了解并获取您的 Amazon 凭证 - Amazon 一般参考
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

了解并获取您的 Amazon 凭证

Amazon 需要不同类型的安全凭证,具体取决于您访问 Amazon 的方式。例如,您需要用户名和密码才能登录 Amazon Web Services Management Console,并且需要访问密钥才能以编程方式调用 Amazon。您还需要访问密钥才能使用 Amazon Command Line Interface 或 Amazon Tools for PowerShell。

注意事项

  • 请务必将以下内容保存在一个安全位置:与您的 Amazon Web Services 账户 关联的电子邮件地址、Amazon Web Services 账户 ID、根用户密码和账户访问密钥。如果您忘记或丢失了根用户密码,则必须有权访问与您的账户关联的电子邮件地址才能重置根用户密码。如果您丢失了访问密钥,则必须登录您的账户才能创建新访问密钥。

  • 强烈建议您不要使用根用户执行日常任务。保护好根用户凭证,并使用这些凭证来执行仅根用户可以执行的任务。有关要求您以根用户身份登录的任务的完整列表,请参阅需要根用户凭证的任务

  • 安全凭证特定于账户。如果您有权访问多个 Amazon Web Services 账户,则每个账户都必须有单独的凭证。

  • 切勿与任何人共享您的 Amazon Web Services 账户 根用户密码或访问密钥。

访问您的 Amazon 账户

访问 Amazon Web Services 账户 的方式取决于您拥有的 Amazon 用户类型。有两种不同类型的 Amazon 用户。您可以是账户根用户、Amazon Identity and Access Management(IAM) 用户、Amazon IAM Identity Center (successor to Amazon Single Sign-On) 用户或联合身份。

您可以使用如下方法访问 Amazon:

  • Amazon Web Services Management Console 登录页面

  • Amazon 访问门户登录页面

  • 联合身份

  • API、Amazon Command Line Interface 和 SDK(软件开发套件)等编程方法

Amazon Web Services Management Console

根用户和 IAM 用户通过 Amazon Web Services Management Console 登录。Amazon Web Services Management Console 提供了一个基于 Web 的用户界面,您可以使用该界面来创建和管理 Amazon 资源。例如,您可以启动和停止 Amazon Elastic Compute Cloud (EC2) 实例、创建 Amazon DynamoDB 表、创建 Amazon Simple Storage Service (S3) 存储桶。

  • 根用户使用以下方式登录:

    • 电子邮件地址

    • Password

  • IAM 用户使用以下方式登录:

    • 账户 ID 或别名

    • 用户名或电子邮件地址

    • Password

      • 您的账户所有者或 IAM 管理员应向您提供账户 ID 或别名和用户名。他们创建账户并设置您的用户名。用户名可能是您的电子邮件地址。

有关如何登录 Amazon Web Services Management Console 的分步指导,请参阅 Amazon 登录用户指南中的登录 Amazon Web Services Management Console

有关使用多重身份验证 (MFA) 设备登录的更多信息,请参阅将 MFA 设备与您的 IAM 登录页面结合使用

重要

当您创建 Amazon Web Services 账户时,最初使用的是一个对账户中所有 Amazon Web Services和资源拥有完全访问权限的登录身份。此身份称为 Amazon Web Services 账户根用户,使用您创建账户时所用的电子邮件地址和密码登录,即可获得该身份。强烈建议您不要使用根用户执行日常任务。保护好根用户凭证,并使用这些凭证来执行仅根用户可以执行的任务。有关要求您以根用户身份登录的任务的完整列表,请参阅Amazon 一般参考中的需要根用户凭证的任务

Amazon 访问门户

IAM Identity Center 用户通过 Amazon 访问门户而非 Amazon Web Services Management Console 登录。通过 Amazon 访问门户登录之后,您可以访问自己的 Amazon Web Services 账户 和应用程序。您可以通过 Amazon 访问门户访问云应用程序,例如 Office 365、Concur 和 Salesforce。您的管理员或帮助中心员工应该向您提供特定的登录 URL,如以下示例:

https://d-xxxxxxxxxx.awsapps.com/start

https://your_subdomain.awsapps.com/start

或者,如果您为 Amazon Web Services 账户 创建 IAM Identity Center 用户,就会收到一封包含特定登录 URL 的电子邮件邀请。

IAM Identity Center 用户使用以下信息登录:

  • 企业用户名

  • 企业密码

    • 如果系统提示输入验证码,请检查您的电子邮件,然后复制验证码并将其粘贴到登录页面中。

      • 验证码通常通过电子邮件发送,但送达方式可能有所不同。您的管理员会建立安全设置,这些设置要求用户提供验证码。有关详细信息,请咨询您的管理员。

有关如何登录 Amazon 访问门户的分步指导,请参阅 Amazon 登录用户指南中的登录 Amazon 访问门户

有关 IAM Identity Center 的更多信息,请参阅《Amazon IAM Identity Center (successor to Amazon Single Sign-On) 用户指南》中的什么是 IAM Identity Center?

