使用 Lambda 在 AWS 中自动轮换密钥和访问密钥

Question

我想使用 Lambda 自动轮换访问密钥和秘密密钥。 (boto3)

条件如下：

1. 在密钥年龄的 85 天，用户将收到一封警告电子邮件
2. 90 天年龄的用户将通过电子邮件收到新的凭据。

3. 在第 95 天，旧密钥会自动停用。（用户需要通过新的访问密钥和密钥登录）

   这是否可以使用 AWS lambda？谁能帮我写代码？

Answer 1

是的。编写代码是特定于用例的。您可以自己开始编写，然后再询问是否有任何具体问题。

但通常，要实现 周期性轮换，您会使用：

• CloudWatch Event scheduled rules

该规则将自动调用一个目标，即您的 lambda 函数，它具有执行旋转的逻辑。对于该 boto3 的 create_access_key_pair 以及删除/禁用现有密钥（delete_access_key 或 update_access_key 以禁用）。

Answer 2

是的，这绝对是可能的，AWS SDK 有一个针对list_access_keys 的操作。

如果您创建了 CloudWatch event，您可以每天触发此 Lambda。调用请求后，您可以看到所有具有 UserName 值和 CreateDate 值的访问密钥。

通过比较这两个日期，您可以执行请求的操作。

• 使用 SES 或 SNS 在 85 天通知用户
• 在 90 天后使用 create_access_key 方法
• 在第 95 天使用 delete_access_key。