Über IBM Cloud® Virtual Private Cloud (VPC) Metadaten auf virtuellen Serverinstanzen
Der VPC-Metadatendienst ist ein kostenloser Dienst, mit dem Sie Informationen über Ihre virtuellen Serverinstanzen abrufen können. Sie können den Service über eine REST-API in einer Instanz aufrufen, um Informationen zu dieser Instanz abzurufen. Der Zugriff auf die API ist außerhalb der Instanz nicht verfügbar. Bevor Sie auf die Metadaten zugreifen können, müssen Sie ein Identitätszugriffstoken erstellen. Sie können das Identitäts-Token verwenden, um optional ein IAM-Token zu erhalten, das für den Zugriff auf alle IAM-aktivierten Dienste verwendet werden kann.
Konzepte des Metadatenservice
Sie können über das Programm auf Metadaten für eine Virtual Server-Instanz zugreifen und unter Verwendung dieser Daten neue Instanzen initialisieren. Metadaten, die von API-Diensten bereitgestellt werden, beziehen sich nur auf die Instanz, von der aus die Anfrage gestellt wird. Sie können den Metadatendienst innerhalb einer Instanz nicht verwenden, um Informationen über eine andere Instanz oder Informationen über Ressourcen zu erhalten, die derzeit nicht mit der Instanz verbunden sind.
Zu den Metadaten, auf die Sie zugreifen können, gehören der Instanzname, CRN, Ressourcengruppen, Benutzerdaten sowie Informationen über SSH-Schlüssel und Platzierungsgruppen. Weitere Informationen zu allen Metadaten, die vom Service zurückgegeben werden, finden Sie in der Zusammenfassung der vom Metadatenservice zurückgegebenen Daten.
Der Metadatendienst verwendet eine REST-API und den Hostnamen der Instanz zum Abrufen von Metadaten. Der Zugriff auf den Metadatendienst ist standardmäßig deaktiviert. Sie können den Zugriff auf die Metadatendienste auf allen Instanzen mit der VPC-API, über die Befehlszeilenschnittstelle oder über die Konsole aktivieren.
Der Metadatendienst besteht aus zwei Komponenten:
-
Identitäts-API: Der Dienst bietet Identitäts-Token, Identitäts-Zertifikate und IAM-Zugriffstoken. Sie benötigen ein Identitäts-Token, um auf Metadaten-Informationen zuzugreifen und diese abzurufen. Um auf andere IBM Cloud IAM-fähige Dienste zuzugreifen, können Sie ein IAM-Token aus dem Identitäts-Token generieren. Das Starten einer Instanz kann zum Beispiel einen Aufruf von IBM Cloud Database erfordern, um einen Datenbankserver einzurichten. Schließlich wird ein Identitätszertifikat verwendet, um die Verschlüsselung während der Übertragung zwischen der virtuellen Serverinstanz und einer eingebundenen Dateifreigabe herzustellen.
-
Die Metadaten-API ermöglicht den Zugriff auf die Metadaten der Instanz. Durch Aufrufen der Metadatenservice-APIs erhalten Sie Informationen zu Instanzinitialisierungsdaten, Netzschnittstellen, Datenträgerzuordnungen, öffentlichen SSH-Schlüsseln und Platzierungsgruppen.
Identitäts-API
Mit der Identitäts-API können Sie ein Identitätszugriffstoken für den Zugriff auf den Metadatendienst erstellen. Sie erzeugen das Token, indem Sie den Endpunkt aufrufen: http://api.metadata.cloud.ibm.com/identity/v1/token, oder
https://api.metadata.cloud.ibm.com/identity/v1/token, wenn die sichere Kommunikation aktiviert ist.
Dieser Endpunkt ist für alle Befehle, Prozesse und Softwareanwendungen zugänglich, die innerhalb der virtuellen Serverinstanz ausgeführt werden. Der Zugriff auf den API-Endpunkt ist außerhalb der virtuellen Serverinstanz nicht möglich.
