amazon-web-services - 同一用户的多个访问 key

Question

我发现我公司的 AWS 账户中启用了一个特定用户的编程访问权限。我的任务是为我的一位同事重新创建访问 key 和安全 token ，尽管他已经拥有了。我想停用原来的。我认为从安全角度来看，最好只有一个访问 key / token ，而不是多个。

谁能告诉我这是否是一个好的选择？我的一位同事问我为什么要这样做，当我告诉他我的推理时，我认为他并不 100% 相信我的推理是好的。您能否告诉我，同一用户拥有多个访问 key / secret key 是否有任何优势？因为我想不出任何办法。另外，您能否提供任何类型的支持文章来涵盖这一点？

Answer 1

我没有推荐每个用户使用单个访问 key 的文档，但 AWS 确实建议定期轮换访问 key 。请参阅Managing Access Keys for IAM Users ，标题为“轮换访问 key ”的部分。

因此，作为最佳实践，您应该定期执行以下操作(每 30、60、90 天等)

1. 为您的用户创建第二个访问 key
2. 无论您在何处使用第一个访问 key ，请将其替换为第二个
3. 稍等片刻，并确认第一个访问 key 未被使用。
4. 确认后，禁用或删除第一个访问 key

两个访问 key 系统是为了允许这种轮换发生，同时保持访问 key 被禁用/删除但仍被使用的时间最少。我在其他工具中遇到过，在生成新 key 时必须禁用旧 key 。因为有时新 key 生成后需要一段时间才能使用。

如果用户需要多个访问 key ，那么应该问为什么需要一个而不是多个。使用多个用户有以下好处:

1. 权限可以更细化
2. 如果 key 泄露，需要更换的地方就会减少
3. 您可以更好地审核哪些工具以及何时对您的帐户进行操作

出于这些原因，我建议“在现场”只使用一个访问 key 。

我认为，实际上，如果有人想为单个用户实际使用 2 个 key ，他们只是懒惰。

我为每个需要访问的工具创建单独的 IAM 用户和角色。我从不重复使用它们。

更新

AWS 建议定期轮换访问 key 。

来源:http://docs.aws.amazon.com/general/latest/gr/aws-access-keys-best-practices.html

此外，他们关于 key 轮换过程的“howto”使用了 IAM 用户的两个分配的访问 key :

来源:https://aws.amazon.com/blogs/security/how-to-rotate-access-keys-for-iam-users/

因此，目标是每个 IAM 用户在任何给定时间“使用”一个访问 key 。