AWS ಹಂಚಿಕೆಯ ಜವಾಬ್ದಾರಿ ಮಾದರಿಯ (Shared Responsibility Model) ಅಡಿಯಲ್ಲಿ, AWS "ಕ್ಲೌಡ್‌ನ ಭದ್ರತೆ" (Security OF the Cloud — ಭೌತಿಕ ಡೇಟಾ ಕೇಂದ್ರಗಳು, ಹೋಸ್ಟ್ ಹಾರ್ಡ್‌ವೇರ್, ಹೈಪರ್‌ವೈಸರ್‌ಗಳು) ನಿರ್ವಹಿಸುತ್ತದೆಯಾದರೂ, ಗ್ರಾಹಕರು "ಕ್ಲೌಡ್‌ನಲ್ಲಿನ ಭದ್ರತೆ" (Security IN the Cloud) — ನಿರ್ದಿಷ್ಟವಾಗಿ ಗುರುತಿನ ಆಡಳಿತ, ರುಜುವಾತು ನೈರ್ಮಲ್ಯ ಮತ್ತು ಪ್ರವೇಶ ನಿಯಂತ್ರಣಕ್ಕಾಗಿ ಸಂಪೂರ್ಣ ಹೊಣೆಗಾರಿಕೆಯನ್ನು ಹೊಂದಿರುತ್ತಾರೆ. ನಿರ್ಬಂಧವಿಲ್ಲದ AWS ರೂಟ್ ಖಾತೆ ಅಥವಾ ಸವಲತ್ತು ಹೊಂದಿರುವ IAM ರುಜುವಾತಿನ ಉಲ್ಲಂಘನೆಯು, ದುರುದ್ದೇಶಪೂರಿತ ವ್ಯಕ್ತಿಗಳಿಗೆ ಸಾವಿರಾರು ಡಾಲರ್‌ಗಳ ಅಕ್ರಮ GPU ಕ್ರಿಪ್ಟೋ-ಮೈನಿಂಗ್ ನಿದರ್ಶನಗಳನ್ನು ಒದಗಿಸಲು, ಖಾಸಗಿ S3 ಡೇಟಾ ಲೇಕ್‌ಗಳನ್ನು ಹೊರತೆಗೆಯಲು ಅಥವಾ ದುರಂತದ ರಾನ್‌ಸಮ್ ಡಿಲೀಷನ್ ನಡೆಸಲು ಅನುವು ಮಾಡಿಕೊಡುತ್ತದೆ.
ಎಲ್ಲಾ ಆಡಳಿತ ಕನ್ಸೋಲ್ ಬಳಕೆದಾರರಿಗೆ MFA ಕಡ್ಡಾಯವಾಗಿದೆ ಮತ್ತು AWS ರೂಟ್ ಖಾತೆಗೆ ಚರ್ಚೆಯಿಲ್ಲದೆ ಅತ್ಯಗತ್ಯವಾಗಿದೆ.
ಪ್ರತಿ ಖಾತೆಗೆ 8 ಪ್ರತ್ಯೇಕ FIDO2 ಮತ್ತು ವರ್ಚುವಲ್ TOTP ಟೋಕನ್‌ಗಳನ್ನು ನೋಂದಾಯಿಸಲು AWS ಅನುಮತಿಸುತ್ತದೆ, ಇದು ವೈಫಲ್ಯದ ಏಕೈಕ ಬಿಂದುವನ್ನು ನಿವಾರಿಸುತ್ತದೆ.
ಸಕ್ರಿಯ MFA ಮೌಲ್ಯೀಕರಣವನ್ನು ಸಾಧಿಸುವವರೆಗೆ ಗ್ಲೋಬಲ್ IAM ಷರತ್ತುಬದ್ಧ ನಿರಾಕರಣೆ ನೀತಿಯು ಎಲ್ಲಾ ಅನಧಿಕೃತ API ಕರೆಗಳನ್ನು ನಿರ್ಬಂಧಿಸುತ್ತದೆ.
ಕ್ಲೌಡ್ ಅನುಸರಣೆ ತಳಹದಿಗಳು: CIS Benchmark ಮತ್ತು ನಿಯಂತ್ರಕ ಚೌಕಟ್ಟುಗಳು
ನಿಮ್ಮ ಎಂಜಿನಿಯರಿಂಗ್ ಸಂಸ್ಥೆಯು SOC 2 Type II ದೃಢೀಕರಣ, ISO 27001 ಪ್ರಮಾಣೀಕರಣ, PCI DSS 4.0 ಮೌಲ್ಯೀಕರಣವನ್ನು ಅನುಸರಿಸುತ್ತಿರಲಿ ಅಥವಾ AWS Well-Architected ಸೆಕ್ಯುರಿಟಿ ಪಿಲ್ಲರ್‌ನೊಂದಿಗೆ ಹೊಂದಾಣಿಕೆ ಮಾಡುತ್ತಿರಲಿ, IAM ಗುರುತುಗಳಾದ್ಯಂತ MFA ಅನುಷ್ಠಾನವು ಮೂಲಭೂತ ಗೇಟಿಂಗ್ ಅವಶ್ಯಕತೆಯಾಗಿದೆ:
| ಮಾನದಂಡ / ಅನುಸರಣೆ ಮಾನದಂಡ | ನಿಯಂತ್ರಣ ವಿವರಣೆ | ಗಂಭೀರತೆ / ಆದೇಶ | ಆಡಿಟ್ ಮೌಲ್ಯೀಕರಣ ಕಾರ್ಯವಿಧಾನ |
|---|---|---|---|
| CIS AWS Foundations Benchmark v3.0 | 1.5 / 1.6 / 1.10 | ಹಂತ 1 (ಕಡ್ಡಾಯ) | AWS Security Hub / Prowler ಸ್ವಯಂಚಾಲಿತ ಮೌಲ್ಯಮಾಪನ |
