提升安全性与管理效率的终极指南
目录导读
为什么需要清理未使用凭证？
在企业IT环境中,凭证（如API密钥、SSH密钥、数据库密码、OAuth令牌等）是访问核心资源的“钥匙”。未使用的凭证指那些已创建但长时间未被调用、过期或属于已废弃应用的凭证，根据《2024年数据泄露成本报告》，65%的数据泄露与未妥善管理的凭证有关。
核心风险包括：
- 安全漏洞：黑客可能通过未清理的旧凭证入侵系统（如AWS Access Key泄露事件）
- 合规罚款：GDPR、SOX等法规要求凭证定期审查，违规可面临高额罚款
- 资源浪费：云服务商（如AWS、Azure）对存储的凭证数量收费，未清理的凭证增加成本
- 运维混乱：开发人员离职后，其名下的凭证若未回收，可能被滥用
手动清理凭证在大型组织中几乎不可能,一个拥有500个微服务的公司，平均需要管理超过10,000个凭证。自动化脚本不仅能定期识别、审计和删除未使用凭证，还能通过日志记录审计追踪。
凭证清理的常见挑战
在编写脚本前,需理解三大难点：
如何定义“未使用”？
- 时间维度：30天、60天或90天未调用？不同凭证类型阈值不同
- 状态检查：是否与活跃服务关联？是否在配置文件中被引用？
- 生命周期：是否有过期时间？过期后是否自动失效？
跨平台异构性
- AWS、GCP、Azure等云平台的凭证管理API各不相同
- 本地服务器（SSH密钥）、数据库（MySQL用户）的清理逻辑不同
误删风险
若误删正在使用的凭证,可能导致生产中断，必须设计预检+确认机制。
自动化脚本的核心原理
一个通用的自动化清理流程图如下：
凭证清单收集 → 2. 使用状态扫描 → 3. 生成“僵尸凭证”列表 → 4. 人工审批 → 5. 自动删除 → 6. 审计日志技术选型建议：
- 脚本语言：Python（boto3、google-cloud-resource-manager库）或Bash+curl
- 计划调度：cron、Jenkins或云原生调度器（Cloud Scheduler）
- 通知机制：Slack/邮件通知待批准列表
关键判断逻辑：
# 伪代码示例
def is_unused_credential(cred):
last_use = get_last_use_time(cred.id)
if not last_use: return True # 从未使用
if (now - last_use).days > THRESHOLD: return True
if cred.is_expired() and not has_active_association(cred): return True
return False
实战：Python脚本清理未使用凭证
以下是一个针对AWS IAM用户和密钥的清理脚本核心片段（完整代码可扩展至Azure、GCP）。
步骤1：安装依赖
pip install boto3 python-dateutil
步骤2：脚本核心逻辑
import boto3
from datetime import datetime, timedelta
# 配置参数
DAYS_THRESHOLD = 60
AWS_PROFILE = "production"
# 初始化客户端
iam = boto3.Session(profile_name=AWS_PROFILE).client('iam')
def find_unused_keys():
"""查找超过阈值未使用的访问密钥"""
unused = []
paginator = iam.get_paginator('list_users')
for page in paginator.paginate():
for user in page['Users']:
keys = iam.list_access_keys(UserName=user['UserName'])
for key in keys['AccessKeyMetadata']:
last_used = iam.get_access_key_last_used(AccessKeyId=key['AccessKeyId'])
if 'LastUsedDate' not in last_used['AccessKeyLastUsed']:
unused.append((user['UserName'], key['AccessKeyId'], '从未使用'))
else:
days_ago = (datetime.now(timezone.utc) - last_used['AccessKeyLastUsed']['LastUsedDate']).days
if days_ago > DAYS_THRESHOLD:
unused.append((user['UserName'], key['AccessKeyId'], f'{days_ago}天未使用'))
return unused
def generate_report(unused_list):
"""生成CSV报告供审批"""
with open('unused_keys_report.csv', 'w') as f:
f.write('用户名,密钥ID,原因\n')
for u in unused_list:
f.write(f'{u[0]},{u[1]},{u[2]}\n')
print(f"发现{len(unused_list)}个未使用密钥，报告已生成。")
# 主程序
unused = find_unused_keys()
generate_report(unused)
# 实际删除需人工确认：print("请检查报告后使用 --delete 参数执行删除")
步骤3：集成人工审批
建议增加--dry-run模式，输出待删除列表但不执行，通过邮件发送给运维团队确认后再执行。
集成CI/CD与云服务凭证清理
场景1：GitHub Actions自动清理临时凭证
name: Cleanup Unused Tokens
on:
schedule:
- cron: '0 2 * * 0' # 每周日凌晨2点
jobs:
cleanup:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v3
- name: Run cleanup script
run: |
python cleanup.py
env:
AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY }}
AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_KEY }}
场景2：云原生凭证清理（以阿里云为例）
from aliyunsdkcore.client import AcsClient from aliyunsdkiqs.client import iqs # 阿里云RAM用户未使用AccessKey清理逻辑类似
安全注意事项与最佳实践
- 最小权限原则：脚本使用的IAM角色只能读取和删除指定凭证，避免越权
- 灰度发布：先在小范围的非生产环境测试1周
- 保留审计日志：每次清理操作记录到CloudTrail或本地日志
- 设置豁免名单：对核心生产系统的凭证设置白名单
- 定期更新阈值：根据业务变化调整未使用天数（如假日期间阈值放宽）
警告：切勿在生产环境直接运行删除代码！务必先通过邮件或slack发送待删除列表，等待24小时确认。
常见问题FAQ
Q1：自动化脚本会误删正在使用的凭证吗？
答：设计时加入三重防护：（1）阈值判断时忽略最近1小时内有调用的凭证；（2）通过API检查凭证关联的资源是否活跃；（3）强制生成人类可读报告，通过推送进行二次确认。
Q2：不同云平台的清理逻辑差异如何处理？
答：建议用Python的抽象基类设计通用接口。
class CredentialCleaner(ABC):
@abstractmethod
def list_unused(self): pass
@abstractmethod
def delete_cred(self, id): pass
然后分别实现AWS、Azure、GCP的子类。
Q3：清理后的凭证还能恢复吗？
答：大部分云平台删除凭证后不可恢复（如AWS Access Key），建议先禁用（deactivate）而非直接删除，观察24小时无误再彻底删除，脚本可加入“禁用-等待-删除”三步策略。
Q4：如何通知凭证所有者？
答：集成企业im系统（钉钉、飞书、Slack webhook），在删除前24小时发送通知，提供投诉截止时间。
自动化清理未使用凭证是安全运维的必备环节,通过上述脚本框架，结合CI/CD管道和人工审批，企业可将凭证泄露风险降低70%以上，推荐在季度安全审计中执行一次全量清理，并持续优化阈值和异常处理逻辑。
（文章完）