Verwenden Sie das Identitätszugriffstoken, wenn Sie den Metadatendienst aufrufen. Das Token ist gültig, bis es das Verfallsdatum erreicht, das standardmäßig 5 Minuten beträgt. Weitere Informationen finden Sie unter Erwerben eines Identitätszugriffstokens.
Sie können auch ein IAM-Token aus dem Identitätszugriffstoken generieren. Mit diesem IAM-Token kann auf alle IAM-fähigen Services zugegriffen werden, die auf Zugriffsberechtigungen und Richtlinieneinstellungen für vertrauenswürdige IAM-Profile basieren, die mit der Instanz verlinkt sind. Es hat ein eigenes Ablaufdatum, das auf dem Standard des IAM-Token-Dienstes basiert. Generieren Sie ein IAM-Token aus einem Identitätszugriffstoken.
Wenn Sie derzeit die Methode /instance_identity/v1/token verwenden und die API-Version 2025-08-26 oder später übernehmen möchten, lesen Sie die Änderungen, die in der Migrationsanleitung beschrieben sind: Aktualisieren auf die Version 2025-08-26 der VPC Identity API.
Metadatenservice
Sie können den Zugriff auf den Metadatendienst für bestehende und neue Instanzen aktivieren, um Daten über die Instanzen abzurufen. Sie können den Zugriff auf den Metadatendienst in der Konsole, über die CLI oder mit der API aktivieren.
Metadaten werden durch Aufrufen von REST APIs abgerufen, die instanzspezifische Informationen bereitstellen. Sie stellen GET Anfragen an Endpunkte, die innerhalb einer laufenden virtuellen Serverinstanz zugänglich sind. Sie können
Metadaten zu Instanzen, Schlüsseln und Platzierungsgruppen mit Hilfe der folgenden Endpunkte abrufen:
https://api.metadata.cloud.ibm.com/metadata/v1/instancehttps://api.metadata.cloud.ibm.com/metadata/v1/keyshttps://api.metadata.cloud.ibm.com/metadata/v1/placement_groups
Weitere Informationen zu allen Endpunkten, die Sie für den Zugriff auf Metadaten verwenden können, finden Sie unter Zusammenfassung der vom Metadatendienst zurückgegebenen Daten.
Der Metadatendienst fängt alle Anfragen an die IP des Dienstes ab und leitet sie dann an die spezifischen Dienste weiter, die diese Anfragen bearbeiten. Als Teil der Anfrage an den Metadatendienst müssen Sie das Identitätszugriffstoken angeben.
Ressourcenidentitäten berechnen
Ein vertrauenswürdiges Profil in IBM Cloud ist eine Identität innerhalb eines bestimmten Kontos, die als Gateway für föderierte Benutzer oder Rechenressourcen dient, um innerhalb dieses Kontos zu arbeiten, ohne einen API-Schlüssel zu benötigen. Die Identität von Rechenressourcen bezieht sich auf die Möglichkeit, ein vertrauenswürdiges Profil für eine fein abgestufte Autorisierung von Anwendungen zu verwenden, die auf Rechenressourcen laufen.
Vertrauenswürdige Profile können Mitglieder von IAM-Zugriffsgruppen sein und über zugewiesene Zugriffsprivilegien verfügen, und es kann ihnen auch direkter Zugriff zugewiesen werden. Sie sind besonders nützlich für die administrative Arbeit mit einem bestimmten Satz von Rechten unter einer bestimmten Identität für Identitäten oder Ressourcen, die durch einen Satz von Eigenschaften identifiziert werden, die als Teil des vertrauenswürdigen Profils konfiguriert sind.
Das vertrauenswürdige Profil wird über den Dienst IBM Cloud Identity and Access Management (IAM) erstellt. Navigieren Sie dazu zu Verwalten > Zugriff (IAM), wählen Sie Vertrauenswürdige Profile und klicken Sie dann auf Profil erstellen. Weitere Informationen finden Sie unter Vertrauenswürdige Profile erstellen.
