Ein Unternehmen hat zwei AWS-Konten: Konto A und Konto B. Konto A stellt eine IAM-Rolle bereit, die Benutzer in Konto B annehmen, um sensible Dokumente in S3-Buckets in Konto A hochzuladen. Eine neue Anforderung besagt, dass Benutzer die Rolle nur annehmen dürfen, wenn sie mit Multi-Faktor-Authentifizierung (MFA) authentifiziert wurden. Was ist der risikoärmste und aufwandsärmste Weg, um diese Anforderung zu erfüllen?

Die Vertrauensrichtlinie einer IAM-Rolle definiert, welche Prinzipale (Benutzer, Rollen oder AWS-Services) die Rolle annehmen dürfen. Durch das Hinzufügen der Bedingung aws:MultiFactorAuthPresent: "true" zur Vertrauensrichtlinie wird sichergestellt, dass nur Benutzer, die sich mit MFA authentifiziert haben, die Rolle annehmen können. Dies ist der risikoärmste und aufwandsärmste Weg, da es direkt die Übernahme der Rolle steuert, bevor auf Ressourcen zugegriffen wird. Die Berechtigungsrichtlinie der Rolle steuert, was die Rolle tun darf, nachdem sie angenommen wurde, nicht wer sie annehmen darf. Eine Sitzungsrichtlinie ist eine temporäre Richtlinie, die die Berechtigungen einer angenommenen Rolle weiter einschränkt, aber nicht die MFA-Anforderung für die Rollenübernahme selbst durchsetzt. S3-Bucket-Richtlinien steuern den Zugriff auf den Bucket, nicht die Bedingungen für die Rollenübernahme.