View a markdown version of this page

Kunci API untuk AWS layanan - AWS Identity and Access Management
Layanan yang mendukung kunci APIPrasyarat untuk kunci API jangka panjangMenghasilkan kunci API jangka panjang (konsol)Menghasilkan kunci API jangka panjang (AWS CLI)Menghasilkan kunci API jangka panjang (AWS API)Short-term Kunci API (pilih layanan)Service-specific informasi

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Kunci API untuk AWS layanan

Beberapa AWS layanan mendukung kunci API untuk mengotentikasi permintaan terprogram selain kredentif IAM standar seperti kredentif keamanan sementara dan kunci akses jangka panjang. AWS menawarkan dua jenis kunci API:

  • Long-term Kunci API — Long-term Kunci API dikaitkan dengan pengguna IAM dan dibuat menggunakan kredentif khusus layanan IAM. KredenSIAL ini dirancang untuk digunakan hanya dengan satu AWS layanan, meningkatkan keamanan dengan membatasi ruang lingkup kredensia. Anda dapat mengatur waktu kedaluwarsa saat kunci API jangka panjang kedaluwarsa. Untuk menghasilkan kunci API jangka panjang, Anda dapat menggunakan IAM atau konsol khusus layanan, atau API. AWS CLI AWS

  • Short-term Kunci API — Kunci API jangka pendek adalah URL yang ditandatangani sebelumnya yang menggunakan Tanda T AWS angan Versi 4. Short-term Kunci API berbagi izin dan kedaluwarsa yang sama dengan kredenSIAL identitas yang menghasilkan kunci API dan berlaku hingga 12 jam atau sisa waktu sesi konsol Anda, mana saja yang lebih pendek. Anda dapat menggunakan Amazon Bedrock/Claude Platform di AWS console, Python, dan paket untuk bahasa pemrograman lain untuk menghasilkan kunci API jangka pendek. Untuk informasi selengkapnya, lihat Mengh asilkan kunci API Amazon Bedrock untuk akses mudah ke Amazon Bedrock API di Panduan Pengguna Amazon Bedrock dan Oten tikasi di Panduan Pengguna. Claude Platform di AWS

catatan

Long-term Kunci API memiliki risiko keamanan yang lebih tinggi dibandingkan dengan kunci API jangka pendek. Sebaiknya gunakan kunci API jangka pendek atau kredenSIAL keamanan sementara jika memungkinkan. Jika Anda menggunakan kunci API jangka panjang, sebaiknya terapkan praktik rotasi kunci reguler.

Layanan yang mendukung kunci API

Tabel berikut mencantumkan AWS layanan yang mendukung kunci API dan jenis kunci API yang didukung setiap layanan.

# Layanan Long-term Kunci API Short-term Kunci API Kebijakan terkelola dilampirkan secara otomatis Service-specific dokumentasi
1 Amazon Bedrock Ya Ya AmazonBedrockLimitedAccess Gunakan kunci API Amazon Bedrock
2 Claude Platform di AWS Ya Ya AnthropicInferenceAccess Autentikasi
3 Amazon CloudWatch Ya N/A CloudWatchAPIKeyAccess Menyiapkan otentikasi token pembawa untuk Metrik
4 CloudWatch Log Amazon Ya N/A CloudWatchLogsAPIKeyAccess Menyiapkan otentikasi token pembawa

Saat Anda membuat kunci API jangka panjang untuk layanan, kebijakan terkelola AWS terkait secara otomatis dilampirkan ke pengguna IAM, memberikan akses ke operasi inti untuk layanan tersebut. Jika Anda memerlukan akses tambahan, Anda dapat mengubah izin untuk pengguna IAM. Untuk informasi tentang memodifikasi izin, lihatMenambahkan dan menghapus izin identitas IAM.

Untuk mempelajari lebih lanjut tentang kunci API untuk layanan tertentu, lihat tautan Service-specific dokumentasi pada tabel di atas.

