AWS Shared Responsibility Model હેઠળ, જ્યારે AWS «Security OF the Cloud» (ભૌતિક ડેટા સેન્ટર્સ, હોસ્ટ હાર્ડવેર, હાઇપરવાઇઝર્સ) નું સંચાલન કરે છે, ગ્રાહક «Security IN the Cloud» માટે સંપૂર્ણ જવાબદારી જાળવી રાખે છે — ખાસ કરીને ઓળખ શાસન, ઓળખપત્ર સ્વચ્છતા અને એક્સેસ કંટ્રોલ. અનિયંત્રિત AWS Root એકાઉન્ટ અથવા વિશેષાધિકૃત IAM ઓળખપત્ર સાથે સમજૂતી થવાથી હુમલાખોરો હજારો ડોલરના ગેરકાયદેસર GPU ક્રિપ્ટો-માઇનિંગ ઇન્સ્ટન્સ બનાવી શકે છે, ખાનગી S3 ડેટા લેક્સ ચોરી શકે છે અથવા વિનાશક રેન્સમ ડિલીશન કરી શકે છે.
તમામ વહીવટી કન્સોલ વપરાશકર્તાઓ માટે MFA ફરજિયાત છે અને AWS Root એકાઉન્ટ માટે બિન-વાટાઘાટોપાત્ર છે.
AWS એકાઉન્ટ દીઠ 8 અલગ FIDO2 અને વર્ચ્યુઅલ TOTP ટોકન્સ સુધી નોંધણી કરવાની મંજૂરી આપે છે, જે નિષ્ફળતાના સિંગલ પોઈન્ટ્સને દૂર કરે છે.
ગ્લોબલ IAM શરતી નકાર નીતિ જે સક્રિય MFA માન્યતા પ્રાપ્ત ન થાય ત્યાં સુધી તમામ અનધિકૃત API કૉલ્સને બ્લૉક કરે છે.
ક્લાઉડ અનુપાલન બેઝલાઇન: CIS Benchmark અને નિયમનકારી ફ્રેમવર્ક્સ
તમારું એન્જિનિયરિંગ સંસ્થા SOC 2 Type II પ્રમાણીકરણ, ISO 27001 સર્ટિફિકેશન, PCI DSS 4.0 માન્યતા મેળવી રહી હોય અથવા AWS Well-Architected Security Pillar સાથે સંરેખિત થઈ રહી હોય, IAM ઓળખ પર MFA અમલીકરણ એ મૂળભૂત ગેટિંગ આવશ્યકતા છે:
| ધોરણ / અનુપાલન ધોરણ | નિયંત્રણ સ્પષ્ટીકરણ | ગંભીરતા / આદેશ | ઑડિટ માન્યતા પદ્ધતિ |
|---|---|---|---|
| CIS AWS Foundations Benchmark v3.0 | 1.5 / 1.6 / 1.10 | Level 1 (ફરજિયાત) | AWS Security Hub / Prowler સ્વચાલિત મૂલ્યાંકન |
| PCI DSS 4.0 | આવશ્યકતા 8.4.2 | ફરજિયાત | Cardholder Data Environment (CDE) કન્સોલ અને API ઑડિટ |
| SOC 2 Type II (વિશ્વાસ માપદંડ) | CC6.1 / CC6.2 | મુખ્ય નિયંત્રણ | IAM Credential Reports નું સ્વતંત્ર CPA નિરીક્ષણ |
| AWS ફરજિયાત MFA રોલઆઉટ | AWS 2024–2026 નીતિ | પ્લેટફોર્મ અમલીકરણ | જ્યાં સુધી MFA નોંધણી પૂર્ણ ન થાય ત્યાં સુધી Root લૉગિન ગેટવે બ્લૉક |
AWS Root Account ને સુરક્ષિત બનાવવાની અત્યંત અનિવાર્યતા
AWS એકાઉન્ટ સીમાની અંદર, Root account સ્થાપના સમયે બનાવેલ સર્વશક્તિમાન ઓળખનું પ્રતિનિધિત્વ કરે છે. IAM ભૂમિકાઓ અથવા વપરાશકર્તાઓથી વિપરીત, Root account ની ક્રિયાઓ સ્ટેન્ડઅલોન એકાઉન્ટ્સમાં IAM ઓળખ-આધારિત નીતિઓ અથવા Service Control Policies દ્વારા મર્યાદિત કરી શકાતી નથી.
