한 회사에 두 개의 AWS 계정(계정 A 및 계정 B)이 있습니다. 계정 A는 계정 B의 사용자가 계정 A의 S3 버킷에 중요한 문서를 업로드하기 위해 수임하는 IAM 역할을 제공합니다. 새로운 요구 사항에 따라 사용자는 다단계 인증(MFA)으로 인증된 경우에만 역할을 수임할 수 있습니다. 이 요구 사항을 충족하는 가장 위험이 적고 노력이 적게 드는 방법은 무엇입니까?

정답은 역할의 신뢰 정책에 aws:MultiFactorAuthPresent 조건을 추가하는 것입니다. IAM 역할의 신뢰 정책은 해당 역할을 수임할 수 있는 주체를 정의하며, 여기에 MFA 조건을 추가하면 MFA로 인증된 사용자만 역할을 수임할 수 있게 됩니다. 이는 가장 적은 위험과 노력으로 요구 사항을 충족합니다. 역할의 권한 정책은 역할이 수임된 후 수행할 수 있는 작업을 정의하므로, 역할 수임 자체에 대한 MFA 요구 사항을 설정하는 데는 적합하지 않습니다. 세션 정책은 역할 수임 후 세션에 추가적인 권한을 부여하거나 제한할 수 있지만, 역할 수임 시 MFA를 강제하는 데는 직접적이지 않습니다. S3 버킷 정책은 S3 버킷에 대한 접근을 제어하지만, 역할 수임 자체에 대한 MFA 요구 사항을 설정하는 데는 사용되지 않습니다.