使用您的 Amazon 凭证访问 Amazon - Amazon 一般参考
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

使用您的 Amazon 凭证访问 Amazon

Amazon 需要不同类型的安全凭证,具体取决于您访问 Amazon 的方式以及您所属的 Amazon 用户类型。例如,您需要用户名和密码才能登录 Amazon Web Services Management Console,并且需要访问密钥才能以编程方式调用 Amazon。此外,您可以是账户根用户、Amazon Identity and Access Management (IAM) 用户、Amazon IAM Identity Center (successor to Amazon Single Sign-On) 用户或联合身份。

重要

强烈建议您不要使用根用户执行日常任务。保护好根用户凭证,并使用这些凭证来执行仅根用户可以执行的任务。有关要求您以根用户身份登录的任务的完整列表,请参阅需要根用户凭证的任务

您可以使用如下方法访问 Amazon。

Amazon Web Services Management Console 登录页面

根用户和 IAM 用户通过 Amazon Web Services Management Console 登录。Amazon Web Services Management Console 提供了一个基于 Web 的用户界面,您可以使用该界面来创建和管理 Amazon 资源。

以根用户身份登录

您需要用于创建 Amazon Web Services 账户 的电子邮件地址和根用户的密码。有关更多信息,请参阅《Amazon 登录用户指南》中的以根用户身份登录

以 IAM 用户身份登录

账户所有者会为您提供账户 ID 或别名、用户名和密码。有关更多信息,请参阅《Amazon 登录用户指南》中的以 IAM 用户身份登录

有关故障排除信息,请参阅《Amazon 登录用户指南》中的登录问题排查

Amazon 访问门户登录页面

IAM Identity Center 用户通过 Amazon 访问门户而非 Amazon Web Services Management Console 登录。通过 Amazon 访问门户登录之后,您可以访问自己的 Amazon Web Services 账户 和应用程序。您可以通过 Amazon 访问门户访问云应用程序,例如 Office 365、Concur 和 Salesforce。有关更多信息,请参阅 Amazon IAM Identity Center (successor to Amazon Single Sign-On) 用户指南

若要登录,您需要登录 URL、用户名和密码。您的管理员或帮助中心员工会向您提供此信息。或者,如果您为 Amazon Web Services 账户 创建 IAM Identity Center 用户,您会收到一封包含特定登录 URL 的电子邮件邀请。

使用 Amazon 访问门户登录

有关分步指导,请参阅《Amazon 登录用户指南》中的登录 Amazon 访问门户

联合身份

联合身份是可以使用外部身份安全访问 Amazon Web Services 账户 资源的用户。外部身份可能来自公司身份存储(如 LDAP 或 Windows Active Directory)或第三方(如 Login with Amazon、Facebook 或 Google)。联合身份不使用 Amazon Web Services Management Console 或 Amazon 访问门户登录。使用的外部身份类型决定了联合身份的登录方式。

有关联合身份的更多信息,请参阅 IAM 用户指南中的关于 Web 身份联合验证

管理员必须创建包含 https://signin.aws.amazon.com/federation 的自定义 URL。有关更多信息,请参阅授权自定义身份凭证代理程序对 Amazon Web Services Management Console 的访问权限

注意

您的管理员创建联合身份。有关如何使用联合身份登录的更多详细信息,请联系您的管理员。

多重身份验证 (MFA)

多重身份验证 (MFA) 为可以访问 Amazon Web Services 账户 的用户提供了额外的安全级别。为了提高安全性,我们建议您对 Amazon Web Services 账户 根用户凭证和所有 IAM 用户要求使用 MFA。有关更多信息,请参阅 IAM 用户指南中的在 Amazon 中使用多重身份验证(MFA)

当您激活 MFA 并登录到您的 Amazon Web Services 账户 时,系统会提示您输入用户名和密码,外加 MFA 设备生成的响应,例如代码、触摸或点按或者生物识别扫描。添加 MFA 之后,您 Amazon Web Services 账户 设置和资源会更加安全。

默认情况下,MFA 未激活。您可以前往 Security credentials(安全凭证)页面或 Amazon Web Services Management Console 中的 IAM 控制面板,为 Amazon Web Services 账户 根用户激活和管理 MFA 设备。有关为 IAM 用户激活 MFA 的更多信息,请参阅 IAM 用户指南中的启用 MFA 设备

有关使用多重身份验证 (MFA) 设备登录的更多信息,请参阅将 MFA 设备与您的 IAM 登录页面结合使用

以编程方式访问

当您以编程方式使用 Amazon 时,您需要提供您的 Amazon访问密钥,以便 Amazon 可以在编程调用中验证您的身份。访问密钥可以是临时(短期)凭证,也可以是长期凭证,例如适用于 IAM 用户或 Amazon 账户根用户的凭证。

访问密钥

您提供 Amazon 访问密钥,以编程方式调用 Amazon 或使用 Amazon Command Line Interface 或 Amazon Tools for PowerShell。

创建长期访问密钥时,您将访问密钥 ID(例如 AKIAIOSFODNN7EXAMPLE)和秘密访问密钥(例如 wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY)创建为一组。秘密访问密钥仅在您创建它时可供下载。如果您没有下载秘密访问密钥或丢失了它,则必须创建新的秘密访问密钥。

在许多情况下,您并不需要永不过期的长期访问密钥(如 IAM 用户访问密钥)。相反,您可以创建 IAM 角色并生成临时安全凭证。临时安全凭证包括访问密钥 ID 和秘密访问密钥,以及一个指示凭证何时到期的安全令牌。在过期后,这些凭证将不再有效。有关更多信息,请参阅临时访问密钥

