---
title: "AWS access key ja secret key: luonti, kierrätys ja jakaminen"
url: https://uselinkpilot.com/fi/blog/aws-access-key-and-secret-key
description: "Mitä AWS:n avainpari on, miksi secret access key näkyy kerran, miten avaimet kierrätetään, mitä tehdä vuodon jälkeen ja miten avain jaetaan turvallisesti."
lang: fi
---

Tietoturva (https://uselinkpilot.com/fi/blog/category/security)

# AWS access key ja secret key: näin luot, käytät, kierrätät ja jaat ne turvallisesti

Mitä AWS:n avainpari on, miksi secret access key näkyy kerran, miten avaimet kierrätetään, mitä tehdä vuodon jälkeen ja miten avain jaetaan turvallisesti.

LinkPilot Team (https://uselinkpilot.com/fi/author/linkpilot-team) · Ihmiset, jotka rakentavat ja ylläpitävät LinkPilotia TetraCore, LLC -yhtiössä 26. lokakuuta 2026 · Tietoa LinkPilotista (https://uselinkpilot.com/fi/about)

AWS:n käyttöavain koostuu kahdesta merkkijonosta, joiden avulla ohjelma voi toimia IAM-käyttäjän nimissä: access key ID yksilöi avaimen ja secret access key todistaa sen. Englanniksi niitä haetaan kolmella nimellä: access key ja secret key, secret access key tai pelkkä AWS secret key. Kaikki tarkoittavat samaa avainparia. Pari päätyy CLI-asetuksiin, CI-putkiin ja aivan liian usein Slack-viestiin.

Tämä opas kertoo, mitä avaimen kaksi osaa ovat, miten ne luodaan ja otetaan käyttöön, miten avaimet kierrätetään ilman käyttökatkoa ja mitä tehdään, kun avain vuotaa. Lopuksi se vastaa kysymykseen, joka tulee vastaan aina, kun kehittäjä liittyy tiimiin tai alihankkija aloittaa: miten salainen avain luovutetaan ihmiselle ilman sähköpostia.

## Access key ID ja secret access key

| | Access key ID | Secret access key |
| --- | --- | --- |
| Muoto | `AKIAIOSFODNN7EXAMPLE` (20 merkkiä) | 40 merkkiä isoja ja pieniä kirjaimia sekä symboleita |
| Tehtävä | Kertoo, mikä avain allekirjoittaa pyynnön | Allekirjoittaa pyynnön ja todistaa, että avain on hallussa |
| Salainen? | Ei, käsittele sitä kuin käyttäjätunnusta | Kyllä, käsittele sitä kuin salasanaa |
| Näkyykö myöhemmin? | Kyllä, IAM-konsolissa | Ei koskaan luomisen jälkeen |

Pitkäaikaiset avaimet alkavat merkeillä `AKIA`. STS:n antamat väliaikaiset kirjautumistiedot, joihin kuuluu myös istuntotunniste (session token), alkavat merkeillä `ASIA` ja vanhenevat itsestään. Jos asetustiedostossa on avain, joka alkaa merkeillä `ASIA`, se lakkaa toimimasta muutaman tunnin kuluessa. Niin se on suunniteltu.

Kumpikaan osa ei anna käyttöoikeuksia. Avain todentaa IAM-käyttäjän, ja käyttäjään liitetyt käytännöt (policies) ratkaisevat, mitä tämä identiteetti saa tehdä. Vuotanut avain käyttäjällä, jolla on vain lukuoikeus, on ongelma. Vuotanut järjestelmänvalvojan avain on tietoturvapoikkeama.

## Milloin pitkäaikaista avainta ylipäätään tarvitaan

Rehellinen vastaus: harvemmin kuin luullaan.

- **AWS:ssä ajettavien työkuormien** (EC2, Lambda, ECS, EKS) kuuluu käyttää IAM-rooleja. SDK hakee lyhytikäiset kirjautumistiedot automaattisesti, eikä ole avainta, jota pitäisi kierrättää tai joka voisi vuotaa.
- **Ihmisten** kannattaa kirjautua IAM Identity Centerin tai federoidun kertakirjautumisen (SSO) kautta ja hakea väliaikaiset kirjautumistiedot komennolla `aws sso login`.
- **CI-järjestelmät**, kuten GitHub Actions, voivat ottaa roolin käyttöön OIDC:n avulla ilman tallennettua avainta.
- **Pitkäaikaiset avaimet** jäävät tapauksiin, joissa mikään edellisistä ei onnistu: kannettavalla ajettava työkalu, joka ei tue SSO:ta, kolmannen osapuolen palvelu, joka hyväksyy vain staattiset avaimet, tai vanha ajo, jota ei ole vielä siirretty.

