AWS密钥轮换后，如何通过Lambda自动更新第三方应用的access key与secret key？

核心结论 #

Lambda无法直接从EventBridge事件中获取新生成的secret key（AWS出于安全设计，不会在事件中包含敏感凭证），但可以通过主动触发轮换的方式实现完整自动化流程。

步骤分解 #

1. 放弃被动监听，改为主动触发密钥轮换 #

被动监听EventBridge事件的方式无法获取secret key（该值仅在密钥创建时返回一次，不会存入日志或事件），因此更可靠的方案是用Lambda主动执行轮换全流程：

• 定期触发Lambda函数（通过CloudWatch Events），先为目标IAM用户生成新密钥。
• 立即调用第三方应用API更新凭证。
• 验证新密钥可用后，删除旧密钥。

2. Lambda权限配置 #

确保Lambda的执行角色拥有以下最小权限：

• iam:CreateAccessKey：生成新密钥
• iam:DeleteAccessKey：删除旧密钥
• iam:ListAccessKeys：列出用户现有密钥，用于识别旧密钥

3. 示例代码片段 #

import boto3
import requests

def lambda_handler(event, context):
    iam_client = boto3.client('iam')
    target_user = 'your-target-iam-username'
    third_party_api_url = 'https://your-app-api.com/credentials/update'

    # 获取用户现有密钥，确定待删除的旧密钥
    existing_keys = iam_client.list_access_keys(UserName=target_user)['AccessKeyMetadata']
    old_key_id = None
    if len(existing_keys) == 2:
        # 按创建时间排序，取更早的密钥作为旧密钥
        old_key_id = sorted(existing_keys, key=lambda x: x['CreateDate'])[0]['AccessKeyId']

    # 生成新密钥
    new_key = iam_client.create_access_key(UserName=target_user)['AccessKey']
    new_access_key = new_key['AccessKeyId']
    new_secret_key = new_key['SecretAccessKey']

    # 调用第三方应用API更新凭证
    try:
        response = requests.post(
            third_party_api_url,
            json={
                'access_key_id': new_access_key,
                'secret_access_key': new_secret_key
            },
            # 根据第三方应用要求添加认证headers
            headers={'Authorization': 'Bearer your-app-api-token'}
        )
        response.raise_for_status()
    except Exception as e:
        # 若API更新失败，删除刚生成的新密钥，避免残留无效密钥
        iam_client.delete_access_key(UserName=target_user, AccessKeyId=new_access_key)
        raise e

    # 删除旧密钥（如果存在）
    if old_key_id:
        iam_client.delete_access_key(UserName=target_user, AccessKeyId=old_key_id)

    return {'statusCode': 200, 'body': 'Credentials rotated successfully'}

关键注意事项 #

• 安全优先：不要将secret key写入Lambda日志或非加密存储，仅在API调用时临时使用。
• 验证机制：建议在删除旧密钥前，添加第三方应用功能验证步骤，确保新密钥能正常工作，避免服务中断。
• 轮换频率：根据业务需求设置CloudWatch Events触发周期（如每月一次），平衡安全性和稳定性。

内容的提问来源于stack exchange，提问作者vile_goat