能否通过Access Key和Secret Key用curl/Python程序化创建AWS IAM用户？

完全可以通过Access Key和Secret Key，用curl或Python调用AWS IAM API来创建IAM用户，前提是你的密钥拥有iam:CreateUser及相关权限。

一、使用curl实现 #

方法1：借助AWS CLI生成签名请求（推荐） #

手动构造AWS API签名非常繁琐，用AWS CLI生成带签名的curl命令是最省心的方式：

• 先设置环境变量（或者提前用aws configure配置好凭证）：

  export AWS_ACCESS_KEY_ID="你的Access Key"
  export AWS_SECRET_ACCESS_KEY="你的Secret Key"
  export AWS_DEFAULT_REGION="us-east-1" # IAM为全局服务，通常选us-east-1即可
  

• 生成并执行curl命令：

  aws iam create-user --user-name "new-test-user" --generate-signed-request
  

  执行后会直接返回创建结果，若权限正常就能成功创建用户。

方法2：手动构造签名请求（适合学习） #

如果想手动实现签名，需要遵循AWS签名v4流程，示例框架如下（需替换所有占位符）：

curl -X POST "https://iam.amazonaws.com/" \
  -H "Host: iam.amazonaws.com" \
  -H "X-Amz-Date: 20240520T120000Z" \
  -H "Authorization: AWS4-HMAC-SHA256 Credential=你的Access Key/20240520/us-east-1/iam/aws4_request, SignedHeaders=host;x-amz-date, Signature=你的签名值" \
  -d "Action=CreateUser&Version=2010-05-08&UserName=new-test-user"

注意：手动计算签名需要处理日期、密钥派生、哈希等步骤，容易出错，不推荐生产环境使用。

二、使用Python实现 #

用AWS官方SDK（boto3）是Python实现的最优方案：

1. 安装boto3：

   pip install boto3
   

2. 编写创建用户的代码：

   import boto3
   
   # 初始化IAM客户端，建议通过环境变量加载凭证，不要硬编码
   iam = boto3.client(
       'iam',
       aws_access_key_id='你的Access Key',
       aws_secret_access_key='你的Secret Key',
       region_name='us-east-1'
   )
   
   # 创建IAM用户
   try:
       response = iam.create_user(UserName="new-test-user")
       print("用户创建成功：")
       print(f"用户名: {response['User']['UserName']}")
       print(f"用户ARN: {response['User']['Arn']}")
   except iam.exceptions.EntityAlreadyExistsException:
       print("该用户名已存在")
   except Exception as e:
       print(f"创建失败: {str(e)}")
   

3. 运行脚本：执行后会根据权限返回对应的结果，若密钥权限不足会抛出权限错误。

关键注意事项 #

• 最小权限原则：生产环境不要给密钥授予IAMFullAccess这种宽泛权限，仅分配iam:CreateUser以及必要的附加权限（比如需要给用户加策略的话，还要iam:AttachUserPolicy）。
• 凭证安全：绝对不要把Access Key和Secret Key硬编码到代码或配置文件里，建议用环境变量、AWS凭证文件（~/.aws/credentials）或者IAM角色（如果代码运行在AWS服务内）来管理。
• 全局服务特性：IAM是AWS全局服务，但调用API时仍需指定区域，通常选择us-east-1即可。

内容的提问来源于stack exchange，提问作者Sameer Singh