સમજૂતી થયેલ Root Account નો વિનાશક બ્લાસ્ટ ત્રિજ્યા:
- અપરિવર્તનીય એકાઉન્ટ બંધ કરવું: હુમલાખોરો કાયમી ઇન્ફ્રાસ્ટ્રક્ચર વિનાશ સુનિશ્ચિત કરીને «Close Account» પર ક્લિક કરી શકે છે.
- બિલિંગ અને નાણાકીય હાઇજેકિંગ: ઇન્વૉઇસેસ રીરૂટ કરવા, કોર્પોરેટ બિલિંગ પેમેન્ટ કાર્ડ્સ બદલવા અને ગેરકાયદેસર ક્રિપ્ટોકરન્સી માઇનિંગ માટે 30+ AWS પ્રદેશોમાં સેંકડો GPU સ્પોટ ઇન્સ્ટન્સ જમાવવા.
- AWS Organizations માળખું તોડવું: મેનેજમેન્ટ વૃક્ષોમાંથી સભ્ય એકાઉન્ટ્સ દૂર કરવા, સંગઠનાત્મક અનુપાલન દેખરેખને વિખેરી નાખવું.
- પ્રાથમિક સુરક્ષા સંપર્કોમાં ફેરફાર: રુટ ઇમેઇલ અને ટેલિફોન રેકોર્ડ્સ બદલવાથી સત્તાવાર AWS સપોર્ટ હસ્તક્ષેપ ચેનલો કાયમ માટે કપાઈ જાય છે.
- શૂન્ય Root Access Keys: Root account માટે ઍક્સેસ કી અસ્તિત્વમાં નથી તેની પુષ્ટિ કરવા માટે IAM Credential Reports નું ઑડિટ કરો. જો હાજર હોય, તો તેને તાત્કાલિક કાઢી નાખો.
- ડ્યુઅલ-કસ્ટડી પાસવર્ડ વૉલ્ટિંગ: 32+ અક્ષરોનો રેન્ડમ પાસવર્ડ બનાવો, CISO અને જનરલ કાઉન્સેલ વચ્ચે પાસફ્રેઝ વિભાજિત કરો, અને ટુકડાઓને ભૌતિક ફાયરપ્રૂફ તિજોરીઓમાં લૉક કરો.
- મલ્ટી-ડિવાઇસ રીડન્ડન્સી (8 ઉપકરણો સુધી): ઓછામાં ઓછી બે ભૌતિક FIDO2 હાર્ડવેર કી (YubiKeys) વત્તા ઑફલાઇન, કોલ્ડ-સ્ટોરેજ વર્ચ્યુઅલ TOTP ફોલબેક ઉપકરણની નોંધણી કરો.
MFA પસંદગી મેટ્રિક્સ: Virtual TOTP વિરુદ્ધ Hardware FIDO2 (YubiKey)
AWS ત્રણ પ્રાથમિક MFA ઉપકરણ વર્ગોને સપોર્ટ કરે છે. ક્લાઉડ આર્કિટેક્ટ્સે ધમકીના મોડેલો અને વહીવટી વિશેષાધિકાર સ્તરોના આધારે પસંદગી ગોઠવવી જોઈએ:
Virtual TOTP ઍપ્લિકેશન્સ
સ્ટાન્ડર્ડ RFC 6238 ટોકન્સ (Google Authenticator, 1Password, 2FA-Tool). ઝડપી ઑનબોર્ડિંગ, શૂન્ય પ્રાપ્તિ ઘર્ષણ. પ્રમાણભૂત વિકાસકર્તાઓ માટે આદર્શ.