Jos avainta todella tarvitaan, luo se erilliselle IAM-käyttäjälle, jonka käytäntö on niin suppea kuin tehtävä sallii. Älä koskaan luo sitä ihmisen järjestelmänvalvojatilille.

## Avaimen luominen ja käyttöönotto

Avaa IAM-konsolissa käyttäjä, valitse välilehti ”Security credentials” ja sitten ”Create access key”. Valitse käyttökohde, jota AWS kysyy, lue sen ehdottama vaihtoehto ja jatka. Salainen avain näytetään tasan kerran. Tallenna se suoraan salaisuusvarastoon tai salasanojen hallintaohjelmaan, tai lataa CSV-tiedosto ja poista se tuonnin jälkeen. Kullakin IAM-käyttäjällä voi olla enintään kaksi avainta kerrallaan, ja juuri se tekee kierrätyksen mahdolliseksi.

Määritä koneelle nimetty profiili oletusprofiilin sijaan:

```bash
aws configure --profile deploy-tool
# AWS Access Key ID [None]: AKIA...
# AWS Secret Access Key [None]: ...
# Default region name [None]: eu-west-1
```

Komento kirjoittaa tiedostot `~/.aws/credentials` ja `~/.aws/config`. Rajaa tiedosto omalle käyttäjällesi komennolla `chmod 600`. Kontteihin ja CI:hin syötä `AWS_ACCESS_KEY_ID` ja `AWS_SECRET_ACCESS_KEY` salaisuuksina alustan omasta salaisuusvarastosta, älä tavallisina muuttujina YAML-tiedostossa. Älä koskaan anna niitä komentorivillä, josta ne päätyvät komentohistoriaan.

## Kierrätys rikkomatta mitään

Kierrätys etenee neljässä vaiheessa, ja sen tekee mahdolliseksi kahden avaimen raja.

1. **Luo toinen avain** samalle käyttäjälle.
2. **Vaihda uusi avain käyttöön kaikkialla**, missä vanhaa käytetään: asetuksissa, CI:n salaisuuksissa ja salaisuuksien hallinnan merkinnässä. IAM-konsoli näyttää kunkin avaimen viimeisimmän käyttöajan, josta näet, jäikö jokin kohta päivittämättä.
3. **Ota vanha avain pois käytöstä.** Odota vuorokausi tai yhden julkaisukierroksen verran. Jos jokin hajoaa, ota avain takaisin käyttöön, korjaa sitä käyttävä kohta ja yritä uudelleen.
4. **Poista vanha avain**, kun mikään ei ole enää käyttänyt sitä.

Tee tämä aikataulun mukaan niille avaimille, joiden on pakko olla olemassa, ja tapahtumien perusteella kaikille: kun joku lähtee, toimittaja vaihtuu, kannettava katoaa tai vuotoa epäillään. AWS Config ja IAM Access Analyzer voivat merkitä avaimet, jotka ovat vanhempia kuin käytäntösi sallii.

## Kun avain on vuotanut

Pidä vaarantuneena jokaista avainta, joka on näkynyt repositoriossa, lokissa, tiketissä tai keskustelussa, vaikka se olisi poistettu minuuttia myöhemmin. Skannerit löytävät repositorioon lähetetyt salaisuudet sekunneissa.

1. **Ota avain pois käytöstä** IAM:ssä heti. Älä odota, että korvaava avain on luotu, ellei käyttökatko olisi pahempi kuin vuoto.
2. **Luo korvaava avain** ja päivitä se kaikkiin kohtiin, jotka käyttivät vanhaa avainta.
3. **Lue CloudTrailista** jokainen toiminto, joka on tehty tällä access key ID:llä vuodon jälkeen. Etsi uusia IAM-käyttäjiä tai -avaimia, uusia instansseja, muutettuja bucket-käytäntöjä ja tuntemattomia alueita.
4. **Tarkista lasku** ja Cost Explorer: etsi kryptolouhinnalta näyttäviä piikkejä.
5. **Poista salaisuus** koodista, lokeista ja git-historiasta. AWS voi itse liittää käyttäjään käytännön `AWSCompromisedKeyQuarantine`, kun se havaitsee julkisen vuodon. Jätä se paikalleen, kunnes siivous on tehty.
6. **Poista vanha avain**, selvitä sitten, miten se päätyi sinne, ja tuki se reitti.

