De organisatie vereist MFA voor alle IAM-gebruikers en wil dat alle API-aanroepen via de CLI worden geverifieerd met MFA. Een IAM-beleid dat aanroepen zonder MFA weigert, is gekoppeld, maar gebruikers doen nog steeds CLI API-aanroepen zonder om tokens te worden gevraagd. Welke aanvullende stap is nodig zodat CLI API-aanroepen MFA vereisen?

De correcte optie is om gebruikers te verplichten tijdelijke referenties te verkrijgen via GetSessionToken en deze te gebruiken voor API-aanroepen. Dit is de enige manier om MFA af te dwingen voor CLI API-aanroepen, omdat GetSessionToken een MFA-token vereist. De gegenereerde tijdelijke referenties zijn dan gekoppeld aan de MFA-sessie. Het inschakelen van MFA op IAM-rollen en het verplichten van gebruikers om rollen aan te nemen, werkt niet direct voor CLI API-aanroepen, tenzij de aanname van de rol zelf MFA vereist via sts:AssumeRole. Echter, de meest directe methode voor CLI is GetSessionToken. Inloggen bij de AWS Management Console met MFA heeft geen invloed op CLI-sessies die onafhankelijk worden gestart. De bewering dat CLI geen MFA ondersteunt, is onjuist; het ondersteunt MFA via tijdelijke referenties.