如何保护AWS Secret Access Key？AWS新手的凭证存储疑问

1. 为何AWS凭证以明文格式存储？ #

• 优先简化本地开发流程：AWS CLI和SDK的初始设计以易用性为核心，明文存储让工具无需额外解密步骤即可直接读取凭证，降低新手入门的复杂度。
• 依赖操作系统权限管控：AWS默认依托操作系统的文件权限机制保护该文件——Windows下C:\Users\USERNAME\.aws\credentials默认仅对当前用户开放读权限，其他用户无法访问，以此限制凭证的访问范围。
• 历史兼容性考量：早期AWS工具生态缺乏统一的加密存储方案，明文格式是最通用的实现方式，后续为兼容旧有工具与使用流程，保留了这一默认选项。

2. 如何保护此类凭证，加密存储的方法有哪些？ #

操作系统层面防护 #

• 磁盘/文件夹加密：Windows可使用BitLocker加密系统盘，或通过EFS（加密文件系统）单独加密.aws文件夹，避免磁盘被物理窃取后凭证泄露。
• 严格控制文件权限：手动确认credentials文件的权限设置，确保仅当前用户拥有读权限——Windows中可右键文件→属性→安全→编辑，移除其他用户的访问权限。

AWS官方加密存储方案 #

• 使用AWS Secrets Manager：将凭证存储至Secrets Manager，本地CLI通过IAM角色或临时凭证访问，无需在本地保存长期密钥。
• 使用AWS Systems Manager Parameter Store：将凭证以安全字符串形式存储，通过IAM权限管控访问，本地工具可通过API获取临时凭证。
• 采用AWS凭证提供链：配置本地工具优先使用IAM角色（如EC2实例角色、本地IAM Identity Center），彻底避免在本地存储长期密钥。

第三方工具加密方案 #

• 使用git-crypt：若.aws目录需版本控制，可通过git-crypt加密credentials文件，仅授权用户能解密读取。
• 借助密码管理器：将AWS密钥存储在KeePass等加密密码库中，通过脚本或插件让AWS CLI从密码库读取凭证，替代明文文件存储。

内容的提问来源于stack exchange，提问作者md samual