密码/访问密钥到期时通知IAM用户

Question

抱歉，这可能是一个简单的问题，但找不到解决方案。我正在尝试找到一种解决方案，以在所有AWS IAM用户的密码和访问密钥到期时通知他们。有没有办法通过控制台或一些python脚本来做到这一点。

IAM用户的IAM密码和访问密钥到期后，至少应在一周前收到一封邮件。

感谢阅读。

Answer 1

编写一个定期运行的脚本（例如，您可以使用预定的Lambda执行此操作）。

致电get_credential_report来查看IAM密码将过期多久，然后致电list_access_keys来查看何时创建访问密钥（并计算何时需要旋转访问密钥）。

注意：当密码过期后15天内，AWS管理控制台会警告IAM用户。

Answer 2

对于密码，可以使用GetCredentialReport API调用。在其中，您会找到password_next_rotation：

  

当帐户具有要求密码轮换的密码策略时，当要求用户设置新密码时，此字段包含ISO 8601日期时间格式的日期和时间。始终不支持AWS账户（根）的值。

使用此信息，您可以编写一个脚本来发送那些电子邮件（假设您已经在IAM中用用户的电子邮件地址标记了用户）

它在boto3：get_credential_report()中可用。

请注意，访问密钥不会过期。