---
title: "AWS access key a secret key: vytvoření, rotace, sdílení"
url: https://uselinkpilot.com/cs/blog/aws-access-key-and-secret-key
description: "Co jsou přístupové klíče AWS (ID a tajný klíč), proč se tajný klíč zobrazí jen jednou, jak je rotovat, co dělat po úniku a jak klíč bezpečně předat."
lang: cs
---

Bezpečnost (https://uselinkpilot.com/cs/blog/category/security)

# AWS access key a secret key: jak je vytvořit, používat, rotovat a bezpečně sdílet

Co jsou přístupové klíče AWS (ID a tajný klíč), proč se tajný klíč zobrazí jen jednou, jak je rotovat, co dělat po úniku a jak klíč bezpečně předat.

LinkPilot Team (https://uselinkpilot.com/cs/author/linkpilot-team) · Lidé, kteří vyvíjejí a provozují LinkPilot ve společnosti TetraCore, LLC 26. října 2026 · O LinkPilotu (https://uselinkpilot.com/cs/about)

Přístupový klíč AWS tvoří dva řetězce, které programu společně umožní jednat jménem uživatele IAM: ID přístupového klíče, které klíč identifikuje, a tajný přístupový klíč, který ho prokazuje. Lidé je hledají pod třemi názvy („access key a secret key“, „secret access key“ a prostě „AWS secret key“) a ve všech případech jde o stejnou dvojici. Objevuje se v konfiguracích CLI, v pipelinech CI a až příliš často ve zprávě ve Slacku.

Tento návod vysvětluje, co obě poloviny jsou, jak je vytvořit a nastavit, jak je rotovat bez výpadku a co dělat, když jedna unikne. Odpovídá i na otázku, která se vrací pokaždé, když do týmu přijde vývojář nebo začne pracovat externista: jak tajný klíč předat člověku, aniž by skončil v e-mailu.

## ID přístupového klíče a tajný přístupový klíč

| | ID přístupového klíče | Tajný přístupový klíč |
| --- | --- | --- |
| Jak vypadá | `AKIAIOSFODNN7EXAMPLE` (20 znaků) | 40 znaků, malá a velká písmena a symboly |
| Úloha | Určuje, který klíč požadavek podepisuje | Podepisuje požadavek, prokazuje vlastnictví |
| Tajné? | Ne, zacházejte s ním jako s uživatelským jménem | Ano, zacházejte s ním jako s heslem |
| Viditelné později? | Ano, v konzoli IAM | Po vytvoření už nikdy |

Dlouhodobé klíče začínají na `AKIA`. Dočasné přihlašovací údaje ze STS, ke kterým patří i token relace, začínají na `ASIA` a jejich platnost vyprší sama. Pokud v konfiguračním souboru uvidíte klíč `ASIA`, během několika hodin přestane fungovat, a tak to má být.

Žádná z polovin sama neuděluje oprávnění. Klíč se ověřuje jako uživatel IAM a o tom, co tato identita smí, rozhodují zásady připojené k uživateli. Uniklý klíč uživatele jen pro čtení je problém. Uniklý klíč administrátora je bezpečnostní incident.

## Kdy dlouhodobý klíč vůbec potřebujete

Upřímně řečeno: méně často, než si lidé myslí.

- **Úlohy běžící v AWS** (EC2, Lambda, ECS, EKS) mají používat role IAM. SDK si krátkodobé přihlašovací údaje načte samo a není co rotovat ani co by mohlo uniknout.
- **Lidé** se mají přihlašovat přes IAM Identity Center nebo federované SSO a dočasné přihlašovací údaje získat příkazem `aws sso login`.
- **Systémy CI**, jako je GitHub Actions, mohou převzít roli přes OIDC bez uloženého klíče.
- **Dlouhodobé klíče** zůstávají pro případy, kdy nic z toho nejde: nástroj na notebooku bez podpory SSO, služba třetí strany, která přijímá jen statické klíče, starší úloha, kterou jste ještě nepřevedli.

