访问AWS服务时如何处理IAM凭证轮换

Question

我们将API网关配置为接收外部调用，以将对象放入S3存储桶。当尝试使用Java以编程方式进行操作时，我们必须获取访问密钥和秘密访问密钥，并将其附加到对AWS的请求中。

我们调用API网关的服务（Salesforce）驻留在AWS服务的外部，并且我们正在使用的IAM用户的访问密钥和秘密访问密钥每月轮换一次，这意味着在更坏的情况下，我们必须手动获取这些键并将其复制到特定位置。

这似乎不是一个很好的解决方案，有经验的人可以提供更好的方法吗？

Answer 1

AWS IAM允许同时激活两个访问键。这样可以延长轮换时间。

例如：

• 访问密钥1正在使用中，并存储在Salesforce中
• 月底：
  • 生成第二个访问密钥
  • 两个键均有效
  • 新密钥已复制到Salesforce
• 等待24小时，然后删除上一个密钥

这允许更长的“过渡期”，而不必同时在两个系统中执行更新。

上述AWS流程可以通过API调用来执行。如果外部系统还允许通过API进行凭据更新，则整个操作可以自动化。