Il Instance Metadata Service è un endpoint solo per EC2 che un'istanza può interrogare dall'interno dell'host per conoscere informazioni su se stessa, come il proprio ID istanza, i dettagli di rete e, quando è associato un ruolo IAM, credenziali AWS temporanee. Di solito è raggiungibile su un indirizzo link-local, il che significa che il servizio è pensato per essere locale all'istanza e non esposto come una normale API rivolta a Internet.
IMDS è importante perché qualsiasi codice, processo o tunnel che possa raggiungerlo potrebbe essere in grado di rubare le credenziali del ruolo e impersonare l'istanza in AWS. Gli attaccanti spesso cercano di passare da bug dell'applicazione, server-side request forgery o port forwarding configurato in modo errato verso IMDS per ottenere credenziali a breve durata. I difensori riducono questo rischio limitando i percorsi di accesso locali, imponendo IMDSv2, restringendo chi può creare tunnel o proxy per le richieste e trattando i metadati come una fonte di credenziali sensibili anziché come innocue informazioni sulla macchina.