English
devexamples
← 中文资源

简体中文版本

执行季度访问权限复核

生成 IAM 凭据报告，标记长期未使用的密钥与管理员角色，并在截止日期前记录复核人签署。

阅读英文原文

概述

访问复核对每一项授权只问一个问题：该主体是否仍然需要这项权限？从凭据报告开始，因为它包含复核人需要的证据：密码最后使用时间、密钥年龄、密钥最后使用日期和 MFA 状态。再结合管理员主体清单重点审查。

步骤

  1. 生成最新的凭据报告并解码为 CSV：
aws iam generate-credential-report
aws iam get-credential-report --query Content --output text | base64 -d > credential-report-2026-10-21.csv
  1. 遍历用户，找出绑定了 AdministratorAccess 的账号，逐个确认用途。
  2. 找出 90 天未登录或密钥长期未使用的账号，发给对应负责人，要求给出“保留”或“撤销”的决定及日期。
  3. 将决定记录到复核文件，并禁用未获批准的访问密钥：
aws iam update-access-key --user-name legacy-ci \
  --access-key-id AKIAIOSFODNN7EXAMPLE --status Inactive

验证

预期复核文件覆盖全部活跃用户和角色，未批准项已禁用或删除，关键服务在禁用后仍正常运行。凭据报告的生成状态应为 COMPLETE，否则数据可能过期；抽查一个被撤销的账号，确认其无法再调用 API。

注意事项

  • 凭据报告只覆盖 IAM 用户，不包含联邦会话和资源策略，需要另行检查。
  • 报告是时间点快照，生成之后新增的授权不在本次复核范围内。
  • 服务账号必须指定团队负责人，无人认领的凭据应直接禁用。
  • 先禁用再删除访问密钥，便于发现被忽略的自动化依赖；紧急账号需记录例外与到期时间。