| PCI DSS 4.0 | Requirement 8.4.2 | ಕಡ್ಡಾಯ | ಕಾರ್ಡ್‌ಹೋಲ್ಡರ್ ಡೇಟಾ ಪರಿಸರ (CDE) ಕನ್ಸೋಲ್ ಮತ್ತು API ಆಡಿಟ್ |
| SOC 2 Type II (ವಿಶ್ವಾಸಾರ್ಹತೆಯ ಮಾನದಂಡ) | CC6.1 / CC6.2 | ಪ್ರಮುಖ ನಿಯಂತ್ರಣ | IAM ಕ್ರಿಡೆನ್ಶಿಯಲ್ ವರದಿಗಳ ಸ್ವತಂತ್ರ CPA ತಪಾಸಣೆ |
| AWS ಕಡ್ಡಾಯ MFA ಜಾರಿ | AWS 2024–2026 ನೀತಿ | ಪ್ಲಾಟ್‌ಫಾರ್ಮ್ ಜಾರಿ | MFA ನೋಂದಣಿ ಪೂರ್ಣಗೊಳ್ಳುವವರೆಗೆ ರೂಟ್ ಲಾಗಿನ್ ಗೇಟ್‌ವೇ ನಿರ್ಬಂಧ |
AWS ರೂಟ್ ಖಾತೆಯನ್ನು ಸುರಕ್ಷಿತಗೊಳಿಸುವ ಸಂಪೂರ್ಣ ಅನಿವಾರ್ಯತೆ
AWS ಖಾತೆಯ ಗಡಿಯೊಳಗೆ, ರೂಟ್ ಖಾತೆಯು ರಚನೆಯ ಸಮಯದಲ್ಲಿ ರಚಿಸಲಾದ ಸರ್ವಶಕ್ತ ಗುರುತನ್ನು ಪ್ರತಿನಿಧಿಸುತ್ತದೆ. IAM ಪಾತ್ರಗಳು (roles) ಅಥವಾ ಬಳಕೆದಾರರಂತಲ್ಲದೆ, ರೂಟ್ ಖಾತೆಯ ಕ್ರಿಯೆಗಳನ್ನು ಸ್ವತಂತ್ರ ಖಾತೆಗಳಲ್ಲಿನ IAM ಗುರುತು-ಆಧಾರಿತ ನೀತಿಗಳು ಅಥವಾ ಸರ್ವಿಸ್ ಕಂಟ್ರೋಲ್ ನೀತಿಗಳಿಂದ (SCP) ನಿರ್ಬಂಧಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ.
ರಾಜಿ ಮಾಡಿಕೊಂಡ ರೂಟ್ ಖಾತೆಯ ದುರಂತದ ಹಾನಿಯ ವ್ಯಾಪ್ತಿ (Blast Radius):
- ಬದಲಾಯಿಸಲಾಗದ ಖಾತೆ ಮುಚ್ಚುವಿಕೆ: ದಾಳಿಕೋರರು "Close Account" ಕ್ಲಿಕ್ ಮಾಡಬಹುದು, ಶಾಶ್ವತ ಮೂಲಸೌಕರ್ಯ ವಿನಾಶವನ್ನು ನಿಗದಿಪಡಿಸಬಹುದು.
- ಬಿಲ್ಲಿಂಗ್ ಮತ್ತು ಹಣಕಾಸು ಅಪಹರಣ: ಇನ್‌ವಾಯ್ಸ್‌ಗಳನ್ನು ಮರುನಿರ್ದೇಶಿಸುವುದು, ಕಾರ್ಪೊರೇಟ್ ಬಿಲ್ಲಿಂಗ್ ಪಾವತಿ ಕಾರ್ಡ್‌ಗಳನ್ನು ಬದಲಾಯಿಸುವುದು ಮತ್ತು ಅಕ್ರಮ ಕ್ರಿಪ್ಟೋಕರೆನ್ಸಿ ಗಣಿಗಾರಿಕೆಗಾಗಿ 30+ AWS ಪ್ರದೇಶಗಳಲ್ಲಿ ನೂರಾರು GPU ಸ್ಪಾಟ್ ಇನ್‌ಸ್ಟನ್ಸ್‌ಗಳನ್ನು ನಿಯೋಜಿಸುವುದು.
- AWS Organizations ರಚನೆಯನ್ನು ಕಡಿತಗೊಳಿಸುವುದು: ಸಾಂಸ್ಥಿಕ ಅನುಸರಣೆ ಮೇಲ್ವಿಚಾರಣೆಯನ್ನು ಕಿತ್ತುಹಾಕಿ, ನಿರ್ವಹಣಾ ಮರಗಳಿಂದ ಸದಸ್ಯ ಖಾತೆಗಳನ್ನು ತೆಗೆದುಹಾಕುವುದು.
- ಪ್ರಾಥಮಿಕ ಭದ್ರತಾ ಸಂಪರ್ಕಗಳನ್ನು ಮಾರ್ಪಡಿಸುವುದು: ರೂಟ್ ಇಮೇಲ್ ಮತ್ತು ದೂರವಾಣಿ ದಾಖಲೆಗಳನ್ನು ಬದಲಾಯಿಸುವುದು ಅಧಿಕೃತ AWS ಬೆಂಬಲ ಹಸ್ತಕ್ಷೇಪ ಚಾನೆಲ್‌ಗಳನ್ನು ಶಾಶ್ವತವಾಗಿ ಕಡಿತಗೊಳಿಸುತ್ತದೆ.
- ಶೂನ್ಯ ರೂಟ್ ಪ್ರವೇಶ ಕೀಗಳು (Zero Root Access Keys): ರೂಟ್ ಖಾತೆಗೆ ಪ್ರವೇಶ ಕೀಗಳು (access keys) ಅಸ್ತಿತ್ವದಲ್ಲಿಲ್ಲ ಎಂದು ಖಚಿತಪಡಿಸಿಕೊಳ್ಳಲು IAM Credential Reports ಅನ್ನು ಆಡಿಟ್ ಮಾಡಿ. ಇದ್ದರೆ, ತಕ್ಷಣ ಅವುಗಳನ್ನು ಅಳಿಸಿ.
