寻求自动获取Amazon Publisher Services新Secret Access Key的方案

方案1：APS API + 定时任务脚本 #

APS提供了凭证管理的API接口，你可以通过编写脚本自动完成密钥轮换：

• 先确认账号拥有aps:CreateSecretAccessKey和aps:ListAccessKeys的权限
• 用Python、Bash等语言编写脚本，核心逻辑：
  1. 调用ListAccessKeys接口查看当前密钥状态
  2. 触发轮换时，调用CreateSecretAccessKey生成新密钥
  3. 可选：删除过期的旧密钥（注意保留至少一个有效密钥，避免服务中断）
• 用定时任务工具（Linux的cron、Windows任务计划程序）设置每90天执行一次脚本

示例Python核心代码片段：

import boto3

# 初始化APS客户端（需配置正确的端点与权限）
aps_client = boto3.client('aps', region_name='us-east-1', endpoint_url='https://aps.amazon.com')

# 列出当前所有访问密钥
current_keys = aps_client.list_access_keys()['AccessKeyMetadata']

# 生成新的Secret Access Key
new_key_info = aps_client.create_secret_access_key()
new_secret = new_key_info['SecretAccessKey']
new_key_id = new_key_info['AccessKey']['AccessKeyId']
print(f"新密钥ID: {new_key_id}, 新Secret Key: {new_secret}")

# 清理旧密钥（保留最新的1个）
for key in current_keys:
    if key['AccessKeyId'] != new_key_id:
        aps_client.delete_access_key(AccessKeyId=key['AccessKeyId'])

方案2：AWS Secrets Manager 自动轮换 #

如果你的APS密钥存在AWS Secrets Manager中，可以配置自动轮换：

• 将APS的Access Key ID和Secret Access Key存入Secrets Manager
• 编写自定义Lambda函数，实现调用APS API生成新密钥并更新Secrets Manager的逻辑
• 在Secrets Manager中开启自动轮换，设置周期为90天
• 应用直接从Secrets Manager拉取最新密钥，无需手动操作

方案3：IaC工具+定时流水线 #

用Terraform或CloudFormation管理APS凭证：

• 编写IaC配置文件定义APS访问密钥资源
• 配置GitHub Actions/GitLab CI等定时流水线，定期执行部署命令自动更新密钥
• 配合Vault等密钥管理工具，将新密钥同步到应用可访问的安全位置

注意：所有方案都要保证密钥的安全存储，避免明文泄露；轮换时要确保新密钥在所有应用中生效后再删除旧密钥，防止服务中断

内容的提问来源于stack exchange，提问作者extrawhitecitrus