L'organizzazione richiede l'MFA per tutti gli utenti IAM e desidera che tutte le chiamate API effettuate tramite la CLI siano autenticate con MFA. È stata allegata una policy IAM che nega le chiamate senza MFA, ma gli utenti continuano a effettuare chiamate API CLI senza che venga loro richiesto il token. Quale passaggio aggiuntivo è necessario affinché le chiamate API CLI richiedano l'MFA?

La risposta corretta è richiedere agli utenti di ottenere credenziali temporanee chiamando Get-SessionToken e di utilizzare tali credenziali per firmare le richieste API. La CLI di AWS non richiede direttamente l'MFA per ogni comando. Per applicare l'MFA alle chiamate API effettuate tramite la CLI, gli utenti devono prima autenticarsi con MFA e ottenere credenziali temporanee (access key, secret key e session token) utilizzando l'operazione GetSessionToken. Queste credenziali temporanee, generate dopo l'autenticazione MFA, possono quindi essere utilizzate per firmare le successive chiamate API dalla CLI, garantendo che ogni operazione sia autorizzata tramite MFA. Le altre opzioni sono errate perché: Abilitare l'MFA sui ruoli IAM non forza gli utenti a usare l'MFA per le chiamate CLI dirette, a meno che non assumano il ruolo con credenziali MFA-protette. Accedere alla AWS Management Console con MFA non influenza direttamente le chiamate CLI, che utilizzano credenziali separate. Affermare che la CLI non supporta l'MFA è falso; lo fa tramite credenziali temporanee.