笔记本使用场景下，AWS Access Key定期自动更新的无影响最优方法

方案1：用AWS CLI内置的自动轮换（最简单） #

• 先确认AWS CLI版本≥v2.1.30，运行aws --version就能查
• 操作步骤：
  1. 登录IAM控制台，找到你的个人IAM用户，进入「安全凭证」标签，开启「自动轮换访问密钥」
  2. 本地~/.aws/credentials文件保持默认配置（不用改），AWS CLI会在后台自动完成密钥轮换，完全不影响日常使用
  3. 验证的话，定期跑aws sts get-caller-identity，能正常返回用户信息就说明没问题，也可以去IAM控制台看密钥的轮换状态

方案2：AWS SDK自动处理（开发场景用） #

如果平时用Python、Java这类AWS SDK干活，直接用默认凭证链就行：

• 比如Python的boto3，不用硬编码密钥，SDK会自动读取本地凭证文件，并且在密钥过期前自动刷新（前提是已经开了IAM用户的自动轮换）
• 示例代码（Python）：

  import boto3
  s3_client = boto3.client('s3')
  # 不用管凭证轮换，SDK自动处理
  buckets = s3_client.list_buckets()
  

方案3：自定义脚本+定时任务（精细控制） #

要是需要更灵活的轮换规则，自己写个脚本定时跑：

1. 写个Python脚本（需要装boto3）：

   import boto3
   import configparser
   import os
   
   def rotate_aws_key():
       iam_client = boto3.client('iam')
       # 提前把IAM用户名设成环境变量AWS_IAM_USER，避免硬编码
       username = os.getenv('AWS_IAM_USER')
       if not username:
           print("请设置环境变量AWS_IAM_USER")
           return
   
       # 获取当前所有密钥
       all_keys = iam_client.list_access_keys(UserName=username)['AccessKeyMetadata']
       active_keys = [k for k in all_keys if k['Status'] == 'Active']
       inactive_keys = [k for k in all_keys if k['Status'] == 'Inactive']
   
       # 先清理过期的非活跃密钥
       for key in inactive_keys:
           iam_client.delete_access_key(UserName=username, AccessKeyId=key['AccessKeyId'])
   
       # 创建新密钥
       new_key = iam_client.create_access_key(UserName=username)['AccessKey']
       # 更新本地凭证文件
       cred_config = configparser.ConfigParser()
       cred_path = os.path.expanduser('~/.aws/credentials')
       cred_config.read(cred_path)
       # 这里更新default配置组，要是用其他配置组改对应名字就行
       cred_config['default']['aws_access_key_id'] = new_key['AccessKeyId']
       cred_config['default']['aws_secret_access_key'] = new_key['SecretAccessKey']
       with open(cred_path, 'w') as f:
           cred_config.write(f)
   
       # 把旧的活跃密钥设为非活跃
       if active_keys:
           iam_client.update_access_key(
               UserName=username,
               AccessKeyId=active_keys[0]['AccessKeyId'],
               Status='Inactive'
           )
   
   if __name__ == '__main__':
       rotate_aws_key()
   

2. 设定时任务：Mac/Linux用cron，比如每月1号执行：0 0 1 * * /usr/bin/python3 /path/to/your/script.py；Windows用任务计划程序，设置每月执行一次
3. 注意：当前使用的密钥需要有这些IAM权限：iam:ListAccessKeys、iam:CreateAccessKey、iam:UpdateAccessKey、iam:DeleteAccessKey

必看注意事项 #

• 开启自动轮换后，所有依赖密钥的工具（比如Terraform、Ansible）都要使用AWS CLI的凭证链，绝对不能硬编码密钥
• 定期去IAM控制台检查下密钥状态，确保轮换正常运行
• 更安全的方式是用AWS SSO替代Access Key，不用管密钥轮换，直接用单点登录就行

内容的提问来源于stack exchange，提问作者MagMax