如何通过 IAM 共享具有 MFA 保护的 Amazon S3 内容？

Question

我喜欢与会员分享我的Amazon S3 私人内容。最初我通过创建一个AWS Identity and Access Management (IAM) 用户帐户来做到这一点，但人们开始传递这些凭据。

所以我发现我可以将AWS Multi-Factor Authentication (MFA) 令牌/fob 分发给通过 IAM 创建的每个用户帐户。但是，测试表明我仍然可以下载文件，S3 不会要求令牌/fob 生成的 6 位数字。

我在这里缺少什么？或者，如果我走错了路，请提出一种检测/防止成员共享这些凭据的方法。谢谢

Answer 1

您需要专门为您要保护的资源（即您的案例中的 S3 内容）指定 Configure MFA-Protected API Access，请参阅关于 MFA-Protected API Access 的介绍性博客文章，了解此功能的工作原理。

幸运的是，有一些Adding a Bucket Policy to Require MFA Authentication 的示例可用 - 请阅读该部分了解详细信息，但第一个示例已经解决了您的用例（第三个示例通过添加条件来扩展它限制持续时间aws:MultiFactorAuthAge 密钥有效）：

{
   "Version": "2008-10-17",
   "Id": "123",
   "Statement": [
      {
         "Sid": "",
         "Effect": "Deny",
         "Principal": { "AWS": "*" },
         "Action": "s3:**",
         "Resource": "arn:aws:s3:::examplebucket/taxdocuments/*",
         "Condition": { "Null": { "aws:MultiFactorAuthAge": true }}
      }
   ]
}