AKIA 开头的访问密钥 ID 是 IAM 用户或 Amazon Web Services 账户 根用户的长期访问密钥。以 ASIA 开头的访问密钥 ID 是使用 Amazon STS 操作创建的临时凭证访问密钥。

临时访问密钥

您还可以为编程访问请求创建和使用临时访问密钥,称为临时安全凭证。我们建议您使用临时访问密钥而不是长期访问密钥,如上一节所述。有关更多信息,请参阅《IAM 用户指南》中的将临时凭证用于 Amazon 资源和《Amazon Account Management 参考指南》中的使用临时安全凭证

在不太安全的环境中可以使用临时访问密钥,或者可以分配临时访问密钥以便向用户授予对您的 Amazon Web Services 账户 中资源的临时访问权限。

例如,您可以授权来自其他 Amazon Web Services 账户 的实体访问您的 Amazon Web Services 账户 中的资源(跨账户存取)。您也可以授权没有 Amazon 安全凭证的用户访问您的 Amazon Web Services 账户 中的资源(联合身份验证)。有关更多信息,请参阅aws sts assume-role

长期访问密钥

您最多可以为每个用户分配两个长期访问密钥。当您想要轮换访问密钥时,拥有两个访问密钥非常有用。当您禁用访问密钥时,您将无法使用它,但它会计入您的两个访问密钥限制。删除访问密钥后,意味着它将被永久删除且无法恢复,但可以替换为新的访问密钥。

重要

除非没有其他选择,否则我们强烈建议您不要为根用户创建长期访问密钥。如果恶意用户获得了根用户访问密钥的访问权限,他们可以完全接管您的账户。

创建长期访问密钥

创建长期访问密钥的过程取决于您是 Amazon Web Services 账户 根用户还是 IAM 用户。

创建 Amazon Web Services 账户 根用户的访问密钥

按照《Amazon Account Management 参考指南》中的创建和删除 Amazon Web Services 账户 根用户的访问密钥中的分步说明进行操作。

为 IAM 用户创建访问密钥

按照《IAM 用户指南》中的管理 IAM 用户的访问密钥中的分步说明进行操作。

长期访问密钥的考虑事项和替代方法

对于许多常见使用案例,应有长期访问密钥的替代方法。为了提高您的账户安全性,请考虑以下几点。

  • 不要在应用程序代码或代码存储库中嵌入长期访问密钥和秘密访问密钥 –改用 Amazon Secrets Manager 或其他秘密管理解决方案,因此您不必以纯文本硬编码密钥。然后,应用程序或客户端可以在需要时检索秘密。有关更多信息,请参阅《Amazon Secrets Manager 用户指南》中的什么是 Amazon Secrets Manager?

  • 尽可能使用 IAM 角色来生成临时安全凭证 –尽可能使用机制颁发临时安全凭证,而不是使用长期访问密钥。临时安全凭证更加安全,因为它们不随用户一起存储,而是动态生成并在用户提出请求时提供给用户。临时安全凭证的生命周期有限,因此您无需对其进行管理或轮换。机制包括 IAM 角色或 IAM Identity Center 用户的身份验证。有关更多信息,请参阅临时访问密钥

  • 对 Amazon Command Line Interface(Amazon CLI) 或 aws-shell 使用长期访问密钥的替代方法 – 替代方法包括如下。

    • Amazon CloudShell 是一个基于浏览器的预先验证 shell,您可以直接从 Amazon Web Services Management Console 中启动。您可以通过自己喜爱的 Shell(Bash、Powershell 或 Z shell)来对 Amazon Web Services 运行 Amazon CLI 命令。在执行此操作时,您无需下载或安装命令行工具。有关更多信息,请参阅《Amazon CloudShell 用户指南》中的什么是 Amazon CloudShell?

    • Amazon CLI 版本 2 与 Amazon IAM Identity Center (successor to Amazon Single Sign-On) (IAM Identity Center) 集成。您可以对用户进行身份验证并提供短期凭证以运行 Amazon CLI 命令。要了解更多信息,请参阅 Amazon IAM Identity Center (successor to Amazon Single Sign-On) 用户指南中的集成 Amazon CLI 与 IAM Identity CenenterAmazon Command Line Interface 用户指南中的配置 Amazon CLI 以使用 IAM Identy Center

  • 不要为需要访问应用程序或 Amazon Web Services 的人类用户创建长期访问密钥 – IAM Identity Center 可以生成临时访问凭证,供您的外部 IdP 用户访问 Amazon Web Services。这样就无需在 IAM 中创建和管理长期凭证。在 IAM Identity Center 中,创建一个 IAM Identity Center 权限集,该权限集向外部 IdP 用户授予访问权限。然后,将来自 IAM Identity Center 的组分配给选定 Amazon Web Services 账户 中的权限集。有关更多信息,请参阅什么是 Amazon IAM Identity Center (successor to Amazon Single Sign-On)连接到外部身份提供者以及 Amazon IAM Identity Center (successor to Amazon Single Sign-On) 用户指南中的权限集

  • 不要 Amazon 计算服务中存储长期访问密钥 – 相反,应为计算资源分配 IAM 角色。这会自动提供临时凭证以授予访问权限。例如,在创建附加到 Amazon EC2 实例的实例配置文件,可以将 Amazon 角色分配给该实例并使其对该实例的所有应用程序可用。实例配置文件包含角色,并使 Amazon EC2 实例上运行的程序能够获得临时凭证。要了解更多信息,请参阅使用 IAM 角色为 Amazon EC2 实例上运行的应用程序授予权限