Un arquitecto de soluciones debe aplicar MFA para un equipo de ingenieros de la nube que utilizan la AWS CLI para cargar objetos en un bucket de S3. Cada ingeniero tiene un usuario de IAM, claves de acceso y un dispositivo MFA virtual. Los usuarios de IAM son miembros de un grupo de IAM llamado S3-access. Se debe requerir MFA para cualquier acción en Amazon S3. ¿Qué solución cumple con estos requisitos?

La opción correcta es la única que aborda la necesidad de MFA para la AWS CLI de manera efectiva. Al adjuntar una política al grupo S3-access que deniega acciones de S3 a menos que MFA esté presente, se asegura que los usuarios deben autenticarse con MFA. Sin embargo, la AWS CLI no solicita un código MFA directamente. Por lo tanto, los ingenieros deben usar AWS STS para solicitar credenciales temporales que incluyan la autenticación MFA. Estas credenciales temporales se configuran en un perfil de la CLI, permitiendo que las acciones de S3 se realicen con MFA. Las otras opciones son incorrectas porque: Adjuntar una política directamente al bucket de S3 que solicite un código MFA no funcionará con la AWS CLI de forma nativa. Actualizar la política de confianza para el grupo S3-access para requerir MFA al asumir el grupo no es aplicable, ya que los usuarios no asumen el grupo; son miembros del grupo. Adjuntar una política al grupo S3-access que deniegue acciones de S3 a menos que MFA esté presente, pero continuando con las claves de acceso de IAM, no funcionaría porque las claves de acceso por sí solas no proporcionan el contexto de MFA necesario para satisfacer la condición de la política.