- ಡ್ಯುಯಲ್-ಕಸ್ಟಡಿ ಪಾಸ್‌ವರ್ಡ್ ವಾಲ್ಟಿಂಗ್: 32+ ಅಕ್ಷರಗಳ ಯಾದೃಚ್ಛಿಕ ಪಾಸ್‌ವರ್ಡ್ ರಚಿಸಿ, ಪಾಸ್‌ಫ್ರೇಸ್ ಅನ್ನು CISO ಮತ್ತು ಜನರಲ್ ಕೌನ್ಸಿಲ್ ನಡುವೆ ವಿಭಜಿಸಿ, ಮತ್ತು ತುಣುಕುಗಳನ್ನು ಭೌತಿಕ ಅಗ್ನಿನಿರೋಧಕ ವಾಲ್ಟ್‌ಗಳಲ್ಲಿ ಲಾಕ್ ಮಾಡಿ.
- ಬಹು-ಸಾಧನ ಪುನರಾವರ್ತನೆ (8 ಸಾಧನಗಳವರೆಗೆ): ಕನಿಷ್ಠ ಎರಡು ಭೌತಿಕ FIDO2 ಹಾರ್ಡ್‌ವೇರ್ ಕೀಗಳನ್ನು (YubiKeys) ಮತ್ತು ಆಫ್‌ಲೈನ್, ಕೋಲ್ಡ್-ಸ್ಟೋರ್ಡ್ ವರ್ಚುವಲ್ TOTP ಫಾಲ್‌ಬ್ಯಾಕ್ ಸಾಧನವನ್ನು ನೋಂದಾಯಿಸಿ.
MFA ಆಯ್ಕೆ ಮ್ಯಾಟ್ರಿಕ್ಸ್: ವರ್ಚುವಲ್ TOTP vs ಹಾರ್ಡ್‌ವೇರ್ FIDO2 (YubiKey)
AWS ಮೂರು ಪ್ರಾಥಮಿಕ MFA ಸಾಧನ ವರ್ಗಗಳನ್ನು ಬೆಂಬಲಿಸುತ್ತದೆ. ಕ್ಲೌಡ್ ಆರ್ಕಿಟೆಕ್ಟ್‌ಗಳು ಬೆದರಿಕೆ ಮಾದರಿಗಳು ಮತ್ತು ಆಡಳಿತಾತ್ಮಕ ಸವಲತ್ತು ಮಟ್ಟಗಳ ಆಧಾರದ ಮೇಲೆ ಆಯ್ಕೆಯನ್ನು ಹೊಂದಿಸಬೇಕು:
ವರ್ಚುವಲ್ TOTP ಅಪ್ಲಿಕೇಶನ್‌ಗಳು
ಪ್ರಮಾಣಿತ RFC 6238 ಟೋಕನ್‌ಗಳು (Google Authenticator, 1Password, 2FA-Tool). ತ್ವರಿತ ಆನ್‌ಬೋರ್ಡಿಂಗ್, ಶೂನ್ಯ ಸಂಗ್ರಹಣೆ ಘರ್ಷಣೆ. ಪ್ರಮಾಣಿತ ಡೆವಲಪರ್‌ಗಳಿಗೆ ಸೂಕ್ತವಾಗಿದೆ.
YubiKey 5 ಸರಣಿ
ಫಿಶಿಂಗ್-ನಿರೋಧಕ (Phishing-Resistant) ಕ್ರಿಪ್ಟೋಗ್ರಫಿ. ಮೂಲ-ಬೌಂಡ್ (Origin-bound) ಸಾರ್ವಜನಿಕ-ಕೀ ಪ್ರತಿಪಾದನೆಗಳು ರಿವರ್ಸ್-ಪ್ರಾಕ್ಸಿ ಫಿಶಿಂಗ್ ಕಿಟ್‌ಗಳನ್ನು ತಡೆಯುತ್ತವೆ. ರೂಟ್ ಮತ್ತು ನಿರ್ವಾಹಕರಿಗೆ ಕಡ್ಡಾಯವಾಗಿದೆ.
Gemalto / Thales ಕಾರ್ಡ್‌ಗಳು
LCD ಪರದೆಯೊಂದಿಗೆ ಸ್ವಯಂ-ಚಾಲಿತ, ಏರ್-ಗ್ಯಾಪ್ಡ್ TOTP ಕಾರ್ಡ್. ಸ್ಮಾರ್ಟ್‌ಫೋನ್‌ಗಳು ಮತ್ತು USB ಕೀಗಳನ್ನು ನಿಷೇಧಿಸಿರುವ ಏರ್-ಗ್ಯಾಪ್ಡ್ ಸುರಕ್ಷಿತ ಸೌಲಭ್ಯಗಳಿಗೆ (SCIFs) ಅತ್ಯಗತ್ಯ.
ಎಂಟರ್‌ಪ್ರೈಸ್ ಹಾರ್ಡ್‌ವೇರ್ MFA FIPS 140-2 Level 3 ಮತ್ತು ಡ್ಯುಯಲ್-ಕಸ್ಟಡಿ ಸುರಕ್ಷಿತ ಪ್ರೋಟೋಕಾಲ್‌ಗಳು:
ಫಾರ್ಚೂನ್ 500 ಉದ್ಯಮಗಳು ಮತ್ತು ರಕ್ಷಣಾ ಗುತ್ತಿಗೆದಾರರಿಗೆ, ರೂಟ್ ಖಾತೆ ಭದ್ರತೆಯು FIPS 140-2 Level 3 ಅಡಿಯಲ್ಲಿ ಪ್ರಮಾಣೀಕರಿಸಲ್ಪಟ್ಟ ಮೀಸಲಾದ ಹಾರ್ಡ್‌ವೇರ್ ಕೀ ಫೋಬ್‌ಗಳನ್ನು (ಉದಾ. SafeNet/Gemalto IDPrime fobs) ಕಡ್ಡಾಯಗೊಳಿಸುತ್ತದೆ. ಸ್ಮಾರ್ಟ್‌ಫೋನ್ ಅಪ್ಲಿಕೇಶನ್‌ಗಳಿಗಿಂತ ಭಿನ್ನವಾಗಿ, ಈ ಭೌತಿಕ ಫೋಬ್‌ಗಳು ಯಾವುದೇ ವೈರ್‌ಲೆಸ್ ಇಂಟರ್‌ಫೇಸ್‌ಗಳನ್ನು ಹೊಂದಿಲ್ಲ, ಬ್ಲೂಟೂತ್ ರೇಡಿಯೊಗಳನ್ನು ಹೊಂದಿಲ್ಲ ಮತ್ತು ಮೊಬೈಲ್ ಸ್ಪೈವೇರ್ ಮೂಲಕ ಸೆರೆಹಿಡಿಯಲು ಸಾಧ್ಯವಿಲ್ಲ.