联合身份

联合身份是可以使用外部身份安全访问 Amazon Web Services 账户 资源的用户。外部身份可能来自公司身份存储(如 LDAP 或 Windows Active Directory)或第三方(如 Login with Amazon、Facebook 或 Google)。联合身份不使用 Amazon Web Services Management Console 或 Amazon 访问门户登录。使用的外部身份类型决定了联合身份的登录方式。

有关联合身份的更多信息,请参阅 IAM 用户指南中的关于 Web 身份联合验证

管理员必须创建包含 https://signin.aws.amazon.com/federation 的自定义 URL。有关更多信息,请参阅授权自定义身份凭证代理程序对 Amazon Web Services Management Console 的访问权限

注意

您的管理员创建联合身份。有关如何以联合身份登录的更多详细信息,请联系您的管理员。

Amazon Command Line Interface

Amazon 用户也可以使用 Amazon Command Line Interface(Amazon CLI) 登录。有关 Amazon CLI 的更多信息,请参阅什么是 Amazon Command Line Interface

多重身份验证 (MFA)

多重身份验证 (MFA) 为可以访问 Amazon Web Services 账户 的用户提供了额外的安全级别。为了提高安全性,我们建议您对 Amazon Web Services 账户 根用户凭证和所有 IAM 用户要求使用 MFA。有关更多信息,请参阅 IAM 用户指南中的在 Amazon 中使用多重身份验证(MFA)

当您激活 MFA 并登录到您的 Amazon Web Services 账户 时,系统会提示您输入用户名和密码,外加 MFA 设备生成的响应,例如代码、触摸或点按或者生物识别扫描。添加 MFA 之后,您 Amazon Web Services 账户 设置和资源会更加安全。

默认情况下,MFA 未激活。您可以前往 Security credentials(安全凭证)页面或 Amazon Web Services Management Console 中的 IAM 控制面板,为 Amazon Web Services 账户 根用户激活和管理 MFA 设备。有关为 IAM 用户激活 MFA 的更多信息,请参阅 IAM 用户指南中的启用 MFA 设备

访问密钥

当您以编程方式使用 Amazon 时,您需要提供您的 Amazon访问密钥,以便 Amazon 可以在编程调用中验证您的身份。访问密钥可以是临时(短期)凭证,也可以是长期凭证,例如适用于 IAM 用户或 Amazon 账户根用户的凭证。在很多情况下,应考虑长期访问密钥的替代方法

关于访问密钥

创建长期访问密钥时,您将访问密钥 ID(例如 AKIAIOSFODNN7EXAMPLE)和秘密访问密钥(例如 wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY)创建为一组。秘密访问密钥仅在您创建它时可供下载。如果您没有下载秘密访问密钥或丢失了它,则必须创建新的秘密访问密钥。

在许多情况下,您并不需要永不过期的长期访问密钥(如 IAM 用户访问密钥)。相反,您可以创建 IAM 角色并生成临时安全凭证。临时安全凭证包括访问密钥 ID 和秘密访问密钥,以及一个指示凭证何时到期的安全令牌。在过期后,这些凭证将不再有效。有关更多信息,请参阅临时访问密钥

AKIA 开头的访问密钥 ID 是 IAM 用户或 Amazon Web Services 账户 根用户的长期访问密钥。以 ASIA 开头的访问密钥 ID 是使用 Amazon STS 操作创建的临时凭证访问密钥。

长期访问密钥的考虑事项和替代方法

对于许多常见使用案例,应有长期访问密钥的替代方法。为了提高您的账户安全性,请考虑以下几点。

  • 不要在应用程序代码或代码存储库中嵌入长期访问密钥和秘密访问密钥 –改用 Amazon Secrets Manager 或其他秘密管理解决方案,因此您不必以纯文本硬编码密钥。然后,应用程序或客户端可以在需要时检索秘密。有关更多信息,请参阅《Amazon Secrets Manager 用户指南》中的什么是 Amazon Secrets Manager?

