是否可以在AWS上爲所有用戶強制實施MFA？

Question

我試圖強制所有用戶在註冊時設置MFA登錄。這在AWS中是可行的嗎？指令如何或在哪裏執行此操作？

Answer 1

排序實質上可以阻止非管理員用戶在不使用MFA的情況下進行API調用。有關於在此AWS blog post中設置的一節。該博客文章介紹瞭如何授予某人設置MFA的權限，並要求MFA與AWS API進行其他任何交互。我認爲這將需要MFA用於來自SDK和CLI的調用，所以它可能不是您想要的。

另外，我說這隻適用於非管理員用戶，因爲管理員用戶將有能力進入並禁用他們的帳戶的MFA限制。

Answer 2

這很難做，因爲需要設置MFA設備，一旦你這樣做，你需要從設備輸入信息。通常你必須依次輸入兩個令牌來「同步」設備。

因此，您無法爲沒有用戶的用戶設置虛擬MFA。但是，如果您有硬件MFA設備（請參閱https://aws.amazon.com/iam/details/mfa/），則可以設置用戶和設備，然後爲用戶提供該設備。

這是不完美的任何手段。