轮换 IAM 用户访问密钥

Question

我们的 IAM 用户（仅限编程访问）的访问密钥使用期限超过 4 年。 S3 和 SQS 是该用户唯一积极使用的服务。我们希望通过创建新用户/策略来轮换访问密钥。

我创建了一个新用户，将其添加到旧用户所在的组中，并给予相同的政策。我可以将最后一个活动视为“无”，这意味着服务未使用此用户。我还为第一个用户创建了一个新的访问密钥，最后一个活动没有。可以帮助我做什么，让所有应用程序使用这个新的访问密钥而不是旧的访问密钥，以便我可以删除它。

政策：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "*",
      "Resource": "*"
    },
    {
      "Effect": "Deny",
      "Action": [
        "aws-portal:*",
        "iam:*"
      ],
      "Resource": "*"
    }
  ]
}

Answer 1

AWS 建议必须定期轮换访问密钥。不过，如果您现在要轮换访问密钥，则无需创建新的 IAM 用户。

您可以通过以下方式轮换现有的访问密钥，如下面的链接所示：

https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_access-keys.html#Using_RotateAccessKey

您无法将现有的访问密钥提供给新用户。密钥是在新用户创建的最后一步自动生成的。

此外，有必要更新正在使用访问密钥的应用程序，但在您的情况下，您使用的是 EC2、ELB、S3、SES，默认情况下，当通过 CLI 访问时，它们将接受新的访问密钥。