Bir şirketin iki AWS hesabı var: Hesap A ve Hesap B. Hesap A, Hesap B'deki kullanıcıların Hesap A'daki S3 bucket'larına hassas belgeler yüklemek için üstlendiği bir IAM rolü sağlar. Yeni bir gereksinim, kullanıcıların rolü yalnızca çok faktörlü kimlik doğrulama (MFA) ile kimlik doğrulaması yapıldığında üstlenebileceğini belirtiyor. Bu gereksinimi karşılamanın en düşük riskli, en az çaba gerektiren yolu nedir?

Doğru cevap, rolün güven politikasına bir aws:MultiFactorAuthPresent koşulu eklemektir. Bu, rolü üstlenmeye çalışan kullanıcının MFA ile kimlik doğrulaması yapmasını zorunlu kılar. Rolün güven politikası, hangi sorumluların (bu durumda Hesap B'deki kullanıcılar) rolü üstlenmesine izin verildiğini tanımlar. Bu yaklaşım, rol üstlenme anında MFA'yı zorunlu kılarak en düşük riskli ve en az çaba gerektiren çözümdür. İzinler politikasına eklemek, rol üstlenildikten sonraki eylemler için MFA'yı zorunlu kılabilir, ancak rolün kendisinin üstlenilmesi için değil. Oturum politikası, rol üstlenildikten sonraki oturum için ek kısıtlamalar getirebilir, ancak yine rolün üstlenilmesi anında MFA'yı zorunlu kılmaz. S3 bucket politikalarına eklemek ise yalnızca S3 erişimini kısıtlar ve rolün üstlenilmesiyle doğrudan ilgili değildir.