YubiKey 5 સિરીઝ
ફિશિંગ-પ્રતિરોધક (Phishing-Resistant) ક્રિપ્ટોગ્રાફી. ઓરિજિન-બાઉન્ડ પબ્લિક-કી એસર્શન્સ રિવર્સ-પ્રોક્સી ફિશિંગ કિટ્સને નિષ્ફળ બનાવે છે. Root અને એડમિનિસ્ટ્રેટર્સ માટે ફરજિયાત.
Gemalto / Thales કાર્ડ્સ
LCD સ્ક્રીન સાથે સ્વયં-સંચાલિત, એર-ગેપ્ડ TOTP કાર્ડ. એર-ગેપ્ડ સુરક્ષિત સુવિધાઓ (SCIF) માટે આવશ્યક છે જ્યાં સ્માર્ટફોન અને USB કી પ્રતિબંધિત છે.
એન્ટરપ્રાઇઝ હાર્ડવેર MFA FIPS 140-2 લેવલ 3 અને ડ્યુઅલ-કસ્ટડી સેફ પ્રોટોકોલ્સ:
Fortune 500 સાહસો અને સંરક્ષણ કોન્ટ્રાક્ટરો માટે, Root account સુરક્ષા FIPS 140-2 Level 3 હેઠળ પ્રમાણિત સમર્પિત હાર્ડવેર કી ફોબ્સ (દા.ત. SafeNet/Gemalto IDPrime fobs) ફરજિયાત કરે છે. સ્માર્ટફોન એપ્સથી વિપરીત, આ ભૌતિક ફોબ્સમાં કોઈ વાયરલેસ ઇન્ટરફેસ નથી, કોઈ બ્લૂટૂથ રેડિયો નથી, અને મોબાઇલ સ્પાયવેર દ્વારા કેપ્ચર કરી શકાતા નથી.
ભૌતિક ડ્યુઅલ-કસ્ટડી ગવર્નન્સ: એન્ટરપ્રાઇઝ ડેટા સેન્ટર પ્રોટોકોલમાં, Root એક્સેસ માટે બે અલગ-અલગ વ્યક્તિઓની જરૂર પડે છે: એક કસ્ટોડિયન માસ્ટર ઇમેઇલ ઓળખપત્રો ધરાવે છે, જ્યારે સ્વતંત્ર સુરક્ષા અધિકારી Root હાર્ડવેર ટોકન ધરાવતી સુરક્ષિત તિજોરીની ભૌતિક ચાવી ધરાવે છે. કોઈપણ પક્ષ એકપક્ષીય રીતે AWS Root account ઍક્સેસ કરી શકતો નથી.
IAM પોલિસીઓ (JSON અમલીકરણ) દ્વારા MFA લાગુ કરવું
સુરક્ષા બેઝલાઇન કર્મચારીઓની સ્વૈચ્છિક ક્રિયા પર આધાર રાખી શકતી નથી. ક્લાઉડ ગવર્નન્સ માટે પોલિસી-લેવલ અમલીકરણની જરૂર છે: સક્રિય MFA ઓથેન્ટિકેશન વિનાના વપરાશકર્તાઓને તેમના પોતાના MFA ઉપકરણની સ્વયં-નોંધણી કરવાની ક્ષમતા સિવાય, તમામ AWS API અને કન્સોલ ક્રિયાઓ વ્યવસ્થિત રીતે નકારવામાં આવવી જોઈએ.
