Un architetto di soluzioni deve imporre l'MFA per un team di ingegneri cloud che utilizzano la AWS CLI per caricare oggetti in un bucket S3. Ogni ingegnere ha un utente IAM, chiavi di accesso e un dispositivo MFA virtuale. Gli utenti IAM sono membri di un gruppo IAM chiamato S3-access. L'MFA deve essere richiesto per qualsiasi azione in Amazon S3. Quale soluzione soddisfa questi requisiti?

La soluzione corretta prevede l'applicazione di una policy al gruppo IAM S3-access che nega le azioni S3 a meno che l'MFA non sia presente. Questa policy, utilizzando una condizione come aws:MultiFactorAuthPresent: "true", garantisce che gli utenti debbano autenticarsi con MFA per accedere a S3. Per la AWS CLI, gli utenti devono ottenere credenziali temporanee tramite AWS Security Token Service (STS) utilizzando il comando aws sts get-session-token con il loro codice MFA. Queste credenziali temporanee, che includono l'informazione che l'MFA è stato utilizzato, vengono poi configurate in un profilo CLI. Le altre opzioni sono errate perché: Allegare una policy direttamente al bucket S3 che richiede l'MFA per l'utente IAM non è sufficiente per la CLI, poiché le chiavi di accesso IAM non includono intrinsecamente lo stato MFA. Aggiornare la trust policy per il gruppo S3-access non è applicabile in questo scenario, in quanto le trust policy sono utilizzate per i ruoli IAM, non per i gruppi che gli utenti "assumono". Gli utenti sono membri del gruppo. Allegare una policy al gruppo S3-access che nega tutte le azioni S3 a meno che l'MFA non sia presente, senza l'uso di credenziali temporanee da STS, non funzionerebbe correttamente con le chiavi di accesso IAM standard, poiché queste non trasmettono lo stato MFA all'autorizzazione.