Die Organisation verlangt MFA für alle IAM-Benutzer und möchte, dass alle über die CLI getätigten API-Aufrufe mit MFA authentifiziert werden. Eine IAM-Richtlinie, die Aufrufe ohne MFA verweigert, wurde angehängt, aber Benutzer tätigen weiterhin CLI-API-Aufrufe, ohne zur Eingabe von Tokens aufgefordert zu werden. Welcher zusätzliche Schritt ist erforderlich, damit CLI-API-Aufrufe MFA erfordern?

Die korrekte Antwort ist, Benutzer dazu zu verpflichten, temporäre Anmeldeinformationen durch Aufruf von Get-SessionToken zu erhalten. Wenn eine IAM-Richtlinie MFA für API-Aufrufe erfordert, müssen Benutzer temporäre Anmeldeinformationen verwenden, die mit MFA generiert wurden. Der Get-SessionToken-API-Aufruf ermöglicht es einem Benutzer, temporäre Anmeldeinformationen (Zugriffsschlüssel, geheimer Schlüssel und Sitzungstoken) zu erhalten, nachdem er ein MFA-Token bereitgestellt hat. Diese temporären Anmeldeinformationen können dann für CLI-Befehle verwendet werden, um die MFA-Anforderung zu erfüllen. Die Aktivierung von MFA für IAM-Rollen ist nicht direkt relevant, da die Frage sich auf IAM-Benutzer und deren CLI-Aufrufe bezieht. Die Anmeldung bei der AWS Management Console mit MFA beeinflusst nicht direkt CLI-Aufrufe, da diese separate Authentifizierungsmechanismen verwenden. Die Behauptung, dass die CLI kein MFA unterstützt, ist falsch; sie unterstützt MFA über temporäre Anmeldeinformationen.