如何延长AWS会话令牌过期时间或实现MFA认证自动化？

一、延长会话令牌过期时间 #

AWS MFA用户的临时会话令牌默认有效期为12小时，最大可延长至36小时（129600秒），这是平台硬性上限，无法突破。实现步骤如下：

• 确保IAM用户的权限策略允许设置更长会话时长：策略需包含sts:GetSessionToken动作，同时允许sts:DurationSeconds参数取值覆盖目标时长（如129600秒）。
• 在Python脚本调用STS服务获取会话令牌时，显式指定DurationSeconds参数为最大值。示例代码：

import boto3

# 初始化STS客户端
sts_client = boto3.client('sts')

# 获取带MFA的临时凭证，设置最长36小时有效期
response = sts_client.get_session_token(
    SerialNumber='arn:aws:iam::123456789012:mfa/your-iam-username',
    TokenCode='your-mfa-code',
    DurationSeconds=129600
)

# 提取临时凭证用于后续AWS服务调用
temp_creds = {
    'aws_access_key_id': response['Credentials']['AccessKeyId'],
    'aws_secret_access_key': response['Credentials']['SecretAccessKey'],
    'aws_session_token': response['Credentials']['SessionToken']
}

# 初始化IoT客户端
iot_client = boto3.client('iot', **temp_creds)

二、自动化认证（无需重复输入MFA码） #

如果需要超过36小时的持续运行，或完全自动化流程，推荐以下方案：

方案1：IAM角色+凭证自动刷新（推荐） #

通过扮演IAM角色实现长期运行，初始只需输入一次MFA码，后续自动刷新角色凭证：

1. 创建具备IoT数据采集权限的IAM角色，并配置信任策略允许你的MFA用户扮演该角色。
2. 脚本逻辑：
   • 首次输入MFA码，获取用户级临时凭证（有效期36小时）。
   • 使用该凭证调用sts:AssumeRole获取角色临时凭证（最长12小时有效期）。
   • 定时检查角色凭证有效期，在过期前自动刷新，无需再次输入MFA码。

示例代码：

import boto3
import time

def get_mfa_user_creds(mfa_serial, mfa_code):
    """获取带MFA的用户临时凭证"""
    sts_client = boto3.client('sts')
    response = sts_client.get_session_token(
        SerialNumber=mfa_serial,
        TokenCode=mfa_code,
        DurationSeconds=129600  # 36小时用户凭证有效期
    )
    return response['Credentials']

def refresh_role_creds(role_arn, session_name, user_creds):
    """刷新角色临时凭证"""
    sts_client = boto3.client(
        'sts',
        aws_access_key_id=user_creds['AccessKeyId'],
        aws_secret_access_key=user_creds['SecretAccessKey'],
        aws_session_token=user_creds['SessionToken']
    )
    response = sts_client.assume_role(
        RoleArn=role_arn,
        RoleSessionName=session_name,
        DurationSeconds=43200  # 12小时角色凭证有效期
    )
    return response['Credentials']

# 初始化配置
MFA_SERIAL = 'arn:aws:iam::123456789012:mfa/your-iam-username'
ROLE_ARN = 'arn:aws:iam::123456789012:role/iot-data-collector-role'
SESSION_NAME = 'iot-collection-session'

# 首次输入MFA码
mfa_code = input("Enter MFA code: ")
user_creds = get_mfa_user_creds(MFA_SERIAL, mfa_code)

# 获取初始角色凭证
role_creds = refresh_role_creds(ROLE_ARN, SESSION_NAME, user_creds)
expiry_timestamp = role_creds['Expiration'].timestamp()

# 持续运行数据采集任务
while True:
    # 使用角色凭证执行IoT操作
    iot_client = boto3.client(
        'iot',
        aws_access_key_id=role_creds['AccessKeyId'],
        aws_secret_access_key=role_creds['SecretAccessKey'],
        aws_session_token=role_creds['SessionToken']
    )
    
    # 此处添加你的IoT数据采集逻辑
    print("Collecting IoT device data...")
    
    # 提前1小时刷新凭证
    current_time = time.time()
    if current_time >= expiry_timestamp - 3600:
        print("Refreshing role credentials...")
        role_creds = refresh_role_creds(ROLE_ARN, SESSION_NAME, user_creds)
        expiry_timestamp = role_creds['Expiration'].timestamp()
    
    time.sleep(60)  # 模拟每分钟采集一次数据

方案2：自动化MFA码获取（仅限特定场景） #

如果你的MFA设备支持程序调用（如部分硬件令牌提供SDK），可以在脚本中自动获取MFA码。但需注意：

• 普通TOTP应用（如Google Authenticator）无法直接通过API获取验证码，若存储TOTP密钥生成验证码，会带来极高安全风险，不推荐。
• 仅在严格管控的安全环境下使用该方案。

方案3：AWS IAM Identity Center（企业级场景） #

若使用IAM Identity Center（原SSO），可配置持久会话或通过SDK自动刷新凭证，适合多账号、企业级管理场景。

关键注意事项 #

• AWS MFA用户的临时凭证最长有效期为36小时，无法突破此限制，长期运行必须依赖凭证自动刷新。
• 所有凭证操作需确保安全，避免临时凭证泄露，建议通过环境变量或安全密钥管理工具存储敏感信息。

内容的提问来源于stack exchange，提问作者OneTouchForHeight