追踪IAM访问密钥的使用记录：超越“最后使用时间”

当然有办法搞定这个问题！要获取IAM访问密钥的完整使用历史（包括时间、对应服务甚至操作细节），不同云厂商都有专门的日志工具可以实现，我给你分主流平台详细说说：

AWS IAM #

• CloudTrail 日志：这绝对是AWS里追踪密钥使用的核心工具，所有通过IAM访问密钥发起的API调用都会被记录在这里。你可以在CloudTrail控制台的「事件历史」页面，通过筛选访问密钥ID或者对应的IAM用户，就能看到每条调用的具体信息：
  • 精确到秒的时间戳
  • 调用的具体服务（比如S3、EC2、Lambda这类）
  • 执行的操作（比如s3:GetObject、ec2:DescribeInstances）
  • 甚至发起请求的来源IP地址
• 实操小技巧：默认CloudTrail只保留90天的事件历史，如果需要长期留存日志，记得配置Trail把日志归档到S3桶里，还能结合Athena做大规模的日志分析，方便你批量排查密钥的所有使用场景。

Azure AD #

• Azure Activity Log：Azure里所有使用服务主体（对应IAM访问密钥）的操作都会被记录到这里。你可以在Azure门户的「监控」->「活动日志」里，筛选「事件发起者」为对应的服务主体，就能看到每条操作的时间、涉及的Azure服务（比如Storage、VM、App Service）以及操作类型。
• 如果你习惯用命令行，也可以用Azure CLI快速导出日志：

  az monitor activity-log list --filter "caller eq '<你的服务主体ID>'" --output table
  

  这条命令会直接返回格式化的表格，包含时间、资源类型、操作名称等关键信息，一目了然。

Google Cloud IAM #

• Cloud Audit Logs：Google Cloud的审计日志涵盖了管理员活动和数据访问等所有操作。你可以在Cloud Console的「Logging」->「Logs Explorer」里，用这个查询语句筛选特定的IAM密钥：

  resource.type="iam_service_account"
  AND protoPayload.authenticationInfo.serviceAccountKeyName="<你的密钥ID>"
  

  执行查询后，就能看到每条请求的时间、调用的服务（比如GCS、Compute Engine）、请求路径等详细记录，完整回溯密钥的所有使用轨迹。

额外的安全建议 #

既然你担心停用密钥的安全性，除了查历史记录，还可以这么做：

• 先给目标密钥收紧权限，缩小它的访问范围，观察一段时间有没有异常请求，确认没有依赖后再停用
• 启用密钥轮换机制，逐步用新密钥替换旧密钥，避免直接停用导致业务中断
• 结合云厂商的安全告警工具（比如AWS Config、Azure Security Center），实时监控密钥的异常使用，比如陌生IP发起的请求

补充一句：这些日志工具都能帮你完整回溯密钥的所有使用场景，不止是最后一次，这样你就能放心确认停用密钥后不会影响任何正在运行的业务流程啦。

内容的提问来源于stack exchange，提问作者swin12