密碼/訪問密鑰過期時如何通知 IAM 用戶？

Question

我正在嘗試找到一種解決方案，以在他們的密碼和訪問密鑰過期時通知所有 AWS IAM 用戶。 有沒有辦法通過控制台或一些 Python 腳本來做到這一點？

IAM 用戶應至少在其 IAM 密碼和訪問密鑰到期前一周收到一封郵件。

Answer 1

編寫一個定期運行的腳本（例如，您可以使用預定的 Lambda 來執行此操作）。

調用get_credential_report以查看 IAM 密碼將在多長時間內過期，並調用list_access_keys以查看何時創建訪問密鑰（並因此計算何時需要輪換）。

注意：AWS 管理控制台會在 IAM 用戶在密碼到期后 15 天內發出警告。

Answer 2

對於密碼，您可以使用GetCredentialReport API 調用。 在那里你會找到password_next_rotation ：

當帳戶具有要求密碼輪換的密碼策略時，此字段包含日期和時間，采用 ISO 8601 日期時間格式，當用戶需要設置新密碼時。 AWS 賬戶 (root) 的值始終為 not_supported。

使用此信息，您可以編寫一個腳本來發送這些電子郵件（假設您在 IAM 中使用他們的 email 地址標記了您的用戶）

它在boto3中可用： get_credential_report() 。

請注意，訪問密鑰不會過期。

Answer 3

這是我對一個簡單的 bash 腳本的貢獻，它可以幫助實現這一目標更容易

https://gist.github.com/andresjz/048891dc6e92c19bc3346c00513232f3#file-get_accounts_expirations-sh-L5