AWS ਸਾਂਝੀ ਜ਼ਿੰਮੇਵਾਰੀ ਮਾਡਲ (AWS Shared Responsibility Model) ਦੇ ਤਹਿਤ, ਜਦੋਂ ਕਿ AWS „ਕਲਾਉਡ ਦੀ ਸੁਰੱਖਿਆ” (Security OF the Cloud) — ਭੌਤਿਕ ਡਾਟਾ ਸੈਂਟਰ, ਹੋਸਟ ਹਾਰਡਵੇਅਰ, ਹਾਈਪਰਵਾਈਜ਼ਰ — ਦਾ ਪ੍ਰਬੰਧਨ ਕਰਦਾ ਹੈ, ਗਾਹਕ „ਕਲਾਉਡ ਵਿੱਚ ਸੁਰੱਖਿਆ” (Security IN the Cloud) — ਖਾਸ ਤੌਰ 'ਤੇ ਪਛਾਣ ਪ੍ਰਸ਼ਾਸਨ, ਪ੍ਰਮਾਣ ਪੱਤਰ ਸਵੱਛਤਾ, ਅਤੇ ਪਹੁੰਚ ਨਿਯੰਤਰਣ ਲਈ ਪੂਰੀ ਤਰ੍ਹਾਂ ਜ਼ਿੰਮੇਵਾਰ ਹੈ। ਇੱਕ ਬੇਰੋਕ AWS Root ਖਾਤੇ ਜਾਂ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ IAM ਪ੍ਰਮਾਣ ਪੱਤਰ ਦੀ ਉਲੰਘਣਾ ਖਤਰਨਾਕ ਹਮਲਾਵਰਾਂ ਨੂੰ ਗੈਰ-ਕਾਨੂੰਨੀ GPU ਕ੍ਰਿਪਟੋ-ਮਾਈਨਿੰਗ ਲਈ ਹਜ਼ਾਰਾਂ ਡਾਲਰਾਂ ਦੇ ਸਰਵਰ ਸ਼ੁਰੂ ਕਰਨ, ਨਿੱਜੀ S3 ਡਾਟਾ ਲੇਕਸ ਚੋਰੀ ਕਰਨ, ਜਾਂ ਫਿਰੌਤੀ ਲਈ ਵਿਨਾਸ਼ਕਾਰੀ ਡਿਲੀਸ਼ਨ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ।
MFA ਸਾਰੇ ਪ੍ਰਬੰਧਕੀ ਕੰਸੋਲ ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਲਾਜ਼ਮੀ ਹੈ ਅਤੇ AWS Root ਖਾਤੇ ਲਈ ਬਿਲਕੁਲ ਗੈਰ-ਸਮਝੌਤਾਯੋਗ ਹੈ।
AWS ਪ੍ਰਤੀ ਖਾਤਾ 8 ਵੱਖ-ਵੱਖ FIDO2 ਅਤੇ ਵਰਚੁਅਲ TOTP ਟੋਕਨਾਂ ਨੂੰ ਰਜਿਸਟਰ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਸਿੰਗਲ ਪੁਆਇੰਟ ਆਫ ਫੇਲੀਅਰ ਖਤਮ ਹੋ ਜਾਂਦਾ ਹੈ।
ਗਲੋਬਲ IAM ਸ਼ਰਤੀਆ Deny ਨੀਤੀ ਸਾਰੇ ਅਣਅਧਿਕਾਰਤ API ਕਾਲਾਂ ਨੂੰ ਉਦੋਂ ਤੱਕ ਰੋਕਦੀ ਹੈ ਜਦੋਂ ਤੱਕ ਸਰਗਰਮ MFA ਪ੍ਰਮਾਣਿਕਤਾ ਪ੍ਰਾਪਤ ਨਹੀਂ ਹੁੰਦੀ।
ਕਲਾਉਡ ਪਾਲਣਾ ਬੇਸਲਾਈਨਾਂ: CIS Benchmark ਅਤੇ ਰੈਗੂਲੇਟਰੀ ਢਾਂਚੇ
ਭਾਵੇਂ ਤੁਹਾਡੀ ਇੰਜੀਨੀਅਰਿੰਗ ਸੰਸਥਾ SOC 2 Type II ਪ੍ਰਮਾਣੀਕਰਨ, ISO 27001 ਸਰਟੀਫਿਕੇਸ਼ਨ, PCI DSS 4.0 ਵੈਧਤਾ, ਜਾਂ AWS Well-Architected ਸੁਰੱਖਿਆ ਥੰਮ੍ਹ ਨਾਲ ਤਾਲਮੇਲ ਦਾ ਪਿੱਛਾ ਕਰ ਰਹੀ ਹੈ, IAM ਪਛਾਣਾਂ ਵਿੱਚ MFA ਲਾਗੂ ਕਰਨਾ ਇੱਕ ਬੁਨਿਆਦੀ ਸ਼ਰਤ ਹੈ:
| ਸਟੈਂਡਰਡ / ਪਾਲਣਾ ਮਿਆਰ | ਨਿਯੰਤਰਣ ਨਿਰਧਾਰਨ | ਗੰਭੀਰਤਾ / ਆਦੇਸ਼ | ਆਡਿਟ ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਧੀ |
|---|---|---|---|
| CIS AWS Foundations Benchmark v3.0 | 1.5 / 1.6 / 1.10 | ਲੈਵਲ 1 (ਲਾਜ਼ਮੀ) | AWS Security Hub / Prowler ਸਵੈਚਾਲਿਤ ਮੁਲਾਂਕਣ |
| PCI DSS 4.0 | ਲੋੜ 8.4.2 | ਲਾਜ਼ਮੀ | ਕਾਰਡਧਾਰਕ ਡਾਟਾ ਵਾਤਾਵਰਣ (CDE) ਕੰਸੋਲ ਅਤੇ API ਆਡਿਟ |
| SOC 2 Type II (ਟਰੱਸਟ ਮਾਪਦੰਡ) | CC6.1 / CC6.2 | ਮੁੱਖ ਨਿਯੰਤਰਣ | IAM ਕ੍ਰੈਡੇਨਸ਼ੀਅਲ ਰਿਪੋਰਟਾਂ ਦਾ ਸੁਤੰਤਰ CPA ਨਿਰੀਖਣ |
| AWS ਲਾਜ਼ਮੀ MFA ਰੋਲਆਊਟ | AWS 2024–2026 ਨੀਤੀ | ਪਲੇਟਫਾਰਮ ਲਾਗੂਕਰਨ | MFA ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਪੂਰੀ ਹੋਣ ਤੱਕ Root ਲੌਗਇਨ ਗੇਟਵੇ ਬਲਾਕ |
