Un servizio di metadati è un endpoint cloud che fornisce dettagli su un'istanza in esecuzione, come la sua identità di rete, la regione, i ruoli associati e la configurazione. In alcune configurazioni cloud, emette anche credenziali temporanee al software in esecuzione su quell'istanza. Poiché si trova all'interno del perimetro di fiducia del cloud, di solito è progettato per essere raggiungibile solo dall'host stesso.
I team di sicurezza si interessano ai servizi di metadati perché gli aggressori spesso li prendono di mira dopo aver ottenuto una server-side request forgery (SSRF) o bug simili di instradamento delle richieste. Se un'applicazione esposta può essere indotta a chiamare l'endpoint dei metadati, l'attaccante può conoscere informazioni sensibili dell'istanza o ottenere credenziali a breve durata e usarle per accedere a storage, API o altre risorse interne. Tra le difese ci sono il blocco dell'accesso da applicazioni non attendibili, l'uso di controlli di rete e di filtraggio dell'egresso, l'applicazione del principio del privilegio minimo sui ruoli dell'istanza e il rafforzamento dei percorsi di accesso ai metadati in modo che solo i workload approvati possano raggiungerli.