Administrator konta AWS dołączył zarządzaną politykę do grupy IAM, aby wymagać od każdego użytkownika uwierzytelniania się za pomocą uwierzytelniania wieloskładnikowego (MFA). Po włączeniu polityki użytkownicy zgłaszają, że nie mogą uruchamiać poleceń Amazon EC2 za pomocą AWS CLI. Jak administrator powinien rozwiązać ten problem, jednocześnie nadal egzekwując MFA?

Poprawna odpowiedź rozwiązuje problem, ponieważ polecenie aws sts get-session-token umożliwia użytkownikom uzyskanie tymczasowych poświadczeń po uwierzytelnieniu MFA. Te tymczasowe poświadczenia mogą być następnie użyte do wykonywania operacji CLI/API, spełniając wymóg MFA bez blokowania dostępu. Opcja "Ustaw klucz warunku aws:MultiFactorAuthPresent na true w polityce" jest nieprawidłowa, ponieważ samo dodanie tego warunku do polityki nie sprawi, że CLI automatycznie poprosi o MFA. Użytkownicy nadal potrzebują mechanizmu do dostarczenia poświadczeń MFA. Opcja "Wdróż federacyjny dostęp API/CLI za pomocą SAML 2.0 i skonfiguruj dostawcę tożsamości do egzekwowania MFA" jest nieprawidłowa, ponieważ choć federacja z SAML może egzekwować MFA, jest to znacznie bardziej złożone rozwiązanie niż wymagane w tym scenariuszu i nie jest bezpośrednią odpowiedzią na problem z istniejącymi użytkownikami IAM i CLI. Opcja "Utwórz rolę, która wymusza MFA w polityce zaufania roli. Poinstruuj użytkowników, aby uruchomili sts assume-role z --serial-number i --token-code, zapisali tymczasowe poświadczenia w zmiennych środowiskowych i dodali sts:AssumeRole do NotAction w polityce" jest nieprawidłowa, ponieważ sts:AssumeRole nie powinno być w NotAction, a użycie get-session-token jest bardziej bezpośrednie dla użytkowników IAM, którzy już mają poświadczenia.