ಭೌತಿಕ ಡ್ಯುಯಲ್-ಕಸ್ಟಡಿ ಆಡಳಿತ: ಎಂಟರ್‌ಪ್ರೈಸ್ ಡೇಟಾ ಸೆಂಟರ್ ಪ್ರೋಟೋಕಾಲ್‌ಗಳಲ್ಲಿ, ರೂಟ್ ಪ್ರವೇಶಕ್ಕೆ ಇಬ್ಬರು ಪ್ರತ್ಯೇಕ ವ್ಯಕ್ತಿಗಳ ಅಗತ್ಯವಿದೆ: ಒಬ್ಬ ಕಸ್ಟೋಡಿಯನ್ ಮಾಸ್ಟರ್ ಇಮೇಲ್ ರುಜುವಾತುಗಳನ್ನು ಹೊಂದಿರುತ್ತಾರೆ, ಮತ್ತೊಬ್ಬ ಸ್ವತಂತ್ರ ಭದ್ರತಾ ಅಧಿಕಾರಿಯು ರೂಟ್ ಹಾರ್ಡ್‌ವೇರ್ ಟೋಕನ್ ಹೊಂದಿರುವ ಸುರಕ್ಷಿತ ಸೇಫ್‌ನ ಭೌತಿಕ ಕೀಲಿಯನ್ನು ಹೊಂದಿರುತ್ತಾರೆ. ಯಾವುದೇ ಪಕ್ಷವೂ ಏಕಪಕ್ಷೀಯವಾಗಿ AWS ರೂಟ್ ಖಾತೆಯನ್ನು ಪ್ರವೇಶಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ.
IAM ನೀತಿಗಳ ಮೂಲಕ MFA ಜಾರಿ (JSON ಅನುಷ್ಠಾನ)
ಭದ್ರತಾ ತಳಹದಿಗಳು ಉದ್ಯೋಗಿಗಳ ಸ್ವಯಂಪ್ರೇರಿತ ಕ್ರಿಯೆಯನ್ನು ಅವಲಂಬಿಸಿರಲು ಸಾಧ್ಯವಿಲ್ಲ. ಕ್ಲೌಡ್ ಆಡಳಿತಕ್ಕೆ ನೀತಿ ಮಟ್ಟದ ಜಾರಿ ಅಗತ್ಯವಿದೆ: ಸಕ್ರಿಯ MFA ದೃಢೀಕರಣವಿಲ್ಲದ ಬಳಕೆದಾರರಿಗೆ ತಮ್ಮ ಸ್ವಂತ MFA ಸಾಧನವನ್ನು ಸ್ವಯಂ-ನೋಂದಾಯಿಸಿಕೊಳ್ಳುವ ಸಾಮರ್ಥ್ಯವನ್ನು ಹೊರತುಪಡಿಸಿ, ಎಲ್ಲಾ AWS API ಮತ್ತು ಕನ್ಸೋಲ್ ಕ್ರಿಯೆಗಳನ್ನು ವ್ಯವಸ್ಥಿತವಾಗಿ ನಿರಾಕರಿಸಬೇಕು (deny).
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowViewAccountInfo",
"Effect": "Allow",
"Action": [
"iam:GetAccountPasswordPolicy",
"iam:ListVirtualMFADevices"
],
"Resource": "*"
},
{
"Sid": "AllowManageOwnVirtualMFADevice",
"Effect": "Allow",
"Action": [
"iam:CreateVirtualMFADevice",
"iam:DeleteVirtualMFADevice"
],
"Resource": "arn:aws:iam::*:mfa/${aws:username}"
},
{
"Sid": "AllowManageOwnUserMFA",
"Effect": "Allow",
"Action": [
"iam:DeactivateMFADevice",
"iam:EnableMFADevice",
"iam:ListMFADevices",
"iam:ResyncMFADevice"
],
"Resource": "arn:aws:iam::*:user/${aws:username}"
},
{
"Sid": "BlockAllAccessUnlessMFAAuthenticated",
"Effect": "Deny",
"NotAction": [
"iam:CreateVirtualMFADevice",
"iam:EnableMFADevice",
"iam:ListMFADevices",
"iam:ListVirtualMFADevices",
"iam:ResyncMFADevice",
"iam:GetUser"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
ಸ್ಟೇಟ್‌ಮೆಂಟ್ 4 ಜಾಗತಿಕ ಸ್ಥಿತಿ ಕೀಲಿ "aws:MultiFactorAuthPresent": "false" ಅನ್ನು ಸ್ಪಷ್ಟವಾದ Deny ಬಳಸಿಕೊಂಡು ಮೌಲ್ಯಮಾಪನ ಮಾಡುತ್ತದೆ. ಸ್ಪಷ್ಟ ನಿರಾಕರಣೆಯು ಎಲ್ಲಾ ಅನುಮತಿಸು (Allow) ಹೇಳಿಕೆಗಳನ್ನು ಮೀರಿಸುವುದರಿಂದ, MFA-ಅಲ್ಲದ ಸೆಷನ್‌ಗಳನ್ನು ಎಲ್ಲಾ AWS API ಗಳಲ್ಲಿ ತಕ್ಷಣವೇ ನಿರ್ಬಂಧಿಸಲಾಗುತ್ತದೆ, ಬಳಕೆದಾರರನ್ನು ನೇರವಾಗಿ ಸ್ವಯಂ-ನೋಂದಣಿ ಪರದೆಗೆ ಮುನ್ನಡೆಸಲಾಗುತ್ತದೆ.
