01. حماية حساب الجذر (AWS Root Account)
يتمتع حساب Root بصلاحيات مطلقة لا يمكن تقييدها بأي سياسة داخلية. ينص معيار CIS AWS Foundations Benchmark على تفعيل MFA إلزامي على حساب Root. تتيح AWS الآن ربط ما يصل إلى 8 أجهزة MFA عتادية أو افتراضية بنفس حساب Root لضمان استمرارية الوصول في حال فقدان جهاز.
02. فرض شرط MFA في سياسات IAM عبر aws:MultiFactorAuthPresent
لمنع المهندسين من تنفيذ عمليات حساسة (مثل حذف قواعد البيانات RDS أو مسح وحدات تخزين S3) دون إثبات مصادقة ثنائية نشطة، يتم تضمين شرط التحقق في سياسة IAM بالشكل التالي:
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "BlockSensitiveWithoutMFA",
"Effect": "Deny",
"Action": ["rds:DeleteDBInstance", "s3:DeleteBucket"],
"Resource": "*",
"Condition": {
"BoolIfExists": { "aws:MultiFactorAuthPresent": "false" }
}
}
]
}
03. إدارة جلسات AWS CLI عبر خدمة STS GetSessionToken
عند العمل عبر سطر الأوامر، يتم استخدام أمر aws sts get-session-token مصحوباً بـ ARN الخاص بجهاز MFA والرمز المولد، للحصول على بيانات اعتماد مؤقتة (AccessKeyId و SecretAccessKey و SessionToken) صالحة لساعات محددة فقط.