AIMユーザにアクセスキーを2つまで作成できる理由

 1つじゃないの？と思ったら、ちょっとした理由がありました。

AWS Certified Solutions Architect Official Study Guide: Associate Exam

 For security reasons, if your credentials have been lost or forgotten, you cannot recover them or re-download them. However, you can create new credentials and then disable or delete the old set of credentials. In fact, AWS recommends that you change (rotate) your access keysand certificates on a regular basis. To help you do this without potential impact to your application’s availability, AWS supports multiple concurrent access keys and certificates.

 アクセスキーは作ったときしか、ダウンロードできず、そのタイミングでしかシークレットアクセスキーを知る機会がありません。

で、万が一シークレットアクセスキーをロストした時どうするかというと、新しいのを作って、そっちに変更すればいいんですね。これをするために2つまで作れるようにしてあるんですね。

上の文にもあるように、ロストした時に限らず、定期的ローテーションすることが推奨されているそうです。