2026-ലെ മികച്ച ഓതന്റിക്കേറ്റർ ആപ്പുകൾ: Aegis vs 2FAS vs Bitwarden
എല്ലാ അഡ്മിനിസ്ട്രേറ്റീവ് കൺസോൾ ഉപയോക്താക്കൾക്കും MFA നിർബന്ധമാണ്, കൂടാതെ AWS റൂട്ട് അക്കൗണ്ടിന് ഇത് വിട്ടുവീഴ്ചയില്ലാത്തതുമാണ്.
ആക്ടീവ് MFA വെരിഫിക്കേഷൻ പൂർത്തിയാകുന്നത് വരെ എല്ലാ അനധികൃത API കോളുകളും ഗ്ലോബൽ IAM കണ്ടീഷണൽ ഡിനൈ പോളിസി തടയുന്നു.
ക്ലൗഡ് കംപ്ലയൻസ് അടിസ്ഥാന മാനദണ്ഡങ്ങൾ: CIS ബെഞ്ച്മാർക്കും റെഗുലേറ്ററി ചട്ടക്കൂടുകളും
നിങ്ങളുടെ എഞ്ചിനീയറിംഗ് ഓർഗനൈസേഷൻ SOC 2 Type II, ISO 27001 സർട്ടിഫിക്കേഷൻ, PCI DSS 4.0 അല്ലെങ്കിൽ AWS Well-Architected Security Pillar എന്നിവ പിന്തുടരുകയാണെങ്കിലും, IAM ഐഡന്റിറ്റികളിലുടനീളം MFA നടപ്പിലാക്കുന്നത് ഒരു നിർബന്ധിത വ്യവസ്ഥയാണ്:
| കംപ്ലയൻസ് സ്റ്റാൻഡേർഡ് | നിയന്ത്രണ സ്പെസിഫിക്കേഷൻ | പ്രാധാന്യം / മാൻഡേറ്റ് | ഓഡിറ്റ് മൂല്യനിർണ്ണയ സംവിധാനം |
|---|---|---|---|
| CIS AWS Foundations Benchmark v3.0 | 1.5 / 1.6 / 1.10 | ലെവൽ 1 (നിർബന്ധിതം) | AWS Security Hub / Prowler ഓട്ടോമേറ്റഡ് അസസ്സ്മെന്റ് |
| PCI DSS 4.0 | Requirement 8.4.2 | നിർബന്ധിതം | കാർഡ്‌ഹോൾഡർ ഡാറ്റ എൻവയോൺമെന്റ് (CDE) കൺസോൾ & API ഓഡിറ്റ് |
| SOC 2 Type II (വിശ്വാസ്യത മാനദണ്ഡങ്ങൾ) | CC6.1 / CC6.2 | പ്രധാന നിയന്ത്രണം | IAM ക്രെഡൻഷ്യൽ റിപ്പോർട്ടുകളുടെ സ്വതന്ത്ര CPA പരിശോധന |
| AWS നിർബന്ധിത MFA വിന്യാസം | AWS 2024–2026 നയം | പ്ലാറ്റ്‌ഫോം നിർവ്വഹണം | MFA രജിസ്ട്രേഷൻ പൂർത്തിയാകുന്നതുവരെ റൂട്ട് ലോഗിൻ ഗേറ്റ്‌വേ ബ്ലോക്ക് ചെയ്യൽ |
AWS റൂട്ട് അക്കൗണ്ട് സുരക്ഷിതമാക്കുന്നതിന്റെ പരമപ്രധാനമായ അനിവാര്യത
ഒരു AWS അക്കൗണ്ട് പരിധിക്കുള്ളിൽ, അക്കൗണ്ട് സൃഷ്ടിക്കുമ്പോൾ ഉണ്ടാകുന്ന പരമാധികാര ഐഡന്റിറ്റിയാണ് റൂട്ട് അക്കൗണ്ട്. IAM റോളുകളിൽ നിന്നോ ഉപയോക്താക്കളിൽ നിന്നോ വ്യത്യസ്തമായി, റൂട്ട് അക്കൗണ്ടിന്റെ പ്രവർത്തനങ്ങളെ ഒരു ഐഡന്റിറ്റി അധിഷ്ഠിത പോളിസികൾ വഴിയോ SCP വഴിയോ നിയന്ത്രിക്കാൻ കഴിയില്ല.
