Le credenziali IAM temporanee sono chiavi di accesso AWS di breve durata emesse per un ruolo IAM invece che per un account utente a lungo termine. In genere includono un ID chiave di accesso, una chiave di accesso segreta e un token di sessione, e scadono automaticamente dopo un periodo limitato. Questo le rende più sicure delle credenziali permanenti perché i token rubati hanno una finestra di utilità più ridotta.
Sono importanti nella sicurezza del cloud perché molti workload, incluse le istanze EC2, ricevono credenziali temporanee dal Servizio di metadati dell'istanza. Se un attaccante può raggiungere quell'endpoint di metadati dal codice in esecuzione sull'istanza, o tramite un tunnel di gestione usato in modo improprio o un percorso di port forwarding, potrebbe essere in grado di recuperare le credenziali del ruolo e chiamare le API AWS con le autorizzazioni del ruolo. I difensori riducono questo rischio limitando l'accesso ai metadati, applicando il privilegio minimo ai ruoli, controllando rigorosamente le funzionalità di sessione e ruotando o accorciando, ove possibile, la durata delle credenziali.