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowViewAccountInfo",
"Effect": "Allow",
"Action": [
"iam:GetAccountPasswordPolicy",
"iam:ListVirtualMFADevices"
],
"Resource": "*"
},
{
"Sid": "AllowManageOwnVirtualMFADevice",
"Effect": "Allow",
"Action": [
"iam:CreateVirtualMFADevice",
"iam:DeleteVirtualMFADevice"
],
"Resource": "arn:aws:iam::*:mfa/${aws:username}"
},
{
"Sid": "AllowManageOwnUserMFA",
"Effect": "Allow",
"Action": [
"iam:DeactivateMFADevice",
"iam:EnableMFADevice",
"iam:ListMFADevices",
"iam:ResyncMFADevice"
],
"Resource": "arn:aws:iam::*:user/${aws:username}"
},
{
"Sid": "BlockAllAccessUnlessMFAAuthenticated",
"Effect": "Deny",
"NotAction": [
"iam:CreateVirtualMFADevice",
"iam:EnableMFADevice",
"iam:ListMFADevices",
"iam:ListVirtualMFADevices",
"iam:ResyncMFADevice",
"iam:GetUser"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
Statement 4 સ્પષ્ટ Deny નો ઉપયોગ કરીને ગ્લોબલ શરત કી "aws:MultiFactorAuthPresent": "false" નું મૂલ્યાંકન કરે છે. સ્પષ્ટ Deny તમામ Allow વિધાનોને ઓવરરાઇડ કરે છે, તેથી નોન-MFA સત્રો તમામ AWS APIs પર તાત્કાલિક બ્લૉક થઈ જાય છે, જે વપરાશકર્તાને સીધા સ્વયં-નોંધણી સ્ક્રીન પર દોરી જાય છે.
AWS CLI અને SDK MFA ઓથેન્ટિકેશન: STS અસ્થાયી સત્ર ટોકન્સ
જ્યારે IAM નીતિઓ MFA લાગુ કરે છે, ત્યારે aws s3 ls જેવા આદેશો ચલાવતા અથવા Terraform કોડ એક્ઝિક્યુટ કરતા વિકાસકર્તાઓને AccessDenied ભૂલો પ્રાપ્ત થશે. લાંબા ગાળાની ઍક્સેસ કી ઇન્ટરેક્ટિવ રીતે OTP માટે પૂછી શકતી નથી.
એન્જિનિયરોએ અસ્થાયી ઓળખપત્રો માટે લાંબા ગાળાની કી + 6-અંકના TOTP નું વિનિમય કરવા માટે AWS STS (Security Token Service) નો ઉપયોગ કરવો આવશ્યક છે:
ઓટોમેશન સ્ક્રિપ્ટ (aws-mfa-session.sh):
ટોકન સંપાદનને સ્વચાલિત કરવા માટે આ સહાયક સ્ક્રિપ્ટને તમારા સ્થાનિક પર્યાવરણમાં (~/.aws/aws-mfa-session.sh) મૂકો:
# Exchange AWS Long-Term Keys + MFA Code for STS Session Token
MFA_ARN="arn:aws:iam::123456789012:mfa/alex-dev"
echo -n "Enter 6-digit 2FA OTP Code: "
read -r TOKEN_CODE
SESSION_JSON=$(aws sts get-session-token \
--serial-number "$MFA_ARN" \
--token-code "$TOKEN_CODE" \
--duration-seconds 43200 \
--output json)
if [ $? -eq 0 ]; then
export AWS_ACCESS_KEY_ID=$(echo "$SESSION_JSON" | jq -r '.Credentials.AccessKeyId')
export AWS_SECRET_ACCESS_KEY=$(echo "$SESSION_JSON" | jq -r '.Credentials.SecretAccessKey')
export AWS_SESSION_TOKEN=$(echo "$SESSION_JSON" | jq -r '.Credentials.SessionToken')
echo "✅ Authenticated! Temporary session exported (Valid for 12 hours)."
else
echo "❌ Authentication failed. Check token code or device time drift."