Pokud klíč opravdu potřebujete, vytvořte ho u vyhrazeného uživatele IAM s co nejužší zásadou, která na tu práci stačí, a nikdy ne u administrátorského účtu konkrétního člověka.

## Vytvoření a nastavení klíče

V konzoli IAM otevřete uživatele, zvolte „Security credentials“ a pak „Create access key“. Vyberte případ použití, na který se AWS ptá, přečtěte si alternativu, kterou navrhne, a pokračujte. Tajný klíč se zobrazí přesně jednou. Uložte ho rovnou do úložiště důvěrných údajů nebo do správce hesel, případně stáhněte soubor CSV a po importu ho smažte. Každý uživatel IAM může mít najednou nejvýš dva klíče, a právě díky tomu je rotace možná.

Na počítači nastavte pojmenovaný profil místo výchozího:

```bash
aws configure --profile deploy-tool
# AWS Access Key ID [None]: AKIA...
# AWS Secret Access Key [None]: ...
# Default region name [None]: eu-west-1
```

Tím se zapíšou soubory `~/.aws/credentials` a `~/.aws/config`. Příkazem `chmod 600` soubor omezte jen na svého uživatele. Do kontejnerů a CI předávejte `AWS_ACCESS_KEY_ID` a `AWS_SECRET_ACCESS_KEY` jako důvěrné údaje (secrets) z úložiště platformy, ne jako obyčejné proměnné v souboru YAML. Nikdy je nezadávejte na příkazovém řádku, kde skončí v historii shellu.

## Rotace, která nic nerozbije

Rotace má čtyři kroky a umožňuje ji právě limit dvou klíčů.

1. **Vytvořte druhý klíč** u stejného uživatele.
2. **Převeďte všechny, kdo klíč používají,** na nový klíč: konfigurace, důvěrné údaje v CI, záznam ve správci důvěrných údajů. Konzole IAM u každého klíče ukazuje, kdy byl naposledy použit, takže poznáte, jestli jste na nějaké místo nezapomněli.
3. **Deaktivujte starý klíč.** Počkejte den nebo jeden cyklus nasazení. Pokud se něco rozbije, klíč znovu aktivujte, opravte místo, které ho používalo, a zkuste to znovu.
4. **Smažte starý klíč**, jakmile ho už nic nepoužívá.

U klíčů, které existovat musí, to dělejte podle plánu a u všech klíčů také mimořádně: při odchodu člověka, změně dodavatele, ztrátě notebooku nebo podezření na únik. AWS Config a IAM Access Analyzer umí označit klíče starší, než povolují vaše pravidla.

## Když klíč unikne

Klíč, který se objevil v repozitáři, logu, tiketu nebo chatu, považujte za kompromitovaný, i když byl o minutu později smazán. Skenery najdou důvěrné údaje nahrané do repozitáře během několika sekund.

1. **Deaktivujte klíč** v IAM hned. Nečekejte, až nejdřív vytvoříte náhradu, ledaže by výpadek byl horší než samotný únik.
2. **Vytvořte náhradní klíč** a převeďte na něj vše, co klíč používalo.
3. **Projděte CloudTrail** a najděte každou akci provedenou s tímto ID přístupového klíče od okamžiku úniku. Hledejte nové uživatele IAM nebo klíče, nové instance, změněné zásady bucketů a neznámé regiony.
4. **Zkontrolujte vyúčtování** a Cost Explorer, jestli v nich nejsou skoky, jaké způsobuje těžba kryptoměn.
5. **Odstraňte tajný klíč** z kódu, logů a historie gitu. Když AWS zjistí veřejný únik, může k uživateli samo připojit zásadu `AWSCompromisedKeyQuarantine`. Nechte ji na místě, dokud úklid neskončí.
6. **Smažte starý klíč**, pak zjistěte, jak se tam dostal, a tuto cestu uzavřete.

