---
title: "מפתח גישה ומפתח סודי של AWS: יצירה, החלפה ושיתוף בטוח"
url: https://uselinkpilot.com/he/blog/aws-access-key-and-secret-key
description: "מה הם מזהה מפתח הגישה ומפתח הגישה הסודי של AWS, למה הסוד מוצג פעם אחת, איך מחליפים אותם, מה עושים אחרי דליפה ואיך משתפים מפתח בבטחה."
lang: he
---

אבטחה (https://uselinkpilot.com/he/blog/category/security)

# מפתח גישה ומפתח סודי של AWS: איך יוצרים, משתמשים, מחליפים ומשתפים אותם בבטחה

מה הם מזהה מפתח הגישה ומפתח הגישה הסודי של AWS, למה הסוד מוצג פעם אחת, איך מחליפים אותם, מה עושים אחרי דליפה ואיך משתפים מפתח בבטחה.

LinkPilot Team (https://uselinkpilot.com/he/author/linkpilot-team) · האנשים שבונים ומפעילים את LinkPilot ב-TetraCore, LLC 26 באוקטובר 2026 · על LinkPilot (https://uselinkpilot.com/he/about)

מפתח גישה של AWS הוא שתי מחרוזות שיחד מאפשרות לתוכנה לפעול בשם משתמש IAM: מזהה מפתח הגישה (access key ID), שמזהה את המפתח, ומפתח הגישה הסודי (secret access key), שמוכיח שהמפתח בידיכם. אנשים מחפשים אותם בשלושה שמות, access key and secret key, secret access key או פשוט AWS secret key, וכולם מתייחסים לאותו זוג. הזוג הזה מופיע בהגדרות CLI, בצינורות CI ולעיתים קרובות מדי גם בהודעת Slack.

המדריך מסביר מה הם שני החלקים, איך יוצרים ומגדירים אותם, איך מחליפים אותם בלי השבתה ומה עושים כשאחד מהם דולף. הוא עונה גם על השאלה שעולה בכל פעם שמתכנת מצטרף או קבלן מתחיל לעבוד: איך מוסרים מפתח סודי לאדם בלי לשלוח אותו באימייל.

## מזהה מפתח הגישה לעומת מפתח הגישה הסודי

| | מזהה מפתח הגישה | מפתח הגישה הסודי |
| --- | --- | --- |
| איך הוא נראה | `AKIAIOSFODNN7EXAMPLE` (20 תווים) | 40 תווים של אותיות גדולות וקטנות וסמלים |
| תפקיד | מזהה איזה מפתח חותם על הבקשה | חותם על הבקשה ומוכיח שהמפתח בידיכם |
| סודי? | לא, התייחסו אליו כמו לשם משתמש | כן, התייחסו אליו כמו לסיסמה |
| אפשר לראות אותו אחר כך? | כן, בקונסולת IAM | לא, אף פעם אחרי היצירה |

מפתחות לטווח ארוך מתחילים ב-`AKIA`. פרטי התחברות זמניים מ-STS, שמגיעים גם עם טוקן סשן, מתחילים ב-`ASIA` ותוקפם פג מעצמו. אם מופיע מפתח `ASIA` בקובץ הגדרות, הוא יפסיק לעבוד תוך שעות, וכך זה תוכנן.

אף אחד משני החלקים לא מעניק הרשאות. המפתח מזדהה כמשתמש IAM, והמדיניות (policies) שמצורפת למשתמש קובעת מה הזהות הזו יכולה לעשות. דליפה של מפתח ששייך למשתמש עם הרשאות קריאה בלבד היא בעיה. דליפה של מפתח של אדמיניסטרטור היא אירוע אבטחה.

## מתי בכלל צריך מפתח לטווח ארוך

בכנות: פחות ממה שנדמה.

- **עומסי עבודה ב-AWS** (EC2, Lambda, ECS, EKS) צריכים להשתמש בתפקידי IAM (IAM roles). ה-SDK טוען פרטי התחברות קצרי מועד באופן אוטומטי, ואין מה להחליף או להדליף.
- **אנשים** צריכים להתחבר דרך IAM Identity Center או SSO מאוחד ולקבל פרטי התחברות זמניים מ-`aws sso login`.
- **מערכות CI** כמו GitHub Actions יכולות לקבל תפקיד (assume role) דרך OIDC, בלי מפתח שמור.
- **מפתחות לטווח ארוך** נשארים למקרים שבהם אף אחת מהאפשרויות האלה לא עובדת: כלי במחשב נייד שלא תומך ב-SSO, שירות צד שלישי שמקבל רק מפתחות קבועים, משימה ישנה שעוד לא הועברה.