AWS CLI ಮತ್ತು SDK MFA ದೃಢೀಕರಣ: STS ತಾತ್ಕಾಲಿಕ ಸೆಷನ್ ಟೋಕನ್‌ಗಳು
IAM ನೀತಿಗಳು MFA ಅನ್ನು ಜಾರಿಗೊಳಿಸಿದಾಗ, aws s3 ls ನಂತಹ ಆಜ್ಞೆಗಳನ್ನು ಚಲಾಯಿಸುವ ಅಥವಾ Terraform ಕೋಡ್ ಅನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸುವ ಡೆವಲಪರ್‌ಗಳು AccessDenied ದೋಷಗಳನ್ನು ಸ್ವೀಕರಿಸುತ್ತಾರೆ. ದೀರ್ಘಾವಧಿಯ ಪ್ರವೇಶ ಕೀಗಳು ಸಂವಾದಾತ್ಮಕವಾಗಿ OTP ಗಳನ್ನು ಕೇಳಲು ಸಾಧ್ಯವಿಲ್ಲ.
ಎಂಜಿನಿಯರ್‌ಗಳು ಅಲ್ಪಕಾಲಿಕ (ephemeral) ರುಜುವಾತುಗಳಿಗಾಗಿ ದೀರ್ಘಾವಧಿಯ ಕೀಗಳು + 6-ಅಂಕಿಯ TOTP ಅನ್ನು ವಿನಿಮಯ ಮಾಡಿಕೊಳ್ಳಲು AWS STS (Security Token Service) ಅನ್ನು ಬಳಸಬೇಕು:
ಆಟೊಮೇಷನ್ ಸ್ಕ್ರಿಪ್ಟ್ (aws-mfa-session.sh):
ಟೋಕನ್ ಸ್ವಾಧೀನವನ್ನು ಸ್ವಯಂಚಾಲಿತಗೊಳಿಸಲು ನಿಮ್ಮ ಸ್ಥಳೀಯ ಪರಿಸರದಲ್ಲಿ (~/.aws/aws-mfa-session.sh) ಈ ಸಹಾಯಕ ಸ್ಕ್ರಿಪ್ಟ್ ಅನ್ನು ಇರಿಸಿ:
# Exchange AWS Long-Term Keys + MFA Code for STS Session Token
MFA_ARN="arn:aws:iam::123456789012:mfa/alex-dev"
echo -n "Enter 6-digit 2FA OTP Code: "
read -r TOKEN_CODE
SESSION_JSON=$(aws sts get-session-token \
--serial-number "$MFA_ARN" \
--token-code "$TOKEN_CODE" \
--duration-seconds 43200 \
--output json)
if [ $? -eq 0 ]; then
export AWS_ACCESS_KEY_ID=$(echo "$SESSION_JSON" | jq -r '.Credentials.AccessKeyId')
export AWS_SECRET_ACCESS_KEY=$(echo "$SESSION_JSON" | jq -r '.Credentials.SecretAccessKey')
export AWS_SESSION_TOKEN=$(echo "$SESSION_JSON" | jq -r '.Credentials.SessionToken')
echo "✅ Authenticated! Temporary session exported (Valid for 12 hours)."
else
echo "❌ Authentication failed. Check token code or device time drift."
fi
MFA ನಿರ್ಬಂಧಗಳೊಂದಿಗೆ ಕ್ರಾಸ್-ಅಕೌಂಟ್ AssumeRole
ಎಂಟರ್‌ಪ್ರೈಸ್ ಮಲ್ಟಿ-ಅಕೌಂಟ್ ಆರ್ಕಿಟೆಕ್ಚರ್‌ಗಳಲ್ಲಿ, ಸವಲತ್ತು ಪಡೆದ ಎಂಜಿನಿಯರ್‌ಗಳು ಸಾಮಾನ್ಯವಾಗಿ ಕೇಂದ್ರೀಕೃತ Identity ಖಾತೆಗೆ ದೃಢೀಕರಿಸುತ್ತಾರೆ ಮತ್ತು sts:AssumeRole ಮೂಲಕ ಗುರಿ ಖಾತೆಗಳಿಗೆ (Production, Staging) ಪಿವೋಟ್ ಮಾಡುತ್ತಾರೆ. ಸೋರಿಕೆಯಾದ ರುಜುವಾತುಗಳ ಮೂಲಕ ಎತ್ತರಿಸಿದ ಉತ್ಪಾದನಾ ಅನುಮತಿಗಳನ್ನು ಅಪಹರಿಸಲಾಗುವುದಿಲ್ಲ ಎಂದು ಖಚಿತಪಡಿಸಿಕೊಳ್ಳಲು, ಉತ್ಪಾದನಾ ಪಾತ್ರದ ವಿಶ್ವಾಸಾರ್ಹ ಸಂಬಂಧವು (trust relationship) MFA ಸ್ಥಿತಿಯನ್ನು ಜಾರಿಗೊಳಿಸಬೇಕು:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::111122223333:root"
},
"Action": "sts:AssumeRole",
"Condition": {
"Bool": {
"aws:MultiFactorAuthPresent": "true"
}
}
}
]
}
ಈ ವಾಸ್ತುಶಿಲ್ಪದ ಮಾದರಿಯು ದಾಳಿಕೋರರು ಕೇಂದ್ರ Identity ಖಾತೆಯಲ್ಲಿ ರುಜುವಾತುಗಳನ್ನು ರಾಜಿ ಮಾಡಿಕೊಂಡರೂ ಸಹ, MFA ಅನ್ನು ಪೂರೈಸದೆ ಗುರಿ ಪಾತ್ರವನ್ನು ವಹಿಸಿಕೊಳ್ಳಲು ಪ್ರಯತ್ನಿಸುವುದು ಭದ್ರತಾ ಟೋಕನ್ ಗಡಿಯಲ್ಲಿ ತಕ್ಷಣದ AccessDenied ದೋಷವನ್ನು ಪ್ರಚೋದಿಸುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸುತ್ತದೆ.
