使用AWSPowerShell实现IAM用户密码轮换的最安全方案咨询

我正在为一个Windows工具编写脚本，该工具使用PowerShell来发现账户并为各类服务商轮换密码；目前我正在处理AWS IAM用户的部分。

完成PowerShell脚本后，你可以将其加载到该工具中，工具会提供Web界面，并以NetworkService身份在PowerShell Core 7+中执行该脚本。

在脚本中，我需要安全地认证到用户的AWS基础设施，然后（我假设是通过角色？）列出所有IAM用户并更改他们的密码。

我需要尽可能以最安全的方式来实现这一点，因为这个脚本可能会管控多家不同公司的IAM用户密码。

经过大量研究，我想出了一个非常粗略的计划，但我并非AWS专家，希望能得到一些建议。

首次设置时，工具文档会指导用户完成以下步骤：

• 指导用户创建一个IAM用户，使其拥有更新所有其他IAM用户密码的权限？有没有最小权限的实现方式？
• 创建一个带有以下信任策略的IAM角色：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ListIAMUsers",
            "Effect": "Allow",
            "Action": [
                "iam:ListUsers",
                "iam:GetUser"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ChangeIAMUserPasswords",
            "Effect": "Allow",
            "Action": [
                "iam:UpdateLoginProfile"
            ],
            "Resource": "arn:aws:iam::*:user/*"
        }
    ]
}

完成前置设置后，最安全的角色使用方式是什么？工具应该：

• 动态创建凭证配置文件，使用Set-AWSCredential -RoleArn，可能结合SessionToken参数创建临时凭证，然后运行Update-IAMLoginProfile来修改指定的IAM用户密码？
• 让用户以交互式用户身份登录服务器时，一次性在磁盘上保存凭证配置文件，然后让以NetworkService身份运行的工具使用Get-AWSCredential引用该凭证来扮演角色，进而修改密码？
• 我看到AWS推荐使用AWS IAM Identity Center来做这件事？

我直到现在才意识到，认证到AWS有这么多选项！

备注：内容来源于stack exchange，提问作者Adam Bertram