怎样用脚本撤销API密钥？

本文目录导读：

1. 使用云服务商CLI（推荐）
2. 通过API调用（适合集成到自动化脚本）
3. 安全注意事项
4. 通用脚本模板（安全模式）
5. 建议

要撤销API密钥,通常需要通过云服务商或平台的管理控制台或CLI工具操作，由于直接“用脚本”撤销密钥涉及安全风险（例如脚本需存储凭据），以下分场景给出最佳实践：

使用云服务商CLI（推荐）

AWS (AWS CLI)

# 撤销IAM用户的访问密钥（使其变为Inactive状态）
aws iam update-access-key --access-key-id AKIAIOSFODNN7EXAMPLE --status Inactive --user-name UserName
# 彻底删除密钥（不可恢复）
aws iam delete-access-key --access-key-id AKIAIOSFODNN7EXAMPLE --user-name UserName

Google Cloud (gcloud)

# 撤销服务账号密钥（删除密钥文件）
gcloud iam service-accounts keys delete KEY_ID --iam-account=SA_NAME@PROJECT_ID.iam.gserviceaccount.com
# 禁用（不删除，适用于临时撤销）
gcloud iam service-accounts keys disable KEY_ID --iam-account=SA_NAME@PROJECT_ID.iam.gserviceaccount.com

Azure (Azure CLI)

# 撤销Azure AD应用密钥
az ad app credential delete --id APP_ID --key-id KEY_ID
# 撤销存储账户访问密钥
az storage account keys renew --account-name STORAGE_ACCOUNT --key primary

通过API调用（适合集成到自动化脚本）

使用对应服务商的REST API，但需要安全的凭据存储（如环境变量、密钥管理服务）：

# 示例：撤销OpenAI API密钥（官方API）
import requests
api_key = "your-admin-key"  # 需安全存储
headers = {"Authorization": f"Bearer {api_key}"}
# 撤销指定密钥
response = requests.post(
    "https://api.openai.com/v1/organization/api_keys/{key_id}/revoke",
    headers=headers
)

安全注意事项

⚠️ 关键风险：脚本本身需要管理员凭据，若被泄露可能导致更大损失

• 使用临时凭据：如AWS STS AssumeRole或OAuth2 token
• 避免硬编码：通过环境变量、Vault、AWS Secrets Manager注入
• 审计日志：每次撤销操作应记录到日志中
• 最小权限：脚本使用的凭据只需具备“撤销密钥”权限

通用脚本模板（安全模式）

#!/bin/bash
# 从安全存储读取凭据
export AWS_ACCESS_KEY_ID=$(aws secretsmanager get-secret-value --secret-id admin-cred --query SecretString --output text | jq -r '.aws_access_key')
export AWS_SECRET_ACCESS_KEY=$(...)
# 撤销指定密钥
aws iam delete-access-key --access-key-id $1 --user-name $2

建议

• 优先使用CLI：比自定义API调用更安全
• 定期轮换：建立自动化密钥轮换脚本，而非仅撤销
• 监控告警：密钥被撤销时触发告警（如Slack通知）

如果你使用的是特定平台（如GitHub、GitLab、Stripe等），请提供平台名称，我可以给出更具体的示例。