Bir AWS hesap yöneticisi, her kullanıcının çok faktörlü kimlik doğrulama (MFA) ile kimlik doğrulaması yapmasını zorunlu kılmak için bir IAM grubuna yönetilen bir ilke ekledi. İlkeyi etkinleştirdikten sonra, kullanıcılar AWS CLI ile Amazon EC2 komutlarını çalıştıramadıklarını bildirdi. Yönetici, MFA'yı hala uygularken bu sorunu nasıl çözmelidir?

Doğru cevap, kullanıcıların AWS CLI ile MFA kullanarak kimlik doğrulaması yapabilmeleri için aws sts get-session-token komutunu —serial-number ve —token-code parametreleriyle çalıştırmaları gerektiğini belirtir. Bu komut, MFA ile doğrulanmış geçici kimlik bilgileri sağlar ve bu kimlik bilgileri daha sonra CLI çağrıları için kullanılabilir. Diğer seçenekler neden yanlış: İlkedeki aws:MultiFactorAuthPresent koşul anahtarını true olarak ayarlamak, MFA'nın varlığını kontrol eder, ancak CLI kullanıcılarının MFA ile nasıl kimlik doğrulaması yapacağını doğrudan sağlamaz. SAML 2.0 ile birleşik API/CLI erişimi uygulamak, MFA'yı zorunlu kılabilir ancak mevcut sorunu çözmek için daha karmaşık bir yeniden yapılandırma gerektirir ve anında çözüm değildir. Rol güven ilkesinde MFA'yı zorunlu kılan bir rol oluşturmak ve sts assume-role kullanmak bir yöntem olsa da, get-session-token doğrudan MFA ile CLI erişimi için tasarlanmış daha basit bir çözümdür ve NotAction eklemek gereksiz karmaşıklık yaratır.