Um arquiteto de soluções deve impor MFA para uma equipe de engenheiros de nuvem que usam a AWS CLI para fazer upload de objetos para um bucket S3. Cada engenheiro tem um usuário IAM, chaves de acesso e um dispositivo MFA virtual. Os usuários IAM são membros de um grupo IAM chamado S3-access. O MFA deve ser exigido para quaisquer ações no Amazon S3. Qual solução atende a esses requisitos?

A solução correta exige que os engenheiros usem MFA para ações no S3. Anexar uma política ao grupo S3-access que nega ações S3 a menos que o MFA esteja presente é o primeiro passo. No entanto, o AWS CLI não solicita MFA diretamente ao usar chaves de acesso permanentes. Para contornar isso, os usuários devem obter credenciais temporárias do AWS Security Token Service (STS) que foram geradas com MFA. Essas credenciais temporárias são então configuradas em um perfil da CLI. As opções incorretas são: Anexar uma política diretamente ao bucket S3 não é o método correto para impor MFA para usuários IAM. As políticas de bucket controlam o acesso ao bucket, mas a imposição de MFA para usuários específicos é feita através de políticas IAM. Atualizar a política de confiança para o grupo S3-access para exigir MFA ao assumir o grupo é inadequado, pois os usuários não estão assumindo o grupo; eles estão usando suas próprias credenciais de usuário IAM. Anexar uma política ao grupo S3-access que nega todas as ações S3, a menos que o MFA esteja presente, é uma parte da solução, mas não é suficiente por si só. Sem o uso de credenciais temporárias do STS geradas com MFA, a CLI ainda usaria as chaves de acesso permanentes, que não são verificadas para MFA no momento da ação.