റൂട്ട് അക്കൗണ്ട് ഹാക്ക് ചെയ്യപ്പെട്ടാലുള്ള വിനാശകരമായ പ്രത്യാഘാതങ്ങൾ (Blast Radius):
- തിരിച്ചുപിടിക്കാനാവാത്ത അക്കൗണ്ട് ക്ലോഷർ: ഹാക്കർമാർക്ക് "Close Account" ക്ലിക്ക് ചെയ്ത് മുഴുവൻ ഇൻഫ്രാസ്ട്രക്ചറും സ്ഥിരമായി നശിപ്പിക്കാനാകും.
- ബില്ലിംഗും സാമ്പത്തിക തട്ടിപ്പും: ഇൻവോയ്സുകൾ റീറൂട്ട് ചെയ്യുക, കമ്പനി പേയ്‌മെന്റ് കാർഡുകൾ മാറ്റുക, അനധികൃത ക്രിപ്റ്റോ മൈനിംഗിനായി 30-ലധികം AWS റീജിയണുകളിലായി നൂറുകണക്കിന് GPU ഇൻസ്റ്റൻസുകൾ വിന്യസിക്കുക.
- AWS Organizations ഘടന തകർക്കൽ: ഓർഗനൈസേഷൻ ട്രീയിൽ നിന്ന് അംഗ അക്കൗണ്ടുകളെ നീക്കം ചെയ്യുക, കംപ്ലയൻസ് നിരീക്ഷണം തടസ്സപ്പെടുത്തുക.
- പ്രധാന സുരക്ഷാ കോൺടാക്റ്റുകൾ മാറ്റൽ: റൂട്ട് ഇമെയിലും ഫോൺ നമ്പറും മാറ്റുന്നത് ഔദ്യോഗിക AWS സപ്പോർട്ട് വീണ്ടെടുക്കൽ വഴികളെ പൂർണ്ണമായും ഇല്ലാതാക്കുന്നു.
- പൂജ്യം റൂട്ട് ആക്സസ് കീകൾ: റൂട്ട് അക്കൗണ്ടിനായി ആക്സസ് കീകൾ നിലവിലില്ലെന്ന് ഉറപ്പാക്കാൻ IAM Credential Reports ഓഡിറ്റ് ചെയ്യുക. ഉണ്ടെങ്കിൽ ഉടനടി ഡിലീറ്റ് ചെയ്യുക.
- ഇരട്ട കസ്റ്റഡി പാസ്‌വേഡ് വോൾട്ടിംഗ്: 32+ അക്ഷരങ്ങളുള്ള റാൻഡം പാസ്‌വേഡ് സൃഷ്ടിക്കുക, അത് CISO-യും ചീഫ് ലീഗൽ ഓഫീസറും തമ്മിൽ വിഭജിച്ച് ഫിസിക്കൽ ഫയർപ്രൂഫ് വോൾട്ടുകളിൽ സൂക്ഷിക്കുക.
- മൾട്ടി-ഡിവൈസ് റിഡൻഡൻസി (8 ഉപകരണങ്ങൾ വരെ): കുറഞ്ഞത് രണ്ട് ഫിസിക്കൽ FIDO2 ഹാർഡ്‌വെയർ കീകൾ (YubiKeys) ഒപ്പം ഒരു ഓഫ്‌ലൈൻ കോൾഡ്-സ്റ്റോറേജ് വെർച്വൽ TOTP ഫോൾബാക്ക് ഉപകരണവും രജിസ്റ്റർ ചെയ്യുക.
MFA തിരഞ്ഞെടുക്കൽ മാട്രിക്സ്: വെർച്വൽ TOTP vs ഹാർഡ്‌വെയർ FIDO2 (YubiKey)
AWS പ്രധാനമായും മൂന്ന് തരം MFA ഉപകരണങ്ങളെ പിന്തുണയ്ക്കുന്നു. ഭീഷണി മാതൃകകളും അഡ്മിനിസ്ട്രേറ്റീവ് പ്രിവിലേജ് ലെവലുകളും അടിസ്ഥാനമാക്കി അനുയോജ്യമായവ തിരഞ്ഞെടുക്കുക:
വെർച്വൽ TOTP ആപ്പുകൾ
സ്റ്റാൻഡേർഡ് RFC 6238 ടോക്കണുകൾ (Google Authenticator, 1Password, 2FAS, Aegis). ഓരോ 30 സെക്കൻഡിലും 6 അക്ക കോഡുകൾ സൃഷ്ടിക്കുന്നു. ദൈനംദിന IAM ഉപയോക്താക്കൾക്കും ഡെവലപ്പർമാർക്കും അനുയോജ്യമാണ്.