AWS Root ਖਾਤੇ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਦੀ ਪੂਰਨ ਲਾਜ਼ਮੀ ਲੋੜ
ਇੱਕ AWS ਖਾਤੇ ਦੀ ਸੀਮਾ ਦੇ ਅੰਦਰ, Root ਖਾਤਾ ਸ਼ੁਰੂਆਤ ਵਿੱਚ ਬਣਾਈ ਗਈ ਸਰਵਸ਼ਕਤੀਮਾਨ ਪਛਾਣ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ। IAM ਭੂਮਿਕਾਵਾਂ ਜਾਂ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਉਲਟ, Root ਖਾਤੇ ਦੀਆਂ ਕਾਰਵਾਈਆਂ ਨੂੰ ਸਟੈਂਡਅਲੋਨ ਖਾਤਿਆਂ ਵਿੱਚ IAM ਪਛਾਣ-ਅਧਾਰਿਤ ਨੀਤੀਆਂ ਜਾਂ ਸਰਵਿਸ ਕੰਟਰੋਲ ਨੀਤੀਆਂ (SCPs) ਦੁਆਰਾ ਸੀਮਤ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।
ਇੱਕ ਸਮਝੌਤਾ ਕੀਤੇ Root ਖਾਤੇ ਦਾ ਵਿਨਾਸ਼ਕਾਰੀ ਦਾਇਰਾ:
- ਨਾ ਬਦਲਣਯੋਗ ਖਾਤਾ ਬੰਦ ਹੋਣਾ: ਹਮਲਾਵਰ "Close Account" 'ਤੇ ਕਲਿੱਕ ਕਰ ਸਕਦੇ ਹਨ, ਜਿਸ ਨਾਲ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦਾ ਸਥਾਈ ਵਿਨਾਸ਼ ਤਹਿ ਹੋ ਜਾਂਦਾ ਹੈ।
- ਬਿਲਿੰਗ ਅਤੇ ਵਿੱਤੀ ਹਾਈਜੈਕਿੰਗ: ਇਨਵੌਇਸਾਂ ਨੂੰ ਰੀਰੂਟ ਕਰਨਾ, ਕਾਰਪੋਰੇਟ ਭੁਗਤਾਨ ਕਾਰਡਾਂ ਨੂੰ ਬਦਲਣਾ, ਅਤੇ ਗੈਰ-ਕਾਨੂੰਨੀ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਮਾਈਨਿੰਗ ਲਈ 30+ AWS ਖੇਤਰਾਂ ਵਿੱਚ ਸੈਂਕੜੇ GPU ਸਪਾਟ ਉਦਾਹਰਣਾਂ ਨੂੰ ਤੈਨਾਤ ਕਰਨਾ।
- AWS Organizations ਢਾਂਚੇ ਨੂੰ ਤੋੜਨਾ: ਪ੍ਰਬੰਧਨ ਦਰੱਖਤਾਂ ਤੋਂ ਮੈਂਬਰ ਖਾਤਿਆਂ ਨੂੰ ਹਟਾਉਣਾ, ਸੰਗਠਨਾਤਮਕ ਪਾਲਣਾ ਨਿਗਰਾਨੀ ਨੂੰ ਖਤਮ ਕਰਨਾ।
- ਪ੍ਰਾਇਮਰੀ ਸੁਰੱਖਿਆ ਸੰਪਰਕਾਂ ਨੂੰ ਸੋਧਣਾ: Root ਈਮੇਲ ਅਤੇ ਫ਼ੋਨ ਰਿਕਾਰਡਾਂ ਨੂੰ ਬਦਲਣਾ ਅਧਿਕਾਰਤ AWS ਸਹਾਇਤਾ ਦਖਲਅੰਦਾਜ਼ੀ ਚੈਨਲਾਂ ਨੂੰ ਹਮੇਸ਼ਾ ਲਈ ਕੱਟ ਦਿੰਦਾ ਹੈ।
- ਜ਼ੀਰੋ Root ਐਕਸੈਸ ਕੁੰਜੀਆਂ (Access Keys): ਇਹ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ IAM ਕ੍ਰੈਡੇਨਸ਼ੀਅਲ ਰਿਪੋਰਟਾਂ ਦਾ ਆਡਿਟ ਕਰੋ ਕਿ Root ਖਾਤੇ ਲਈ ਐਕਸੈਸ ਕੁੰਜੀਆਂ ਮੌਜੂਦ ਨਹੀਂ ਹਨ। ਜੇਕਰ ਮੌਜੂਦ ਹਨ, ਤਾਂ ਉਹਨਾਂ ਨੂੰ ਤੁਰੰਤ ਮਿਟਾਓ।
- ਦੋਹਰੀ ਨਿਗਰਾਨੀ ਪਾਸਵਰਡ ਵਾਲਟਿੰਗ (Dual-Custody): ਇੱਕ 32+ ਅੱਖਰਾਂ ਦਾ ਬੇਤਰਤੀਬ ਪਾਸਵਰਡ ਤਿਆਰ ਕਰੋ, ਪਾਸਫ੍ਰੇਜ਼ ਨੂੰ CISO ਅਤੇ ਜਨਰਲ ਕੌਂਸਲ ਵਿਚਕਾਰ ਵੰਡੋ, ਅਤੇ ਟੁਕੜਿਆਂ ਨੂੰ ਭੌਤਿਕ ਅੱਗ-ਰੋਧਕ ਸੁਰੱਖਿਅਤ ਲਾਕਰਾਂ ਵਿੱਚ ਲੌਕ ਕਰੋ।
- ਮਲਟੀ-ਡਿਵਾਈਸ ਰਿਡੰਡੈਂਸੀ (8 ਡਿਵਾਈਸਾਂ ਤੱਕ): ਘੱਟੋ-ਘੱਟ ਦੋ ਭੌਤਿਕ FIDO2 ਹਾਰਡਵੇਅਰ ਕੁੰਜੀਆਂ (YubiKeys) ਦੇ ਨਾਲ-ਨਾਲ ਇੱਕ ਆਫ਼ਲਾਈਨ, ਕੋਲਡ-ਸਟੋਰਡ ਵਰਚੁਅਲ TOTP ਡਿਵਾਈਸ ਰਜਿਸਟਰ ਕਰੋ।
MFA ਚੋਣ ਮੈਟ੍ਰਿਕਸ: ਵਰਚੁਅਲ TOTP ਬਨਾਮ ਹਾਰਡਵੇਅਰ FIDO2 (YubiKey)
