A organização exige MFA para todos os usuários IAM e deseja que todas as chamadas de API feitas via CLI sejam autenticadas com MFA. Uma política IAM negando chamadas sem MFA foi anexada, mas os usuários ainda fazem chamadas de API da CLI sem serem solicitados a fornecer tokens. Qual etapa adicional é necessária para que as chamadas de API da CLI exijam MFA?

A opção correta é exigir que os usuários obtenham credenciais temporárias chamando GetSessionToken e as usem para assinar solicitações de API. Para que o MFA seja aplicado a chamadas de API da CLI, os usuários devem gerar credenciais temporárias que incluam informações de MFA. O GetSessionToken é a API que permite isso, gerando um conjunto de credenciais temporárias (chave de acesso, chave secreta e token de sessão) que são válidas apenas após a autenticação MFA. As outras opções estão incorretas porque: Habilitar MFA em perfis (roles) do IAM não força o MFA para chamadas da CLI diretamente, a menos que as credenciais temporárias sejam geradas com MFA. Fazer os usuários fazerem login no Console de Gerenciamento da AWS com MFA não estende automaticamente essa autenticação para sessões da CLI sem a geração de credenciais temporárias. A CLI suporta MFA por meio do uso de credenciais temporárias; limitar os usuários ao console é uma afirmação falsa e uma solução impraticável.