YubiKey 5 സീരീസ് / Security Key
ഫിഷിംഗ് പ്രതിരോധശേഷിയുള്ള (Phishing-Resistant) ക്രിപ്റ്റോഗ്രാഫി. USB/NFC വഴി ഒറിജിൻ-ബൗണ്ട് പബ്ലിക്-കീ പ്രാമാണീകരണം. റൂട്ട് അക്കൗണ്ടുകൾക്കും പ്രിവിലേജ്ഡ് IAM അഡ്മിൻമാർക്കും ഇത് നിർബന്ധമാണ്.
Gemalto / Thales ഹാർഡ്‌വെയർ ടോക്കൺ
LCD സ്ക്രീനുള്ള പൂർണ്ണമായും ഓഫ്‌ലൈനായ TOTP കാർഡ്. സ്മാർട്ട്‌ഫോണുകളോ USB ഉപകരണങ്ങളോ അനുവദിക്കാത്ത സൈനിക, SCADA സുരക്ഷാ പരിതസ്ഥിതികളിൽ അത്യാവശ്യമാണ്.
എന്റർപ്രൈസ് ഹാർഡ്‌വെയർ MFA FIPS 140-2/3 മാനദണ്ഡങ്ങൾ
Fortune 500 കമ്പനികൾക്കും പ്രതിരോധ കരാറുകാർക്കും, റൂട്ട് അക്കൗണ്ട് സുരക്ഷയ്ക്ക് FIPS 140-2 Level 3 അല്ലെങ്കിൽ FIPS 140-3 സർട്ടിഫൈഡ് ക്രിപ്റ്റോഗ്രാഫിക് മൊഡ്യൂളുകൾ (YubiKey 5 FIPS സീരീസ് പോലെ) ആവശ്യമാണ്. ഈ ഉപകരണങ്ങൾ ഫിസിക്കൽ സൈഡ്-ചാനൽ ആക്രമണങ്ങളിൽ നിന്നും സിലിക്കൺ കൃത്രിമത്വങ്ങളിൽ നിന്നും പരിരക്ഷ നൽകുന്നു.
ഫിസിക്കൽ ഇരട്ട കസ്റ്റഡി ഭരണം: എന്റർപ്രൈസ് ഡാറ്റാ സെന്ററുകളിൽ, പ്രൈമറി റൂട്ട് YubiKey CISO ബയോമെട്രിക് ആക്‌സസുള്ള ലെവൽ-1 സേഫിലും, സെക്കൻഡറി ബാക്കപ്പ് YubiKey മറ്റൊരു ഭൂമിശാസ്ത്രപരമായ സ്ഥലത്ത് VP of Operations-ന്റെ മേൽനോട്ടത്തിലും സൂക്ഷിക്കുന്നു.
