La organización requiere MFA para todos los usuarios de IAM y quiere que todas las llamadas a la API realizadas a través de la CLI se autentiquen con MFA. Se adjuntó una política de IAM que deniega las llamadas sin MFA, pero los usuarios aún realizan llamadas a la API de la CLI sin que se les soliciten tokens. ¿Qué paso adicional se necesita para que las llamadas a la API de la CLI requieran MFA?

La opción correcta es requerir que los usuarios obtengan credenciales temporales llamando a Get-SessionToken y usen esas credenciales para firmar las solicitudes de la API. AWS CLI no solicita directamente un token MFA. En su lugar, para que las llamadas a la API de la CLI requieran MFA, los usuarios deben generar credenciales temporales (clave de acceso, clave secreta y token de sesión) utilizando aws sts get-session-token con su dispositivo MFA, y luego configurar la CLI para usar estas credenciales temporales. Las otras opciones son incorrectas porque: Habilitar MFA en los roles de IAM no obliga a los usuarios a usar MFA para las llamadas a la API de la CLI si no asumen el rol con MFA. Iniciar sesión en la AWS Management Console con MFA no afecta directamente las llamadas a la API de la CLI, ya que son procesos separados. La CLI sí es compatible con MFA a través del uso de credenciales temporales.