如何在不启用 AWS cli MFA 的情况下编写 AWS IAM 策略以强制执行 MFA

Question

我正在尝试寻找编写 AWS 策略的最佳方法，以便用户必须使用 MFA 进行控制台访问，但他们不需要使用 MFA 进行 cli 访问。基于此 AWS documentation 似乎大多数策略都使用 aws:MultiFactorAuthPresent 我正在尝试找到一种方法来编写检查类似 aws:MultiFactorAuthEnabled 的策略。这样用户仍然可以使用 cli，但前提是他们启用了多因素身份验证，而不是检查是否存在多因素身份验证。

{
            "Sid": "DenyAllExceptListedIfNoMFA",
            "Effect": "Deny",
            "NotAction": [
                "iam:CreateVirtualMFADevice",
                "iam:EnableMFADevice",
                "iam:GetUser",
                "iam:ListMFADevices",
                "iam:ListVirtualMFADevices",
                "iam:ResyncMFADevice",
                "sts:GetSessionToken"
            ],
            "Resource": "*",
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "false"
                }
            }
        }
}

Answer 1

解决此方案的最佳方法是创建两个组 services 和 users 将 MFA 策略应用于 users。这样，我们仍然可以允许在没有 MFA 的情况下进行编程访问，但对人类用户强制执行 MFA。