IAM പോളിസികൾ വഴി MFA നിർബന്ധമാക്കൽ: DenyAllExcept മാതൃക
സുരക്ഷാ മാനദണ്ഡങ്ങൾ ജീവനക്കാരുടെ സ്വമേധയാ ഉള്ള പ്രവർത്തനങ്ങളെ ആശ്രയിക്കാൻ പാടില്ല. ഒരു ഉപയോക്താവ് MFA വഴി ലോഗിൻ ചെയ്യുന്നതുവരെ ക്ലൗഡ് ഗവേണൻസ് എല്ലാ API, കൺസോൾ പ്രവർത്തനങ്ങളെയും കർശനമായി തടയണം. ഇതിനായുള്ള പ്രൊഡക്ഷൻ ഗ്രേഡ് IAM പോളിസി താഴെ നൽകുന്നു:
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowViewAccountInfo",
"Effect": "Allow",
"Action": [
"iam:GetAccountPasswordPolicy",
"iam:ListVirtualMFADevices"
],
"Resource": "*"
},
{
"Sid": "AllowManageOwnVirtualMFADevice",
"Effect": "Allow",
"Action": [
"iam:CreateVirtualMFADevice",
"iam:DeleteVirtualMFADevice"
],
"Resource": "arn:aws:iam::*:mfa/${aws:username}"
},
{
"Sid": "AllowManageOwnUserMFA",
"Effect": "Allow",
"Action": [
"iam:DeactivateMFADevice",
"iam:EnableMFADevice",
"iam:ListMFADevices",
"iam:ResyncMFADevice"
],
"Resource": "arn:aws:iam::*:user/${aws:username}"
},
{
"Sid": "BlockAllAccessUnlessMFAAuthenticated",
"Effect": "Deny",
"NotAction": [
"iam:CreateVirtualMFADevice",
"iam:EnableMFADevice",
"iam:ListMFADevices",
"iam:ListVirtualMFADevices",
"iam:ResyncMFADevice",
"iam:GetUser"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
സ്റ്റേറ്റ്‌മെന്റ് 4 ആഗോള കണ്ടീഷൻ കീ ആയ "aws:MultiFactorAuthPresent": "false" പരിശോധിക്കുന്നു. Deny നിയമത്തിന് ഏതൊരു Allow-നേക്കാളും മുൻഗണന ഉള്ളതിനാൽ, സാധുവായ MFA ടോക്കൺ നൽകാതെ ഉപയോക്താക്കൾക്ക് S3 റീഡ് ചെയ്യാനോ EC2 പ്രവർത്തിപ്പിക്കാനോ റിസോഴ്സുകൾ മാറ്റാനോ കഴിയില്ല.
AWS CLI & SDK സെഷനുകൾ: STS GetSessionToken വർക്ക്ഫ്ലോ
IAM പോളിസികൾ MFA നിർബന്ധമാക്കുമ്പോൾ, ഡെവലപ്പർമാർ aws s3 ls പോലുള്ള കമാൻഡുകൾ പ്രവർത്തിപ്പിക്കുമ്പോൾ AccessDenied പിശക് ലഭിക്കുന്നു. സ്റ്റാറ്റിക് ആക്സസ് കീകൾ മാത്രം ഇവിടെ മതിയാകില്ല.
സ്റ്റാറ്റിക് കീകളും MFA ടോക്കണും താൽക്കാലിക സെഷനുകളാക്കി മാറ്റാൻ എഞ്ചിനീയർമാർ AWS STS (Security Token Service) ഉപയോഗിക്കണം:
ഓട്ടോമേഷൻ സ്ക്രിപ്റ്റ്: aws-mfa-session.sh
STS സെഷനുകൾ എളുപ്പത്തിൽ നേടുന്നതിന് നിങ്ങളുടെ ലോക്കൽ എൻവയോൺമെന്റിൽ (~/.aws/aws-mfa-session.sh) ഈ ഹെൽപ്പർ സ്ക്രിപ്റ്റ് സ്ഥാപിക്കുക:
# Exchange AWS Long-Term Keys + MFA Code for STS Session Token
MFA_ARN="arn:aws:iam::123456789012:mfa/alex-dev"
echo -n "Enter 6-digit 2FA OTP Code: "
read -r TOKEN_CODE
SESSION_JSON=$(aws sts get-session-token \
--serial-number "$MFA_ARN" \
--token-code "$TOKEN_CODE" \
--duration-seconds 43200 \
--output json)
if [ $? -eq 0 ]; then
export AWS_ACCESS_KEY_ID=$(echo "$SESSION_JSON" | jq -r '.Credentials.AccessKeyId')
export AWS_SECRET_ACCESS_KEY=$(echo "$SESSION_JSON" | jq -r '.Credentials.SecretAccessKey')
export AWS_SESSION_TOKEN=$(echo "$SESSION_JSON" | jq -r '.Credentials.SessionToken')
echo "✅ Authenticated! Temporary session exported (Valid for 12 hours)."
else
echo "❌ Authentication failed. Check token code or device time drift."
