ソリューションアーキテクトは、S3バケットにオブジェクトをアップロードするためにAWS CLIを使用するクラウドエンジニアのチームに対してMFAを強制する必要があります。各エンジニアは、IAMユーザー、アクセスキー、および仮想MFAデバイスを持っています。IAMユーザーは、S3-accessという名前のIAMグループのメンバーです。Amazon S3でのすべてのアクションにMFAが必須である必要があります。どのソリューションがこれらの要件を満たしますか？

正解は、MFAを必須とするポリシーをIAMグループにアタッチし、AWS STSから一時的な認証情報を取得してCLIプロファイルに設定する方法です。AWS CLIでMFAを使用するには、aws sts get-session-tokenコマンドでMFAコードを提示し、一時的な認証情報を取得する必要があります。この一時的な認証情報を使用してS3操作を行うことで、MFAが強制されます。 S3バケットポリシーでMFAを強制しても、CLIからのMFA認証は直接行われません。信頼ポリシーはロールに適用されるもので、IAMグループには適用されません。IAMグループにMFAを必須とするポリシーをアタッチするだけでは、CLIがMFAコードを要求するメカニズムがないため不十分です。AWS STSを介した一時的な認証情報の取得と設定が、CLIでMFAを強制する鍵となります。