获取 AWS 凭据与多账号管理

先在 AWS 获取可调用 API 的凭据，再保存到 CloudPilot。下面分别介绍 IAM 用户长期密钥和 IAM Identity Center 临时凭据；选择与你的 AWS 登录方式匹配的一种即可。

更新于 2026-10-08

1. 1

   先确认需要哪一种凭据

   面板需要 AWS API 访问凭据。IAM 用户密钥包含 Access Key ID 和 Secret Access Key；临时凭据还包含 Session Token。如果通过公司或组织的 AWS 访问门户登录，优先使用下面的临时凭据方式。AWS 登录邮箱、控制台密码、12 位账号 ID 和 EC2 的 .pem 私钥都不能代替这些字段。

2. 2

   方式 A：打开 IAM 并选择用户

   登录 AWS 管理控制台，搜索并打开 IAM，在左侧「用户（Users）」中选择用于面板的 IAM 用户。不要给根用户（Root user）创建用于面板的访问密钥。如果你只有组织分配的角色、看不到 IAM 用户，请使用方式 B 或联系管理员。

   • 打开 AWS IAM 控制台（新标签页）
   • AWS：访问密钥使用建议（新标签页）
3. 3

   没有 IAM 用户时，先创建专用用户

   由有 IAM 管理权限的账号在「用户 → 创建用户（Create user）」填写名称，例如 cloudpilot。仅供面板调用 API 时，无需为这个新用户开启控制台登录。继续到权限设置，选择管理员准备好的用户组，或直接附加所需权限策略，检查后创建用户。已有合适用户可跳过此步。

   • AWS：创建用于程序访问的 IAM 用户（新标签页）
4. 4

   为要使用的功能分配权限

   在用户的「权限（Permissions）」页面添加用户组或权限策略，按实际使用范围授权 EC2、Lightsail、SSM 等操作。访问密钥继承该用户的权限，创建密钥不会自动获得管理员权限。若无权创建用户、密钥或分配权限，请让 AWS 管理员处理。不要为了消除一个报错就直接开放全部权限。

   • AWS：IAM 用户与权限配置（新标签页）
5. 5

   创建 Access Key

   进入该用户详情的「安全凭证（Security credentials）」页，在「访问密钥（Access keys）」区域点击「创建访问密钥（Create access key）」。阅读用途与替代方案说明；确定使用长期密钥时，可选择「其他（Other）」继续，填写便于辨认的用途说明后创建。

   • AWS：创建和管理 IAM 用户访问密钥（新标签页）
6. 6

   立即保存成对的 ID 和 Secret

   创建结果中会显示 Access Key ID；展开 Secret Access Key 后复制完整值，也可以下载 .csv 文件妥善保存。Secret 只在创建时提供，关闭页面后无法再次找回。请保存同一组 ID 和 Secret，长期 IAM 用户密钥的 Session Token 留空。

   • AWS：查看与保存新建密钥（新标签页）
7. 7

   方式 B：从 AWS 访问门户获取临时凭据

   如果使用 IAM Identity Center，打开管理员提供的 AWS 访问门户并登录。在「Accounts」中展开目标 AWS 账号，找到被分配的角色，点击旁边的「Access keys」或「Command line or programmatic access」。如果没有账号或角色，需要管理员先为你分配访问权限。

   • AWS：从访问门户获取临时凭据（新标签页）
8. 8

   复制临时凭据的三项完整值

   在获取凭据窗口中使用单独字段值（通常为 Option 3），复制 Access Key ID、Secret Access Key 和 Session Token。若页面显示环境变量，对应 AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN；只取变量的值，不要把 export、引号或整行命令填入面板。三项必须来自同一次获取。

9. 9

   回到面板逐项填写并保存

   打开 CloudPilot 的「凭据」，添加配置并填写一个便于区分的名称。Access Key ID 填密钥 ID，Secret Access Key 填对应 Secret；使用临时凭据时必须完整填写 Session Token，使用长期 IAM 密钥时留空。保存后选中该配置，核对返回的 12 位 AWS 账号 ID 与目标账号一致。

10. 10

    临时凭据到期后重新获取并更新

    临时凭据有有效期，保存到面板不会延长有效期，也不会让面板自动续期。出现 ExpiredToken 等到期提示时，回到访问门户重新获取，并在原配置中同时更新 Access Key ID、Secret Access Key 和 Session Token。不要把新 Token 与旧 ID、Secret 混用。

11. 11

    查找、多账号切换与批量导入

    在「已保存的配置」按名称或 12 位 AWS 账号 ID 搜索，选中要使用的配置，返回控制台后核对「当前凭据」。已有多组密钥时，可使用批量导入，按弹窗提供的 CSV、key=value 或 JSON 格式整理；AWS 下载的文件若字段不匹配，请先按面板模板调整。

12. 12

    区分密钥错误与权限不足

    InvalidClientTokenId 或签名错误时，先检查 ID 与 Secret 是否配对、是否复制完整，以及临时凭据是否漏填或过期。身份校验成功后某项操作仍报 AccessDenied，通常需要核对该功能的 IAM 权限、权限边界或组织限制；重新创建密钥本身不会增加权限。

CloudPilot 登录账号与 AWS 凭据用途不同。只在你信任的面板中保存密钥，分享截图时隐藏 Secret 和 Session Token。密钥丢失或泄露时，到 AWS IAM 处理旧密钥并替换面板配置。