如何验证输入的AWS Access Key ID与Secret Access Key凭证有效性

校验AWS密钥对是否真实有效，不要只靠正则做格式校验——格式合规只能说明字符串长得像AWS密钥，完全没法证明密钥是可用的，目前最通用、最准确的方案是调用STS服务的GetCallerIdentity接口，没有之一。

方案核心逻辑 #

• 接口选择理由：GetCallerIdentity是AWS STS服务提供的公开接口，对所有有效AWS凭证开放调用权限，不需要给密钥绑定任何额外IAM权限，调用不产生任何费用，也不会对账号内的资源做任何修改，不存在因为密钥权限不足导致误判的问题。
• 校验判断规则：
  • 接口调用成功，返回对应身份的ARN、所属账号ID信息：密钥对合法有效
  • 接口返回鉴权类错误：密钥对无效，可根据错误码直接定位具体问题
    • InvalidClientTokenId：传入的Access Key ID不存在，要么输入错误要么已被永久删除
    • SignatureDoesNotMatch：Access Key ID存在，但Secret Access Key不匹配
    • DisabledException：密钥存在但已被管理员停用，或对应IAM用户/角色被封禁
    • ExpiredToken：如果是临时凭证，该错误码代表凭证已过有效期

具体实现方式 #

1. 代码集成（生产系统推荐） #

直接用官方AWS SDK初始化STS客户端，传入待校验的密钥对调用接口即可，以Python boto3 SDK为例：

import boto3
from botocore.exceptions import ClientError, EndpointConnectionError

def check_aws_ak_sk(access_key: str, secret_key: str, region: str = "us-east-1"):
    try:
        sts = boto3.client(
            "sts",
            aws_access_key_id=access_key,
            aws_secret_access_key=secret_key,
            region_name=region,
            config=boto3.session.Config(connect_timeout=5, read_timeout=5)
        )
        resp = sts.get_caller_identity()
        return True, {
            "account_id": resp["Account"],
            "arn": resp["Arn"],
            "user_id": resp["UserId"]
        }
    except ClientError as e:
        err_code = e.response["Error"]["Code"]
        return False, f"凭证校验失败，错误码：{err_code}，错误信息：{e.response['Error']['Message']}"
    except EndpointConnectionError:
        return False, "网络连接AWS STS端点失败，请检查网络配置后重试，不要直接判定凭证无效"

其他语言（Java/Go/Node.js等）的SDK逻辑完全一致，都是初始化STS客户端后调用同名接口即可。

2. 手动/脚本快速校验 #

如果不需要集成到业务系统，只是临时验证密钥对有效性，可以直接在配置好密钥的环境下执行AWS CLI命令：

aws sts get-caller-identity

命令正常返回JSON格式的账号、ARN信息就是有效，返回错误则代表凭证无效。

避坑提醒 #

• 不要用其他服务接口做校验：比如尝试列S3存储桶、列EC2实例这类操作，哪怕密钥是完全有效的，只要对应IAM身份没有对应服务的访问权限，就会返回权限错误，很容易误判成密钥无效。
• 正则校验只能做前置拦截：标准长期Access Key ID是AKIA开头加16位字母数字组合，Secret Key是40位Base64字符，这个规则只能过滤掉明显输入错误的字符串，绝对不能作为凭证有效的判断依据。
• 网络异常要单独处理：调用STS接口时要设置合理的超时、重试逻辑，网络不通、端点解析失败这类问题要单独抛出，不要和凭证无效的错误混为一谈。

内容的提问来源于stack exchange，提问作者Surangi Kanchana