Un administrador de cuentas de AWS adjuntó una política administrada a un grupo de IAM para exigir que cada usuario se autentique con autenticación multifactor (MFA). Después de habilitar la política, los usuarios informan que no pueden ejecutar comandos de Amazon EC2 con la AWS CLI. ¿Cómo debería el administrador resolver esto sin dejar de aplicar MFA?

Cuando se requiere MFA para acciones de la CLI, los usuarios deben obtener credenciales temporales que demuestren que se autenticaron con MFA. El comando aws sts get-session-token con --serial-number y --token-code es el método estándar para que los usuarios de IAM obtengan estas credenciales temporales después de una autenticación MFA exitosa. Estas credenciales temporales se utilizan luego para las llamadas posteriores a la API/CLI, lo que permite el acceso a los recursos de EC2 mientras se cumple con el requisito de MFA. Establecer aws:MultiFactorAuthPresent en true en la política es incorrecto porque esta clave de condición solo verifica si MFA estuvo presente durante la autenticación, no obliga a su uso para obtener credenciales temporales para la CLI. Implementar acceso federado con SAML 2.0 es una solución más compleja y no es la forma más directa de resolver el problema para los usuarios de IAM existentes. Crear un rol con MFA en la política de confianza y asumir ese rol es una opción válida, pero get-session-token es el método más directo para que los usuarios de IAM obtengan credenciales temporales con MFA para sus propias acciones.