## Jak předat tajný klíč AWS člověku

Někdy se klíč musí dostat k člověku: k externistovi, který ho potřebuje pro nástroj na nasazování, k vývojáři, který se připojí k projektu dřív, než je nastavené SSO, nebo k dodavateli, který ho kvůli integraci chce vložit do svého řídicího panelu. E-mail, Slack i tikety uchovávají kopie a 40znakový tajný klíč v kterémkoli z nich zůstane čitelný celé roky.

Bezpečný postup zabere minutu:

1. **Vytvořte pro toho člověka vlastní klíč** u vyhrazeného uživatele IAM se zásadou, kterou jeho úkol potřebuje, a s ničím navíc. Nesdílejte klíč, který používá cokoli dalšího.
2. **Vložte jen tajný přístupový klíč** do jednorázového tajného odkazu (https://uselinkpilot.com/cs/tools/free-secret-link-generator). Ještě před uložením se zašifruje ve vašem prohlížeči, uložená kopie se při prvním otevření odkazu zničí, a pokud odkaz nikdo neotevře, jeho platnost vyprší po hodině, dni nebo týdnu.
3. **Pošlete odkaz** s jednou větou vysvětlení. ID přístupového klíče, region a název profilu pošlete zvlášť. Nic z toho samo o sobě tajné není.
4. **Přidejte heslovou frázi v tarifu Pro** u všeho, co má víc než oprávnění jen pro čtení, a předejte ji SMS nebo po telefonu.
5. **Ověřte si, že odkaz otevřel příjemce.** Pokud odkaz hlásí, že už byl zobrazen, ale příjemce ho neotevřel, deaktivujte klíč a začněte znovu.
6. **Deaktivujte klíč**, až spolupráce skončí, a potom ho smažte.

Návod ke klíčům API (https://uselinkpilot.com/cs/blog/how-to-share-api-keys-securely) popisuje stejný postup pro další poskytovatele a článek bezpečné sdílení odkazů pro vývojáře (https://uselinkpilot.com/cs/blog/secure-link-sharing-for-developers) ukazuje, jak předání při nástupu do týmu skriptovat.

## Související články

- Jak bezpečně sdílet klíče API: https://uselinkpilot.com/cs/blog/how-to-share-api-keys-securely
- Cloudový správce důvěrných údajů: co to je a jak ho vybrat: https://uselinkpilot.com/cs/blog/cloud-secret-manager
- Jak bezpečně poslat externistovi dočasné přihlašovací údaje k databázi: https://uselinkpilot.com/cs/blog/how-to-send-a-temporary-database-login-to-a-contractor-securely
- Jak fungují jednorázové tajné odkazy: https://uselinkpilot.com/cs/blog/how-one-time-secret-links-work

## Nástroje k tomuto článku

Generátor jednorázových tajných odkazů

Pošlete heslo nebo poznámku odkazem, který se otevře jen jednou.
https://uselinkpilot.com/cs/tools/free-secret-link-generator

Samozničující zpráva

Pošlete poznámku, která po jednom přečtení zmizí.
https://uselinkpilot.com/cs/tools/burn-after-read-secret

Generátor dočasných odkazů

Vytvořte odkaz, který v nastavený čas přestane fungovat.
https://uselinkpilot.com/cs/tools/temporary-link

## Časté dotazy

### Uvidím tajný přístupový klíč AWS po vytvoření znovu?

### Je ID přístupového klíče totéž co tajný přístupový klíč?

### Kde najdu ID existujícího přístupového klíče?

### Udělují přístupové klíče oprávnění samy o sobě?

### Mám klíč před smazáním nejdřív deaktivovat?

### Co dělat, když přístupový klíč AWS unikne?

## LinkPilot pošle tajný odkaz, který po otevření zmizí.

Zašifruje se ve vašem prohlížeči, zobrazí se jednou a pak se zničí. Bez účtu.

