솔루션스 아키텍트는 AWS CLI를 사용하여 S3 버킷에 객체를 업로드하는 클라우드 엔지니어 팀에 대해 MFA를 적용해야 합니다. 각 엔지니어는 IAM 사용자, 액세스 키 및 가상 MFA 디바이스를 가지고 있습니다. IAM 사용자는 S3-access라는 IAM 그룹의 멤버입니다. Amazon S3의 모든 작업에 MFA가 필요합니다. 어떤 솔루션이 이러한 요구 사항을 충족합니까?

정답은 MFA가 없는 경우 모든 S3 작업을 거부하는 정책을 S3-access 그룹에 연결하고, AWS STS에서 임시 자격 증명을 요청하여 CLI 프로필에 구성하는 것입니다. 이는 MFA가 필요한 작업을 수행할 때 임시 자격 증명을 사용하여 MFA 인증을 강제하는 AWS의 표준 보안 모범 사례입니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다. S3 버킷에 직접 정책을 연결하는 것은 IAM 사용자가 MFA 없이 다른 버킷에 접근하는 것을 막지 못합니다. 또한, AWS CLI는 IAM 액세스 키를 사용할 때 MFA 코드를 직접 요청하지 않습니다. S3-access 그룹에 대한 신뢰 정책을 업데이트하는 것은 IAM 역할에 적용되는 개념이며, IAM 사용자에게는 직접 적용되지 않습니다. MFA가 없는 경우 모든 S3 작업을 거부하는 정책을 S3-access 그룹에 연결하는 것만으로는 충분하지 않습니다. IAM 액세스 키를 계속 사용하면 MFA 인증이 강제되지 않습니다.