iam-user-unused-credentials-check规则运行机制及判定异常咨询

核心判定逻辑 #

你对规则基础逻辑的理解是正确的：规则默认判断逻辑为，当IAM用户的两类凭证（控制台登录密码、编程访问密钥）均未在配置的阈值时长内使用时，才会标记为不合规。任意一类凭证有有效使用记录的情况下，应返回合规结果。

判定延迟的核心原因 #

该规则的数据源是IAM服务的全局用户凭证元数据，而非实时的CloudTrail事件日志，存在固定的同步延迟：

• IAM用户的PasswordLastUsed（密码最后使用时间）、AccessKeyLastUsed（访问密钥最后使用时间）字段的更新延迟通常为1~4小时，用户登录控制台的实时行为不会立刻更新这两个字段
• 你在用户登录后数分钟触发重评时，IAM侧的元数据还未更新，规则自然仍会基于旧的时间戳判定为不合规

验证与解决步骤 #

• 运行aws iam get-user --user-name <目标IAM用户名>命令，查看返回结果中的PasswordLastUsed字段，确认其是否已经更新为最近的登录时间
• 若该字段已更新且落在规则配置的有效时长内，再触发重评即可返回合规结果
• 若上述字段更新后仍判定不合规，检查你是否对规则做了自定义参数配置：部分自定义配置会要求两类凭证同时符合使用时长要求，只要存在任意一类未使用的凭证就会标记不合规

后续操作建议 #

无需反复手动触发重评，等待4小时待IAM元数据同步完成后再校验即可，若仍存在异常可优先排查规则的自定义配置项。

内容的提问来源于stack exchange，提问作者kornicameister