fi
MFA મર્યાદાઓ સાથે Cross-Account AssumeRole
એન્ટરપ્રાઇઝ મલ્ટી-એકાઉન્ટ આર્કિટેક્ચરમાં, વિશેષાધિકૃત એન્જિનિયરો સામાન્ય રીતે સેન્ટ્રલાઇઝ્ડ Identity એકાઉન્ટમાં પ્રમાણિત થાય છે અને sts:AssumeRole દ્વારા લક્ષ્ય એકાઉન્ટ્સ (Production, Staging) પર પિવોટ કરે છે. લીક થયેલા ઓળખપત્રો દ્વારા એલિવેટેડ પ્રોડક્શન પરવાનગીઓ હાઇજેક ન થઈ શકે તેની ખાતરી કરવા માટે, પ્રોડક્શન રોલના ટ્રસ્ટ સંબંધમાં MFA શરત લાગુ કરવી આવશ્યક છે:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::111122223333:root"
},
"Action": "sts:AssumeRole",
"Condition": {
"Bool": {
"aws:MultiFactorAuthPresent": "true"
}
}
}
]
}
આ આર્કિટેક્ચરલ પેટર્ન સુનિશ્ચિત કરે છે કે જો કોઈ હુમલાખોર સેન્ટ્રલ Identity એકાઉન્ટમાં ઓળખપત્રો સાથે ચેડાં કરે છે, તો પણ MFA સંતોષ્યા વિના લક્ષ્ય ભૂમિકા ધારણ કરવાનો પ્રયાસ સુરક્ષા ટોકન સીમા પર તાત્કાલિક AccessDenied ભૂલને ટ્રિગર કરે છે.
CloudTrail ઑડિટિંગ અને EventBridge રીઅલ-ટાઇમ ચેતવણીઓ
જ્યારે કોઈપણ વપરાશકર્તા મલ્ટી-ફેક્ટર ઓથેન્ટિકેશન વિના AWS Management Console ઍક્સેસ કરે છે ત્યારે સ્વચાલિત અનુપાલન માન્યતા માટે તાત્કાલિક તપાસની જરૂર પડે છે. AWS CloudTrail ઇવેન્ટ્સ કેપ્ચર કરીને અને તેમને Amazon EventBridge દ્વારા રૂટ કરીને, SecOps ટીમો રીઅલ-ટાઇમ ચેતવણી પ્રાપ્ત કરે છે:
{
"source": ["aws.signin"],
"detail-type": ["AWS Console Sign In via CloudTrail"],
"detail": {
"eventName": ["ConsoleLogin"],
"additionalEventData": {
"MFAUsed": ["No"]
}
}
}
ઇવેન્ટ પ્રાપ્ત થતાં, EventBridge સિક્યુરિટી ઑપરેશન્સ સેન્ટર (SOC) ઑન-કૉલ પેજરને Amazon SNS સૂચના ટ્રિગર કરે છે અથવા AWS Lambda ફંક્શનને બોલાવે છે જે સક્રિય IAM વપરાશકર્તા સત્રને તાત્કાલિક રદ કરે છે.
મલ્ટી-એકાઉન્ટ ગવર્નન્સ: AWS Organizations અને IAM Identity Center
લેન્ડિંગ ઝોન પર ડઝનબંધ અથવા સેંકડો AWS એકાઉન્ટ્સનું સંચાલન કરતા એન્ટરપ્રાઇઝ વાતાવરણમાં, દરેક એકાઉન્ટમાં વ્યક્તિગત IAM વપરાશકર્તાઓની જોગવાઈ કરવી એ એન્ટિ-પેટર્ન છે.