AWS ਤਿੰਨ ਪ੍ਰਾਇਮਰੀ MFA ਡਿਵਾਈਸ ਕਲਾਸਾਂ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ। ਕਲਾਉਡ ਆਰਕੀਟੈਕਟਾਂ ਨੂੰ ਖਤਰੇ ਦੇ ਮਾਡਲਾਂ ਅਤੇ ਪ੍ਰਬੰਧਕੀ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਪੱਧਰਾਂ ਦੇ ਆਧਾਰ 'ਤੇ ਚੋਣ ਨੂੰ ਇਕਸਾਰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ:
ਵਰਚੁਅਲ TOTP ਐਪਲੀਕੇਸ਼ਨਾਂ
ਸਟੈਂਡਰਡ RFC 6238 ਟੋਕਨ (Google Authenticator, 1Password, 2FA-Tool)। ਤੁਰੰਤ ਆਨਬੋਰਡਿੰਗ, ਜ਼ੀਰੋ ਖਰੀਦ ਰੁਕਾਵਟ। ਸਟੈਂਡਰਡ ਡਿਵੈਲਪਰਾਂ ਲਈ ਆਦਰਸ਼।
YubiKey 5 ਸੀਰੀਜ਼
ਫਿਸ਼ਿੰਗ-ਰੋਧਕ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫੀ। ਮੂਲ-ਬੱਝੇ ਜਨਤਕ-ਕੁੰਜੀ ਦਾਅਵੇ ਰਿਵਰਸ-ਪ੍ਰੌਕਸੀ ਫਿਸ਼ਿੰਗ ਕਿੱਟਾਂ ਨੂੰ ਨਾਕਾਮ ਕਰਦੇ ਹਨ। Root ਅਤੇ ਪ੍ਰਬੰਧਕਾਂ ਲਈ ਲਾਜ਼ਮੀ।
Gemalto / Thales ਕਾਰਡ
ਇੱਕ LCD ਸਕ੍ਰੀਨ ਵਾਲਾ ਸਵੈ-ਸੰਚਾਲਿਤ, ਏਅਰ-ਗੈਪਡ TOTP ਕਾਰਡ। ਏਅਰ-ਗੈਪਡ ਸੁਰੱਖਿਅਤ ਸਹੂਲਤਾਂ (SCIFs) ਲਈ ਜ਼ਰੂਰੀ ਜਿੱਥੇ ਸਮਾਰਟਫੋਨ ਅਤੇ USB ਕੁੰਜੀਆਂ ਦੀ ਮਨਾਹੀ ਹੈ।
ਐਂਟਰਪ੍ਰਾਈਜ਼ ਹਾਰਡਵੇਅਰ MFA FIPS 140-2 ਲੈਵਲ 3 ਅਤੇ ਦੋਹਰੀ ਨਿਗਰਾਨੀ ਸੁਰੱਖਿਅਤ ਪ੍ਰੋਟੋਕੋਲ:
Fortune 500 ਉਦਯੋਗਾਂ ਅਤੇ ਰੱਖਿਆ ਠੇਕੇਦਾਰਾਂ ਲਈ, Root ਖਾਤੇ ਦੀ ਸੁਰੱਖਿਆ FIPS 140-2 ਲੈਵਲ 3 ਦੇ ਤਹਿਤ ਪ੍ਰਮਾਣਿਤ ਸਮਰਪਿਤ ਹਾਰਡਵੇਅਰ ਕੁੰਜੀਆਂ (ਉਦਾਹਰਨ ਲਈ SafeNet/Gemalto IDPrime fobs) ਦੀ ਮੰਗ ਕਰਦੀ ਹੈ। ਸਮਾਰਟਫੋਨ ਐਪਾਂ ਦੇ ਉਲਟ, ਇਹਨਾਂ ਭੌਤਿਕ ਫੋਬਸ ਵਿੱਚ ਕੋਈ ਵਾਇਰਲੈੱਸ ਇੰਟਰਫੇਸ ਨਹੀਂ ਹੁੰਦੇ, ਕੋਈ ਬਲੂਟੁੱਥ ਰੇਡੀਓ ਨਹੀਂ ਹੁੰਦੇ, ਅਤੇ ਇਹਨਾਂ ਨੂੰ ਮੋਬਾਈਲ ਸਪਾਈਵੇਅਰ ਦੁਆਰਾ ਕੈਪਚਰ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।
ਭੌਤਿਕ ਦੋਹਰੀ ਨਿਗਰਾਨੀ ਪ੍ਰਸ਼ਾਸਨ (Dual-Custody): ਐਂਟਰਪ੍ਰਾਈਜ਼ ਡਾਟਾ ਸੈਂਟਰ ਪ੍ਰੋਟੋਕੋਲ ਵਿੱਚ, Root ਪਹੁੰਚ ਲਈ ਦੋ ਵੱਖ-ਵੱਖ ਵਿਅਕਤੀਆਂ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ: ਇੱਕ ਸਰਪ੍ਰਸਤ ਕੋਲ ਮਾਸਟਰ ਈਮੇਲ ਪ੍ਰਮਾਣ ਪੱਤਰ ਹੁੰਦੇ ਹਨ, ਜਦੋਂ ਕਿ ਇੱਕ ਸੁਤੰਤਰ ਸੁਰੱਖਿਆ ਅਧਿਕਾਰੀ ਕੋਲ Root ਹਾਰਡਵੇਅਰ ਟੋਕਨ ਵਾਲੇ ਸੁਰੱਖਿਅਤ ਲਾਕਰ ਦੀ ਭੌਤਿਕ ਕੁੰਜੀ ਹੁੰਦੀ ਹੈ। ਕੋਈ ਵੀ ਧਿਰ ਇਕਪਾਸੜ ਤੌਰ 'ਤੇ AWS Root ਖਾਤੇ ਤੱਕ ਪਹੁੰਚ ਨਹੀਂ ਕਰ ਸਕਦੀ।
IAM ਪਾਲਿਸੀਆਂ ਰਾਹੀਂ MFA ਲਾਗੂ ਕਰਨਾ (JSON ਲਾਗੂਕਰਨ)
ਸੁਰੱਖਿਆ ਬੇਸਲਾਈਨਾਂ ਕਰਮਚਾਰੀਆਂ ਦੀ ਸਵੈ-ਇੱਛਤ ਕਾਰਵਾਈ 'ਤੇ ਨਿਰਭਰ ਨਹੀਂ ਹੋ ਸਕਦੀਆਂ। ਕਲਾਉਡ ਪ੍ਰਸ਼ਾਸਨ ਲਈ ਨੀਤੀ-ਪੱਧਰੀ ਲਾਗੂਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ: ਸਰਗਰਮ MFA ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਬਿਨਾਂ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਆਪਣੀ ਖੁਦ ਦੀ MFA ਡਿਵਾਈਸ ਨੂੰ ਨਾਮਜ਼ਦ ਕਰਨ ਦੀ ਯੋਗਤਾ ਨੂੰ ਛੱਡ ਕੇ, ਸਾਰੀਆਂ AWS API ਅਤੇ ਕੰਸੋਲ ਕਾਰਵਾਈਆਂ ਤੋਂ ਯੋਜਨਾਬੱਧ ਢੰਗ ਨਾਲ ਇਨਕਾਰ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowViewAccountInfo",