Durch die Verwendung vertrauenswürdiger Profile entfällt die Notwendigkeit, Service-IDs oder API-Schlüssel für die Rechenressourcen zu erstellen. Es ermöglicht Anwendungen den Zugriff auf IBM Cloud Dienste, ohne dass eine individuelle Authentifizierung für jede Rechenressource erforderlich ist.
Benutzerdaten
Die Metadaten, auf die Sie von der Instanz aus zugreifen, umfassen auch Benutzerdaten. Die Benutzerdaten sind Daten, die Sie bei der Bereitstellung der Instanz angegeben haben und die bei der Bereitstellung anderer Instanzen verfügbar sind. (Es handelt sich um dieselben Benutzerdaten, die auch bei cloud-init für VPC-Instanzen verfügbar sind) Beispielsweise werden Informationen zum Laden von Datenbanksoftware, angepasster Software für Workerknoten oder Informationen zum Treffen von Entscheidungen über die Initialisierung der Instanz in Benutzerdaten bereitgestellt. Weitere Informationen finden Sie im Abschnitt Benutzerdaten.
Die Metadaten, auf die Sie innerhalb der Instanz zugreifen, sind durch keine Verschlüsselungsmethode geschützt. Jeder Benutzer mit Zugriff auf die Instanz und den Metadatenservice kann die Metadaten potenziell anzeigen. Speichern Sie als Vorsichtsmaßnahme keine sensiblen Daten wie beispielsweise Kennwörter oder Kundenverschlüsselungsschlüssel als Benutzerdaten.
Datensicherheit
IBM ergreift Vorkehrungen, um sicherzustellen, dass Ihre Daten sicher sind. Metadaten werden nur von der Instanz aus abgerufen, auf die Sie Zugriff haben. Daten, die mehreren Instanzen gemeinsam sind, werden abgerufen, aber spezifische IP-Adressen anderer Instanzen werden nicht offengelegt.
Das Standardprotokoll für den Metadatendienst ist HTTP. Anrufe an den Metadatendienst sind sicher, bevor sie den Compute-Host, von dem sie ausgehen, verlassen. Daten werden mithilfe eines sicheren Protokolls eingeschlossen, bevor sie den Rechenhost verlassen. Der erste Aufruf des Metadatendienstes erfolgt über eine HTTP Verbindung. Der Zweck des Aufrufs besteht darin, ein Identitäts-Token für den Zugang zum Metadatendienst zu erhalten. Diese Dienste verwenden eine link-local URL. Obwohl Sie eine unsichere Verbindung sehen, ergreift der VPC Compute Service zusätzliche Maßnahmen, um die Token- und Metadatendienste zu sichern.
Der Metadatendienst kann auch für die Verwendung des HTTP Secure-Protokolls ( HTTPS ) konfiguriert werden. Weitere Informationen finden Sie unter Sicheren Zugriff über die Benutzerschnittstelle aktivieren.
Der Metadatendienst ist nicht für sensible Daten bestimmt. Der Dienst-Endpunkt ist für alle Prozesse auf der Instanz offen. Informationen, die über diesen Dienst offengelegt werden, sind als gemeinsame Informationen für alle Anwendungen zu betrachten, die innerhalb der virtuellen Serverinstanz ausgeführt werden.
Weitere Informationen über zusätzliche Sicherheitsmaßnahmen, die Sie ergreifen können, finden Sie unter Bewährte Sicherheitsverfahren für den Metadatendienst.
Activity Tracker-Ereignisse
Wenn Sie API-Anforderungen an den Metadatendienst stellen, werden Ereignisse ausgelöst, die für Audits verwendet werden können. Weitere Informationen finden Sie unter Ereignisse des Metadatendienstes.