Архитектору решений необходимо принудительно использовать MFA для команды облачных инженеров, которые используют AWS CLI для загрузки объектов в бакет S3. У каждого инженера есть пользователь IAM, ключи доступа и виртуальное MFA-устройство. Пользователи IAM являются членами группы IAM с именем S3-access. MFA должно требоваться для любых действий в Amazon S3. Какое решение соответствует этим требованиям?

Правильный ответ — прикрепить политику к группе S3-access, которая запрещает все действия S3, если MFA не присутствует, и запросить временные учетные данные у AWS STS. Это решение использует условие политики IAM aws:MultiFactorAuthPresent, чтобы требовать MFA для операций S3. Поскольку AWS CLI не может напрямую запрашивать MFA при использовании постоянных ключей доступа, инженеры должны получить временные учетные данные через AWS Security Token Service (STS) с MFA, а затем использовать эти временные учетные данные в CLI. Неправильные варианты: Прикрепление политики непосредственно к бакету S3, которая запрашивает у пользователя IAM код MFA, не сработает, так как AWS CLI не имеет встроенного механизма для запроса MFA при использовании постоянных ключей доступа. Обновление политики доверия для группы S3-access не применимо, так как политики доверия используются для ролей IAM, а не для групп пользователей, и не могут напрямую требовать MFA для действий. Прикрепление политики к группе S3-access, которая запрещает все действия S3, если MFA не присутствует, но продолжать использовать ключи доступа IAM с AWS CLI, не решит проблему, так как CLI не будет запрашивать MFA для получения постоянных ключей.