"Effect": "Allow",
"Action": [
"iam:GetAccountPasswordPolicy",
"iam:ListVirtualMFADevices"
],
"Resource": "*"
},
{
"Sid": "AllowManageOwnVirtualMFADevice",
"Effect": "Allow",
"Action": [
"iam:CreateVirtualMFADevice",
"iam:DeleteVirtualMFADevice"
],
"Resource": "arn:aws:iam::*:mfa/${aws:username}"
},
{
"Sid": "AllowManageOwnUserMFA",
"Effect": "Allow",
"Action": [
"iam:DeactivateMFADevice",
"iam:EnableMFADevice",
"iam:ListMFADevices",
"iam:ResyncMFADevice"
],
"Resource": "arn:aws:iam::*:user/${aws:username}"
},
{
"Sid": "BlockAllAccessUnlessMFAAuthenticated",
"Effect": "Deny",
"NotAction": [
"iam:CreateVirtualMFADevice",
"iam:EnableMFADevice",
"iam:ListMFADevices",
"iam:ListVirtualMFADevices",
"iam:ResyncMFADevice",
"iam:GetUser"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
ਕਥਨ 4 (Statement 4) ਇੱਕ ਸਪੱਸ਼ਟ Deny ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਗਲੋਬਲ ਸਥਿਤੀ ਕੁੰਜੀ "aws:MultiFactorAuthPresent": "false" ਦਾ ਮੁਲਾਂਕਣ ਕਰਦਾ ਹੈ। ਕਿਉਂਕਿ ਸਪੱਸ਼ਟ Deny ਸਾਰੇ Allow ਕਥਨਾਂ ਨੂੰ ਓਵਰਰਾਈਡ ਕਰਦਾ ਹੈ, ਗੈਰ-MFA ਸੈਸ਼ਨਾਂ ਨੂੰ ਤੁਰੰਤ ਸਾਰੇ AWS API ਵਿੱਚ ਬਲੌਕ ਕਰ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਉਪਭੋਗਤਾ ਨੂੰ ਸਿੱਧੇ ਸਵੈ-ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਸਕ੍ਰੀਨ 'ਤੇ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ।
AWS CLI ਅਤੇ SDK MFA ਪ੍ਰਮਾਣਿਕਤਾ: STS ਅਸਥਾਈ ਸੈਸ਼ਨ ਟੋਕਨ
ਜਦੋਂ IAM ਨੀਤੀਆਂ MFA ਨੂੰ ਲਾਗੂ ਕਰਦੀਆਂ ਹਨ, ਤਾਂ ਡਿਵੈਲਪਰ ਜੋ aws s3 ls ਵਰਗੀਆਂ ਕਮਾਂਡਾਂ ਚਲਾਉਂਦੇ ਹਨ ਜਾਂ Terraform ਕੋਡ ਚਲਾਉਂਦੇ ਹਨ, ਉਹਨਾਂ ਨੂੰ AccessDenied ਗਲਤੀਆਂ ਪ੍ਰਾਪਤ ਹੋਣਗੀਆਂ। ਲੰਬੇ ਸਮੇਂ ਦੀਆਂ ਐਕਸੈਸ ਕੁੰਜੀਆਂ ਇੰਟਰਐਕਟਿਵ ਤੌਰ 'ਤੇ OTP ਲਈ ਪ੍ਰੋਂਪਟ ਨਹੀਂ ਕਰ ਸਕਦੀਆਂ।
ਇੰਜੀਨੀਅਰਾਂ ਨੂੰ ਅਸਥਾਈ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਲਈ ਲੰਬੇ ਸਮੇਂ ਦੀਆਂ ਕੁੰਜੀਆਂ + ਇੱਕ 6-ਅੰਕਾਂ ਵਾਲੇ TOTP ਦਾ ਵਪਾਰ ਕਰਨ ਲਈ AWS STS (Security Token Service) ਦੀ ਵਰਤੋਂ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ:
