Informazioni su IBM Cloud® Virtual Private Cloud (VPC) Metadati sulle istanze di server virtuale
Il servizio VPC Metadata è un servizio gratuito che può essere utilizzato per accedere alle informazioni sulle istanze dei server virtuali. Puoi richiamare il servizio tramite un'API REST all'interno di un'istanza per ottenere informazioni su tale istanza. L'accesso all'API non è disponibile dall'esterno dell'istanza. Prima di poter accedere ai metadati, è necessario generare un token di accesso all'identità. È possibile utilizzare il token di identità per ottenere facoltativamente un token IAM che può essere utilizzato per accedere a tutti i servizi abilitati IAM.
Concetti del servizio metadati
Puoi accedere in modo programmatico ai metadati su un'istanza del server virtuale e utilizzarli per inizializzare nuove istanze. I metadati forniti dai servizi API riguardano solo l'istanza da cui viene effettuata la richiesta. Non puoi utilizzare il servizio metadati all'interno di un'istanza per ottenere informazioni su un'altra istanza o per ottenere informazioni sulle risorse che non sono attualmente associate all'istanza.
I metadati a cui puoi accedere includono il nome dell'istanza, il CRN, i gruppi di risorse, i dati utente, nonché le informazioni sulle chiavi SSH e i gruppi di posizionamento. Per ulteriori informazioni su tutti i metadati restituiti dal servizio, vedi il riepilogo dei dati restituiti dal servizio metadati.
Il servizio di metadati utilizza un'API REST e il nome host dell'istanza per recuperare i metadati. L'accesso al servizio di metadati è disabilitato per impostazione predefinita. È possibile abilitare l'accesso ai servizi di metadati su tutte le istanze con l'API VPC, dalla CLI o dalla console.
Il servizio di metadati ha due componenti:
-
API di identità: Il servizio fornisce token di identità, certificati di identità e token di accesso IAM. È necessario un token di identità per accedere e recuperare le informazioni sui metadati. Per accedere ad altri servizi IBM Cloud abilitati allo IAM, è possibile generare un token IAM dal token di identità. Ad esempio, l'avvio di un'istanza può richiedere una chiamata a IBM Cloud Database per impostare un server di database. Infine, un certificato di identità viene utilizzato per stabilire la crittografia in transito tra l'istanza del server virtuale e una condivisione di file montata.
-
L' API dei metadati fornisce l'accesso ai metadati dell'istanza. Richiamando le API del servizio metadati, puoi ottenere dati di inizializzazione dell'istanza, interfaccia di rete, collegamento del volume, chiave SSH pubblica e informazioni sul gruppo di posizionamento.
Identità API
Con l'API dell'identità, è possibile generare un token di accesso all'identità per accedere al servizio di metadati. Il token viene generato chiamando l'endpoint: http://api.metadata.cloud.ibm.com/identity/v1/token, o https://api.metadata.cloud.ibm.com/identity/v1/token se la comunicazione sicura è abilitata.
Questo endpoint è accessibile a tutti i comandi, i processi e le applicazioni software in esecuzione nell'istanza server virtuale. L'accesso all'endpoint dell'API non è disponibile all'esterno dell'istanza del server virtuale.
Utilizzare il token di accesso all'identità quando si chiama il servizio di metadati. Il token è valido fino a quando non raggiunge la scadenza, che è di 5 minuti per impostazione predefinita. Per ulteriori informazioni, vedere Acquisizione di un token di accesso all'identità.
È anche possibile generare un token IAM dal token di accesso all'identità. Questo token IAM può essere utilizzato per accedere a tutti i servizi abilitati a IAM che si basano sui diritti di accesso e sulle impostazioni della politica per i profili attendibili IAM collegati all'istanza. Ha la sua data di scadenza, basata sul valore predefinito del servizio token IAM. Generare un token IAM da un token di accesso all'identità.
Se attualmente si utilizza il metodo /instance_identity/v1/token e si desidera adottare la versione dell'API 2025-08-26 o successiva, rivedere le modifiche descritte nella guida alla migrazione: Aggiornamento alla versione 2025-08-26 dell'API VPC Identity.
Servizio metadati
È possibile abilitare l'accesso al servizio di metadati sulle istanze esistenti e nuove per recuperare i dati sulle istanze. È possibile abilitare l'accesso al servizio di metadati nella console, dalla CLI o con l'API.
