Un amministratore di account AWS ha allegato una policy gestita a un gruppo IAM per richiedere che ogni utente si autentichi con l'autenticazione a più fattori (MFA). Dopo aver abilitato la policy, gli utenti segnalano di non poter eseguire i comandi Amazon EC2 con la AWS CLI. Come dovrebbe risolvere l'amministratore questo problema, pur continuando a imporre l'MFA?

Quando si richiede l'MFA per le chiamate API/CLI, gli utenti devono ottenere credenziali temporanee che attestino l'autenticazione MFA. Il comando aws sts get-session-token è il metodo standard per gli utenti IAM per ottenere queste credenziali temporanee, includendo i parametri --serial-number e --token-code per l'MFA. Una volta ottenute, queste credenziali vengono utilizzate per le successive chiamate API/CLI. Impostare aws:MultiFactorAuthPresent su true nella policy è corretto per applicare l'MFA, ma non risolve il problema di come gli utenti ottengono le credenziali MFA per la CLI. L'accesso federato con SAML 2.0 è una soluzione valida per l'MFA, ma non è il modo più diretto per risolvere il problema specifico degli utenti IAM che non riescono a eseguire comandi EC2 dopo l'applicazione dell'MFA. Creare un ruolo con MFA nella policy di trust e usare sts assume-role è un'alternativa valida, ma get-session-token è più semplice per gli utenti IAM diretti che necessitano di credenziali temporanee con MFA.