AWS EC2实例能否在运行时撤销IAM策略权限？或采用临时凭证？

一、能否编程移除实例关联的Secrets Manager IAM策略？ #

不行。EC2实例本身没有权限修改自身关联的IAM角色或其策略——修改IAM资源需要专门的IAM权限，而实例profile的权限默认不会包含此类操作权限（即便特意配置，也会引入额外安全风险）。此外，移除策略可能影响实例上其他依赖该角色的服务，操作本身也不符合安全最佳实践。

二、使用临时凭证实现一次性访问密钥的可行方案 #

1. 利用实例元数据生成短期临时凭证（推荐） #

在user_data脚本中直接获取临时凭证，用完即清理，避免持久化：

• 获取临时凭证：

  # 自动获取实例关联的IAM角色名称
  ROLE_NAME=$(curl -s http://169.254.169.254/latest/meta-data/iam/security-credentials/)
  CREDS=$(curl -s http://169.254.169.254/latest/meta-data/iam/security-credentials/$ROLE_NAME)
  

• 提取凭证字段并调用Secrets Manager：

  ACCESS_KEY=$(echo $CREDS | jq -r '.AccessKeyId')
  SECRET_KEY=$(echo $CREDS | jq -r '.SecretAccessKey')
  SESSION_TOKEN=$(echo $CREDS | jq -r '.SessionToken')
  
  # 获取指定密钥
  aws secretsmanager get-secret-value --secret-id <你的密钥ID> \
    --aws-access-key-id $ACCESS_KEY \
    --aws-secret-access-key $SECRET_KEY \
    --aws-session-token $SESSION_TOKEN
  

• 清理凭证：执行完后立即清空变量，避免被后续进程读取：

  unset ACCESS_KEY SECRET_KEY SESSION_TOKEN CREDS
  

• 额外限制：在IAM角色的策略中添加条件键，限定凭证仅能在bootstrap时间窗口内使用，例如：

  {
    "Effect": "Allow",
    "Action": "secretsmanager:GetSecretValue",
    "Resource": "arn:aws:secretsmanager:<区域>:<账号ID>:secret:<你的密钥ID>",
    "Condition": {
      "DateLessThan": {
        "aws:CurrentTime": "2024-01-01T10:30:00Z"
      }
    }
  }
  

2. 使用预签名URL一次性获取密钥 #

在可信部署环境（如CI/CD流水线）提前生成Secrets Manager的预签名URL，设置极短过期时间（如5分钟）：

• 生成预签名URL的命令（在流水线执行）：

  aws secretsmanager get-secret-value --secret-id <你的密钥ID> --generate-presigned-url --expires-in 300
  

• 将该URL传入user_data脚本，实例bootstrap时直接通过curl访问获取密钥，URL过期后自动失效，后续作业无法复用。

3. 限制实例元数据服务的凭证访问 #

启用EC2实例元数据服务v2（IMDSv2），并设置极短的会话TTL，确保bootstrap完成后旧会话令牌失效，后续进程无法获取新凭证：

• 在启动实例时配置IMDSv2，或通过可信流水线执行修改命令：

  # 启用IMDSv2并设置会话TTL为60秒
  aws ec2 modify-instance-metadata-options --instance-id <你的实例ID> --http-tokens required --http-put-response-hop-limit 1 --instance-metadata-ttl-seconds 60
  

三、安全最佳实践 #

• 最小权限：实例profile的IAM策略仅授予secretsmanager:GetSecretValue权限，且仅针对所需密钥资源。
• 隔离执行：bootstrap脚本以root用户运行，密钥仅在内存中处理，不写入任何普通用户可读取的文件。
• 日志监控：启用CloudTrail记录Secrets Manager访问事件，对非bootstrap阶段的访问设置告警。

内容的提问来源于stack exchange，提问作者Brian Sidebotham