Ruotare una chiave di accesso S3 senza interruzioni

Una credenziale S3 appartiene a una sola chiave API dosya e non può essere rigenerata direttamente. La rotazione sicura crea un’altra chiave API, abilita una nuova coppia S3, la verifica, migra i client e solo allora revoca la vecchia riga.

Prima di iniziare

Elenca ogni uso del vecchio ID della chiave di accesso. Annota i permessi della chiave principale, l’accesso S3, lo spazio di lavoro o la cartella di ancoraggio, gli intervalli IP, gli orari attivi, la scadenza e i limiti d’uso. Duplica le impostazioni copia le restrizioni visibili, ma i limiti d’uso partono vuoti e la scadenza torna a Non scade mai.

Il nuovo segreto S3 di 40 caratteri viene mostrato una sola volta. Salvalo nel gestore dei segreti del client, non in una riga di comando, uno screenshot o un ticket.

Passaggi

1. Apri Profilo → Chiavi API, espandi la vecchia chiave e scegli Duplica le impostazioni.
2. Dai alla nuova chiave un nome specifico per la rotazione, ripristina eventuali limiti d’uso e scadenza necessari, mantieni abilitato Gateway S3 e scegli Genera la chiave.
3. Espandi la nuova riga, scegli Attiva e salva i nuovi ID chiave di accesso, Chiave di accesso segreta, endpoint e regione da Credenziali S3.
4. Configura un client di prova con la nuova coppia e verifica un’operazione consentita dai suoi permessi nello spazio di lavoro o prefisso previsto.
5. Sostituisci la vecchia coppia in tutti i client di produzione, riavvia o ricarica ogni client secondo necessità e verifica che le richieste riuscite usino la nuova chiave.
6. Nella riga della vecchia chiave API scegli Revoca e conferma la finestra che segnala l’irreversibilità; poi verifica con richieste innocue che il vecchio ID S3 sia rifiutato con InvalidAccessKeyId, tenendo conto della durata della cache descritta sotto.

Risultato previsto

Le nuove richieste si autenticano con la coppia sostitutiva. L’eliminazione della vecchia chiave API avvia l’invalidazione sia della normale cache delle chiavi API sia della cache delle credenziali S3 associate, ma un altro ambiente isolato del worker o una cache periferica può conservare brevemente l’autorizzazione dopo la conferma nell’interfaccia. Il TTL della cache delle chiavi API è di cinque minuti. Continua a usare la sostituta verificata e invia richieste innocue con la vecchia coppia finché non viene rifiutata. Non c’è interruzione se mantieni la sovrapposizione fino al termine delle verifiche.

Se non riesci ad abilitare una nuova coppia S3, verifica che la sostituta includa S3, non sia scaduta e sia vincolata a uno spazio di lavoro in cui il ruolo dell’utente consente S3. S3 credentials already exist for this API key. Delete and recreate to regenerate. conferma che la rotazione diretta del segreto non è supportata.

Guide correlate

• Connettersi con strumenti compatibili con S3
• Risolvere i problemi di accesso S3