Ein Lösungsarchitekt muss MFA für ein Team von Cloud-Ingenieuren durchsetzen, die die AWS CLI verwenden, um Objekte in einen S3-Bucket hochzuladen. Jeder Ingenieur hat einen IAM-Benutzer, Zugriffsschlüssel und ein virtuelles MFA-Gerät. Die IAM-Benutzer sind Mitglieder einer IAM-Gruppe namens S3-access. MFA muss für alle Aktionen in Amazon S3 erforderlich sein. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung erfordert eine IAM-Richtlinie, die an die Gruppe S3-access angehängt wird und alle S3-Aktionen verweigert, es sei denn, die Bedingung aws:MultiFactorAuthPresent ist true. Da die AWS CLI keine direkte MFA-Abfrage für dauerhafte IAM-Zugriffsschlüssel unterstützt, müssen Benutzer temporäre Anmeldeinformationen über AWS Security Token Service (STS) anfordern, indem sie ihren MFA-Code verwenden. Diese temporären Anmeldeinformationen werden dann in einem CLI-Profil konfiguriert, um S3-Aktionen durchzuführen. Die Option, eine Richtlinie direkt an den S3-Bucket anzuhängen, würde nicht funktionieren, da S3-Bucket-Richtlinien keine MFA-Abfrage für IAM-Benutzer mit dauerhaften Zugriffsschlüsseln erzwingen können. Die Aktualisierung der Vertrauensrichtlinie für die S3-access-Gruppe ist irrelevant, da Vertrauensrichtlinien für Rollen und nicht für Gruppen gelten. Das einfache Anhängen einer Richtlinie an die Gruppe ohne die Verwendung temporärer STS-Anmeldeinformationen würde dazu führen, dass Benutzer keine S3-Aktionen ausführen können, da die CLI MFA nicht direkt mit dauerhaften Zugriffsschlüsseln verarbeiten kann.