Поворот ключей доступа пользователя IAM без изменения кода в клиенте

Question

У меня есть сценарий, в котором я создал пользователя IAM для приложения клиента для доступа к шлюзу API и поделился с ними пользовательскими ключами (кодом доступа и секретным ключом). Мне нужно менять ключи для них каждые 90 дней, но поскольку ключи доступа для пользователя IAM настроены в коде, мне нужно передать измененные ключи доступа, чтобы они могли вносить изменения кода / изменения конфигурации в приложение, тестировать и снова разверните приложение. Это добавляет накладные расходы на сообщение об изменениях каждые 90 дней как для меня, так и для клиента.

Я хочу следить за ротацией ключей без необходимости изменять код (кодовую базу / конфигурацию). Как этого добиться?

Есть ли лучший способ предоставить доступ к приложению клиента?

Спасибо.

Answer 1

Предполагая, что ваш клиент использует AWS SDK для связи с AWS, он должен:

• Удалите учетные данные из их кода
• Создать ~.aws/credentials файл для хранения учетных данных

Совет: простой способ создать файл учетных данных - через интерфейс командной строки AWS (CLI).aws configure команда.

Затем вы можете изменить учетные данные, выполнив следующие действия:

• Создайте второй ключ доступа / секретный ключ и сообщите его клиенту.
• Они заменяют учетные данные в файле учетных данных и сообщают вам, что это сделано.
• Вы отключаете / удаляете оригинальный ключ доступа