אם בכל זאת צריך מפתח כזה, צרו אותו על משתמש IAM ייעודי עם המדיניות המצומצמת ביותר שמספיקה למשימה, ואף פעם לא על חשבון אדמיניסטרטור של אדם.

## יצירה והגדרה של מפתח

בקונסולת IAM פתחו את המשתמש, בחרו "Security credentials" ואז "Create access key". בחרו את תרחיש השימוש ש-AWS שואל עליו, קראו את החלופה שהוא מציע והמשיכו. הסוד מוצג פעם אחת בלבד. שמרו אותו מיד במאגר הסודות או במנהל הסיסמאות, או הורידו את קובץ ה-CSV ומחקו אותו אחרי הייבוא. לכל משתמש IAM יכולים להיות לכל היותר שני מפתחות בו-זמנית, וזה מה שמאפשר להחליף מפתחות.

במחשב, הגדירו פרופיל עם שם ולא את פרופיל ברירת המחדל:

```bash
aws configure --profile deploy-tool
# AWS Access Key ID [None]: AKIA...
# AWS Secret Access Key [None]: ...
# Default region name [None]: eu-west-1
```

הפקודה כותבת את `~/.aws/credentials` ואת `~/.aws/config`. הגבילו את הקובץ למשתמש שלכם עם `chmod 600`. בקונטיינרים וב-CI, הזריקו את `AWS_ACCESS_KEY_ID` ואת `AWS_SECRET_ACCESS_KEY` כסודות ממאגר הסודות של הפלטפורמה, לא כמשתנים רגילים בקובץ YAML. ואף פעם אל תעבירו אותם בשורת הפקודה, שם הם נשמרים בהיסטוריה של ה-shell.

## החלפה בלי לשבור שום דבר

ההחלפה היא תהליך של ארבעה שלבים, והמגבלה של שני מפתחות היא מה שמאפשר אותו.

1. **צרו מפתח שני** על אותו משתמש.
2. **עדכנו כל מקום שמשתמש במפתח** כך שישתמש במפתח החדש: קובצי הגדרות, סודות CI, הרשומה במנהל הסודות. קונסולת IAM מציגה לכל מפתח מתי השתמשו בו לאחרונה, וכך אפשר לראות אם פספסתם מקום.
3. **השביתו את המפתח הישן.** חכו יום או מחזור פריסה אחד. אם משהו נשבר, הפעילו אותו מחדש, תקנו את המקום שמשתמש בו ונסו שוב.
4. **מחקו את המפתח הישן** כששום דבר כבר לא משתמש בו.

עשו את זה לפי לוח זמנים קבוע למפתחות שחייבים להתקיים, ולכל המפתחות גם בעקבות אירועים: עובד שעוזב, החלפת ספק, מחשב נייד שאבד, חשד לדליפה. AWS Config ו-IAM Access Analyzer יכולים לסמן מפתחות ישנים יותר ממה שהמדיניות שלכם מתירה.

## כשמפתח נחשף

מפתח שהופיע במאגר קוד, בקובץ לוג, בכרטיס תמיכה או בצ'אט נחשב פרוץ, גם אם נמחק דקה אחר כך. סורקים מוצאים סודות שנדחפו למאגר תוך שניות.

1. **השביתו את המפתח** ב-IAM עכשיו. אל תחכו קודם ליצירת מפתח חלופי, אלא אם השבתת השירות תזיק יותר מהחשיפה.
2. **צרו מפתח חלופי** ועדכנו את המקומות שמשתמשים בו.
3. **עברו על CloudTrail** ובדקו כל פעולה שבוצעה עם מזהה מפתח הגישה הזה מאז החשיפה. חפשו משתמשי IAM או מפתחות חדשים, מכונות (instances) חדשות, שינויים במדיניות של buckets ואזורים (regions) לא מוכרים.
4. **בדקו את החשבונית** ואת Cost Explorer וחפשו קפיצות שנראות כמו כריית מטבעות קריפטו.
5. **הסירו את הסוד** מהקוד, מהלוגים ומהיסטוריית git. כש-AWS מזהה דליפה ציבורית, הוא עשוי לצרף בעצמו את המדיניות `AWSCompromisedKeyQuarantine` למשתמש. השאירו אותה במקומה עד שהניקוי יסתיים.
6. **מחקו את המפתח הישן**, ואז בררו איך הוא הגיע לשם וסגרו את הדרך הזו.