CloudTrail ಆಡಿಟಿಂಗ್ ಮತ್ತು EventBridge ನೈಜ-ಸಮಯದ ಎಚ್ಚರಿಕೆಗಳು
ಯಾವುದೇ ಬಳಕೆದಾರರು ಬಹು-ಅಂಶ ದೃಢೀಕರಣವಿಲ್ಲದೆ AWS ಮ್ಯಾನೇಜ್‌ಮೆಂಟ್ ಕನ್ಸೋಲ್ ಅನ್ನು ಪ್ರವೇಶಿಸಿದಾಗ ಸ್ವಯಂಚಾಲಿತ ಅನುಸರಣೆ ಮೌಲ್ಯೀಕರಣಕ್ಕೆ ತಕ್ಷಣದ ಪತ್ತೆ ಅಗತ್ಯವಿರುತ್ತದೆ. AWS CloudTrail ಈವೆಂಟ್‌ಗಳನ್ನು ಸೆರೆಹಿಡಿಯುವ ಮೂಲಕ ಮತ್ತು Amazon EventBridge ಮೂಲಕ ಅವುಗಳನ್ನು ರೂಟಿಂಗ್ ಮಾಡುವ ಮೂಲಕ, SecOps ತಂಡಗಳು ನೈಜ-ಸಮಯದ ಎಚ್ಚರಿಕೆಯನ್ನು ಸಾಧಿಸುತ್ತವೆ:
{
"source": ["aws.signin"],
"detail-type": ["AWS Console Sign In via CloudTrail"],
"detail": {
"eventName": ["ConsoleLogin"],
"additionalEventData": {
"MFAUsed": ["No"]
}
}
}
ಈವೆಂಟ್ ಸ್ವೀಕರಿಸಿದ ನಂತರ, EventBridge ಸೆಕ್ಯುರಿಟಿ ಆಪರೇಷನ್ಸ್ ಸೆಂಟರ್ (SOC) ಆನ್-ಕಾಲ್ ಪೇಜರ್‌ಗೆ Amazon SNS ಅಧಿಸೂಚನೆಯನ್ನು ಪ್ರಚೋದಿಸುತ್ತದೆ ಅಥವಾ ಸಕ್ರಿಯ IAM ಬಳಕೆದಾರರ ಸೆಷನ್ ಅನ್ನು ತಕ್ಷಣವೇ ಹಿಂತೆಗೆದುಕೊಳ್ಳುವ AWS Lambda ಕಾರ್ಯವನ್ನು ಆಹ್ವಾನಿಸುತ್ತದೆ.
ಮಲ್ಟಿ-ಅಕೌಂಟ್ ಆಡಳಿತ: AWS Organizations ಮತ್ತು IAM Identity Center
ಲ್ಯಾಂಡಿಂಗ್ ವಲಯಗಳಾದ್ಯಂತ (Landing Zones) ಡಜನ್ಗಟ್ಟಲೆ ಅಥವಾ ನೂರಾರು AWS ಖಾತೆಗಳನ್ನು ನಿರ್ವಹಿಸುವ ಎಂಟರ್‌ಪ್ರೈಸ್ ಪರಿಸರದಲ್ಲಿ, ಪ್ರತಿ ಖಾತೆಯಲ್ಲೂ ಪ್ರತ್ಯೇಕ IAM ಬಳಕೆದಾರರನ್ನು ಒದಗಿಸುವುದು ಆಂಟಿ-ಪ್ಯಾಟರ್ನ್ ಆಗಿದೆ.
ಕೇಂದ್ರೀಕೃತ ಗುರುತಿನ ಫೆಡರೇಶನ್:
ನಿಮ್ಮ ಗೊತ್ತುಪಡಿಸಿದ ಮ್ಯಾನೇಜ್‌ಮೆಂಟ್ ಖಾತೆಯಲ್ಲಿ AWS IAM Identity Center (ಹಿಂದೆ AWS SSO) ನಿಯೋಜಿಸಿ. ಕಾರ್ಪೊರೇಟ್ IdP ಗಳ (Okta, Microsoft Entra ID, PingFederate) ವಿರುದ್ಧ ಗುರುತುಗಳನ್ನು ಫೆಡರೇಟ್ ಮಾಡಿ. IdP ಶ್ರೇಣಿಯಲ್ಲಿ ಕಾರ್ಪೊರೇಟ್ MFA ಅನ್ನು ಜಾರಿಗೊಳಿಸಿ, ಸದಸ್ಯರ ರೂಟ್ ಕ್ರಿಯೆಗಳನ್ನು ನಿರಾಕರಿಸಲು ಸಂಸ್ಥೆಯ ರೂಟ್‌ನಲ್ಲಿ ಸರ್ವಿಸ್ ಕಂಟ್ರೋಲ್ ನೀತಿಗಳನ್ನು (SCPs) ಲಗತ್ತಿಸಿ:
"Condition": { "StringLike": { "aws:PrincipalArn": ["arn:aws:iam::*:root"] } }
ಉತ್ಪಾದನಾ-ದರ್ಜೆಯ SCP: ಎಲ್ಲಾ ಸದಸ್ಯ ಖಾತೆಗಳಾದ್ಯಂತ MFA ನಿರ್ಬಂಧಗಳನ್ನು ಜಾರಿಗೊಳಿಸುವುದು
ದೊಡ್ಡ ಸಂಸ್ಥೆಗಳಲ್ಲಿ, ವೈಯಕ್ತಿಕ ಖಾತೆ ನಿರ್ವಾಹಕರು ಅಜಾಗರೂಕತೆಯಿಂದ ಅತಿಯಾದ ಸವಲತ್ತುಗಳನ್ನು ನೀಡಬಹುದು. ಸಂಸ್ಥೆಯ ರೂಟ್ ಅಥವಾ ಸಾಂಸ್ಥಿಕ ಘಟಕದ (OU) ಮಟ್ಟದಲ್ಲಿ ಸರ್ವಿಸ್ ಕಂಟ್ರೋಲ್ ಪಾಲಿಸಿ (SCP) ಅನ್ನು ಲಗತ್ತಿಸುವ ಮೂಲಕ, ಕ್ಲೌಡ್ ಆಡಳಿತ ತಂಡವು ಬದಲಾಯಿಸಲಾಗದ ಸುರಕ್ಷತಾ ರಕ್ಷಣೆಯನ್ನು (immutable guardrail) ಸ್ಥಾಪಿಸುತ್ತದೆ: ಸಕ್ರಿಯ MFA ಸೆಷನ್‌ನಿಂದ ಅಧಿಕೃತಗೊಳ್ಳದ ಹೊರತು ಹೆಚ್ಚಿನ ಪ್ರಭಾವದ API ಕರೆಗಳನ್ನು ಬೇಷರತ್ತಾಗಿ ನಿರಾಕರಿಸಲಾಗುತ್ತದೆ:
