Puoi richiedere l'AMF per gli account AWS IAM?

È possibile richiedere l'autenticazione a più fattori (MFA) abilitata per specifici / tutti gli account IAM nei servizi Web Amazon?

Esistono opzioni per i requisiti di password ed è chiaro come si può scegliere di aggiungerlo al proprio account, ma non è chiaro se esiste un'opzione per forzare gli utenti ad avere MFA.

La risposta è sì, c'è. Usando una condizione. Ad esempio, per gli account amministratore:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "*",
      "Resource": "*", 
      "Condition":
      {
          "Null":{"aws:MultiFactorAuthAge":"false"}
      }
    }
  ]
}

Applicherà MFA sia per l'autenticazione con password sia per l'autenticazione basata su token utilizzando l'API.

Dopo un po 'di guardarsi intorno, sembra che la risposta sia "una specie di". In IAM, un amministratore può configurare un MFA per un altro utente IAM. Anche se questo può essere un po 'complicato se stai configurando un AMF virtuale, è possibile. Quindi, se all'utente non sono state concesse le autorizzazioni per aggiornare / rimuovere il proprio MFA, è effettivamente richiesto.

Anche se non ho ancora determinato l'elenco completo delle azioni che dovrebbero essere negate (o semplicemente non concesse), questo post sembra avere le informazioni e aggiornerò questa risposta una volta verificata.

[Aggiornare]

Sono stato in grado di configurare gli utenti come utenti esperti (quindi non concedere loro l'accesso a funzioni IAM, anche se sono sicuro che potresti ottenere più granulare) e implementare il loro AMF con loro. Usando questa metodologia, non saranno in grado di disabilitarla.

Sì, è possibile richiedere MFA per gli account IAM sia per la console Web sia per la awscliriga di comando. In effetti, non è possibile richiedere in modo affidabile MFA per la console Web senza richiederlo per la awscliriga di comando, poiché entrambi raggiungono le stesse API. Dico "in modo affidabile" perché con una complessa politica IAM è possibile consentire alcune awsclioperazioni senza MFA, applicando al contempo MFA per la console Web. Tuttavia, i risultati sono alquanto imprevedibili e, inoltre, le chiavi IAM sono ugualmente se non più pericolose e non protette. La mia raccomandazione è di richiederlo per entrambi, e quindi forse creare chiavi non protette per usi speciali in cui MFA è assolutamente controindicato. Per i processi automatizzati i ruoli sarebbero generalmente una scelta migliore.

Per semplificare le operazioni di MFA sulla riga di comando, ho creato un set di script bash e un esempio di politica di applicazione MFA attentamente predisposto che semplifica il collegamento / scollegamento di vMFAd e l'avvio e la gestione delle sessioni MFA. Funzionano su varianti macOS e Linux, ma probabilmente non su Windows (non testato).

Apparentemente no. Sembra che MFA per gli account IAM sia facoltativo, anche se faresti meglio a pubblicare post nei forum di supporto AWS per una risposta autorevole.

Abbiamo documentato alcune considerazioni sul multifattore API AWS in generale (dove aggiungere le condizioni, quali sono le implicazioni ecc.) Nella documentazione per alcuni strumenti personalizzati ( https://github.com/kreuzwerker/awsu ) che abbiamo sviluppato per l'utilizzo di Yubikeys come fonte per i token TOTP. Ciò rende piuttosto semplice lavorare con ruoli e credenziali a lungo termine + token di sessione.

La risposta accettata non è più valida AFAICT. AWS ha documentato come è possibile farlo attraverso il loro articolo tutorial qui:

https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_users-self-manage-mfa-and-creds.html

L'ho seguito per il mio nuovo account e team AWS e ha funzionato alla grande.