fi
MFA നിർബന്ധമാക്കിക്കൊണ്ടുള്ള ക്രോസ്-അക്കൗണ്ട് റോൾ അസ്യൂം
എന്റർപ്രൈസ് മൾട്ടി-അക്കൗണ്ട് ആർക്കിടെക്ചറുകളിൽ, പ്രിവിലേജ്ഡ് എഞ്ചിനീയർമാർ ഒരു കേന്ദ്രീകൃത ഐഡന്റിറ്റി അക്കൗണ്ടിലേക്ക് ലോഗിൻ ചെയ്യുകയും പ്രൊഡക്ഷൻ അക്കൗണ്ടുകളിലേക്ക് പ്രവേശിക്കാൻ sts:AssumeRole ഉപയോഗിക്കുകയും ചെയ്യുന്നു. ആക്ടീവ് MFA ഇല്ലാതെ റോൾ അസ്യൂം ചെയ്യുന്നത് ട്രസ്റ്റ് പോളിസികൾ തടയണം:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::111122223333:root"
},
"Action": "sts:AssumeRole",
"Condition": {
"Bool": {
"aws:MultiFactorAuthPresent": "true"
}
}
}
]
}
ഒരു ഹാക്കർ ഡെവലപ്പറുടെ ലാപ്‌ടോപ്പ് മോഷ്ടിച്ചാലും, പ്രൊഡക്ഷൻ അക്കൗണ്ട് റോൾ അസ്യൂം ചെയ്യാനുള്ള ശ്രമം AccessDenied ആയി പരാജയപ്പെടുമെന്ന് ഈ ആർക്കിടെക്ചറൽ പാറ്റേൺ ഉറപ്പാക്കുന്നു, കാരണം aws:MultiFactorAuthPresent ആവശ്യമാണ്.
CloudTrail ഓഡിറ്റും EventBridge അലേർട്ടുകളും: റൂട്ട് ലോഗിൻ മോണിറ്ററിംഗ്
ഓട്ടോമേറ്റഡ് കംപ്ലയൻസ് വാലിഡേഷന് റൂട്ട് അക്കൗണ്ട് ആക്റ്റിവിറ്റികൾ തൽക്ഷണം കണ്ടെത്തേണ്ടതുണ്ട്. റൂട്ട് കൺസോൾ ലോഗിനുകൾക്കായി CloudTrail ലോഗുകൾ നിരീക്ഷിക്കുന്നതിന് ഒരു Amazon EventBridge റൂൾ കോൺഫിഗർ ചെയ്യുക:
{
"source": ["aws.signin"],
"detail-type": ["AWS Console Sign In via CloudTrail"],
"detail": {
"eventName": ["ConsoleLogin"],
"additionalEventData": {
"MFAUsed": ["No"]
}
}
}
ഇവന്റ് ലഭിക്കുമ്പോൾ, EventBridge ഒരു Amazon SNS നോട്ടിഫിക്കേഷൻ ട്രിഗർ ചെയ്യുകയും സെക്യൂരിറ്റി ഓപ്പറേഷൻസ് സെന്ററിലേക്കും (SOC) CISO-ലേക്കും തൽക്ഷണം SMS, PagerDuty അലേർട്ടുകൾ അയയ്ക്കുകയും ചെയ്യുന്നു.
മൾട്ടി-അക്കൗണ്ട് സ്കെയിലിംഗ്: IAM Identity Center (AWS SSO) & SCP
ഡസൻ കണക്കിന് അല്ലെങ്കിൽ നൂറുകണക്കിന് AWS അക്കൗണ്ടുകൾ കൈകാര്യം ചെയ്യുന്ന വലിയ സ്ഥാപനങ്ങളിൽ, ഓരോ അക്കൗണ്ടിലും വ്യക്തിഗതമായി MFA ക്രമീകരിക്കുന്നത് അസാധ്യമാണ്. കേന്ദ്രീകൃത എന്റർപ്രൈസ് ഐഡന്റിറ്റി ഗവേണൻസ് നടപ്പിലാക്കുക:
കേന്ദ്രീകൃത ഐഡന്റിറ്റി മാനേജ്മെന്റ്
ഓർഗനൈസേഷൻ മാനേജ്മെന്റ് അക്കൗണ്ടിൽ AWS IAM Identity Center (മുമ്പ് AWS SSO) വിന്യസിക്കുക. കോർപ്പറേറ്റ് ഐഡന്റിറ്റി പ്രൊവൈഡർമാരുമായി (Okta, Microsoft Entra ID, Google Workspace) ഇത് സംയോജിപ്പിച്ച് WebAuthn പിന്തുണയോടെ IdP തലത്തിൽ MFA നടപ്പിലാക്കുക.
