使用您的 Amazon 凭证访问 Amazon
Amazon 需要不同类型的安全凭证，具体取决于您访问 Amazon 的方式以及您所属的 Amazon 用户类型。例如，您可以使用登录凭证登入 Amazon Web Services Management Console，但对 Amazon 进行编程调用时则需要使用访问密钥。此外，您使用的每个身份，无论是账户根用户、Amazon Identity and Access Management（IAM）用户、Amazon IAM Identity Center (successor to Amazon Single Sign-On) 用户还是联合身份，在 Amazon 中都有唯一的凭证。
强烈建议您不要使用根用户执行日常任务。保护好根用户凭证，并使用这些凭证来执行仅根用户可以执行的任务。有关要求您以根用户身份登录的任务的完整列表，请参阅需要根用户凭证的任务。
您可以使用如下方法访问 Amazon。
Amazon Web Services Management Console 登录页面
根用户和 IAM 用户通过 Amazon Web Services Management Console
以根用户身份登录
您需要用于创建 Amazon Web Services 账户 的电子邮件地址和根用户的密码。有关更多信息，请参阅《Amazon 登录用户指南》中的以根用户身份登录。
以 IAM 用户身份登录
账户所有者会为您提供账户 ID 或别名、用户名和密码。有关更多信息，请参阅《Amazon 登录用户指南》中的以 IAM 用户身份登录。
有关故障排除信息，请参阅《Amazon 登录用户指南》中的登录问题排查。
Amazon 访问门户登录页面
IAM Identity Center 用户通过 Amazon 访问门户而非 Amazon Web Services Management Console 登录。通过 Amazon 访问门户登录之后，您可以访问自己的 Amazon Web Services 账户 和应用程序。您可以通过 Amazon 访问门户访问云应用程序，例如 Office 365、Concur 和 Salesforce。有关更多信息，请参阅 Amazon IAM Identity Center (successor to Amazon Single Sign-On) 用户指南。
若要登录，您需要登录 URL、用户名和密码。您的管理员或帮助中心员工会向您提供此信息。或者，如果您为 Amazon Web Services 账户 创建 IAM Identity Center 用户，您会收到一封包含特定登录 URL 的电子邮件邀请。
使用 Amazon 访问门户登录
有关分步指导，请参阅《Amazon 登录用户指南》中的登录 Amazon 访问门户。
联合身份
联合身份是可以使用外部身份安全访问 Amazon Web Services 账户 资源的用户。外部身份可能来自公司身份存储（如 LDAP 或 Windows Active Directory）或第三方（如 Login with Amazon、Facebook 或 Google）。联合身份不使用 Amazon Web Services Management Console 或 Amazon 访问门户登录。使用的外部身份类型决定了联合身份的登录方式。
有关联合身份的更多信息，请参阅 IAM 用户指南中的关于 Web 身份联合验证。
管理员必须创建包含 https://signin.aws.amazon.com/federation 的自定义 URL。有关更多信息，请参阅授权自定义身份凭证代理程序对 Amazon Web Services Management Console 的访问权限。
您的管理员创建联合身份。有关如何使用联合身份登录的更多详细信息，请联系您的管理员。
多重身份验证 (MFA)
多重身份验证 (MFA) 为可以访问 Amazon Web Services 账户 的用户提供了额外的安全级别。为了提高安全性，我们建议您要求对 Amazon Web Services 账户根用户 凭证和所有 IAM 用户使用 MFA。有关更多信息，请参阅 IAM 用户指南中的在 Amazon 中使用多重身份验证（MFA）。
当您激活 MFA 并登录到您的 Amazon Web Services 账户 时，系统会提示您输入登录凭证，外加 MFA 设备生成的响应，例如代码、触摸、点按或者生物识别扫描。添加 MFA 之后，您 Amazon Web Services 账户 设置和资源会更加安全。
默认情况下，MFA 未激活。您可以前往安全凭证
有关使用多重身份验证 (MFA) 设备登录的更多信息，请参阅将 MFA 设备与您的 IAM 登录页面结合使用。
以编程方式访问
当您以编程方式使用 Amazon 时，您需要提供您的 Amazon访问密钥，以便 Amazon 可以在编程调用中验证您的身份。访问密钥可以是临时（短期）凭证，也可以是长期凭证，例如适用于 IAM 用户的凭证。
访问密钥
您提供 Amazon 访问密钥，以编程方式调用 Amazon 或使用 Amazon Command Line Interface 或 Amazon Tools for PowerShell。我们建议尽可能使用短期访问密钥。
创建长期访问密钥时，您将访问密钥 ID（例如 AKIAIOSFODNN7EXAMPLE）和秘密访问密钥（例如 wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY）创建为一组。秘密访问密钥仅在您创建它时可供下载。如果您没有下载秘密访问密钥或丢失了它，则必须创建新的秘密访问密钥。
