View a markdown version of this page

Chiavi API per AWS services - AWS Identity and Access Management
Servizi che supportano le chiavi APIPrerequisiti per le chiavi API a lungo termineGenerazione di una chiave API a lungo termine (console)Generazione di una chiave API a lungo termine (AWS CLI)Generazione di una chiave API a lungo termine (AWS API)Short-term Chiavi API (servizi selezionati)Service-specific informazioni

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Chiavi API per AWS services

Alcuni AWS servizi supportano le chiavi API per l'autenticazione delle richieste programmatiche oltre alle credenziali IAM standard, come le credenziali di sicurezza temporanee e le chiavi di accesso a lungo termine. AWS offre due tipi di chiavi API:

  • Long-term Chiavi API: le chiavi Long-term API sono associate a un utente IAM e generate utilizzando credenziali specifiche del servizio IAM. Queste credenziali sono progettate per essere utilizzate con un solo AWS servizio, migliorando la sicurezza limitando l'ambito delle credenziali. Per le chiavi API a lungo termine puoi impostare una scadenza. Per generare chiavi API a lungo termine, puoi utilizzare IAM o la console specifica del servizio, la, o l'API. AWS CLI AWS

  • Short-term Chiavi API: una chiave API a breve termine è un URL prefirmato che utilizza la AWS Signature Version 4. Short-term Le chiavi API hanno le stesse autorizzazioni e la stessa scadenza delle credenziali dell'identità che genera la chiave API e sono valide fino a 12 ore o per il tempo rimanente della sessione della console, a seconda di quale sia il più breve. Puoi utilizzare la Claude Platform su AWS console Amazon Bedrock/, Python e i pacchetti per altri linguaggi di programmazione per generare chiavi API a breve termine. Per ulteriori informazioni, consulta Generazione di chiavi API Amazon Bedrock per un facile accesso all'API Amazon Bedrock nella Guida per l'utente di Amazon Bedrock e Autenticazione nella Guida per l'utente. Claude Platform su AWS

Nota

Long-term Le chiavi API presentano un rischio di sicurezza più elevato rispetto alle chiavi API a breve termine. Quando possibile, consigliamo di utilizzare chiavi API a breve termine o credenziali di sicurezza temporanee. Se utilizzi chiavi API a lungo termine, ti consigliamo di implementare pratiche di rotazione delle chiavi a intervalli regolari.

Servizi che supportano le chiavi API

La tabella seguente elenca i AWS servizi che supportano le chiavi API e il tipo di chiave API supportato da ciascun servizio.

# Servizio Long-term Chiavi API Short-term chiavi API Policy gestita allegata automaticamente Service-specific documentazione
1 Amazon Bedrock Sì Sì AmazonBedrockLimitedAccess Usa una chiave API Amazon Bedrock
2 Claude Platform su AWS Sì Sì AnthropicInferenceAccess Autenticazione
3 Amazon CloudWatch Sì N/A CloudWatchAPIKeyAccess Configurazione dell'autenticazione con token al portatore per Metrics
4 Amazon Logs CloudWatch Sì N/A CloudWatchLogsAPIKeyAccess Configurazione dell'autenticazione con token al portatore

Quando si genera una chiave API a lungo termine per un servizio, la policy AWS gestita corrispondente viene automaticamente allegata all'utente IAM, garantendo l'accesso alle operazioni principali di quel servizio. Se hai bisogno di un accesso aggiuntivo, puoi modificare le autorizzazioni per l'utente IAM. Per informazioni sulla modifica delle autorizzazioni, consulta Aggiunta e rimozione di autorizzazioni per identità IAM.

Per saperne di più sulle chiavi API per servizi specifici, consulta i link alla Service-specific documentazione nella tabella precedente.

Prerequisiti per le chiavi API a lungo termine

Prima di poter generare una chiave API a lungo termine nella console IAM, devi soddisfare questi prerequisiti:

  • Un utente IAM da associare alla chiave API a lungo termine. Per istruzioni su come creare un utente IAM, consulta Crea un utente IAM nel tuo Account AWS.

  • È necessario disporre delle seguenti autorizzazioni della policy IAM per gestire le credenziali specifiche del servizio per un utente IAM. La policy di esempio concede l’autorizzazione a creare, elencare, aggiornare, eliminare e reimpostare le credenziali specifiche del servizio. Sostituisci il username valore nell'elemento Resource con il nome dell'utente IAM per cui genererai chiavi API a lungo termine per:

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "ManageBedrockServiceSpecificCredentials",
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceSpecificCredential",
                "iam:ListServiceSpecificCredentials",
                "iam:UpdateServiceSpecificCredential",
                "iam:DeleteServiceSpecificCredential",
                "iam:ResetServiceSpecificCredential"
            ],
            "Resource": "arn:aws:iam::*:user/username"
        }
    ]
}

Generazione di una chiave API a lungo termine (console)

Generare una chiave API a lungo termine per un servizio specifico nella console IAM

  1. Accedi Console di gestione AWS e apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

  2. Nel pannello di navigazione della console IAM, scegli Utenti.

  3. Scegli l'utente IAM per cui desideri generare una chiave API a lungo termine.

  4. Selezionare la scheda Security Credentials (Credenziali di sicurezza).

  5. Nella sezione Chiavi API, scegli Genera chiave API.

  6. Dall'elenco a discesa del AWS servizio, scegli il servizio su cui desideri autenticare la chiave API.

  7. Per Scadenza della chiave API, esegui una delle seguenti operazioni:

    • Scegli una durata di scadenza della chiave API di 1, 5, 30 , 90 o 365 giorni.

