01. Proteção da Conta Root com Múltiplos Dispositivos MFA
A conta Root possui privilégios irrestritos sobre todos os recursos de faturamento e infraestrutura da AWS. A AWS permite cadastrar múltiplos dispositivos MFA simultâneos para a conta Root (combinando chaves FIDO2 de hardware e aplicativos TOTP virtuais como redundância).
02. Imposição de MFA via Políticas IAM (aws:MultiFactorAuthPresent)
Para impedir que credenciais vazadas executem ações sensíveis, administradores devem anexar políticas IAM com cláusulas Deny explícitas quando a condição aws:MultiFactorAuthPresent for avaliada como falsa.