ਆਟੋਮੇਸ਼ਨ ਸਕ੍ਰਿਪਟ (aws-mfa-session.sh):
ਟੋਕਨ ਪ੍ਰਾਪਤੀ ਨੂੰ ਸਵੈਚਾਲਿਤ ਕਰਨ ਲਈ ਇਸ ਸਹਾਇਕ ਸਕ੍ਰਿਪਟ ਨੂੰ ਆਪਣੇ ਸਥਾਨਕ ਵਾਤਾਵਰਣ (~/.aws/aws-mfa-session.sh) ਵਿੱਚ ਰੱਖੋ:
# Exchange AWS Long-Term Keys + MFA Code for STS Session Token
MFA_ARN="arn:aws:iam::123456789012:mfa/alex-dev"
echo -n "Enter 6-digit 2FA OTP Code: "
read -r TOKEN_CODE
SESSION_JSON=$(aws sts get-session-token \
--serial-number "$MFA_ARN" \
--token-code "$TOKEN_CODE" \
--duration-seconds 43200 \
--output json)
if [ $? -eq 0 ]; then
export AWS_ACCESS_KEY_ID=$(echo "$SESSION_JSON" | jq -r '.Credentials.AccessKeyId')
export AWS_SECRET_ACCESS_KEY=$(echo "$SESSION_JSON" | jq -r '.Credentials.SecretAccessKey')
export AWS_SESSION_TOKEN=$(echo "$SESSION_JSON" | jq -r '.Credentials.SessionToken')
echo "✅ Authenticated! Temporary session exported (Valid for 12 hours)."
else
echo "❌ Authentication failed. Check token code or device time drift."
fi
MFA ਪਾਬੰਦੀਆਂ ਦੇ ਨਾਲ ਕਰਾਸ-ਅਕਾਊਂਟ AssumeRole
ਐਂਟਰਪ੍ਰਾਈਜ਼ ਮਲਟੀ-ਅਕਾਊਂਟ ਆਰਕੀਟੈਕਚਰ ਵਿੱਚ, ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ ਇੰਜੀਨੀਅਰ ਆਮ ਤੌਰ 'ਤੇ ਇੱਕ ਕੇਂਦਰੀਕ੍ਰਿਤ ਆਈਡੈਂਟਿਟੀ ਖਾਤੇ ਵਿੱਚ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦੇ ਹਨ ਅਤੇ sts:AssumeRole ਰਾਹੀਂ ਟੀਚੇ ਵਾਲੇ ਖਾਤਿਆਂ (ਪ੍ਰੋਡਕਸ਼ਨ, ਸਟੇਜਿੰਗ) ਵਿੱਚ ਪਿਵੋਟ ਕਰਦੇ ਹਨ। ਇਹ ਸੁਨਿਸ਼ਚਿਤ ਕਰਨ ਲਈ ਕਿ ਲੀਕ ਹੋਏ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਰਾਹੀਂ ਉੱਚ ਉਤਪਾਦਨ ਅਨੁਮਤੀਆਂ ਨੂੰ ਹਾਈਜੈਕ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ, ਉਤਪਾਦਨ ਭੂਮਿਕਾ ਦੇ ਭਰੋਸੇ ਸਬੰਧ (Trust Relationship) ਨੂੰ ਇੱਕ MFA ਸ਼ਰਤ ਲਾਗੂ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::111122223333:root"
},
"Action": "sts:AssumeRole",
"Condition": {
"Bool": {
"aws:MultiFactorAuthPresent": "true"
}
}
}
]
}