I metadati vengono ottenuti richiamando le API REST che forniscono informazioni specifiche dell'istanza. Si effettuano richieste GET agli endpoint accessibili all'interno di un'istanza di server virtuale in esecuzione. È possibile
recuperare i metadati relativi a istanze, chiavi e gruppi di collocamento utilizzando i seguenti endpoint:
https://api.metadata.cloud.ibm.com/metadata/v1/instancehttps://api.metadata.cloud.ibm.com/metadata/v1/keyshttps://api.metadata.cloud.ibm.com/metadata/v1/placement_groups
Per ulteriori informazioni su tutti gli endpoint che è possibile utilizzare per accedere ai metadati, vedere Riepilogo dei dati restituiti dal servizio di metadati.
Il servizio metadati intercetta tutte le richieste all'IP del servizio e quindi le instrada ai servizi specifici per gestire queste richieste. Come parte della richiesta al servizio di metadati, è necessario includere il token di accesso all'identità.
Calcola le identità delle risorse
Un Trusted Profile in IBM Cloud è un'identità all'interno di un account specifico che funge da gateway per gli utenti federati o le risorse di calcolo per lavorare all'interno di quell'account senza bisogno di una chiave API. L'identità delle risorse di calcolo si riferisce alla possibilità di utilizzare un profilo di fiducia per l'autorizzazione a grana fine delle applicazioni in esecuzione nelle risorse di calcolo.
I profili di fiducia possono essere membri di gruppi di accesso IAM e avere privilegi di accesso assegnati, e possono anche avere un accesso diretto assegnato. Sono particolarmente utili per le attività amministrative con un determinato insieme di privilegi sotto un'identità specifica per identità o risorse identificate da un insieme di proprietà configurate come parte del profilo di fiducia.
Il profilo di fiducia viene creato attraverso il servizio IBM Cloud Identity and Access Management (IAM). In particolare, è possibile farlo navigando in Gestione > Accesso (IAM) e selezionando Profili attendibili, quindi facendo clic su Crea profilo. Per ulteriori informazioni, vedere Creazione di profili affidabili.
L'uso di profili affidabili elimina la necessità di creare ID di servizio o chiavi API per le risorse di calcolo. Consente alle applicazioni di accedere ai servizi di IBM Cloud senza richiedere un'autenticazione individuale per ogni risorsa di calcolo.
Dati utente
I metadati a cui accedi dall'istanza includono dati utente. I dati dell'utente sono quelli specificati al momento del provisioning dell'istanza e sono disponibili quando si effettua il provisioning di altre istanze. (Si tratta degli stessi dati utente disponibili da cloud - init per le istanze VPC.) Ad esempio, le informazioni per caricare il software del database, il software personalizzato per i nodi di lavoro o le informazioni per prendere decisioni su come inizializzare l'istanza vengono fornite nei dati utente. Per ulteriori informazioni, consultare l'argomento Dati utente.
I metadati a cui accedi dall'interno dell'istanza non sono protetti da alcun metodo di crittografia. Qualsiasi utente con accesso all'istanza e al servizio metadati può potenzialmente visualizzare i metadati. Per precauzione, non memorizzare i dati sensibili, come le password o le chiavi di crittografia dei clienti, come dati utente.
Sicurezza dei dati
IBM prende precauzioni per garantire la sicurezza dei dati. I metadati vengono recuperati solo dall'istanza a cui si ha accesso. I dati comuni a più istanze vengono richiamati ma gli indirizzi IP specifici di altre istanze non vengono esposti.
Il protocollo predefinito per il servizio di metadati è HTTP. Le chiamate al servizio metadati sono protette prima che lascino l'host di calcolo da cui hanno origine. I dati vengono impacchettati utilizzando un protocollo sicuro prima che i dati lascino l'host di calcolo. La chiamata iniziale al servizio di metadati avviene attraverso una connessione HTTP. Lo scopo della chiamata è acquisire un token di identità per accedere al servizio metadati. Questi servizi utilizzano un link-local URL. Anche se vedi una connessione non sicura, il servizio di calcolo VPC intraprende ulteriori azioni per proteggere i servizi di token e metadati.
Il servizio di metadati può anche essere configurato per utilizzare il protocollo HTTP Secure ( HTTPS ). Per ulteriori informazioni, vedi Abilita l'accesso sicuro utilizzando l'IU.
Il servizio di metadati non è destinato ai dati sensibili. L'endpoint del servizio è aperto a tutti i processi sull'istanza. Le informazioni esposte tramite questo servizio devono essere considerate come informazioni condivise per tutte le applicazioni in esecuzione all'interno dell'istanza del server virtuale.
Per ulteriori informazioni sulle misure di sicurezza supplementari che si possono adottare, consultare la sezione Pratiche migliori di sicurezza per il servizio di metadati.
eventi di traccia dell'attività
Quando si effettuano richieste API al servizio di metadati, vengono attivati eventi che possono essere utilizzati per l'auditing. Per ulteriori informazioni, vedere Eventi del servizio metadati.