本地开发结合MFA使用AWS凭证，生产/QA自动化部署如何适配？

首选方案：使用IAM服务账号 #

自动化部署或任务执行场景中，无控制台访问权限的IAM服务账号是标准解决方案，完全适配无需人工交互的需求，绕开MFA限制。这类账号是AWS官方推荐的自动化专用身份，专门供程序、脚本或CI/CD工具调用API使用。

• 权限配置严格遵循最小权限原则：只赋予完成任务必需的权限，比如部署流程仅分配ECS、S3、CloudFormation的对应操作权限，绝不授予管理员级别的宽泛权限。

服务账号与IAM角色的正确配置 #

• 服务账号可以关联IAM角色，也可以直接附加权限策略，两种方式按需选择：
  • 若需要临时权限或跨账号复用权限，让服务账号通过sts:AssumeRole扮演特定角色，获取临时凭证，安全性更高；
  • 若任务权限固定，直接给服务账号附加精细的权限策略即可，配置更简单。
• 关键注意点：服务账号必须禁用控制台访问权限，避免人为登录操作；同时启用访问密钥轮换机制（建议每90天更换一次），并通过CloudTrail监控所有操作日志，及时发现异常行为。

额外安全强化建议 #

• 不要将服务账号的访问密钥硬编码在代码或配置文件中，改用AWS Secrets Manager或Parameter Store存储，让自动化工具按需读取。
• 对于跨账号的自动化任务，优先通过IAM角色的信任策略实现权限委托，无需创建跨账号的服务账号，进一步降低密钥泄露风险。

内容的提问来源于stack exchange，提问作者Sai Teja Makani