching; on web.json it prints ✅ nothing risky found. Your snippet prints before: 6 finding(s) and after: 3 finding(s): ['root volume not encrypted', 'a key pair for SSH', 'gp2 instead of gp3'].

🏁 What you just proved

You can read a launch template and say whether its desks will require session-token metadata, keep the token on the desk, and wear a badge instead of keys — before a single desk exists.

⚠️ Common mistakes

leaving HttpTokens at optional because "nothing uses v1" — check first, then require it
raising the hop limit to fix one container, and forgetting it applies to the whole instance
access keys in ~/.aws/credentials, environment variables or user data on an instance — use the instance profile
one broad role (*:*) shared by every desk "to keep it simple"
confusing the instance profile (the holder) with the role (the permissions) when the CLI asks for a name

🏭 Why this matters in production: "IMDSv2 required" is a default check in AWS Security Hub and most audits, and organisations enforce it with SCPs on ec2:MetadataHttpTokens. Combined with narrow roles, it is why a web bug on one desk stays a web bug.

⏭️ Next

The desks are safe. Now, what do they cost — and how can the same desk cost half as much? Pricing: on-demand, Savings Plans and spot.

git checkout lesson-08-pricing

← Previousconnecting Next →pricing

This page is the lesson's README from the lesson-07-metadata-roles branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.