Ви можете вимагати МЗС для акаунтів AWS IAM?

Чи можливо вимагати включення багатофакторної автентифікації (MFA) для конкретних / всіх облікових записів IAM в веб-службах Amazon?

Існують варіанти вимог до пароля, і зрозуміло, як можна вибрати його до свого облікового запису, але незрозуміло, чи є можливість змусити користувачів мати MFA.

Відповідь - так, є. Використовуючи умову. Наприклад, для облікових записів адміністратора:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "*",
      "Resource": "*", 
      "Condition":
      {
          "Null":{"aws:MultiFactorAuthAge":"false"}
      }
    }
  ]
}

Він застосовуватиме MFA як для автентифікації пароля, так і для аутентифікації на основі лексем за допомогою API.

Трохи озирнувшись, виявляється, що відповідь - «своєрідна». В IAM адміністратор може налаштувати MFA для іншого користувача IAM. Хоча це може бути трохи складним, якщо ви налаштовуєте віртуальний МЗС, це можливо. Тоді, якщо користувачеві не було надано дозволу на оновлення / видалення своїх МЗС, це фактично потрібно.

Хоча я ще не визначив повний перелік дій, яким слід відмовити (або просто не було надано), ця публікація, схоже, містить інформацію, і я оновлю цю відповідь, як тільки я її перевірю.

[Оновлення]

Мені вдалося налаштувати користувачів як енергокористувачів (тим самим не надаючи їм доступу до функцій IAM, хоча я впевнений, що ви можете отримати більш детальну інформацію) та застосувати їх MFA з ними. Використовуючи цю методологію, вони не зможуть її відключити.

Так, ви можете вимагати MFA для облікових записів IAM як для веб-консолі, так і для awscliкомандного рядка. Насправді, неможливо надійно вимагати MFA для веб-консолі, не вимагаючи цього для awscliкомандного рядка, тому що обидва потрапляють на однакові API. Я кажу "надійно", тому що за допомогою складної політики IAM можна дозволити деякі awscliоперації без МЗС, одночасно застосовуючи MFA для веб-консолі. Однак результати дещо непередбачувані, і крім того, клавіші IAM однаково, якщо не більш небезпечні, незахищені. Моя рекомендація - вимагати її для обох, а потім, можливо, створити незахищені ключі для спеціальних цілей, де МЗС абсолютно протипоказано. Для автоматизованих процесів ролі взагалі були б кращим вибором.

Щоб полегшити операції з МЗС у командному рядку, я створив набір скриптів bash та ретельно продуманий приклад політики застосування МЗС, що полегшує додавання / від'єднання vMFAd та запуск та керування сеансами MFA. Вони працюють на версіях macOS та Linux, але, швидше за все, не в Windows (не тестуються).

Мабуть, ні. Здається, що MFA для облікових записів IAM необов’язковий, хоча вам найкраще опублікувати на Форумах підтримки AWS для авторитетної відповіді.

Ми задокументували декілька міркувань щодо мультифактора API AWS взагалі (куди додати умови, які наслідки тощо) в документації для деяких спеціальних інструментів ( https://github.com/kreuzwerker/awsu ), розроблених нами для використання Yubikeys як джерело для маркерів TOTP. Це робить роботу з ролями та довгостроковими обліковими записами + маркерами сеансу досить просто.

Прийнята відповідь більше не є дійсною AFAICT. AWS задокументував, як це можна зробити через їхню статтю підручника тут:

https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_users-self-manage-mfa-and-creds.html

Я переконався, що для мого нового облікового запису та команди AWS це було чудово.