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "DenyCriticalActionsWithoutMFA",
"Effect": "Deny",
"Action": [
"iam:CreateAccessKey",
"iam:CreateLoginProfile",
"s3:DeleteBucket",
"kms:ScheduleKeyDeletion",
"ec2:TerminateInstances"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
ರೋಲ್ ಚೈನಿಂಗ್ ಮತ್ತು STS ಟೋಕನ್ ಜೀವಿತಾವಧಿಯ ನಿರ್ಬಂಧಗಳು:
IAM ಗುರುತುಗಳು ತರುವಾಯ ದ್ವಿತೀಯಕ ಪಾತ್ರಗಳನ್ನು ಪಡೆದುಕೊಳ್ಳುವ ಮಧ್ಯಂತರ ಪಾತ್ರಗಳನ್ನು ("ರೋಲ್ ಚೈನಿಂಗ್") ಪಡೆದುಕೊಂಡಾಗ, AWS STS ಡೌನ್‌ಸ್ಟ್ರೀಮ್ ಸೆಷನ್ ಟೋಕನ್‌ನಿಂದ ಮೂಲ aws:MultiFactorAuthPresent ಸಂದರ್ಭವನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ! ಕ್ರಾಸ್-ಅಕೌಂಟ್ ಪೈಪ್‌ಲೈನ್‌ಗಳಾದ್ಯಂತ ಕಟ್ಟುನಿಟ್ಟಾದ ಎಂಡ್-ಟು-ಎಂಡ್ ಅನುಸರಣೆಯನ್ನು ನಿರ್ವಹಿಸಲು, ಬಹು ಮಧ್ಯಂತರ IAM ಪಾತ್ರಗಳನ್ನು ಸರಪಳಿ ಮಾಡುವ ಬದಲು ದೃಢೀಕರಿಸಿದ IAM Identity Center ಸೆಷನ್‌ನಿಂದ ನೇರವಾಗಿ ರೋಲ್-ಅಸ್ಯೂಮ್ ಗ್ರಾಫ್‌ಗಳನ್ನು ನಿರ್ಮಿಸಿ.
ವಿಪತ್ತು ಮರುಪಡೆಯುವಿಕೆ: ಕಳೆದುಹೋದ ರೂಟ್ MFA ಸಾಧನ ಪ್ರೋಟೋಕಾಲ್
ದುರಂತದಲ್ಲಿ ಎಲ್ಲಾ ನೋಂದಾಯಿತ ರೂಟ್ MFA ಹಾರ್ಡ್‌ವೇರ್ ಟೋಕನ್‌ಗಳು ಮತ್ತು ವರ್ಚುವಲ್ ಸಾಧನಗಳು ನಾಶವಾದರೆ ಏನಾಗುತ್ತದೆ?
ಅಧಿಕೃತ ಔಟ್-ಆಫ್-ಬ್ಯಾಂಡ್ ರಿಕವರಿ ಅನುಕ್ರಮ:
- ರೂಟ್ ಸೈನ್-ಇನ್ ಪ್ರಾರಂಭಿಸಿ: AWS ಕನ್ಸೋಲ್‌ನಲ್ಲಿ ರೂಟ್ ಖಾತೆಯ ಇಮೇಲ್ ಮತ್ತು ಮಾಸ್ಟರ್ ಪಾಸ್‌ವರ್ಡ್ ನಮೂದಿಸಿ.
- MFA ನಿವಾರಣೆ: MFA ಪ್ರಾಂಪ್ಟ್‌ನಲ್ಲಿ, "Troubleshoot MFA" ಕ್ಲಿಕ್ ಮಾಡಿ.
- ಪ್ರಾಥಮಿಕ ಇಮೇಲ್ ಪರಿಶೀಲನೆ: AWS ಪ್ರಾಥಮಿಕ ರೂಟ್ ಇಮೇಲ್ ವಿಳಾಸಕ್ಕೆ ಸಮಯ-ಬೌಂಡೆಡ್ ಪರಿಶೀಲನಾ ಲಿಂಕ್ ಅನ್ನು ರವಾನಿಸುತ್ತದೆ. ಇಮೇಲ್ ಸವಾಲನ್ನು ಮೌಲ್ಯೀಕರಿಸಿ.
- ಸ್ವಯಂಚಾಲಿತ ಧ್ವನಿ ಸವಾಲು: "Call me now" ಕ್ಲಿಕ್ ಮಾಡಿ. ಸ್ವಯಂಚಾಲಿತ AWS ಪರಿಶೀಲನಾ ವ್ಯವಸ್ಥೆಯು ನೋಂದಾಯಿತ ಪ್ರಾಥಮಿಕ ಖಾತೆಯ ಫೋನ್ ಸಂಖ್ಯೆಗೆ ಕರೆ ಮಾಡುತ್ತದೆ ಮತ್ತು 6-ಅಂಕಿಯ ದೃಢೀಕರಣ ಪಿನ್ ಅನ್ನು ಪಠಿಸುತ್ತದೆ.
ನಿಮ್ಮ ಸಂಸ್ಥೆಯು ಫೋನ್ ಸಂಖ್ಯೆಗಳನ್ನು ಬದಲಾಯಿಸಿದ್ದರೆ ಅಥವಾ AWS ಖಾತೆ ಸೆಟ್ಟಿಂಗ್‌ಗಳನ್ನು ನವೀಕರಿಸದೆ ಸಂಪರ್ಕ ವ್ಯಕ್ತಿ ನಿರ್ಗಮಿಸಿದರೆ, ಸ್ವಯಂಚಾಲಿತ ಮರುಪಡೆಯುವಿಕೆ ವಿಫಲಗೊಳ್ಳುತ್ತದೆ. ಹಸ್ತಚಾಲಿತ ಪರಿಹಾರಕ್ಕೆ AWS ಟ್ರಸ್ಟ್ ಮತ್ತು ಸುರಕ್ಷತೆಗೆ ಕಾರ್ಪೊರೇಟ್ ನೋಟರೈಸ್ಡ್ ನೋಂದಣಿ ಪತ್ರಗಳನ್ನು ಸಲ್ಲಿಸುವ ಅಗತ್ಯವಿದೆ, ವಿಮರ್ಶೆಯು ಪೂರ್ಣಗೊಳ್ಳಲು 3–7 ವ್ಯವಹಾರ ದಿನಗಳನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ.
