增加aws session token过期时间

Question

我正在使用一个 python 脚本，该脚本使用 IAM 用户和启用的 MFA（多重身份验证）登录 AWS 帐户。 该脚本连续运行并执行一些操作（物联网、从设备获取数据等）。

如前所述，该帐户在启动脚本时需要一个 MFA 代码，而且它做得很好。 但问题是脚本在 36 小时后失败，因为令牌过期。 我们能否增加 session 令牌过期时间或自动执行此任务而不是一次又一次地询问 MFA 代码？

Answer 1

不幸的是，该值的范围可以从 900 秒（15 分钟）到 129600 秒（36 小时）。 如果您使用的是 root 用户凭据，则范围为 900 秒（15 分钟）到 3600 秒（1 小时）。

Answer 2

您不能延长到期时间，但可以规避保护措施（风险自负）。 原则上，您可以存储用于生成 TOTP 代码的 MFA 秘密（例如，QR 设置代码提供的内容）并让您的脚本生成 OTP 代码以自动执行 MFA 挑战。 例如，使用PyOTP库。 当然，如果您的 MFA 要求要求的不仅仅是 TOTP（例如强制生物识别或物理触摸键），那么这将行不通。

但是设置一个不需要 MFA 的解决方案可能会更容易。 例如，部署您的脚本以在具有必要权限的实例角色的 EC2 实例上运行，或者创建一个没有 MFA 要求的 IAM 用户。