સેન્ટ્રલાઇઝ્ડ આઇડેન્ટિટી ફેડરેશન:
તમારા નિયુક્ત Management Account માં AWS IAM Identity Center (અગાઉનું AWS SSO) ડિપ્લોય કરો. કોર્પોરેટ IdPs (Okta, Microsoft Entra ID, PingFederate) સામે ઓળખ ફેડરેટ કરો. IdP સ્તરે કોર્પોરેટ MFA લાગુ કરો, જ્યારે સભ્ય રુટ ક્રિયાઓને નકારવા માટે સંસ્થાના રુટ પર Service Control Policies (SCPs) જોડો:
"Condition": { "StringLike": { "aws:PrincipalArn": ["arn:aws:iam::*:root"] } }
પ્રોડક્શન-ગ્રેડ SCP: તમામ સભ્ય એકાઉન્ટ્સ પર MFA મર્યાદાઓ લાગુ કરવી
મોટા સંગઠનોમાં, વ્યક્તિગત એકાઉન્ટ એડમિનિસ્ટ્રેટર્સ અજાણતાં વધુ પડતા વિશેષાધિકારો આપી શકે છે. Organization Root અથવા Organizational Unit (OU) સ્તરે Service Control Policy (SCP) જોડીને, ક્લાઉડ ગવર્નન્સ ટીમ એક અપરિવર્તનશીલ ગાર્ડરેલ સ્થાપિત કરે છે: સક્રિય MFA સત્ર દ્વારા અધિકૃત ન થાય ત્યાં સુધી ઉચ્ચ-અસરવાળા API કૉલ્સ બિનશરતી નકારવામાં આવે છે:
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "DenyCriticalActionsWithoutMFA",
"Effect": "Deny",
"Action": [
"iam:CreateAccessKey",
"iam:CreateLoginProfile",
"s3:DeleteBucket",
"kms:ScheduleKeyDeletion",
"ec2:TerminateInstances"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
રોલ ચેઇનિંગ અને STS ટોકન લાઇફટાઇમ મર્યાદાઓ:
જ્યારે IAM ઓળખો મધ્યવર્તી ભૂમિકાઓ ધારણ કરે છે જે પાછળથી ગૌણ ભૂમિકાઓ ધારણ કરે છે («role chaining»), ત્યારે AWS STS ડાઉનસ્ટ્રીમ સત્ર ટોકનમાંથી મૂળ aws:MultiFactorAuthPresent સંદર્ભને દૂર કરે છે! ક્રોસ-એકાઉન્ટ પાઇપલાઇન્સમાં કડક એન્ડ-ટુ-એન્ડ અનુપાલન જાળવવા માટે, બહુવિધ મધ્યવર્તી IAM ભૂમિકાઓને ચેઇન કરવાને બદલે પ્રમાણિત IAM Identity Center સત્રમાંથી સીધા રોલ-ધારણા આલેખ ડિઝાઇન કરો.
આપત્તિ પુનઃપ્રાપ્તિ: ખોવાયેલ Root MFA ઉપકરણ પ્રોટોકોલ
જો તમામ નોંધાયેલ Root MFA હાર્ડવેર ટોકન્સ અને વર્ચ્યુઅલ ઉપકરણો કોઈ આપત્તિમાં નાશ પામે તો શું થાય?
સત્તાવાર આઉટ-ઓફ-બેન્ડ પુનઃપ્રાપ્તિ ક્રમ:
- Root સાઇન-ઇન શરૂ કરો: AWS કન્સોલ પર Root account ઇમેઇલ અને માસ્ટર પાસવર્ડ દાખલ કરો.
- MFA મુશ્કેલીનિવારણ કરો: MFA પ્રોમ્પ્ટ પર, «Troubleshoot MFA» પર ક્લિક કરો.
- પ્રાથમિક ઇમેઇલ ચકાસણી: AWS પ્રાથમિક Root ઇમેઇલ સરનામાં પર સમય-મર્યાદિત ચકાસણી લિંક મોકલે છે. ઇમેઇલ પડકાર માન્ય કરો.
- સ્વચાલિત વૉઇસ પડકાર: «Call me now» પર ક્લિક કરો. સ્વચાલિત AWS વેરિફિકેશન સિસ્ટમ રજિસ્ટર્ડ પ્રાથમિક એકાઉન્ટ ફોન નંબર પર કૉલ કરે છે અને 6-અંકનો કન્ફર્મેશન પિન બોલે છે.
