如何为不可信测试虚拟机授予AWS DynamoDB的临时/部分访问权限？

首先，你提到的直接使用Signature v4的signing key让boto3仅执行第二阶段签名的思路不可行——boto3的签名逻辑基于完整AWS凭证链（access key、secret key、session token<若存在>）设计，需要处理请求重试、区域切换、服务端点验证等场景，无法单独用signing key完成这些操作。

不过AWS官方提供了完美匹配你需求的解决方案：IAM临时凭证（通过STS服务生成），可生成短期有效、权限受限的临时密钥，完全兼容boto3，且无需在测试机存储长期凭证。

核心方案：使用STS AssumeRole生成受限临时凭证 #

1. 创建受限IAM角色
   在AWS控制台创建一个IAM角色，仅赋予它DynamoDB相关权限（比如AmazonDynamoDBFullAccess，或更细粒度的dynamodb:PutItem、dynamodb:GetItem等）。同时配置角色的信任策略，允许你的主AWS账号（或安全机器使用的IAM实体）扮演该角色。

2. 在安全机器生成临时凭证
   用你的长期AWS凭证调用STS服务的AssumeRole接口生成临时凭证，凭证包含AccessKeyId、SecretAccessKey、SessionToken三个关键值，可加密传递给测试机。
   示例代码：

   # 安全机器执行
   import boto3
   
   sts_client = boto3.client('sts')
   response = sts_client.assume_role(
       RoleArn='arn:aws:iam::你的账号ID:role/你的测试DynamoDB角色名',
       RoleSessionName='TestDynamoSession',
       DurationSeconds=3600  # 有效期可设15分钟到12小时之间
   )
   
   temp_creds = response['Credentials']
   # 将temp_creds中的三个值安全传递给测试机
   

3. 测试机使用临时凭证初始化boto3
   测试机拿到临时凭证后，直接用它们初始化DynamoDB客户端，boto3会自动处理签名流程：

   # 测试机执行
   import boto3
   
   dynamodb = boto3.client(
       'dynamodb',
       aws_access_key_id=temp_creds['AccessKeyId'],
       aws_secret_access_key=temp_creds['SecretAccessKey'],
       aws_session_token=temp_creds['SessionToken']
   )
   
   # 正常调用DynamoDB接口示例
   dynamodb.put_item(
       TableName='你的测试表名',
       Item={'ID': {'S': 'test123'}}
   )
   

其他可选方案 #

• EC2实例IAM角色：如果测试机是AWS EC2实例，直接给实例附加仅DynamoDB权限的IAM角色即可，boto3会自动从实例元数据服务获取临时凭证，无需手动管理任何密钥。
• AWS SSO：若团队使用AWS Single Sign-On，测试机可通过SSO流程获取临时凭证，同样无需存储长期密钥。

临时凭证的核心优势是：有效期可控、权限严格受限，即使被盗用，攻击者的操作范围也仅限于DynamoDB，且凭证过期后自动失效，能极大降低安全风险。

内容的提问来源于stack exchange，提问作者Nadav Har'El