ਇਹ ਆਰਕੀਟੈਕਚਰਲ ਪੈਟਰਨ ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦਾ ਹੈ ਕਿ ਭਾਵੇਂ ਕੋਈ ਹਮਲਾਵਰ ਕੇਂਦਰੀ ਪਛਾਣ ਖਾਤੇ ਵਿੱਚ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨਾਲ ਸਮਝੌਤਾ ਕਰ ਲੈਂਦਾ ਹੈ, MFA ਨੂੰ ਸੰਤੁਸ਼ਟ ਕੀਤੇ ਬਿਨਾਂ ਨਿਸ਼ਾਨਾ ਭੂਮਿਕਾ ਗ੍ਰਹਿਣ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਸੁਰੱਖਿਆ ਟੋਕਨ ਸੀਮਾ 'ਤੇ ਤੁਰੰਤ AccessDenied ਗਲਤੀ ਨੂੰ ਟਰਿੱਗਰ ਕਰਦੀ ਹੈ।
CloudTrail ਆਡਿਟਿੰਗ ਅਤੇ EventBridge ਰੀਅਲ-ਟਾਈਮ ਚੇਤਾਵਨੀਆਂ
ਸਵੈਚਾਲਿਤ ਪਾਲਣਾ ਪ੍ਰਮਾਣਿਕਤਾ ਲਈ ਤੁਰੰਤ ਖੋਜ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ ਜਦੋਂ ਕੋਈ ਵੀ ਉਪਭੋਗਤਾ ਬਹੁ-ਕਾਰਕ ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਬਿਨਾਂ AWS Management Console ਤੱਕ ਪਹੁੰਚ ਕਰਦਾ ਹੈ। AWS CloudTrail ਇਵੈਂਟਾਂ ਨੂੰ ਕੈਪਚਰ ਕਰਕੇ ਅਤੇ ਉਹਨਾਂ ਨੂੰ Amazon EventBridge ਰਾਹੀਂ ਰੂਟ ਕਰਕੇ, SecOps ਟੀਮਾਂ ਰੀਅਲ-ਟਾਈਮ ਚੇਤਾਵਨੀਆਂ ਪ੍ਰਾਪਤ ਕਰਦੀਆਂ ਹਨ:
{
"source": ["aws.signin"],
"detail-type": ["AWS Console Sign In via CloudTrail"],
"detail": {
"eventName": ["ConsoleLogin"],
"additionalEventData": {
"MFAUsed": ["No"]
}
}
}
ਇਵੈਂਟ ਪ੍ਰਾਪਤ ਹੋਣ 'ਤੇ, EventBridge ਸੁਰੱਖਿਆ ਓਪਰੇਸ਼ਨ ਸੈਂਟਰ (SOC) ਆਨ-ਕਾਲ ਪੇਜਰ ਨੂੰ ਇੱਕ Amazon SNS ਸੂਚਨਾ ਭੇਜਦਾ ਹੈ ਜਾਂ ਇੱਕ AWS Lambda ਫੰਕਸ਼ਨ ਨੂੰ ਚਲਾਉਂਦਾ ਹੈ ਜੋ ਸਰਗਰਮ IAM ਉਪਭੋਗਤਾ ਸੈਸ਼ਨ ਨੂੰ ਤੁਰੰਤ ਰੱਦ ਕਰਦਾ ਹੈ।
ਮਲਟੀ-ਅਕਾਊਂਟ ਪ੍ਰਸ਼ਾਸਨ: AWS Organizations ਅਤੇ IAM Identity Center
ਲੈਂਡਿੰਗ ਜ਼ੋਨਾਂ ਵਿੱਚ ਦਰਜਨਾਂ ਜਾਂ ਸੈਂਕੜੇ AWS ਖਾਤਿਆਂ ਦਾ ਪ੍ਰਬੰਧਨ ਕਰਨ ਵਾਲੇ ਐਂਟਰਪ੍ਰਾਈਜ਼ ਵਾਤਾਵਰਣ ਵਿੱਚ, ਹਰੇਕ ਖਾਤੇ ਵਿੱਚ ਵਿਅਕਤੀਗਤ IAM ਉਪਭੋਗਤਾਵਾਂ ਦੀ ਵਿਵਸਥਾ ਕਰਨਾ ਇੱਕ ਐਂਟੀ-ਪੈਟਰਨ ਹੈ।
ਕੇਂਦਰੀਕ੍ਰਿਤ ਪਛਾਣ ਫੈਡਰੇਸ਼ਨ:
ਆਪਣੇ ਨਿਰਧਾਰਿਤ ਪ੍ਰਬੰਧਨ ਖਾਤੇ (Management Account) ਵਿੱਚ AWS IAM Identity Center (ਪਹਿਲਾਂ AWS SSO) ਤੈਨਾਤ ਕਰੋ। ਕਾਰਪੋਰੇਟ IdPs (Okta, Microsoft Entra ID, PingFederate) ਦੇ ਵਿਰੁੱਧ ਪਛਾਣਾਂ ਨੂੰ ਫੈਡਰੇਟ ਕਰੋ। IdP ਪੱਧਰ 'ਤੇ ਕਾਰਪੋਰੇਟ MFA ਲਾਗੂ ਕਰੋ, ਜਦੋਂ ਕਿ ਮੈਂਬਰ ਖਾਤਿਆਂ ਦੀਆਂ Root ਕਾਰਵਾਈਆਂ ਨੂੰ ਰੱਦ ਕਰਨ ਲਈ ਸੰਗਠਨ ਦੇ ਰੂਟ 'ਤੇ ਸਰਵਿਸ ਕੰਟਰੋਲ ਪਾਲਿਸੀਆਂ (SCPs) ਨੱਥੀ ਕਰੋ:
"Condition": { "StringLike": { "aws:PrincipalArn": ["arn:aws:iam::*:root"] } }
ਪ੍ਰੋਡਕਸ਼ਨ-ਗ੍ਰੇਡ SCP: ਸਾਰੇ ਮੈਂਬਰ ਖਾਤਿਆਂ ਵਿੱਚ MFA ਪਾਬੰਦੀਆਂ ਲਾਗੂ ਕਰਨਾ