    • Scegli Durata personalizzata per specificare una data di scadenza della chiave API personalizzata.

    • Scegli Non scade mai (scelta non consigliata).

  8. Scegli Genera chiave API.

  9. Copia o scarica la tua chiave API. Questo è l’unico momento in cui è possibile visualizzare il valore della chiave API.

    Importante

    Archivia la chiave API in modo sicuro. Dopo aver chiuso la finestra di dialogo, non sarà possibile recuperare di nuovo la chiave API. Se perdi o dimentichi la tua chiave API, non puoi recuperarla. Invece, genera una nuova chiave API e rendi inattiva la vecchia chiave.

Generazione di una chiave API a lungo termine (AWS CLI)

Per generare una chiave API a lungo termine utilizzando il AWS CLI, utilizza i seguenti passaggi:

  1. Crea un utente IAM che verrà utilizzato con il servizio utilizzando il comando create-user:

    aws iam create-user \
    --user-name APIKeyUser_1

  2. Allega la policy AWS gestita all'utente IAM utilizzando il comando https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/attach-user-policy.html attach-user-policy.

    Per Amazon Bedrock:

    aws iam attach-user-policy --user-name APIKeyUser_1 \
    --policy-arn arn:aws:iam::aws:policy/AmazonBedrockLimitedAccess

    Per Claude Platform su AWS:

    aws iam attach-user-policy --user-name APIKeyUser_1 \
    --policy-arn arn:aws:iam::aws:policy/AnthropicInferenceAccess

    Per Amazon CloudWatch:

    aws iam attach-user-policy --user-name APIKeyUser_1 \
    --policy-arn arn:aws:iam::aws:policy/CloudWatchAPIKeyAccess

    Per Amazon CloudWatch Logs:

    aws iam attach-user-policy --user-name APIKeyUser_1 \
    --policy-arn arn:aws:iam::aws:policy/CloudWatchLogsAPIKeyAccess

  3. Genera la chiave API a lungo termine utilizzando il comando create-service-specific-credential.

    Per Amazon Bedrock:

    aws iam create-service-specific-credential \
    --user-name APIKeyUser_1 \
    --service-name bedrock.amazonaws.com \
    --credential-age-days 30

    Per Claude Platform su AWS:

    aws iam create-service-specific-credential \
    --user-name APIKeyUser_1 \
    --service-name aws-external-anthropic.amazonaws.com \
    --credential-age-days 30

    Per Amazon CloudWatch:

    aws iam create-service-specific-credential \
    --user-name APIKeyUser_1 \
    --service-name cloudwatch.amazonaws.com \
    --credential-age-days 30

    Per Amazon CloudWatch Logs:

    aws iam create-service-specific-credential \
    --user-name APIKeyUser_1 \
    --service-name logs.amazonaws.com \
    --credential-age-days 30
    Nota

    Il parametro --credential-age-days è facoltativo. Puoi specificare un valore compreso tra 1 e 36600 giorni. Se ometti questo parametro, la chiave API non scade.

La risposta ServiceApiKeyValue restituita è la chiave API a lungo termine per il rispettivo servizio. Archivia il valore ServiceApiKeyValue in modo sicuro, poiché non potrai recuperarlo in un secondo momento.

Elenca le chiavi API a lungo termine (AWS CLI)

Per elencare i metadati delle chiavi API a lungo termine per un utente specifico, usa il comando list-service-specific-credentials con il parametro: --user-name

aws iam list-service-specific-credentials \
    --service-name bedrock.amazonaws.com \
    --user-name APIKeyUser_1
Nota

Sostituisci bedrock.amazonaws.com con il nome del servizio appropriato (ad esempio, per Amazon Logs o per). logs.amazonaws.com CloudWatch aws-external-anthropic.amazonaws.com Claude Platform su AWS

Per elencare tutti i metadati delle chiavi API a lungo termine presenti nell'account, utilizza il comando list-service-specific-credentials con il parametro: --all-users

aws iam list-service-specific-credentials \
    --service-name bedrock.amazonaws.com \
    --all-users

Aggiorna lo stato della chiave API a lungo termine (AWS CLI)

Per aggiornare lo stato di una chiave API a lungo termine, usa il comando https://awscli.amazonaws.com/v2/documentation/api/latest/reference/iam/update-service-specific-credential.html update-service-specific-credential:

aws iam update-service-specific-credential \
    --user-name "APIKeyUser_1" \
    --service-specific-credential-id "ACCA1234EXAMPLE1234" \
    --status Inactive|Active

Generazione di una chiave API a lungo termine (AWS API)

Puoi utilizzare le seguenti operazioni API IAM per gestire le chiavi API a lungo termine per qualsiasi servizio supportato:

Short-term Chiavi API (servizi selezionati)

Short-term Le chiavi API sono attualmente supportate da servizi selezionati.

Per informazioni sulla generazione e l'utilizzo di chiavi API a breve termine con Amazon Bedrock, consulta Generare una chiave API nella Amazon Bedrock User Guide.

Per informazioni sulla generazione e l'utilizzo di chiavi API a breve termine per Claude Platform su AWS, consulta l'Autenticazione nella Guida per l'Claude Platform su AWS utente.

Service-specific informazioni