Uma empresa tem duas contas AWS: Conta A e Conta B. A Conta A fornece uma função IAM que os usuários da Conta B assumem para fazer upload de documentos confidenciais para buckets S3 na Conta A. Um novo requisito afirma que os usuários podem assumir a função somente quando autenticados com autenticação multifator (MFA). Qual é a maneira de menor risco e menor esforço para atender a esse requisito?

A política de confiança (trust policy) de uma função IAM define quem pode assumir essa função. Adicionar a condição aws:MultiFactorAuthPresent à política de confiança da função na Conta A garante que apenas usuários da Conta B que estejam autenticados com MFA possam assumir a função. Esta é a solução de menor risco e menor esforço porque a verificação de MFA ocorre no momento da assunção da função, antes que qualquer ação seja permitida. Adicionar a condição à política de permissões