无密钥访问AWS
内容提要
Fly.io通过OIDC实现AWS与Fly.io之间的安全信任关系，简化了云应用的安全管理。用户可以通过短期凭证访问AWS资源，无需直接处理AWS密钥，从而提升了安全性和管理便利性。这种方法适用于任何AWS API，确保了最小权限和条件访问。
延伸解读
OIDC 信任链如何运作
Fly.io 在 oidc.fly.io 运行 OIDC 身份提供者，仅向 Fly Machines 发放令牌。AWS IAM 中配置信任关系后，STS 通过 AssumeRoleWithWebIdentity 验证令牌并发放短期凭证。整个过程无需用户管理密钥，信任关系本身即是“凭证”，由 AWS 和 Fly.io 在后台维护。
短期凭证的安全优势
与长期 AWS 密钥不同，STS 凭证动态生成且有效期仅几分钟，攻击者即使窃取也很快失效，极大缩小了攻击窗口。凭证自动轮换且失败关闭，无需手动管理。此外，ARN 并非秘密，可安全传递，简化了团队协作。
细粒度访问控制
OIDC 令牌中的 sub 字段格式为 org:app:machine，IAM 角色的信任策略可据此限制访问范围，例如仅允许特定组织、应用或机器实例。结合 aud 检查，确保只有 Fly.io 为 STS 专门发放的令牌才被接受，实现最小权限和条件访问。
适用范围与限制
该方法适用于任何 AWS API，不仅限于 S3。Fly.io 的 OIDC 支持可设置任意受众字符串，因此也能用于其他 OIDC 兼容的云提供商。但 Azure 和 GCP 尚未集成类似 init 功能，无法通过单个环境变量自动配置，需等待后续支持。
Q&A
Fly.io如何通过OIDC实现AWS与Fly.io之间的安全信任关系？
Fly.io通过在AWS IAM中添加Fly.io作为身份提供者，并创建角色以访问AWS资源，从而建立安全信任关系。
使用Fly.io访问AWS资源时，用户需要处理AWS密钥吗？
不需要，用户可以通过短期凭证访问AWS资源，无需直接处理AWS密钥。
Fly.io如何增强AWS资源访问的安全性？
Fly.io通过AWS安全令牌服务（STS）发放短期凭证，降低凭证被攻击者恢复的风险。
Fly.io的短期凭证适用于哪些AWS API？
这种方法适用于任何AWS API，确保了最小权限和条件访问。
Fly.io如何管理IAM角色的访问权限？
Fly.io允许根据组织、应用或机器实例限制IAM角色的访问，提供更细粒度的控制。
Fly.io的机器如何获取访问AWS资源的角色ARN？
Fly.io的机器通过环境变量获取角色ARN，从而访问AWS资源。