## Näin luovutat AWS:n salaisen avaimen ihmiselle

Joskus avaimen on päädyttävä ihmiselle: alihankkijalle, joka tarvitsee sitä julkaisutyökalussa, kehittäjälle, joka liittyy projektiin ennen kuin SSO on valmis, tai toimittajan integraatioon, johon avain pitää liittää toimittajan hallintapaneelissa. Sähköposti, Slack ja tiketit säilyttävät kaikki kopion, ja 40 merkin salaisuus on missä tahansa niistä luettavissa vuosia.

Turvallinen menettely vie minuutin:

1. **Luo henkilölle oma avain** erilliselle IAM-käyttäjälle, jonka käytäntö kattaa hänen tehtävänsä eikä mitään muuta. Älä jaa avainta, jota jokin muu käyttää.
2. **Liitä vain secret access key** kertakäyttöiseen salaiseen linkkiin (https://uselinkpilot.com/fi/tools/free-secret-link-generator). Se salataan selaimessasi ennen tallennusta, tallennettu kopio tuhotaan, kun linkki avataan ensimmäisen kerran, ja linkki vanhenee tunnin, vuorokauden tai viikon kuluttua, jos kukaan ei avaa sitä.
3. **Lähetä linkki** yhden rivin saatteella. Lähetä access key ID, alue ja profiilin nimi erillisessä viestissä. Mikään niistä ei ole yksinään salainen.
4. **Lisää salalause Pro-tilillä**, jos avaimella on muutakin kuin lukuoikeus, ja kerro salalause tekstiviestillä tai puhelimessa.
5. **Varmista, että hän avasi linkin.** Jos linkki kertoo, että se on jo avattu, eikä hän avannut sitä, ota avain pois käytöstä ja aloita alusta.
6. **Ota avain pois käytöstä**, kun toimeksianto päättyy, ja poista se sen jälkeen.

API-avainopas (https://uselinkpilot.com/fi/blog/how-to-share-api-keys-securely) kuvaa saman menettelyn muille palveluntarjoajille, ja linkkien turvallinen jakaminen kehittäjille (https://uselinkpilot.com/fi/blog/secure-link-sharing-for-developers) näyttää, miten luovutuksen voi perehdytyksessä hoitaa skriptillä.

## Lisälukemista

- API-avainten turvallinen jakaminen: https://uselinkpilot.com/fi/blog/how-to-share-api-keys-securely
- Pilven salaisuuksien hallinta: mitä se on ja miten sen valitsee: https://uselinkpilot.com/fi/blog/cloud-secret-manager
- Tilapäisten tietokantatunnusten lähettäminen alihankkijalle turvallisesti: https://uselinkpilot.com/fi/blog/how-to-send-a-temporary-database-login-to-a-contractor-securely
- Näin kertakäyttöiset salaiset linkit toimivat: https://uselinkpilot.com/fi/blog/how-one-time-secret-links-work

## Työkalut tähän artikkeliin

Kertakäyttöisen salaisen linkin luontityökalu

Jaa salasana tai muistiinpano linkillä, joka avautuu vain kerran.
https://uselinkpilot.com/fi/tools/free-secret-link-generator

Itsetuhoutuva viesti

Lähetä muistiinpano, joka katoaa, kun se on luettu kerran.
https://uselinkpilot.com/fi/tools/burn-after-read-secret

Vanhenevan linkin luontityökalu

Luo linkkejä, jotka lakkaavat toimimasta asettamanasi aikana.
https://uselinkpilot.com/fi/tools/temporary-link

## Usein kysytyt kysymykset

### Näenkö AWS:n secret access keyn uudelleen sen luomisen jälkeen?

### Onko access key ID sama asia kuin secret access key?

### Mistä löydän olemassa olevan access key ID:n?

### Antavatko käyttöavaimet itsessään käyttöoikeuksia?

### Pitäisikö avain ottaa pois käytöstä ennen sen poistamista?

### Mitä teen, jos AWS:n käyttöavain on vuotanut?

## LinkPilot lähettää salaisen linkin, joka katoaa, kun se on avattu.

Salataan selaimessasi, näytetään kerran ja tuhotaan sitten. Tiliä ei tarvita.