Vytvořit tajný odkaz (https://uselinkpilot.com/cs/tools/free-secret-link-generator)

## Čtěte dál

Bezpečnost

### Jak bezpečně sdílet údaje SSH odkazem, který vyprší

Nejlépe použijte veřejný klíč příjemce. Soukromý klíč nebo heslo pošlete jednorázovým odkazem, který vyprší, a server a uživatelské jméno zvlášť.
https://uselinkpilot.com/cs/blog/how-to-share-ssh-credentials-with-a-link-that-expires-securely

Bezpečnost

### Jak bezpečně sdílet přihlašovací údaje bez e-mailu

Čtyři způsoby, jak sdílet heslo bez e-mailu, kdy se který hodí, a návod na dočasný odkaz pro přihlašovací údaje, který se po otevření zničí.
https://uselinkpilot.com/cs/blog/how-to-share-credentials-securely-without-email

Bezpečnost

### Jak bezpečně poslat klientovi podpisový klíč webhooku

Předejte klientovi podpisový klíč webhooku bez kopií v e-mailu a tiketech: ověřte příjemce, pošlete jednorázový odkaz, uložte klíč správně a při úniku ho vyměňte.
https://uselinkpilot.com/cs/blog/how-to-send-a-webhook-signing-secret-to-a-client-securely

