用途：该技能是 ctf-sandbox-orchestrator 的下游专项技能，仅在编排器已激活并确立沙箱假设、节点归属与证据优先级后使用。适用于关键点不只是“能访问元数据”，而是证明元数据派生身份如何被接受为特权的场景。若尚未建立上述前提，应先回到 ctf-sandbox-orchestrator。
主要能力：识别当前活跃的元数据面（实例元数据、工作负载身份、节点身份、任务角色或平台特定令牌端点）；记录精确可达路径（本地进程、Pod、容器、代理、SSRF 面或主机路由）；将元数据可达性、凭证签发与下游特权接受三者分离；以紧凑证据块保留令牌格式、角色身份、作用域与接受 API；复现最小的“元数据到被接受特权”路径。
使用方式：先映射元数据可达性，记录端点、必需请求头、跳数限制、会话令牌、工作负载选择器或路径前缀，并说明访问来自直接本地调用、Pod 网络、SSRF、边车还是主机级路由。再证明凭证或身份签发，展示元数据响应如何变成令牌、临时凭证、签名身份文档或平台特定工作负载身份，记录过期时间、角色名、主体、受众、签发者或云账号映射。最后压缩为最小信任路径：可达面 -> 元数据调用 -> 凭证签发 -> 被接受的云或集群操作，并明确弱点位于可达性、元数据配置、角色信任、下游策略还是工作负载绑定。若凭证签发后问题收窄为 RBAC 或集群变更，应切回更聚焦的控制面技能。
参考与限制：可加载 references/cloud-metadata-path.md 获取可达性清单、令牌清单与证据打包方法。若难点在于先证明服务端请求原语、SSRF 可达性或元数据之前的内部端点穿越，应优先使用 $competition-ssrf-metadata-pivot。需保留元数据端点、必需请求头、可达路径、签发的令牌或凭证、被接受的 API、角色名、受众、签发者、账号绑定与带特权操作，以及最小可重放的元数据到特权链。除用户明确要求英文外，以简体中文回复。