如何使用AWS根用户凭证通过Java API或HTTPS端点查询IAM用户Canonical ID或邮箱

先明确两个易踩坑的核心规则 #

提前对齐这两个基础认知，能避免很多无意义的查询操作：

• Canonical ID是账户级全局标识：这个值是AWS给每个独立账户分配的、用于S3 ACL权限校验的唯一身份ID，同账号下所有IAM子用户不会分配独立的Canonical ID，默认全部继承所属账户的Canonical ID，不存在单个IAM用户专属的Canonical ID。
• IAM没有内置的邮箱存储字段：AWS IAM的用户实体没有原生的“绑定邮箱”属性，你在控制台创建用户时关联的邮箱信息，只有在你主动添加为用户标签（比如标签键设为Email）、或者配置了联邦身份映射的前提下才可被查询到，否则IAM侧不会自动记录对应的邮箱内容。

方式一：使用AWS SDK for Java v2 实现批量查询 #

前置准备 #

• 先给根用户创建可用于API调用的访问密钥：根用户默认没有可直接调用API的AccessKey/SecretKey，需要在根用户的安全凭证页面手动创建一对，查询完成后建议立刻删除这个密钥，降低凭证泄露风险。
• 在项目中引入IAM、S3相关的Java v2 SDK核心依赖即可，根用户默认具备全量服务读权限，不需要额外调整IAM策略。

核心实现逻辑 #

1. 初始化IAM客户端，调用ListUsers接口拉取当前账号下的全部IAM用户列表，定位到你创建的5个目标用户
2. 初始化S3客户端，调用ListBuckets接口，从返回结果的所有者信息中提取当前账户的Canonical ID
3. 针对每一个目标IAM用户，调用ListUserTags接口拉取用户绑定的所有标签，筛选键为Email的标签值，就是对应的关联邮箱地址

可参考的基础实现代码：

// 初始化带根用户凭证的IAM客户端
IamClient iamClient = IamClient.builder()
    .credentialsProvider(StaticCredentialsProvider.create(
        AwsBasicCredentials.create("你的根用户AccessKeyId", "你的根用户SecretAccessKey")
    ))
    .region(Region.US_EAST_1)
    .build();

// 拉取全量IAM用户列表
List<User> targetUsers = iamClient.listUsers().users();

// 初始化S3客户端获取账户级Canonical ID
S3Client s3Client = S3Client.builder()
    .credentialsProvider(iamClient.serviceClientConfiguration().credentialsProvider())
    .region(Region.US_EAST_1)
    .build();
String accountCanonicalId = s3Client.listBuckets().owner().id();

// 遍历用户查询关联信息
for (User user : targetUsers) {
    System.out.println("IAM用户名：" + user.userName());
    System.out.println("所属账户Canonical ID：" + accountCanonicalId);
    // 拉取用户标签匹配邮箱
    List<Tag> userTags = iamClient.listUserTags(ListUserTagsRequest.builder()
        .userName(user.userName())
        .build()).tags();
    String linkedEmail = userTags.stream()
        .filter(tag -> tag.key().equalsIgnoreCase("Email"))
        .map(Tag::value)
        .findFirst()
        .orElse("创建时未关联邮箱标签");
    System.out.println("绑定关联邮箱：" + linkedEmail);
}

方式二：直接通过HTTPS端点调用实现查询 #

如果不想依赖Java SDK，可按照AWS签名规则直接对服务HTTPS端点发起鉴权请求完成查询，流程如下：

• 按照AWS Signature V4规范构造合规的签名请求头，对目标服务发起已鉴权的HTTPS请求
• 调用IAM服务的ListUsers Action，获取全量IAM用户的基础信息
• 调用S3服务的ListBuckets Action，从响应中提取Owner.ID字段，这个值就是当前账户的Canonical ID
• 针对每一个目标用户，调用IAM服务的ListUserTags Action，遍历标签内容匹配邮箱字段的对应值

实际操作注意事项 #

• 不要长期把根用户的访问密钥存在代码、配置文件或者公开代码仓库里，查询完成后及时删除根用户访问密钥，遵循最小权限原则
• 如果创建IAM用户的时候没有主动绑定邮箱标签，AWS侧没有内置的邮箱记录，根本没法通过API回溯到对应邮箱信息
• 如果你的IAM用户绑定了企业SAML联邦身份，对应的邮箱信息存在身份提供商的属性映射关系里，需要额外调用IAM的SAML配置查询接口拉取映射关系，才能获取到对应邮箱

内容的提问来源于stack exchange，提问作者sundar.sat84