組織要求所有 IAM 使用者都必須使用 MFA，並希望所有透過 CLI 進行的 API 呼叫都必須經過 MFA 驗證。目前已附加一個拒絕沒有 MFA 的呼叫的 IAM policy，但使用者仍然可以在沒有提示輸入 token 的情況下進行 CLI API 呼叫。請問還需要哪些額外步驟才能讓 CLI API 呼叫要求 MFA？

正確答案是要求使用者透過呼叫 Get-SessionToken 取得臨時憑證，並使用這些憑證簽署 API 請求。這是因為 AWS CLI 本身不直接支援 MFA 提示。為了強制 CLI API 呼叫使用 MFA，使用者必須先使用 MFA 驗證來取得臨時安全憑證（透過 aws sts get-session-token 命令），然後使用這些臨時憑證來配置 CLI 以進行後續的 API 呼叫。 其他選項不正確： 在 IAM 角色上啟用 MFA 並不能直接強制 CLI 呼叫使用 MFA，因為角色本身不執行驗證。 讓使用者登入 AWS Management Console 並不會影響 CLI 呼叫的 MFA 狀態。 限制使用者只能使用 AWS console 是不切實際的，且 CLI 確實支援透過臨時憑證間接使用 MFA。