  • 尽可能使用 IAM 角色来生成临时安全凭证 –尽可能使用机制颁发临时安全凭证,而不是使用长期访问密钥。临时安全凭证更加安全,因为它们不随用户一起存储,而是动态生成并在用户提出请求时提供给用户。临时安全凭证的生命周期有限,因此您无需对其进行管理或轮换。机制包括 IAM 角色或 IAM Identity Center 用户的身份验证。有关更多信息,请参阅 使用临时安全凭证(IAM 角色)临时访问密钥

  • 对 Amazon Command Line Interface(Amazon CLI) 或 aws-shell 使用长期访问密钥的替代方法 – 替代方法包括如下。

    • Amazon CloudShell 是一个基于浏览器的预先验证 shell,您可以直接从 Amazon Web Services Management Console 中启动。您可以通过自己喜爱的 Shell(Bash、Powershell 或 Z shell)来对 Amazon Web Services 运行 Amazon CLI 命令。在执行此操作时,您无需下载或安装命令行工具。有关更多信息,请参阅《Amazon CloudShell 用户指南》中的什么是 Amazon CloudShell?

    • Amazon CLI 版本 2 与 Amazon IAM Identity Center (successor to Amazon Single Sign-On) (IAM Identity Center) 集成。您可以对用户进行身份验证并提供短期凭证以运行 Amazon CLI 命令。要了解更多信息,请参阅 Amazon IAM Identity Center (successor to Amazon Single Sign-On) 用户指南中的集成 Amazon CLI 与 IAM Identity CenenterAmazon Command Line Interface 用户指南中的配置 Amazon CLI 以使用 IAM Identy Center

  • 不要为需要访问应用程序或 Amazon Web Services 的人类用户创建长期访问密钥 – IAM Identity Center 可以生成临时访问凭证,供您的外部 IdP 用户访问 Amazon Web Services。这样就无需在 IAM 中创建和管理长期凭证。在 IAM Identity Center 中,创建一个 IAM Identity Center 权限集,该权限集向外部 IdP 用户授予访问权限。然后,将来自 IAM Identity Center 的组分配给选定 Amazon Web Services 账户 中的权限集。有关更多信息,请参阅什么是 Amazon IAM Identity Center (successor to Amazon Single Sign-On)连接到外部身份提供者以及 Amazon IAM Identity Center (successor to Amazon Single Sign-On) 用户指南中的权限集

  • 不要 Amazon 计算服务中存储长期访问密钥 – 相反,应为计算资源分配 IAM 角色。这会自动提供临时凭证以授予访问权限。例如,在创建附加到 Amazon EC2 实例的实例配置文件,可以将 Amazon 角色分配给该实例并使其对该实例的所有应用程序可用。实例配置文件包含角色,并使 Amazon EC2 实例上运行的程序能够获得临时凭证。要了解更多信息,请参阅使用 IAM 角色为 Amazon EC2 实例上运行的应用程序授予权限

有关与访问密钥相关的其他安全最佳实践,请参阅 管理 Amazon 访问密钥的最佳实践

临时访问密钥

您还可以为编程访问请求创建和使用临时访问密钥,称为临时安全凭证。我们建议您使用临时访问密钥而不是长期访问密钥,如上一节所述。有关更多信息,请参阅 IAM 用户指南中的将临时安全凭证与 Amazon 资源结合使用

在不太安全的环境中可以使用临时访问密钥,或者可以分配临时访问密钥以便向用户授予对您的 Amazon Web Services 账户 中资源的临时访问权限。

例如,您可以授权来自其他 Amazon Web Services 账户 的实体访问您的 Amazon Web Services 账户 中的资源(跨账户存取)。您也可以授权没有 Amazon 安全凭证的用户访问您的 Amazon Web Services 账户 中的资源(联合身份验证)。有关更多信息,请参阅aws sts assume-role

长期访问密钥

您最多可以为每个用户分配两个长期访问密钥。当您想要轮换访问密钥时,拥有两个访问密钥非常有用。当您禁用访问密钥时,您将无法使用它,但它会计入您的两个访问密钥限制。删除访问密钥后,意味着它将被永久删除且无法恢复,但可以替换为新的访问密钥。

重要

除非没有其他选择,否则我们强烈建议您不要为根用户创建长期访问密钥。如果恶意用户获得了根用户访问密钥的访问权限,他们可以完全接管您的账户。

您提供 Amazon 访问密钥,以编程方式调用 Amazon 或使用 Amazon Command Line Interface 或 Amazon Tools for PowerShell。

有关为根用户创建访问密钥的更多信息,请参阅 IAM 用户指南中的 Amazon Web Services 账户 根用户

有关为 IAM 用户创建访问密钥的更多信息,请参阅 IAM 用户指南中的管理 IAM 用户的访问密钥