amazon-web-services - "aws_security_token"是做什么用的

Question

我想对 AWS S3 使用预签名 URL。我注意到预签名 URL 包括 aws_access_key_id 和 aws_security_token。

根据我的理解，aws_security_token 是 URL 的一部分，因为我使用的是临时安全凭证，并且它是正确签署 URL 所必需的。

但是给前端客户端下载图片的 URL 可以吗？ aws_security_token 是 URL 的一部分(未加密)。我担心安全问题，无法弄清楚 token 的用途。以及攻击者可以用我的 aws_access_key_id 和 aws_security_token 做什么。

Answer 1

In 2014 Amazon switched从 AWS_SECURITY_TOKEN 到 AWS_SESSION_TOKEN，您也应该喜欢后者。许多项目仍然设置或检查两者，但已经 5 年了。我想我们可以放手了。

aws sts assume-role 命令只返回 SessionToken 所以，我只在我写的代码中支持它。

这是使用 aws cli 的示例:

function mfa_serial(){
    aws configure get --profile=$1 mfa_serial
}

function role_arn(){
    aws configure get --profile=$1 role_arn
}

function assrole(){
    aws sts assume-role                         \
        --role-arn          "$(role_arn   $1)"  \
        --serial-number     "$(mfa_serial $1)"  \
        --token-code        "$(mfa)"            \
        --role-session-name "$( ( id -un; date +-%Y-%m-%d+%H.%M.%S ) | tr -d '\n' )"
}

assrole development

这是输出:

{
    "AssumedRoleUser": {
        "AssumedRoleId": "AROAIWL33TL33TL33TL33:brunobronosky",
        "Arn": "arn:aws:sts::485548554855:assumed-role/allow-full-access-from-other-accounts/brunobronosky"
    },
    "Credentials": {
        "SecretAccessKey": "L33TL33TL33TL33TL33TL33TL33TL33TL33TL33T",
        "SessionToken": "L33TL33TL33TEI///////////L33TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33Tm9/TL33TL33TL33TL33T/TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33Tz9/TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33TS/TL33TL33TL33TL33TL33TL33TL33TL33TL33T/TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33TL33Tos/TL33TL33TL33TL33TL33TL33TL33T/A==",
        "Expiration": "2019-11-01T00:00:00Z",
        "AccessKeyId": "ASIAL33TL33TL33TL33T"
    }
}