在许多情况下，您并不需要永不过期的长期访问密钥（例如为 IAM 用户创建的访问密钥）。相反，您可以创建 IAM 角色并生成临时安全凭证。临时安全凭证包括访问密钥 ID 和秘密访问密钥，以及一个指示凭证何时到期的安全令牌。在过期后，这些凭证将不再有效。
以 AKIA 开头的访问密钥 ID 是 IAM 用户或 Amazon Web Services 账户 根用户的长期访问密钥。以 ASIA 开头的访问密钥 ID 是使用 Amazon STS 操作创建的临时凭证访问密钥。
如果用户需要在 Amazon Web Services Management Console 之外与 Amazon 交互，则需要编程式访问权限。Amazon API 和 Amazon Command Line Interface 需要访问密钥。可能的话，创建临时凭证，该凭证由一个访问密钥 ID、一个秘密访问密钥和一个指示凭证何时到期的安全令牌组成。
要向用户授予编程式访问权限，请选择以下选项之一。
| 哪个用户需要编程式访问权限？ | 目的 | 方式 |
|---|---|---|
| IAM | 使用短期凭证签署对 Amazon CLI 或 Amazon API 的编程式请求（直接或使用 Amazon SDK）。 | 按照《IAM 用户指南》中将临时凭证用于 Amazon 资源中的说明进行操作。 |
| IAM | 使用长期凭证签署对 Amazon CLI 或 Amazon API 的编程式请求（直接或使用 Amazon SDK）。 （不推荐使用） |
按照《IAM 用户指南》中管理 IAM 用户的访问密钥中的说明进行操作。 |
长期访问密钥的考虑事项和替代方法
对于许多常见使用案例，应有长期访问密钥的替代方法。为了提高您的账户安全性，请考虑以下几点。
-
不要在应用程序代码或代码存储库中嵌入长期访问密钥和秘密访问密钥 –改用 Amazon Secrets Manager 或其他秘密管理解决方案，因此您不必以纯文本硬编码密钥。然后，应用程序或客户端可以在需要时检索秘密。有关更多信息，请参阅《Amazon Secrets Manager 用户指南》中的什么是 Amazon Secrets Manager？。
-
尽可能使用 IAM 角色来生成临时安全凭证 –尽可能使用机制颁发临时安全凭证，而不是使用长期访问密钥。临时安全凭证更加安全，因为它们不随用户一起存储，而是动态生成并在用户提出请求时提供给用户。临时安全凭证的生命周期有限，因此您无需对其进行管理或轮换。提供临时访问密钥的机制包括 IAM 角色或 IAM Identity Center 用户的身份验证。对于在 Amazon 外部运行的计算机，您可以使用 Amazon Identity and Access Management Roles Anywhere。
-
对 Amazon Command Line Interface(Amazon CLI) 或
aws-shell使用长期访问密钥的替代方法 – 替代方法包括如下。-
Amazon CloudShell 是一个基于浏览器的预先验证 shell，您可以直接从 Amazon Web Services Management Console 中启动。您可以通过自己喜爱的 Shell（Bash、Powershell 或 Z shell）来对 Amazon Web Services 运行 Amazon CLI 命令。在执行此操作时，您无需下载或安装命令行工具。有关更多信息，请参阅《Amazon CloudShell 用户指南》中的什么是 Amazon CloudShell？。
-
Amazon CLI 版本 2 与 Amazon IAM Identity Center (successor to Amazon Single Sign-On) (IAM Identity Center) 集成。您可以对用户进行身份验证并提供短期凭证以运行 Amazon CLI 命令。要了解更多信息，请参阅 Amazon IAM Identity Center (successor to Amazon Single Sign-On) 用户指南中的集成 Amazon CLI 与 IAM Identity Cenenter 和 Amazon Command Line Interface 用户指南中的配置 Amazon CLI 以使用 IAM Identy Center。
-
-
不要为需要访问应用程序或 Amazon Web Services 的人类用户创建长期访问密钥 – IAM Identity Center 可以生成临时访问凭证，供您的外部 IdP 用户访问 Amazon Web Services。这样就无需在 IAM 中创建和管理长期凭证。在 IAM Identity Center 中，创建一个 IAM Identity Center 权限集，该权限集向外部 IdP 用户授予访问权限。然后，将来自 IAM Identity Center 的组分配给选定 Amazon Web Services 账户 中的权限集。有关更多信息，请参阅什么是 Amazon IAM Identity Center (successor to Amazon Single Sign-On)、连接到外部身份提供者以及 Amazon IAM Identity Center (successor to Amazon Single Sign-On) 用户指南中的权限集。
-
不要 Amazon 计算服务中存储长期访问密钥 – 相反，应为计算资源分配 IAM 角色。这会自动提供临时凭证以授予访问权限。例如，在创建附加到 Amazon EC2 实例的实例配置文件，可以将 Amazon 角色分配给该实例并使其对该实例的所有应用程序可用。实例配置文件包含角色，并使 Amazon EC2 实例上运行的程序能够获得临时凭证。要了解更多信息，请参阅使用 IAM 角色为 Amazon EC2 实例上运行的应用程序授予权限。