Prasyarat untuk kunci API jangka panjang

Sebelum Anda dapat membuat kunci API jangka panjang di konsol IAM, Anda harus memenuhi prasyarat berikut:

  • Pengguna IAM untuk dikaitkan dengan kunci API jangka panjang. Untuk petunjuk tentang cara membuat pengguna IAM, lihatBuat pengguna IAM di Akun AWS.

  • Anda harus memiliki izin kebijakan IAM berikut untuk mengelola kredenSIAL khusus layanan untuk pengguna IAM. Kebijakan contoh memberikan izin untuk membuat, membuat daftar, memperbarui, menghapus, dan mengatur ulang kredenSIAL khusus layanan. Ganti username nilai dalam elemen Resource dengan nama pengguna IAM yang akan Anda hasilkan kunci API jangka panjang untuk:

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "ManageBedrockServiceSpecificCredentials",
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "iam:ListServiceSpecificCredentials",
                "iam:UpdateServiceSpecificCredential",
                "iam:DeleteServiceSpecificCredential",
                "iam:ResetServiceSpecificCredential"
            ],
            "Resource": "arn:aws:iam::*:user/username"
        }
    ]
}

Menghasilkan kunci API jangka panjang (konsol)

Untuk menghasilkan kunci API jangka panjang untuk layanan tertentu di konsol IAM

  1. Masuk ke Konsol Manajemen AWS dan buka konsol IAM di https://console.aws.amazon.com/iam/.

  2. Di panel navigasi konsol IAM, pilih Pengguna.

  3. Pilih pengguna IAM yang ingin Anda buat kunci API jangka panjang.

  4. Pilih tab Kredensial keamanan.

  5. Di bagian kunci API, pilih Buat kunci API.

  6. Dari daftar dropdown AWS layanan, pilih layanan yang ingin Anda autentikasi dengan kunci API.

  7. Untuk kedaluwarsa kunci API, lakukan salah satu hal berikut:

    • Pilih durasi kedaluwarsa kunci API 1, 5, 30, 90, atau 365 hari.

    • Pilih Durasi kustom untuk menentukan tanggal kedaluwarsa kunci API khusus.

    • Pilih Tidak pernah kedalu warsa (tidak disarankan).

  8. Pilih Buat kunci API.

  9. Salin atau unduh kunci API Anda. Ini adalah satu-satunya waktu Anda dapat melihat nilai kunci API.

    penting

    Simpan kunci API Anda dengan aman. Setelah Anda menutup kotak dialog, Anda tidak dapat mengambil kunci API lagi. Jika Anda kehilangan atau lupa kunci API Anda, Anda tidak dapat mengambilnya. Sebagai gantinya, buat kunci API baru dan buat kunci lama tidak aktif.

Menghasilkan kunci API jangka panjang (AWS CLI)

Untuk menghasilkan kunci API jangka panjang menggunakan AWS CLI, gunakan langkah-langkah berikut:

  1. Buat pengguna IAM yang akan digunakan dengan layanan menggunakan perintah create- user:

    aws iam create-user \
    --user-name APIKeyUser_1

  2. Lampirkan kebijakan AWS terkelola ke pengguna IAM menggunakan perintah attach- user-policy.

    Untuk Amazon Bedrock:

    aws iam attach-user-policy --user-name APIKeyUser_1 \
    --policy-arn arn:aws:iam::aws:policy/AmazonBedrockLimitedAccess

    Untuk Claude Platform di AWS:

    aws iam attach-user-policy --user-name APIKeyUser_1 \
    --policy-arn arn:aws:iam::aws:policy/AnthropicInferenceAccess

    Untuk Amazon CloudWatch:

    aws iam attach-user-policy --user-name APIKeyUser_1 \
    --policy-arn arn:aws:iam::aws:policy/CloudWatchAPIKeyAccess

    Untuk Amazon CloudWatch Log:

    aws iam attach-user-policy --user-name APIKeyUser_1 \
    --policy-arn arn:aws:iam::aws:policy/CloudWatchLogsAPIKeyAccess