Luo salainen linkki (https://uselinkpilot.com/fi/tools/free-secret-link-generator)

## Lue seuraavaksi

Tietoturva

### SSH-kirjautumistietojen jakaminen vanhenevalla linkillä

Pyydä mieluiten julkinen avain. Jos yksityinen avain tai salasana pitää siirtää, lähetä se vanhenevalla kertakäyttölinkillä ja palvelin ja tunnus erikseen.
https://uselinkpilot.com/fi/blog/how-to-share-ssh-credentials-with-a-link-that-expires-securely

Tietoturva

### Kirjautumistietojen turvallinen jakaminen ilman sähköpostia

Neljä tapaa jakaa salasana ilman sähköpostia, milloin mikin sopii, ja ohjeet ensimmäisellä avauksella tuhoutuvan linkin luomiseen kirjautumistiedoille.
https://uselinkpilot.com/fi/blog/how-to-share-credentials-securely-without-email

Tietoturva

### Webhookin allekirjoitussalaisuuden lähettäminen asiakkaalle

Luovuta webhookin allekirjoitussalaisuus asiakkaalle ilman kopioita sähköpostiin tai tiketteihin: varmista vastaanottaja, lähetä kertakäyttölinkki, säilytä oikein.
https://uselinkpilot.com/fi/blog/how-to-send-a-webhook-signing-secret-to-a-client-securely