## איך משתפים מפתח סודי של AWS עם אדם

לפעמים המפתח צריך להגיע לאדם: קבלן שצריך אותו לכלי פריסה, מתכנת שמצטרף לפרויקט לפני שהוגדר SSO, אינטגרציה עם ספק שמבקשת להדביק אותו בלוח הבקרה שלו. אימייל, Slack וכרטיסי תמיכה שומרים עותקים, וסוד באורך 40 תווים שנמצא באחד מהם אפשר לקרוא במשך שנים.

השגרה הבטוחה לוקחת דקה:

1. **צרו מפתח לאותו אדם** על משתמש IAM ייעודי, עם המדיניות שהמשימה שלו דורשת ולא יותר. אל תשתפו מפתח שמשהו אחר משתמש בו.
2. **הדביקו רק את מפתח הגישה הסודי** בקישור סודי חד-פעמי (https://uselinkpilot.com/he/tools/free-secret-link-generator). הוא מוצפן בדפדפן שלכם לפני שהוא נשמר, העותק השמור מושמד בפעם הראשונה שפותחים את הקישור, ואם אף אחד לא פותח אותו, תוקף הקישור פג אחרי שעה, יום או שבוע.
3. **שלחו את הקישור** עם שורת הסבר אחת. את מזהה מפתח הגישה, האזור ושם הפרופיל שלחו בהודעה נפרדת. אף אחד מהם אינו סודי בפני עצמו.
4. **הוסיפו ביטוי סיסמה בחשבון Pro** לכל מה שמעבר להרשאות קריאה בלבד, ומסרו אותו בהודעת SMS או בשיחה.
5. **ודאו שהנמען פתח את הקישור.** אם הקישור מציין שכבר צפו בו והנמען לא פתח אותו, השביתו את המפתח והתחילו מחדש.
6. **השביתו את המפתח** כשההתקשרות מסתיימת, ואחר כך מחקו אותו.

המדריך לשיתוף מפתחות API (https://uselinkpilot.com/he/blog/how-to-share-api-keys-securely) מציג את אותו דפוס לספקים אחרים, והמדריך שיתוף קישורים מאובטח למפתחים (https://uselinkpilot.com/he/blog/secure-link-sharing-for-developers) מסביר איך לכתוב סקריפט למסירה בתהליך הקליטה של עובדים חדשים.

## לקריאה נוספת

- איך משתפים מפתחות API בצורה מאובטחת: https://uselinkpilot.com/he/blog/how-to-share-api-keys-securely
- מנהל סודות בענן: מה זה ואיך בוחרים: https://uselinkpilot.com/he/blog/cloud-secret-manager
- איך שולחים לקבלן פרטי התחברות זמניים למסד נתונים בצורה מאובטחת: https://uselinkpilot.com/he/blog/how-to-send-a-temporary-database-login-to-a-contractor-securely
- איך עובדים קישורים סודיים חד-פעמיים: https://uselinkpilot.com/he/blog/how-one-time-secret-links-work

## כלים למאמר הזה

מחולל קישורים סודיים חד-פעמיים

שתפו סיסמה או פתק בקישור שנפתח פעם אחת.
https://uselinkpilot.com/he/tools/free-secret-link-generator

הודעה שמשמידה את עצמה

שלחו פתק שנעלם אחרי קריאה אחת.
https://uselinkpilot.com/he/tools/burn-after-read-secret

מחולל קישורים עם תוקף

צרו קישורים שמפסיקים לעבוד בזמן שקבעתם.
https://uselinkpilot.com/he/tools/temporary-link

## שאלות נפוצות

### אפשר לראות שוב את מפתח הגישה הסודי של AWS אחרי שיצרתי אותו?

### מזהה מפתח הגישה ומפתח הגישה הסודי הם אותו דבר?

### איפה מוצאים את מזהה מפתח הגישה של מפתח קיים?

### מפתחות גישה מעניקים הרשאות בעצמם?

### כדאי להשבית מפתח לפני שמוחקים אותו?

### מה עושים אם מפתח גישה של AWS נחשף?

## LinkPilot שולח קישור סודי שנמחק אחרי שפותחים אותו.

מוצפן בדפדפן שלכם, מוצג פעם אחת ואז מושמד. ללא חשבון.

