# IAM 用户的服务特定凭证
<a name="id_credentials_service-specific-creds"></a>

服务特定凭证是为特定 AWS 服务设计的专用身份验证机制。与标准 AWS 凭证相比，这些凭证提供简化的身份验证，并且是根据个别 AWS 服务的身份验证要求量身定制的。与可以跨多个 AWS 服务使用的访问密钥不同，服务特定凭证仅设计用于为其创建的服务。此针对性的方法通过限制凭证的范围来增强安全性。

服务特定凭证通常由用户名和密码对或根据特定服务的要求格式化的专用 API 密钥组成。创建服务特定凭证时，这些凭证默认处于活动状态，可以立即使用。针对每个 IAM 用户的每个受支持服务，最多可拥有两组服务特定凭证。此限制允许您在需要时轮换到新集合时保留一个活动集。AWS 当前支持以下服务的服务特定凭证：

## 何时使用服务特定凭证
<a name="id_credentials_service-specific-creds-usecase"></a>

服务专用凭证旨在与第三方库、SDK、工具或应用程序兼容，这些库、SDK、工具或应用程序与 AWS 凭证、AWS SDK 或 AWS API 本身不兼容。此类用例包括从自托管基础设施或其他提供商托管的服务迁移到 AWS 服务。

从零开始时，只要有可能，我们建议您使用 AWS 临时凭证（例如 IAM 角色提供的凭证），使用支持 AWS 临时凭证的 AWS SDK 或库对 AWS 服务进行身份验证。

## 轮换服务特定凭证
<a name="id_credentials_service-specific-creds-rotation"></a>

作为最佳安全实践，请定期轮换服务特定凭证。要在不中断应用程序的情况下轮换凭证，请执行下面的操作：

1. 为同一服务和 IAM 用户创建第二组服务特定凭证

1. 更新所有应用程序以使用新凭证并验证它们是否正常工作

1. 将原始凭证的状态更改为“非活跃”

1. 验证所有应用程序是否仍正常运行

1. 当确信不再需要非活跃服务特定凭证时，请删除它们

## 监控服务特定凭证
<a name="id_credentials_service-specific-creds-monitoring"></a>

您可以使用 AWS CloudTrail 来监控 AWS 账户中服务特定凭证的使用情况。要查看与服务特定凭证使用情况相关的 CloudTrail 事件，请查看 CloudTrail 日志中有关使用凭证的服务的事件。有关更多信息，请参阅 [使用 AWS CloudTrail 记录 IAM 和 AWS STS API 调用](cloudtrail-integration.md)。

为了提高安全性，请考虑设置 CloudWatch 警报，以便通知您可能表明未经授权访问或其他安全问题的特定凭证使用模式。有关更多信息，请参阅《*AWS CloudTrail 用户指南*》中的 [Monitoring CloudTrail Log Files with Amazon CloudWatch Logs](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/monitor-cloudtrail-log-files-with-cloudwatch-logs.html)。

以下主题提供有关服务特定凭证的信息。

**Topics**
+ [何时使用服务特定凭证](#id_credentials_service-specific-creds-usecase)
+ [轮换服务特定凭证](#id_credentials_service-specific-creds-rotation)
+ [监控服务特定凭证](#id_credentials_service-specific-creds-monitoring)
+ [AWS 服务的 API 密钥](id_credentials_api_keys_for_aws_services.md)
+ [将 IAM 与 Amazon Keyspaces（Apache Cassandra 兼容）结合使用](id_credentials_keyspaces.md)