ਵੱਡੀਆਂ ਸੰਸਥਾਵਾਂ ਵਿੱਚ, ਵਿਅਕਤੀਗਤ ਖਾਤਾ ਪ੍ਰਸ਼ਾਸਕ ਅਣਜਾਣੇ ਵਿੱਚ ਬਹੁਤ ਜ਼ਿਆਦਾ ਅਧਿਕਾਰ ਦੇ ਸਕਦੇ ਹਨ। ਸੰਗਠਨ ਰੂਟ ਜਾਂ ਸੰਗਠਨਾਤਮਕ ਇਕਾਈ (OU) ਪੱਧਰ 'ਤੇ Service Control Policy (SCP) ਨੱਥੀ ਕਰਕੇ, ਕਲਾਉਡ ਪ੍ਰਸ਼ਾਸਨ ਟੀਮ ਇੱਕ ਅਟੁੱਟ ਸੁਰੱਖਿਆ ਘੇਰਾ ਸਥਾਪਤ ਕਰਦੀ ਹੈ: ਉੱਚ-ਪ੍ਰਭਾਵ ਵਾਲੀਆਂ API ਕਾਲਾਂ ਨੂੰ ਬਿਨਾਂ ਸ਼ਰਤ ਇਨਕਾਰ ਕਰ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ ਜਦੋਂ ਤੱਕ ਕਿ ਇੱਕ ਸਰਗਰਮ MFA ਸੈਸ਼ਨ ਦੁਆਰਾ ਅਧਿਕਾਰਤ ਨਾ ਕੀਤਾ ਗਿਆ ਹੋਵੇ:
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "DenyCriticalActionsWithoutMFA",
"Effect": "Deny",
"Action": [
"iam:CreateAccessKey",
"iam:CreateLoginProfile",
"s3:DeleteBucket",
"kms:ScheduleKeyDeletion",
"ec2:TerminateInstances"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
ਰੋਲ ਚੇਨਿੰਗ (Role Chaining) ਅਤੇ STS ਟੋਕਨ ਲਾਈਫਟਾਈਮ ਪਾਬੰਦੀਆਂ:
ਜਦੋਂ IAM ਪਛਾਣਾਂ ਵਿਚਕਾਰਲੇ ਰੋਲ ਗ੍ਰਹਿਣ ਕਰਦੀਆਂ ਹਨ ਜੋ ਬਾਅਦ ਵਿੱਚ ਸੈਕੰਡਰੀ ਰੋਲ ਗ੍ਰਹਿਣ ਕਰਦੀਆਂ ਹਨ ("ਰੋਲ ਚੇਨਿੰਗ"), ਤਾਂ AWS STS ਡਾਊਨਸਟ੍ਰੀਮ ਸੈਸ਼ਨ ਟੋਕਨ ਤੋਂ ਮੂਲ aws:MultiFactorAuthPresent ਸੰਦਰਭ ਨੂੰ ਹਟਾ ਦਿੰਦਾ ਹੈ! ਕਰਾਸ-ਅਕਾਊਂਟ ਪਾਈਪਲਾਈਨਾਂ ਵਿੱਚ ਸਖਤ ਐਂਡ-ਟੂ-ਐਂਡ ਪਾਲਣਾ ਬਣਾਈ ਰੱਖਣ ਲਈ, ਕਈ ਵਿਚਕਾਰਲੇ IAM ਰੋਲਜ਼ ਨੂੰ ਚੇਨ ਕਰਨ ਦੀ ਬਜਾਏ ਪ੍ਰਮਾਣਿਤ IAM Identity Center ਸੈਸ਼ਨ ਤੋਂ ਸਿੱਧੇ ਭੂਮਿਕਾ-ਧਾਰਨਾ ਗ੍ਰਾਫ ਡਿਜ਼ਾਈਨ ਕਰੋ।
ਆਫ਼ਤ ਰਿਕਵਰੀ: ਗੁੰਮ ਹੋਏ Root MFA ਡਿਵਾਈਸ ਪ੍ਰੋਟੋਕੋਲ
ਕੀ ਹੁੰਦਾ ਹੈ ਜੇਕਰ ਸਾਰੇ ਰਜਿਸਟਰਡ Root MFA ਹਾਰਡਵੇਅਰ ਟੋਕਨ ਅਤੇ ਵਰਚੁਅਲ ਡਿਵਾਈਸਾਂ ਕਿਸੇ ਤਬਾਹੀ ਵਿੱਚ ਨਸ਼ਟ ਹੋ ਜਾਂਦੀਆਂ ਹਨ?
ਅਧਿਕਾਰਤ ਆਊਟ-ਆਫ-ਬੈਂਡ ਰਿਕਵਰੀ ਕ੍ਰਮ:
- Root ਸਾਈਨ-ਇਨ ਸ਼ੁਰੂ ਕਰੋ: AWS Console 'ਤੇ Root ਖਾਤਾ ਈਮੇਲ ਅਤੇ ਮਾਸਟਰ ਪਾਸਵਰਡ ਦਰਜ ਕਰੋ।
- MFA ਸਮੱਸਿਆ ਨਿਪਟਾਰਾ (Troubleshoot MFA): MFA ਪ੍ਰੋਂਪਟ 'ਤੇ, "Troubleshoot MFA" 'ਤੇ ਕਲਿੱਕ ਕਰੋ।
- ਪ੍ਰਾਇਮਰੀ ਈਮੇਲ ਪੁਸ਼ਟੀਕਰਨ: AWS ਪ੍ਰਾਇਮਰੀ Root ਈਮੇਲ ਪਤੇ 'ਤੇ ਸਮਾਂ-ਬੱਧ ਪੁਸ਼ਟੀਕਰਨ ਲਿੰਕ ਭੇਜਦਾ ਹੈ। ਈਮੇਲ ਚੁਣੌਤੀ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰੋ।
- ਸਵੈਚਾਲਿਤ ਵੌਇਸ ਚੁਣੌਤੀ: "Call me now" 'ਤੇ ਕਲਿੱਕ ਕਰੋ। ਸਵੈਚਾਲਿਤ AWS ਤਸਦੀਕ ਪ੍ਰਣਾਲੀ ਰਜਿਸਟਰਡ ਪ੍ਰਾਇਮਰੀ ਖਾਤਾ ਫ਼ੋਨ ਨੰਬਰ 'ਤੇ ਕਾਲ ਕਰਦੀ ਹੈ ਅਤੇ 6-ਅੰਕਾਂ ਵਾਲੇ ਪੁਸ਼ਟੀਕਰਨ PIN ਦਾ ਪਾਠ ਕਰਦੀ ਹੈ।
ਜੇਕਰ ਤੁਹਾਡੀ ਸੰਸਥਾ ਨੇ ਫ਼ੋਨ ਨੰਬਰ ਬਦਲ ਦਿੱਤੇ ਹਨ ਜਾਂ ਸੰਪਰਕ ਵਿਅਕਤੀ AWS ਖਾਤਾ ਸੈਟਿੰਗਾਂ ਨੂੰ ਅੱਪਡੇਟ ਕੀਤੇ ਬਿਨਾਂ ਛੱਡ ਗਿਆ ਹੈ, ਤਾਂ ਸਵੈਚਾਲਿਤ ਰਿਕਵਰੀ ਅਸਫਲ ਹੋ ਜਾਂਦੀ ਹੈ। ਮੈਨੂਅਲ ਰੈਜ਼ੋਲੂਸ਼ਨ ਲਈ AWS Trust & Safety ਟੀਮ ਨੂੰ ਕਾਰਪੋਰੇਟ ਨੋਟਰੀਸ਼ੁਦਾ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਦਸਤਾਵੇਜ਼ ਜਮ੍ਹਾਂ ਕਰਾਉਣ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਜਿਸ ਵਿੱਚ ਸਮੀਖਿਆ ਲਈ 3-7 ਕੰਮਕਾਜੀ ਦਿਨ ਲੱਗਦੇ ਹਨ।