## Structured data

```json
[
  {
    "@context": "https://schema.org",
    "@type": "BreadcrumbList",
    "itemListElement": [
      {
        "@type": "ListItem",
        "position": 1,
        "name": "Domů",
        "item": "https://uselinkpilot.com/cs"
      },
      {
        "@type": "ListItem",
        "position": 2,
        "name": "Blog",
        "item": "https://uselinkpilot.com/cs/blog"
      },
      {
        "@type": "ListItem",
        "position": 3,
        "name": "AWS access key a secret key: vytvoření, použití, rotace a bezpečné sdílení",
        "item": "https://uselinkpilot.com/cs/blog/aws-access-key-and-secret-key"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "BlogPosting",
    "@id": "https://uselinkpilot.com/cs/blog/aws-access-key-and-secret-key#article",
    "headline": "AWS access key a secret key: vytvoření, použití, rotace a bezpečné sdílení",
    "description": "Co jsou přístupové klíče AWS (ID a tajný klíč), proč se tajný klíč zobrazí jen jednou, jak je rotovat, co dělat po úniku a jak klíč bezpečně předat.",
    "inLanguage": "cs",
    "datePublished": "2026-10-26",
    "dateModified": "2026-10-26",
    "image": "https://uselinkpilot.com/logo-512.png",
    "author": {
      "@type": "Organization",
      "@id": "https://uselinkpilot.com/author/linkpilot-team#organization",
      "name": "LinkPilot Team",
      "url": "https://uselinkpilot.com/cs/author/linkpilot-team"
    },
    "publisher": {
      "@type": "Organization",
      "name": "LinkPilot",
      "url": "https://uselinkpilot.com",
      "logo": {
        "@type": "ImageObject",
        "url": "https://uselinkpilot.com/logo-512.png",
        "width": 512,
        "height": 512
      }
    },
    "mainEntityOfPage": {
      "@type": "WebPage",
      "@id": "https://uselinkpilot.com/cs/blog/aws-access-key-and-secret-key"
    }
  },
  {
    "@context": "https://schema.org",
    "@type": "FAQPage",
    "mainEntity": [
      {
        "@type": "Question",
        "name": "Uvidím tajný přístupový klíč AWS po vytvoření znovu?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Ne. AWS zobrazí tajný přístupový klíč jednou, při vytvoření, a pak už nikdy. Pokud se neuložil, deaktivujte tento klíč a vytvořte nový. ID přístupového klíče zůstává v konzoli IAM viditelné."
        }
      },
      {
        "@type": "Question",
        "name": "Je ID přístupového klíče totéž co tajný přístupový klíč?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Ne. ID přístupového klíče je veřejný identifikátor, podobně jako uživatelské jméno, a u dlouhodobých klíčů začíná na AKIA. Tajný přístupový klíč je ta polovina, která funguje jako heslo, a musí zůstat důvěrná. Požadavky se podepisují oběma."
        }
      },
      {
        "@type": "Question",
        "name": "Kde najdu ID existujícího přístupového klíče?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "V konzoli IAM u příslušného uživatele, na kartě „Security credentials“. Tajný klíč k existujícímu klíči získat zpět nelze, jen ID, stav klíče a čas posledního použití."
        }
      },
      {
        "@type": "Question",
        "name": "Udělují přístupové klíče oprávnění samy o sobě?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Ne. Klíč se ověřuje jako uživatel IAM, ke kterému patří. Smí přesně to, co povolují zásady IAM připojené k tomuto uživateli. Klíč bez zásad nesmí nic, klíč administrátora smí všechno."
        }
      },
      {
        "@type": "Question",
        "name": "Mám klíč před smazáním nejdřív deaktivovat?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Ano. Nejdřív ho deaktivujte, počkejte dost dlouho na to, abyste viděli, že se nic nerozbilo, a pak ho smažte. Deaktivovaný klíč lze znovu zapnout, smazaný ne."
        }
      },
      {
        "@type": "Question",
        "name": "Co dělat, když přístupový klíč AWS unikne?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Okamžitě ho v IAM deaktivujte, vytvořte náhradní klíč a převeďte na něj vše, co ho používalo. V CloudTrail projděte akce provedené s uniklým klíčem, zkontrolujte nové prostředky a změny v IAM a odstraňte klíč z kódu, logů a historie commitů. Pak zjistěte, jak unikl."
        }
      }
    ],
    "inLanguage": "cs"
  },
  {
    "@context": "https://schema.org",
    "@type": "SoftwareApplication",
    "@id": "https://uselinkpilot.com/#software",
    "name": "LinkPilot",
    "applicationCategory": "BusinessApplication",
    "operatingSystem": "Web",
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "url": "https://uselinkpilot.com",
    "offers": [
      {
        "@type": "Offer",
        "name": "Free",
        "price": "0",
        "priceCurrency": "USD",
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro",
        "price": "29",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "29",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency",
        "price": "299",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "299",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus",
        "price": "799",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "799",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro (yearly)",
        "price": "288",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "288",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency (yearly)",
        "price": "2988",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "2988",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus (yearly)",
        "price": "7980",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "7980",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Enterprise",
        "priceSpecification": {
          "@type": "PriceSpecification",
          "priceCurrency": "USD"
        },
        "url": "https://uselinkpilot.com/pricing"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "Organization",
    "@id": "https://uselinkpilot.com/#organization",
    "name": "LinkPilot",
    "alternateName": "LinkPilot by TetraCore",
    "url": "https://uselinkpilot.com",
    "contactPoint": {
      "@type": "ContactPoint",
      "contactType": "customer support",
      "email": "support@uselinkpilot.com",
      "url": "https://uselinkpilot.com/support"
    },
    "parentOrganization": {
      "@type": "Organization",
      "@id": "https://tetracorehq.com/#organization",
      "name": "TetraCore",
      "url": "https://tetracorehq.com/"
    },
    "logo": {
      "@type": "ImageObject",
      "url": "https://uselinkpilot.com/logo-512.png",
      "width": 512,
      "height": 512
    },
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "sameAs": [
      "https://x.com/uselinkpilot",
      "https://www.linkedin.com/company/uselinkpilot",
      "https://facebook.com/uselinkpilot",
      "https://github.com/TetraCoreHQ/linkpilot-cli",
      "https://github.com/TetraCoreHQ/linkpilot-mcp",
      "https://www.npmjs.com/package/linkpilot",
      "https://www.npmjs.com/package/@uselinkpilot/sdk",
      "https://www.npmjs.com/package/@uselinkpilot/mcp",
      "https://chromewebstore.google.com/detail/linkpilot-short-links-and/mnmppadihpcncicldpkmgknhnjkondad",
      "https://addons.mozilla.org/en-US/firefox/addon/uselinkpilot/"
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "WebSite",
    "name": "LinkPilot",
    "url": "https://uselinkpilot.com",
    "potentialAction": {
      "@type": "SearchAction",
      "target": "https://uselinkpilot.com/blog?q={search_term_string}",
      "query-input": "required name=search_term_string"
    }
  }
]
```