જો તમારી સંસ્થાએ ફોન નંબર બદલ્યો હોય અથવા સંપર્ક વ્યક્તિ AWS Account Settings અપડેટ કર્યા વિના વિદાય લીધી હોય, તો સ્વચાલિત પુનઃપ્રાપ્તિ નિષ્ફળ જાય છે. મેન્યુઅલ રિઝોલ્યુશન માટે AWS Trust & Safety ને કોર્પોરેટ નોટરાઇઝ્ડ રજીસ્ટ્રેશન ડીડ્સ સબમિટ કરવાની જરૂર પડે છે, જેમાં સમીક્ષા ટર્નઅરાઉન્ડમાં 3-7 કામકાજી દિવસ લાગે છે.
એન્ટરપ્રાઇઝ ક્લાઉડ આર્કિટેક્ટ FAQ
શું AWS Root MFA ટોકન્સ DevOps ટીમમાં શેર કરી શકાય છે? ▼
સખત પ્રતિબંધિત. Root MFA ઓળખપત્રો શેર કરવાથી તમામ અનુપાલન ઑડિટ્સ (SOC 2, ISO 27001) નિષ્ફળ જાય છે. નિયમિત વહીવટ વ્યક્તિગત જવાબદારી સાથે IAM Identity Center ભૂમિકાઓ દ્વારા વહેવો જોઈએ. માત્ર વિનાશક બ્રેક-ગ્લાસ ઇવેન્ટ્સ માટે Root ઓળખપત્રો ભૌતિક ડ્યુઅલ-કસ્ટડી સેફમાં લૉક રહેવા જોઈએ.
શરત કી aws:MultiFactorAuthAge સુરક્ષા કેવી રીતે વધારે છે? ▼
આ કી સત્રની તાજગી (session freshness) લાગુ કરે છે. "NumericLessThan": {"aws:MultiFactorAuthAge": "3600"} ગોઠવવા માટે જરૂરી છે કે MFA ટોકન અગાઉના 3,600 સેકન્ડ (1 કલાક) ની અંદર રજૂ કરવામાં આવ્યું હતું. જો સત્ર જૂનું હોય તો ઉચ્ચ-જોખમ ક્રિયાઓ (દા.ત., RDS ક્લસ્ટરો સમાપ્ત કરવા) બ્લૉક થઈ જશે, જે લાંબા સમય સુધી ચાલતા સત્ર હાઇજેકિંગ સામે રક્ષણ આપે છે.
શું હું AWS Virtual MFA પ્રદાન કરવા માટે 2FA-Tool ઑનલાઇન ઓથેન્ટિકેટરનો ઉપયોગ કરી શકું છું? ▼
હા. AWS Virtual MFA સખત રીતે RFC 6238 TOTP વિશિષ્ટતાઓને અનુસરે છે (HMAC-SHA1, 30-સેકન્ડ અંતરાલ, 6 અંકો). તમે તમારા બ્રાઉઝરમાં 100% સ્થાનિક રીતે નોંધણી માટે જરૂરી બે સતત પ્રમાણીકરણ કોડ જનરેટ કરવા માટે 2FA-Tool.com માં Base32 ગુપ્ત સ્ટ્રિંગ દાખલ કરી શકો છો.
એન્ટરપ્રાઇઝ TOTP ટોકન્સ સુરક્ષિત રીતે પરીક્ષણ કરો
W3C Web Crypto API સાથે સ્ટાન્ડર્ડ RFC 6238 TOTP વેરિફિકેશન કોડ તરત જ જનરેટ કરો. કોઈ સર્વર કૉલ્સ નહીં, સંપૂર્ણ મેમરી નિયંત્રણ, શૂન્ય લીકેજ.