"Condition": { "StringLike": { "aws:PrincipalArn": ["arn:aws:iam::*:root"] } }
പ്രൊഡക്ഷൻ-ഗ്രേഡ് SCP: ഓർഗനൈസേഷനിലുടനീളം MFA നിർബന്ധമാക്കൽ
വലിയ ഓർഗനൈസേഷനുകളിൽ, വ്യക്തിഗത അക്കൗണ്ട് അഡ്മിനിസ്ട്രേറ്റർമാർ അബദ്ധത്തിൽ MFA ഇല്ലാതെ IAM ഉപയോക്താക്കളെ സൃഷ്ടിച്ചേക്കാം. ഓർഗനൈസേഷനിലെ എല്ലാ അക്കൗണ്ടുകളിലും MFA ഇല്ലാത്ത പ്രവർത്തനങ്ങൾ തടയുന്നതിന് ഒരു സർവീസ് കൺട്രോൾ പോളിസി (SCP) പ്രയോഗിക്കുക:
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "DenyCriticalActionsWithoutMFA",
"Effect": "Deny",
"Action": [
"iam:CreateAccessKey",
"iam:CreateLoginProfile",
"s3:DeleteBucket",
"kms:ScheduleKeyDeletion",
"ec2:TerminateInstances"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
റോൾ ചെയിനിംഗും STS ടോക്കൺ ഡൈല്യൂഷൻ അപകടസാധ്യതകളും
IAM ഐഡന്റിറ്റികൾ ഇന്റർമീഡിയറ്റ് റോളുകൾ അസ്യൂം ചെയ്യുകയും അവ പിന്നീട് മറ്റ് റോളുകൾ അസ്യൂം ചെയ്യുകയും ചെയ്യുമ്പോൾ ("role chaining"), പ്രാരംഭ aws:MultiFactorAuthPresent കണ്ടീഷൻ കീ നഷ്ടപ്പെട്ടേക്കാം. എല്ലായ്പ്പോഴും ഡയറക്ട് റോൾ അസംപ്ഷൻ ഉപയോഗിക്കുക അല്ലെങ്കിൽ sts:TagSession വഴി സെഷൻ ടാഗുകൾ വ്യക്തമായി കൈമാറുക.
ദുരന്ത നിവാരണം: റൂട്ട് MFA നഷ്ടപ്പെട്ടാലുള്ള പ്രോട്ടോക്കോൾ
ഒരു വലിയ ദുരന്തത്തിൽ രജിസ്റ്റർ ചെയ്ത എല്ലാ റൂട്ട് MFA ഹാർഡ്‌വെയർ ടോക്കണുകളും വെർച്വൽ ഉപകരണങ്ങളും നശിച്ചാൽ എന്ത് സംഭവിക്കും?
ഔദ്യോഗിക ഔട്ട്-ഓഫ്-ബാൻഡ് റിക്കവറി ഘട്ടങ്ങൾ:
- റൂട്ട് സൈൻ-ഇൻ ആരംഭിക്കുക: AWS കൺസോളിൽ റൂട്ട് അക്കൗണ്ട് ഇമെയിലും മാസ്റ്റർ പാസ്‌വേഡും നൽകുക.
- MFA ട്രബിൾഷൂട്ട് ചെയ്യുക: MFA പ്രോംപ്റ്റിൽ, "Troubleshoot MFA" ക്ലിക്ക് ചെയ്യുക.
- പ്രൈമറി ഇമെയിൽ സ്ഥിരീകരണം: പ്രാഥമിക റൂട്ട് ഇമെയിൽ വിലാസത്തിലേക്ക് AWS ഒരു താൽക്കാലിക വെരിഫിക്കേഷൻ ലിങ്ക് അയയ്ക്കുന്നു. ഇമെയിൽ ചലഞ്ച് പൂർത്തിയാക്കുക.
- ഓട്ടോമേറ്റഡ് വോയ്‌സ് കോൾ: "Call me now" ക്ലിക്ക് ചെയ്യുക. ഓട്ടോമേറ്റഡ് AWS വെരിഫിക്കേഷൻ സിസ്റ്റം രജിസ്റ്റർ ചെയ്ത പ്രാഥമിക ഫോൺ നമ്പറിലേക്ക് വിളിച്ച് 6-അക്ക കൺഫർമേഷൻ PIN നൽകുന്നു.