ਐਂਟਰਪ੍ਰਾਈਜ਼ ਕਲਾਉਡ ਆਰਕੀਟੈਕਟ FAQ
ਕੀ AWS Root MFA ਟੋਕਨਾਂ ਨੂੰ ਇੱਕ DevOps ਟੀਮ ਵਿੱਚ ਸਾਂਝਾ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ? ▼
ਸਖਤੀ ਨਾਲ ਮਨਾਹੀ ਹੈ। Root MFA ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨੂੰ ਸਾਂਝਾ ਕਰਨਾ ਸਾਰੇ ਪਾਲਣਾ ਆਡਿਟ (SOC 2, ISO 27001) ਨੂੰ ਅਸਫਲ ਕਰਦਾ ਹੈ। ਰੁਟੀਨ ਪ੍ਰਸ਼ਾਸਨ ਵਿਅਕਤੀਗਤ ਜਵਾਬਦੇਹੀ ਦੇ ਨਾਲ IAM Identity Center ਭੂਮਿਕਾਵਾਂ ਰਾਹੀਂ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। Root ਪ੍ਰਮਾਣ ਪੱਤਰ ਸਿਰਫ਼ ਵਿਨਾਸ਼ਕਾਰੀ ਐਮਰਜੈਂਸੀ (break-glass) ਘਟਨਾਵਾਂ ਲਈ ਭੌਤਿਕ ਦੋਹਰੀ-ਨਿਗਰਾਨੀ ਸੁਰੱਖਿਅਤ ਲਾਕਰਾਂ ਵਿੱਚ ਬੰਦ ਰਹਿਣੇ ਚਾਹੀਦੇ ਹਨ।
ਸ਼ਰਤ ਕੁੰਜੀ aws:MultiFactorAuthAge ਸੁਰੱਖਿਆ ਨੂੰ ਕਿਵੇਂ ਵਧਾਉਂਦੀ ਹੈ? ▼
ਇਹ ਕੁੰਜੀ ਸੈਸ਼ਨ ਦੀ ਤਾਜ਼ਗੀ ਨੂੰ ਲਾਗੂ ਕਰਦੀ ਹੈ। "NumericLessThan": {"aws:MultiFactorAuthAge": "3600"} ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨ ਲਈ ਲੋੜ ਹੁੰਦੀ ਹੈ ਕਿ MFA ਟੋਕਨ ਪਿਛਲੇ 3,600 ਸਕਿੰਟਾਂ (1 ਘੰਟਾ) ਦੇ ਅੰਦਰ ਪੇਸ਼ ਕੀਤਾ ਗਿਆ ਸੀ। ਉੱਚ-ਜੋਖਮ ਵਾਲੀਆਂ ਕਾਰਵਾਈਆਂ (ਜਿਵੇਂ ਕਿ RDS ਕਲੱਸਟਰਾਂ ਨੂੰ ਖਤਮ ਕਰਨਾ) ਬਲੌਕ ਕੀਤੀਆਂ ਜਾਣਗੀਆਂ ਜੇਕਰ ਸੈਸ਼ਨ ਪੁਰਾਣਾ ਹੈ, ਜੋ ਲੰਬੇ ਸਮੇਂ ਦੇ ਸੈਸ਼ਨ ਹਾਈਜੈਕਿੰਗ ਤੋਂ ਬਚਾਉਂਦਾ ਹੈ।
ਕੀ ਮੈਂ AWS Virtual MFA ਦੀ ਵਿਵਸਥਾ ਕਰਨ ਲਈ 2FA-Tool ਔਨਲਾਈਨ ਪ੍ਰਮਾਣਕ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦਾ/ਸਕਦੀ ਹਾਂ? ▼
ਹਾਂ। AWS Virtual MFA ਸਖਤੀ ਨਾਲ RFC 6238 TOTP ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ (HMAC-SHA1, 30-ਸਕਿੰਟ ਅੰਤਰਾਲ, 6 ਅੰਕ) ਦੀ ਪਾਲਣਾ ਕਰਦਾ ਹੈ। ਤੁਸੀਂ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਲਈ ਲੋੜੀਂਦੇ ਦੋ ਲਗਾਤਾਰ ਪ੍ਰਮਾਣਿਕਤਾ ਕੋਡ ਤਿਆਰ ਕਰਨ ਲਈ 2FA-Tool.com ਵਿੱਚ Base32 ਗੁਪਤ ਸਤਰ ਦਰਜ ਕਰ ਸਕਦੇ ਹੋ, ਜੋ ਤੁਹਾਡੇ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ 100% ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਕੰਮ ਕਰਦਾ ਹੈ।
ਐਂਟਰਪ੍ਰਾਈਜ਼ TOTP ਟੋਕਨਾਂ ਦੀ ਸੁਰੱਖਿਅਤ ਜਾਂਚ ਕਰੋ
W3C Web Crypto API ਨਾਲ ਸਟੈਂਡਰਡ RFC 6238 TOTP ਪੁਸ਼ਟੀਕਰਨ ਕੋਡ ਤੁਰੰਤ ਤਿਆਰ ਕਰੋ। ਕੋਈ ਸਰਵਰ ਕਾਲ ਨਹੀਂ, ਸੰਪੂਰਨ ਮੈਮੋਰੀ ਨਿਯੰਤਰਣ, ਜ਼ੀਰੋ ਲੀਕੇਜ।