  3. Hasilkan kunci API jangka panjang menggunakan perintah create-service-spesifik-credential.

    Untuk Amazon Bedrock:

    aws iam create-service-specific-credential \
    --user-name APIKeyUser_1 \
    --service-name bedrock.amazonaws.com \
    --credential-age-days 30

    Untuk Claude Platform di AWS:

    aws iam create-service-specific-credential \
    --user-name APIKeyUser_1 \
    --service-name aws-external-anthropic.amazonaws.com \
    --credential-age-days 30

    Untuk Amazon CloudWatch:

    aws iam create-service-specific-credential \
    --user-name APIKeyUser_1 \
    --service-name cloudwatch.amazonaws.com \
    --credential-age-days 30

    Untuk Amazon CloudWatch Log:

    aws iam create-service-specific-credential \
    --user-name APIKeyUser_1 \
    --service-name logs.amazonaws.com \
    --credential-age-days 30
    catatan

    Parameter --credential-age-days bersifat opsional. Anda dapat menentukan nilai antara 1-36600 hari. Jika Anda menghilangkan parameter ini, kunci API tidak kedaluwarsa.

Yang dikembalikan ServiceApiKeyValue dalam respons adalah kunci API jangka panjang Anda untuk layanan masing-masing. Simpan ServiceApiKeyValue nilai dengan aman, karena Anda tidak dapat mengambilnya nanti.

Daftar kunci API jangka panjang (AWS CLI)

Untuk mencantumkan metadata kunci API jangka panjang untuk pengguna tertentu, gunakan perintah list-service-specific dengan parameter: --user-name

aws iam list-service-specific-credentials \
    --service-name bedrock.amazonaws.com \
    --user-name APIKeyUser_1
catatan

Ganti bedrock.amazonaws.com dengan nama layanan yang sesuai (misalnya, logs.amazonaws.com untuk Amazon CloudWatch Logs atau aws-external-anthropic.amazonaws.com untuk Claude Platform di AWS).

Untuk mencantumkan semua metadata kunci API jangka panjang di akun, gunakan perintah list-service-specific dengan parameter: --all-users

aws iam list-service-specific-credentials \
    --service-name bedrock.amazonaws.com \
    --all-users

Perbarui status kunci API jangka panjang (AWS CLI)

Untuk memperbarui status kunci API jangka panjang, gunakan perintah update-service- specific credential:

aws iam update-service-specific-credential \
    --user-name "APIKeyUser_1" \
    --service-specific-credential-id "ACCA1234EXAMPLE1234" \
    --status Inactive|Active

Menghasilkan kunci API jangka panjang (AWS API)

Anda dapat menggunakan operasi IAM API berikut untuk mengelola kunci API jangka panjang untuk layanan yang didukung:

Short-term Kunci API (pilih layanan)

Short-term Kunci API saat ini didukung oleh layanan tertentu.

Untuk informasi tentang membuat dan menggunakan kunci API jangka pendek dengan Amazon Bedrock, lihat Menghasilkan kunci API di Panduan Pengguna Amazon Bedrock.

Untuk informasi tentang membuat dan menggunakan kunci API jangka pendek untuk Claude Platform di AWS, lihat O tentikasi di Panduan Claude Platform di AWS Pengguna.

Service-specific informasi

  • Untuk informasi selengkapnya tentang menggunakan kunci API dengan Amazon Bedrock, lihat Menggunakan kunci API Amazon Bedrock di Panduan Pengguna Amazon Bedrock.

  • Untuk informasi selengkapnya tentang menggunakan kunci API dengan Claude Platform di AWS, lihat O tentikasi di Panduan Claude Platform di AWS Pengguna.

  • Untuk informasi selengkapnya tentang menggunakan kunci API dengan Amazon CloudWatch, lihat Men yiapkan otentikasi token pembawa untuk Metrik di Panduan CloudWatch Pengguna Amazon.

  • Untuk informasi selengkapnya tentang menggunakan kunci API dengan Amazon CloudWatch Logs, lihat Men yiapkan otentikasi token pembawa di Panduan Pengguna Amazon CloudWatch Logs.