如何通过CloudFormation或Lambda为IAM用户生成Git HTTPS访问凭证

CloudFormation原生实现可行性 #

• 目前CloudFormation没有提供原生的IAM服务特定凭证资源类型，仅靠纯CloudFormation模板无法直接创建IAM用户的CodeCommit Git HTTPS访问凭证。AWS::IAM::User原生资源仅支持配置访问密钥、控制台登录权限等配置，不包含CodeCommit专用HTTPS凭证的创建能力。

Lambda + CloudFormation 组合实现可行性 #

该方案可以落地，具体实现逻辑如下：

• 在CloudFormation模板中定义自定义资源（Custom Resource），绑定用于生成凭证的Lambda函数
• Lambda函数通过调用AWS IAM的create_service_specific_credential接口，指定服务名为codecommit.amazonaws.com，即可为目标IAM用户生成专属的CodeCommit HTTPS访问凭证
• 你可以让Lambda将生成的凭证敏感信息写入AWS Secrets Manager或Systems Manager Parameter Store做加密存储，避免明文泄露

注意：CodeCommit HTTPS专用凭证仅在创建时返回明文内容，后续无法通过API再次查询，需要在生成时妥善存储；如果需要更新凭证可调用reset_service_specific_credential接口完成重置。

可选替代方案 #

如果你的场景不需要长期静态凭证，也可以直接为IAM用户授予CodeCommit仓库的对应访问权限，用户端可通过AWS CLI自动生成临时HTTPS凭证访问仓库，无需提前创建静态凭证。

内容的提问来源于stack exchange，提问作者iowasandroid