Тема: cloud
-
Эндпоинты метаданных облачных экземпляров: как токены IMDSv2 и лимит в 1 переход ослабляют SSRF
Облачные ВМ предоставляют link-local сервис метаданных, способный вернуть временные учётные данные роли экземпляра. До него может добраться уязвимость SSRF или инструмент загрузки URL у агента. В AWS обязательные сеансовые токены IMDSv2 и лимит в 1 переход для ответа PUT устраняют самые простые пути атаки.
-
Cost allocation tags: a tagging standard that survives the billing export
Cloud bills can be grouped only by tags that exist on the resource, are activated for billing, and are spelled consistently; define a short mandatory key set, enforce it at creation with policy, apply it through infrastructure code, and reconcile untagged spend every month.
-
Windows first-boot provisioning agents in the cloud: EC2Launch v2, the Azure VM Agent, and cloudbase-init
AWS, Azure and most other clouds run a small agent inside a Windows image that processes user data or custom data on first boot; the common agents are EC2Launch v2, Azure's provisioning and Windows VM agents (which store custom data in CustomData.bin but do not execute it) and the open-source cloudbase-init. Each logs to a different location worth checking when provisioning appears to have silently failed.
-
Состояние Terraform: что оно хранит, зачем блокируется и как проявляется дрейф
Состояние связывает адреса ресурсов в конфигурации с реальными объектами и хранит значения атрибутов, включая секреты, в обычном JSON. Удалённый бэкенд с блокировкой защищает его от повреждения конкурентными записями, а дрейф — изменения вне Terraform — проявляется как неожиданные различия в плане или при запуске только для обновления состояния.
Машиночитаемо: JSON