说明腾讯云国际 CVM 实例元数据可提供哪些信息，如何使用固定版本路径，并从应用代理、最小权限和临时凭据角度降低泄露风险。
腾讯云国际 CVM 实例元数据适合让实例内的初始化脚本和运维程序识别实例 ID、地域、可用区与网络信息。它不是公开查询接口，也不应被应用中的“代请求 URL”功能间接暴露。
安全默认值：只允许 CVM 内确有需要的受信程序访问实例元数据，不要把元数据地址交给网页抓取、图片代理或用户可控 URL。查看信息时先登录 CVM，从腾讯云国际中文控制台“云服务器 → 实例”确认实例已绑定最小权限角色。读取元数据本身通常不单独收费，但泄露临时凭据可能让攻击者操作云资源并产生费用。
实例元数据能解决什么问题
应用可以通过元数据识别当前实例和网络环境，避免把实例 ID、地域等信息硬编码进镜像。依赖返回结构的脚本应使用明确版本路径，并对 404、超时和字段缺失做错误处理。
为什么需要单独保护元数据地址
腾讯云官方说明元数据位于实例内部网络，返回内容本身不加密。任何已经获得实例执行能力的进程都可能尝试读取；如果 CVM 关联 CAM 角色，角色的临时凭据也属于敏感信息。Web 抓取、图片代理、Webhook 调试器和 SSRF 漏洞都可能把外部输入变成本机请求。
安全使用清单
- 只让确有需要的进程读取元数据，不把完整响应写入公开日志；
- 给 CVM 角色配置最小权限，不使用覆盖全部云资源的宽泛策略；
- 限制应用可访问的目标地址，拒绝环回、本地链路和元数据网段；
- 容器环境按信任级别隔离网络，不因“同一台主机”默认共享取证能力；
- 定期检查角色策略和应用 URL 代理功能。
如何验证没有误暴露
从服务器内受控终端确认业务所需字段可读取，再从外部请求入口测试本地地址是否被拒绝。日志中如出现异常元数据访问，应同时检查请求来源、应用漏洞和角色权限，不能只封一个 URL 后结束排查。
先用只读请求确认暴露范围
以下命令只在目标 CVM 内执行，用于查看元数据根目录，不要把返回内容粘贴到公开工单。腾讯云实例元数据使用本机链路地址；若业务不需要角色凭据，只检查实例 ID、地域等非敏感字段即可。
curl --fail --silent --show-error --connect-timeout 2 http://metadata.tencentyun.com/latest/meta-data/成功应返回可用字段列表；超时或 404 时先核对官方版本路径和实例网络，不要为了“修复”而在安全组开放任何公网端口。安全组不负责拦截实例内进程访问本机元数据。
给 CVM 绑定角色的中文入口
- 进入“访问管理 → 角色”，创建“腾讯云产品服务”角色并选择云服务器。
- 只关联应用实际调用 API 所需的策略，禁止直接使用全资源管理员策略。
- 回到“云服务器 → 实例”，选中实例后在“更多 → 实例设置”中关联或修改实例角色。
- 在实例内读取临时凭据后，仅检查到期时间和调用目标 API 的最小权限；不得记录 SecretKey 或 Token。
控制台入口可能随国际站版本调整，按钮找不到时应先在实例详情查“实例角色”，再按官方文档路径操作，不要改用永久密钥硬编码。
Web 应用必须拦住哪些请求
对代理下载、Webhook 测试、URL 预览等功能，解析域名后要拒绝环回地址、链路本地地址、私网网段和所有重定向后的禁用目标。不能只做字符串黑名单，因为十进制 IP、IPv6、DNS 重绑定和跳转都可能绕过。容器中不可信工作负载应与拥有云权限的进程分离，并限制出站访问。
发现异常访问怎么处理
- 日志出现对元数据地址的陌生请求：立即保留访问日志、进程树和时间线，临时关闭可控 URL 功能。
- 怀疑临时凭据泄露：先收紧或解除实例角色策略，并在云审计中检查对应时间的 API 调用。
- 业务因此报权限不足：根据明确的拒绝操作补最小权限，不恢复宽泛管理员策略。
- 外部测试能读到元数据：这是高风险暴露，先下线入口或阻断请求，再修复 SSRF 校验。
验证和回退
完成后从实例内验证业务所需 API 成功、无关 API 被拒绝；从外部入口请求链路本地地址必须失败；云审计中不应再出现异常调用。变更前导出旧角色策略，回退只恢复业务确认需要的动作。若解绑角色导致生产故障，可短时恢复上一版最小策略，同时关闭外部代理入口，不能把永久密钥写回代码。
联系 Telegram 客服 