AWSアカウント管理者が、各ユーザーに多要素認証 (MFA) での認証を要求するために、マネージドポリシーをIAMグループにアタッチしました。ポリシーを有効にした後、ユーザーはAWS CLIでAmazon EC2コマンドを実行できないと報告しています。管理者はMFAを強制しながら、これをどのように解決すべきですか？

AWS CLIでMFAを要求する場合、ユーザーはまずaws sts get-session-tokenコマンドをMFAパラメータと共に実行し、一時的な認証情報を取得する必要があります。この一時的な認証情報を使用して、その後のAPI/CLI呼び出しを行います。これにより、MFAが強制されつつ、CLIアクセスが可能になります。 ポリシーでaws:MultiFactorAuthPresent条件キーをtrueに設定するだけでは、CLIアクセス時にMFAを直接強制することはできません。ユーザーは依然として一時的な認証情報を取得する必要があります。 SAML 2.0フェデレーションは、IDプロバイダー側でMFAを強制できますが、既存のIAMユーザーのCLIアクセスを解決する直接的な方法ではありません。 ロールとsts:AssumeRoleを使用する方法もMFAを強制できますが、sts get-session-tokenがより直接的な解決策であり、既存のユーザーのCLIアクセスに対するMFA強制の一般的な方法です。