നിങ്ങളുടെ ഓർഗനൈസേഷൻ ഫോൺ നമ്പറുകൾ മാറ്റുകയോ കോൺടാക്റ്റ് വ്യക്തി AWS അക്കൗണ്ട് സെറ്റിംഗ്സ് അപ്ഡേറ്റ് ചെയ്യാതെ ജോലി ഉപേക്ഷിക്കുകയോ ചെയ്താൽ, ഓട്ടോമേറ്റഡ് റിക്കവറി പരാജയപ്പെടും. അത്തരം സന്ദർഭങ്ങളിൽ, AWS Trust & Safety ടീമിന് നോട്ടറൈസ് ചെയ്ത കോർപ്പറേറ്റ് രേഖകൾ സമർപ്പിക്കേണ്ടിവരും, ഇത് പരിഹരിക്കാൻ 3–7 പ്രവൃത്തിദിനങ്ങൾ എടുക്കും.
എന്റർപ്രൈസ് ക്ലൗഡ് ആർക്കിടെക്റ്റ് FAQ
AWS റൂട്ട് MFA ടോക്കണുകൾ DevOps ടീമിൽ പങ്കിടാൻ കഴിയുമോ? ▼
കർശനമായി നിരോധിച്ചിരിക്കുന്നു. റൂട്ട് MFA വിവരങ്ങൾ പങ്കിടുന്നത് എല്ലാ കംപ്ലയൻസ് ഓഡിറ്റുകളിലും (SOC 2, ISO 27001) പരാജയപ്പെടും. ദൈനംദിന അഡ്മിനിസ്ട്രേഷൻ വ്യക്തിഗത ഉത്തരവാദിത്തമുള്ള IAM Identity Center റോളുകൾ വഴി നടക്കണം. അടിയന്തിര ബ്രേക്ക്-ഗ്ലാസ് സന്ദർഭങ്ങളിൽ മാത്രം ഉപയോഗിക്കാൻ റൂട്ട് വിവരങ്ങൾ ഫിസിക്കൽ സേഫുകളിൽ സൂക്ഷിക്കണം.
aws:MultiFactorAuthAge എന്ന കണ്ടീഷൻ കീ എങ്ങനെ സുരക്ഷ വർദ്ധിപ്പിക്കുന്നു? ▼
ഈ കീ സെഷന്റെ പുതുമ നിർബന്ധമാക്കുന്നു. "NumericLessThan": {"aws:MultiFactorAuthAge": "3600"} കോൺഫിഗർ ചെയ്യുന്നതിലൂടെ, കഴിഞ്ഞ 3,600 സെക്കൻഡിനുള്ളിൽ (1 മണിക്കൂർ) MFA ടോക്കൺ സമർപ്പിച്ചിട്ടുണ്ടെന്ന് ഉറപ്പാക്കുന്നു. സെഷൻ കൂടുതൽ പഴയതാണെങ്കിൽ ഉയർന്ന അപകടസാധ്യതയുള്ള പ്രവർത്തനങ്ങൾ (RDS ക്ലസ്റ്ററുകൾ ഇല്ലാതാക്കൽ പോലുള്ളവ) തടയപ്പെടും.
AWS Virtual MFA സജ്ജീകരിക്കാൻ എനിക്ക് 2FA-Tool ഓൺലൈൻ ജനറേറ്റർ ഉപയോഗിക്കാമോ? ▼
അതെ. AWS Virtual MFA പൂർണ്ണമായും RFC 6238 TOTP മാനദണ്ഡങ്ങൾ (HMAC-SHA1, 30 സെക്കൻഡ് ഇടവേള, 6 അക്കങ്ങൾ) പാലിക്കുന്നു. നിങ്ങളുടെ ബ്രൗസറിൽ 100% ലോക്കലായി രജിസ്ട്രേഷന് ആവശ്യമായ രണ്ട് തുടർച്ചയായ ഓതന്റിക്കേഷൻ കോഡുകൾ സൃഷ്ടിക്കാൻ Base32 രഹസ്യ കീ 2FA-Tool.com-ൽ നൽകാം.
എന്റർപ്രൈസ് TOTP ടോക്കണുകൾ സുരക്ഷിതമായി പരിശോധിക്കുക
W3C Web Crypto API ഉപയോഗിച്ച് സ്റ്റാൻഡേർഡ് RFC 6238 TOTP കോഡുകൾ തൽക്ഷണം സൃഷ്ടിക്കുക. സെർവർ കോളുകളില്ല, പൂർണ്ണമായ മെമ്മറി ഐസൊലേഷൻ, ഡാറ്റാ ചോർച്ചയില്ല.