关于3DS OutScale程序化用户创建及密钥管理的技术咨询

参考文档提示 #

根用户必须为每个用户手动创建访问密钥。
建议定期更新您的访问密钥。

问题解答 #

1. 有没有完全程序化创建用户的方法？ #

有，通过 Outscale 的 API 或官方 CLI 工具就能实现全流程自动化：

• 创建用户：执行 osc-cli iam create-user --user-name 你的程序化用户名
• 生成访问密钥：用户创建后，运行 osc-cli iam create-access-key --user-name 你的程序化用户名，直接获取密钥对

2. 软件的密钥怎么定期轮换？必须手动操作吗？ #

不用手动，完全可以自动化：

• 编写脚本调用 API 生成新密钥，同步到软件配置中
• 确认新密钥生效后，再调用 API 删除旧密钥
• 配合 cron 之类的定时工具，就能定期自动完成轮换流程

3. 如果必须手动操作，怎么不开放根权限给同事就能委派任务？ #

用 IAM 精细权限控制即可：

• 创建自定义权限策略，仅允许该用户执行「创建/删除访问密钥」「查看密钥列表」操作，且仅限指定的程序化用户
• 将该策略附加给需要委派的同事账号，无需根权限就能完成密钥管理
• 简化版策略示例：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "iam:CreateAccessKey",
        "iam:DeleteAccessKey",
        "iam:ListAccessKeys"
      ],
      "Resource": "arn:outscale:iam::你的账号ID:user/目标程序化用户名"
    }
  ]
}

内容的提问来源于stack exchange，提问作者Hugo