KeyKeeper服务商
AWS STS · Temporary credentials
Agent 怎样通过 KeyKeeper 拿到 AWS STS · Temporary credentials 的 key，在 aws.amazon.com 该选什么，KeyKeeper 怎么验证。
| 模板 id | aws-sts（别名 aws-temporary） |
|---|---|
| 字段 | aws-secret-access-key → AWS_SECRET_ACCESS_KEY · 密钥 |
| 还有 | aws-access-key-id → AWS_ACCESS_KEY_ID · 明文，需你确认 |
| 还有 | aws-session-token → AWS_SESSION_TOKEN · 密钥 |
| 还有 | aws-region → AWS_REGION · 明文，需你确认，可选 |
| 还有 | aws-credential-expires-at → AWS_CREDENTIAL_EXPIRES_AT · 明文，需你确认 |
| key 长什么样 | 能否再次查看未确认 |
| 创建页面 | aws.amazon.com |
| KeyKeeper 的验证 | 不验证 |
| 模板核实日期 | 2026-09-15 |
Agent 做什么
keykeeper providers show aws-sts
keykeeper save --provider aws-sts --from-clipboard --create --purpose "这个任务是做什么的"
keykeeper run -c aws-sts -- <你的命令>--provider aws-sts 会补上凭据 ID 和字段名。这些环境变量就是 AWS 自家工具读的那个，不需要任何映射。
只有你能做的
Use IAM Identity Center or assume a least-privilege role
Obtain one complete STS credential set
Copy all three values and the issued expiration together
复制 key，然后在 KeyKeeper 的窗口里确认保存。
该选什么
Temporary credentials must include ASIA access-key ID, secret, session token and expiration. Prefer an AWS profile/credential provider chain when the tool supports it.
Agent 被告知的是同一件事。它替你打开页面、说明该选什么；它从不替你登录、过 2FA 或付费。
KeyKeeper 检查什么
- 写入前： 值必须像一把 AWS STS · Temporary credentials 的 key（没有形状规则）。贴错了会在存入之前被拒绝，并告诉 Agent 原因——不含值。
- 保存后： AWS STS · Temporary credentials 没有 KeyKeeper 可用的只读接口，第一次真实调用就是测试。
轮换与过期
STS credentials expire at the provider-issued timestamp; record it on the credential.