יצירת קישור סודי (https://uselinkpilot.com/he/tools/free-secret-link-generator)

## לקריאה נוספת

אבטחה

### שיתוף פרטי התחברות SSH בקישור עם תפוגה, בצורה מאובטחת

העדיפו את המפתח הציבורי של הנמען. כשחייבים להעביר מפתח פרטי או סיסמה, שלחו אותם בקישור חד-פעמי עם תפוגה, ואת השרת ושם המשתמש בנפרד.
https://uselinkpilot.com/he/blog/how-to-share-ssh-credentials-with-a-link-that-expires-securely

אבטחה

### איך משתפים פרטי התחברות בצורה מאובטחת בלי אימייל

ארבע דרכים לשתף סיסמה בלי אימייל, מתי כל אחת מתאימה, ושלב אחר שלב: קישור זמני לשיתוף פרטי התחברות שנמחק אחרי פתיחה אחת.
https://uselinkpilot.com/he/blog/how-to-share-credentials-securely-without-email

אבטחה

### איך שולחים סוד חתימה של webhook ללקוח בצורה מאובטחת

מסירת סוד חתימה של webhook ללקוח בלי להשאיר עותקים באימייל או בכרטיסים: אימות הנמען, קישור חד-פעמי, שמירה נכונה והחלפה אם נחשף.
https://uselinkpilot.com/he/blog/how-to-send-a-webhook-signing-secret-to-a-client-securely