ಎಂಟರ್‌ಪ್ರೈಸ್ ಕ್ಲೌಡ್ ಆರ್ಕಿಟೆಕ್ಟ್ FAQ
AWS ರೂಟ್ MFA ಟೋಕನ್‌ಗಳನ್ನು DevOps ತಂಡದಾದ್ಯಂತ ಹಂಚಿಕೊಳ್ಳಬಹುದೇ? ▼
ಖಂಡಿತವಾಗಿ ನಿಷೇಧಿಸಲಾಗಿದೆ. ರೂಟ್ MFA ರುಜುವಾತುಗಳನ್ನು ಹಂಚಿಕೊಳ್ಳುವುದು ಎಲ್ಲಾ ಅನುಸರಣೆ ಆಡಿಟ್‌ಗಳಲ್ಲಿ (SOC 2, ISO 27001) ವಿಫಲಗೊಳ್ಳುತ್ತದೆ. ವಾಡಿಕೆಯ ಆಡಳಿತವು ವೈಯಕ್ತಿಕ ಹೊಣೆಗಾರಿಕೆಯೊಂದಿಗೆ IAM Identity Center ಪಾತ್ರಗಳ ಮೂಲಕ ಹರಿಯಬೇಕು. ರೂಟ್ ರುಜುವಾತುಗಳು ದುರಂತದ ಬ್ರೇಕ್-ಗ್ಲಾಸ್ ಘಟನೆಗಳಿಗೆ ಮಾತ್ರ ಭೌತಿಕ ಡ್ಯುಯಲ್-ಕಸ್ಟಡಿ ಸೇಫ್‌ಗಳಲ್ಲಿ ಲಾಕ್ ಆಗಿರಬೇಕು.
aws:MultiFactorAuthAge ಸ್ಥಿತಿ ಕೀಲಿಯು ಭದ್ರತೆಯನ್ನು ಹೇಗೆ ಹೆಚ್ಚಿಸುತ್ತದೆ? ▼
ಈ ಕೀಲಿಯು ಸೆಷನ್ ತಾಜಾತನವನ್ನು (session freshness) ಜಾರಿಗೊಳಿಸುತ್ತದೆ. "NumericLessThan": {"aws:MultiFactorAuthAge": "3600"} ಕಾನ್ಫಿಗರ್ ಮಾಡುವುದರಿಂದ ಹಿಂದಿನ 3,600 ಸೆಕೆಂಡುಗಳಲ್ಲಿ (1 ಗಂಟೆ) MFA ಟೋಕನ್ ಅನ್ನು ಪ್ರಸ್ತುತಪಡಿಸಲಾಗಿದೆ ಎಂದು ಬಯಸುತ್ತದೆ. ಸೆಷನ್ ಹಳೆಯದಾಗಿದ್ದರೆ ಹೆಚ್ಚಿನ ಅಪಾಯದ ಕ್ರಿಯೆಗಳನ್ನು (ಉದಾ. RDS ಕ್ಲಸ್ಟರ್‌ಗಳನ್ನು ಮುಕ್ತಾಯಗೊಳಿಸುವುದು) ನಿರ್ಬಂಧಿಸಲಾಗುತ್ತದೆ, ಇದು ದೀರ್ಘಾವಧಿಯ ಸೆಷನ್ ಅಪಹರಣದಿಂದ ರಕ್ಷಿಸುತ್ತದೆ.
AWS ವರ್ಚುವಲ್ MFA ಅನ್ನು ಒದಗಿಸಲು ನಾನು 2FA-Tool ಆನ್‌ಲೈನ್ ಆಥೆಂಟಿಕೇಟರ್ ಅನ್ನು ಬಳಸಬಹುದೇ? ▼
ಹೌದು. AWS ವರ್ಚುವಲ್ MFA ಕಟ್ಟುನಿಟ್ಟಾಗಿ RFC 6238 TOTP ವಿಶೇಷಣಗಳಿಗೆ (HMAC-SHA1, 30-ಸೆಕೆಂಡ್ ಮಧ್ಯಂತರ, 6 ಅಂಕೆಗಳು) ಬದ್ಧವಾಗಿದೆ. ನಿಮ್ಮ ಬ್ರೌಸರ್‌ನಲ್ಲಿ 100% ಸ್ಥಳೀಯವಾಗಿ ನೋಂದಣಿಗೆ ಅಗತ್ಯವಿರುವ ಎರಡು ಸತತ ದೃಢೀಕರಣ ಕೋಡ್‌ಗಳನ್ನು ರಚಿಸಲು ನೀವು Base32 ಸೀಕ್ರೆಟ್ ಸ್ಟ್ರಿಂಗ್ ಅನ್ನು 2FA-Tool.com ಗೆ ನಮೂದಿಸಬಹುದು.
ಎಂಟರ್‌ಪ್ರೈಸ್ TOTP ಟೋಕನ್‌ಗಳನ್ನು ಸುರಕ್ಷಿತವಾಗಿ ಪರೀಕ್ಷಿಸಿ
W3C Web Crypto API ಯೊಂದಿಗೆ ತಕ್ಷಣವೇ ಪ್ರಮಾಣಿತ RFC 6238 TOTP ಪರಿಶೀಲನಾ ಕೋಡ್‌ಗಳನ್ನು ರಚಿಸಿ. ಯಾವುದೇ ಸರ್ವರ್ ಕರೆಗಳಿಲ್ಲ, ಸಂಪೂರ್ಣ ಮೆಮೊರಿ ಧಾರಣೆ, ಶೂನ್ಯ ಸೋರಿಕೆ.