## Structured data

```json
[
  {
    "@context": "https://schema.org",
    "@type": "BreadcrumbList",
    "itemListElement": [
      {
        "@type": "ListItem",
        "position": 1,
        "name": "Etusivu",
        "item": "https://uselinkpilot.com/fi"
      },
      {
        "@type": "ListItem",
        "position": 2,
        "name": "Blogi",
        "item": "https://uselinkpilot.com/fi/blog"
      },
      {
        "@type": "ListItem",
        "position": 3,
        "name": "AWS access key ja secret key: luonti, käyttö, kierrätys ja turvallinen jako",
        "item": "https://uselinkpilot.com/fi/blog/aws-access-key-and-secret-key"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "BlogPosting",
    "@id": "https://uselinkpilot.com/fi/blog/aws-access-key-and-secret-key#article",
    "headline": "AWS access key ja secret key: luonti, käyttö, kierrätys ja turvallinen jako",
    "description": "Mitä AWS:n avainpari on, miksi secret access key näkyy kerran, miten avaimet kierrätetään, mitä tehdä vuodon jälkeen ja miten avain jaetaan turvallisesti.",
    "inLanguage": "fi",
    "datePublished": "2026-10-26",
    "dateModified": "2026-10-26",
    "image": "https://uselinkpilot.com/logo-512.png",
    "author": {
      "@type": "Organization",
      "@id": "https://uselinkpilot.com/author/linkpilot-team#organization",
      "name": "LinkPilot Team",
      "url": "https://uselinkpilot.com/fi/author/linkpilot-team"
    },
    "publisher": {
      "@type": "Organization",
      "name": "LinkPilot",
      "url": "https://uselinkpilot.com",
      "logo": {
        "@type": "ImageObject",
        "url": "https://uselinkpilot.com/logo-512.png",
        "width": 512,
        "height": 512
      }
    },
    "mainEntityOfPage": {
      "@type": "WebPage",
      "@id": "https://uselinkpilot.com/fi/blog/aws-access-key-and-secret-key"
    }
  },
  {
    "@context": "https://schema.org",
    "@type": "FAQPage",
    "mainEntity": [
      {
        "@type": "Question",
        "name": "Näenkö AWS:n secret access keyn uudelleen sen luomisen jälkeen?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Et. AWS näyttää secret access keyn kerran, luomisen yhteydessä, eikä koskaan uudelleen. Jos sitä ei tallennettu, ota avain pois käytöstä ja luo uusi. Access key ID näkyy edelleen IAM-konsolissa."
        }
      },
      {
        "@type": "Question",
        "name": "Onko access key ID sama asia kuin secret access key?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Ei. Access key ID on julkinen tunniste, kuten käyttäjätunnus, ja pitkäaikaisissa avaimissa se alkaa merkeillä AKIA. Secret access key on parin salasanaosa, ja sen on pysyttävä salassa. Pyynnöt allekirjoitetaan molemmilla."
        }
      },
      {
        "@type": "Question",
        "name": "Mistä löydän olemassa olevan access key ID:n?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "IAM-konsolista: avaa käyttäjä ja välilehti ”Security credentials”. Olemassa olevan avaimen salaista osaa ei voi hakea. Näet vain tunnuksen, avaimen tilan ja sen, milloin avainta on viimeksi käytetty."
        }
      },
      {
        "@type": "Question",
        "name": "Antavatko käyttöavaimet itsessään käyttöoikeuksia?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Eivät. Avain todentaa sen IAM-käyttäjän, jolle se kuuluu. Se, mitä avaimella voi tehdä, riippuu käyttäjään liitetyistä IAM-käytännöistä. Avain, jonka käyttäjällä ei ole käytäntöjä, ei voi tehdä mitään. Järjestelmänvalvojan avain voi tehdä kaiken."
        }
      },
      {
        "@type": "Question",
        "name": "Pitäisikö avain ottaa pois käytöstä ennen sen poistamista?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Kyllä. Ota avain ensin pois käytöstä, odota tarpeeksi kauan nähdäksesi, ettei mikään hajonnut, ja poista se vasta sitten. Käytöstä otetun avaimen voi ottaa takaisin käyttöön, poistettua ei."
        }
      },
      {
        "@type": "Question",
        "name": "Mitä teen, jos AWS:n käyttöavain on vuotanut?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Ota se heti pois käytöstä IAM:ssä. Luo korvaava avain ja päivitä se kaikkialle, missä vanhaa käytettiin. Käy CloudTrailista läpi vuotaneella avaimella tehdyt toiminnot, tarkista uudet resurssit ja IAM-muutokset ja poista avain koodista, lokeista ja commit-historiasta. Selvitä sen jälkeen, miten se vuoti."
        }
      }
    ],
    "inLanguage": "fi"
  },
  {
    "@context": "https://schema.org",
    "@type": "SoftwareApplication",
    "@id": "https://uselinkpilot.com/#software",
    "name": "LinkPilot",
    "applicationCategory": "BusinessApplication",
    "operatingSystem": "Web",
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "url": "https://uselinkpilot.com",
    "offers": [
      {
        "@type": "Offer",
        "name": "Free",
        "price": "0",
        "priceCurrency": "USD",
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro",
        "price": "29",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "29",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency",
        "price": "299",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "299",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus",
        "price": "799",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "799",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro (yearly)",
        "price": "288",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "288",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency (yearly)",
        "price": "2988",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "2988",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus (yearly)",
        "price": "7980",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "7980",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Enterprise",
        "priceSpecification": {
          "@type": "PriceSpecification",
          "priceCurrency": "USD"
        },
        "url": "https://uselinkpilot.com/pricing"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "Organization",
    "@id": "https://uselinkpilot.com/#organization",
    "name": "LinkPilot",
    "alternateName": "LinkPilot by TetraCore",
    "url": "https://uselinkpilot.com",
    "contactPoint": {
      "@type": "ContactPoint",
      "contactType": "customer support",
      "email": "support@uselinkpilot.com",
      "url": "https://uselinkpilot.com/support"
    },
    "parentOrganization": {
      "@type": "Organization",
      "@id": "https://tetracorehq.com/#organization",
      "name": "TetraCore",
      "url": "https://tetracorehq.com/"
    },
    "logo": {
      "@type": "ImageObject",
      "url": "https://uselinkpilot.com/logo-512.png",
      "width": 512,
      "height": 512
    },
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "sameAs": [
      "https://x.com/uselinkpilot",
      "https://www.linkedin.com/company/uselinkpilot",
      "https://facebook.com/uselinkpilot",
      "https://github.com/TetraCoreHQ/linkpilot-cli",
      "https://github.com/TetraCoreHQ/linkpilot-mcp",
      "https://www.npmjs.com/package/linkpilot",
      "https://www.npmjs.com/package/@uselinkpilot/sdk",
      "https://www.npmjs.com/package/@uselinkpilot/mcp",
      "https://chromewebstore.google.com/detail/linkpilot-short-links-and/mnmppadihpcncicldpkmgknhnjkondad",
      "https://addons.mozilla.org/en-US/firefox/addon/uselinkpilot/"
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "WebSite",
    "name": "LinkPilot",
    "url": "https://uselinkpilot.com",
    "potentialAction": {
      "@type": "SearchAction",
      "target": "https://uselinkpilot.com/blog?q={search_term_string}",
      "query-input": "required name=search_term_string"
    }
  }
]
```