Una chiave di accesso a lungo termine è una credenziale AWS IAM che rimane valida finché non viene revocata o ruotata manualmente. A differenza delle credenziali di sessione temporanee, non scade da sola, quindi chiunque la ottenga può continuare a usarla finché i difensori non se ne accorgono e la disabilitano.
Questo rende le chiavi a lungo termine compromesse particolarmente pericolose nel codice sorgente, nei log di compilazione, nei messaggi di chat o negli snippet incollati. Gli attaccanti spesso le cercano perché una singola chiave esposta può fornire accesso diretto alle API alle risorse cloud, talvolta con i permessi di un utente privilegiato o di un account di servizio. I difensori usano la scansione dei segreti, il monitoraggio degli accessi e controlli automatizzati di quarantena per limitare i danni, ma il contenimento non basta: la chiave dovrebbe comunque essere revocata, i permessi rivisti e l'attività controllata nei log come AWS CloudTrail. In pratica, una chiave a lungo termine trapelata dovrebbe essere trattata come già compromessa.