Ein AWS-Konto-Administrator hat eine verwaltete Richtlinie an eine IAM-Gruppe angehängt, um zu verlangen, dass sich jeder Benutzer mit Multi-Faktor-Authentifizierung (MFA) authentifiziert. Nachdem die Richtlinie aktiviert wurde, berichten Benutzer, dass sie keine Amazon EC2-Befehle mit der AWS CLI ausführen können. Wie sollte der Administrator dies beheben und gleichzeitig MFA durchsetzen?

Wenn eine Richtlinie die MFA-Verwendung erzwingt, müssen Benutzer temporäre Anmeldeinformationen generieren, die ihre MFA-Authentifizierung bestätigen. Der Befehl aws sts get-session-token ist der korrekte Weg, dies für IAM-Benutzer zu tun, indem serial-number (die ARN des MFA-Geräts) und token-code (der aktuelle Code vom MFA-Gerät) bereitgestellt werden. Die resultierenden temporären Anmeldeinformationen müssen dann für nachfolgende API/CLI-Aufrufe verwendet werden. Das Setzen von aws:MultiFactorAuthPresent auf „true“ in der Richtlinie ist bereits die Implementierung der MFA-Erzwingung, aber es löst nicht das Problem, wie Benutzer diese Bedingung erfüllen können. Die Implementierung von föderiertem Zugriff mit SAML 2.0 ist eine alternative Authentifizierungsmethode, die zwar MFA erzwingen kann, aber eine umfassendere Änderung darstellt und nicht die direkte Lösung für das aktuelle Problem der Benutzer ist, die keine EC2-Befehle ausführen können. Das Erstellen einer Rolle, die MFA erzwingt, ist eine Option für den Rollenwechsel, aber get-session-token ist der direkte Weg für IAM-Benutzer, die MFA für ihre eigenen Anmeldeinformationen verwenden.