## Structured data

```json
[
  {
    "@context": "https://schema.org",
    "@type": "BreadcrumbList",
    "itemListElement": [
      {
        "@type": "ListItem",
        "position": 1,
        "name": "דף הבית",
        "item": "https://uselinkpilot.com/he"
      },
      {
        "@type": "ListItem",
        "position": 2,
        "name": "בלוג",
        "item": "https://uselinkpilot.com/he/blog"
      },
      {
        "@type": "ListItem",
        "position": 3,
        "name": "מפתח גישה ומפתח סודי של AWS: יצירה, שימוש, החלפה ושיתוף בטוח",
        "item": "https://uselinkpilot.com/he/blog/aws-access-key-and-secret-key"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "BlogPosting",
    "@id": "https://uselinkpilot.com/he/blog/aws-access-key-and-secret-key#article",
    "headline": "מפתח גישה ומפתח סודי של AWS: יצירה, שימוש, החלפה ושיתוף בטוח",
    "description": "מה הם מזהה מפתח הגישה ומפתח הגישה הסודי של AWS, למה הסוד מוצג פעם אחת, איך מחליפים אותם, מה עושים אחרי דליפה ואיך משתפים מפתח בבטחה.",
    "inLanguage": "he",
    "datePublished": "2026-10-26",
    "dateModified": "2026-10-26",
    "image": "https://uselinkpilot.com/logo-512.png",
    "author": {
      "@type": "Organization",
      "@id": "https://uselinkpilot.com/author/linkpilot-team#organization",
      "name": "LinkPilot Team",
      "url": "https://uselinkpilot.com/he/author/linkpilot-team"
    },
    "publisher": {
      "@type": "Organization",
      "name": "LinkPilot",
      "url": "https://uselinkpilot.com",
      "logo": {
        "@type": "ImageObject",
        "url": "https://uselinkpilot.com/logo-512.png",
        "width": 512,
        "height": 512
      }
    },
    "mainEntityOfPage": {
      "@type": "WebPage",
      "@id": "https://uselinkpilot.com/he/blog/aws-access-key-and-secret-key"
    }
  },
  {
    "@context": "https://schema.org",
    "@type": "FAQPage",
    "mainEntity": [
      {
        "@type": "Question",
        "name": "אפשר לראות שוב את מפתח הגישה הסודי של AWS אחרי שיצרתי אותו?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "לא. AWS מציג את מפתח הגישה הסודי פעם אחת, ביצירה, ולא יותר. אם לא שמרתם אותו, השביתו את המפתח הזה וצרו מפתח חדש. מזהה מפתח הגישה ממשיך להופיע בקונסולת IAM."
        }
      },
      {
        "@type": "Question",
        "name": "מזהה מפתח הגישה ומפתח הגישה הסודי הם אותו דבר?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "לא. מזהה מפתח הגישה הוא מזהה ציבורי, כמו שם משתמש, ובמפתחות לטווח ארוך הוא מתחיל ב-AKIA. מפתח הגישה הסודי הוא החלק שמשמש כסיסמה, והוא חייב להישאר חסוי. כל בקשה נחתמת עם שניהם."
        }
      },
      {
        "@type": "Question",
        "name": "איפה מוצאים את מזהה מפתח הגישה של מפתח קיים?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "בקונסולת IAM, תחת המשתמש, בלשונית \"Security credentials\". את הסוד של מפתח קיים אי אפשר לשחזר. אפשר לראות רק את המזהה, את הסטטוס שלו ומתי השתמשו בו לאחרונה."
        }
      },
      {
        "@type": "Question",
        "name": "מפתחות גישה מעניקים הרשאות בעצמם?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "לא. מפתח מזדהה כמשתמש ה-IAM שהוא שייך לו. הוא יכול לעשות את מה שמדיניות ה-IAM שמצורפת לאותו משתמש מתירה. מפתח בלי מדיניות לא יכול לעשות כלום; מפתח של אדמיניסטרטור יכול לעשות הכול."
        }
      },
      {
        "@type": "Question",
        "name": "כדאי להשבית מפתח לפני שמוחקים אותו?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "כן. קודם משביתים, מחכים מספיק זמן כדי לראות ששום דבר לא נשבר, ואז מוחקים. מפתח מושבת אפשר להפעיל מחדש; מפתח שנמחק אי אפשר."
        }
      },
      {
        "@type": "Question",
        "name": "מה עושים אם מפתח גישה של AWS נחשף?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "השביתו אותו מיד ב-IAM, צרו מפתח חלופי ועדכנו את כל מה שהשתמש בו, עברו על CloudTrail ובדקו אילו פעולות בוצעו עם המפתח שנחשף, חפשו משאבים חדשים או שינויים ב-IAM, והסירו את המפתח מהקוד, מהלוגים ומהיסטוריית ה-commits. אחר כך בדקו איך הוא דלף."
        }
      }
    ],
    "inLanguage": "he"
  },
  {
    "@context": "https://schema.org",
    "@type": "SoftwareApplication",
    "@id": "https://uselinkpilot.com/#software",
    "name": "LinkPilot",
    "applicationCategory": "BusinessApplication",
    "operatingSystem": "Web",
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "url": "https://uselinkpilot.com",
    "offers": [
      {
        "@type": "Offer",
        "name": "Free",
        "price": "0",
        "priceCurrency": "USD",
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro",
        "price": "29",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "29",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency",
        "price": "299",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "299",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus",
        "price": "799",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "799",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro (yearly)",
        "price": "288",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "288",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency (yearly)",
        "price": "2988",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "2988",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus (yearly)",
        "price": "7980",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "7980",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Enterprise",
        "priceSpecification": {
          "@type": "PriceSpecification",
          "priceCurrency": "USD"
        },
        "url": "https://uselinkpilot.com/pricing"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "Organization",
    "@id": "https://uselinkpilot.com/#organization",
    "name": "LinkPilot",
    "alternateName": "LinkPilot by TetraCore",
    "url": "https://uselinkpilot.com",
    "contactPoint": {
      "@type": "ContactPoint",
      "contactType": "customer support",
      "email": "support@uselinkpilot.com",
      "url": "https://uselinkpilot.com/support"
    },
    "parentOrganization": {
      "@type": "Organization",
      "@id": "https://tetracorehq.com/#organization",
      "name": "TetraCore",
      "url": "https://tetracorehq.com/"
    },
    "logo": {
      "@type": "ImageObject",
      "url": "https://uselinkpilot.com/logo-512.png",
      "width": 512,
      "height": 512
    },
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "sameAs": [
      "https://x.com/uselinkpilot",
      "https://www.linkedin.com/company/uselinkpilot",
      "https://facebook.com/uselinkpilot",
      "https://github.com/TetraCoreHQ/linkpilot-cli",
      "https://github.com/TetraCoreHQ/linkpilot-mcp",
      "https://www.npmjs.com/package/linkpilot",
      "https://www.npmjs.com/package/@uselinkpilot/sdk",
      "https://www.npmjs.com/package/@uselinkpilot/mcp",
      "https://chromewebstore.google.com/detail/linkpilot-short-links-and/mnmppadihpcncicldpkmgknhnjkondad",
      "https://addons.mozilla.org/en-US/firefox/addon/uselinkpilot/"
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "WebSite",
    "name": "LinkPilot",
    "url": "https://uselinkpilot.com",
    "potentialAction": {
      "@type": "SearchAction",
      "target": "https://uselinkpilot.com/blog?q={search_term_string}",
      "query-input": "required name=search_term_string"
    }
  }
]
```