Podľa modelu zdieľanej zodpovednosti AWS (Shared Responsibility Model), zatiaľ čo AWS spravuje „bezpečnosť samotného cloudu“ (fyzické dátové centrá, hardvér hostiteľov, hypervízory), zákazník nesie plnú zodpovednosť za „bezpečnosť v cloude“ – najmä za správu identít, hygienu prihlasovacích údajov a riadenie prístupu. Kompromitácia neobmedzeného účtu AWS Root alebo privilegovaného účtu IAM umožňuje útočníkom vytvoriť tisíce neoprávnených inštancií GPU na ťažbu kryptomien, odčerpať dáta zo súkromných dátových úložísk S3 alebo spustiť katastrofálne výkupné vymazanie celej infraštruktúry.
MFA je povinné pre všetkých používateľov s prístupom do konzoly a je bezpodmienečné pre účet AWS Root.
AWS umožňuje zaregistrovať až 8 nezávislých tokenov FIDO2 a virtuálnych TOTP na jeden účet, čím sa eliminuje jediný bod zlyhania.
Globálna podmienená politika IAM Deny blokuje všetky neoprávnené volania API, kým nie je vykonané platné overenie cez MFA.
Základné štandardy cloudového súladu: CIS Benchmark a regulačné rámce
Bez ohľadu na to, či vaša inžinierska organizácia usiluje o atestáciu SOC 2 Type II, certifikáciu ISO 27001, validáciu PCI DSS 4.0 alebo sa zosúlaďuje s bezpečnostným pilierom AWS Well-Architected Framework, zavedenie MFA naprieč identitami IAM predstavuje základnú podmienku:
| Štandard / Norma súladu | Špecifikácia kontroly | Závažnosť / Mandát | Mechanizmus auditu a validácie |
|---|---|---|---|
| CIS AWS Foundations Benchmark v3.0 | 1.5 / 1.6 / 1.10 | Úroveň 1 (Povinné) | Automatizované hodnotenie pomocou AWS Security Hub / Prowler |
| PCI DSS 4.0 | Požiadavka 8.4.2 | Povinné | Audit konzoly a API prostredia držiteľov kariet (CDE) |
| SOC 2 Type II (Kritériá dôvery) | CC6.1 / CC6.2 | Kľúčová kontrola | Nezávislá inšpekcia správ IAM Credential Reports audítorom CPA |
| Povinné zavedenie MFA v AWS | Pravidlá AWS 2024–2026 | Vynútenie na úrovni platformy | Blokovanie prihlásenia k účtu Root do dokončenia registrácie MFA |
Absolútna nevyhnutnosť zabezpečenia účtu AWS Root
V rámci hraníc účtu AWS predstavuje účet Root všemocnú identitu vytvorenú pri založení účtu. Na rozdiel od rolí alebo používateľov IAM nie je možné akcie účtu Root obmedziť politikami identít IAM ani politikami riadenia služieb (SCP) v samostatných účtoch.
Katastrofálny dosah kompromitácie účtu Root:
- Nezvratné zrušenie účtu: Útočníci môžu kliknúť na „Zrušiť účet“ (Close Account), čím naplánujú trvalé zničenie infraštruktúry.
- Finančný únos a zneužitie fakturácie: Presmerovanie faktúr, nahradenie firemných platobných kariet a spustenie stoviek spotových inštancií GPU v desiatkach regiónov AWS na nelegálnu ťažbu kryptomien.
- Rozbitie štruktúry AWS Organizations: Odstránenie členských účtov zo stromu riadenia a znefunkčnenie organizačného monitorovania súladu.
- Zmena primárnych bezpečnostných kontaktov: Zmena e-mailu a telefónnych čísel účtu Root natrvalo preruší oficiálne kanály na zásah technickej podpory AWS.
- Nulové prístupové kľúče pre Root: Skontrolujte prehľady IAM Credential Reports a uistite sa, že pre účet Root neexistujú žiadne prístupové kľúče (Access Keys). Ak existujú, okamžite ich vymažte.
- Uloženie hesla s dvojitou kontrolou (Dual-Custody): Vygenerujte náhodné heslo s dĺžkou 32+ znakov, rozdeľte prístupovú frázu medzi bezpečnostného riaditeľa (CISO) a právneho zástupcu a uložte jednotlivé časti do fyzických ohňovzdorných trezorov.
- Redundancia viacerých zariadení (až 8 zariadení): Zaregistrujte minimálne dva fyzické hardvérové FIDO2 kľúče (YubiKey) plus jedno offline, chladne uložené virtuálne zariadenie TOTP ako zálohu.
Matica výberu MFA: Virtuálny TOTP vs. hardvérový FIDO2 (YubiKey)
AWS podporuje tri primárne triedy zariadení MFA. Cloudoví architekti by mali výber prispôsobiť modelom hrozieb a úrovniam administratívnych oprávnení:
Virtuálne aplikácie TOTP
Štandardné tokeny podľa RFC 6238 (Google Authenticator, 1Password, 2FA-Tool). Rýchla aktivácia, žiadne obstarávacie náklady. Ideálne pre bežných vývojárov.
Séria YubiKey 5
Odolné voči phishingu. Kryptografia viazaná na pôvod domény eliminuje reverzné proxy útoky. Povinné pre účet Root a administrátorov.
Karty Gemalto / Thales
Samostatne napájaná karta TOTP s LCD displejom, fyzicky izolovaná od siete. Nevyhnutná pre zabezpečené priestory (SCIF), kde sú smartfóny a USB kľúče zakázané.
Podnikové protokoly hardvérového MFA s certifikáciou FIPS 140-2 Level 3 a bezpečným trezorom:
Pre veľké podniky a dodávateľov obranného sektora vyžaduje zabezpečenie účtu Root vyhradené hardvérové kľúčenky (napr. SafeNet/Gemalto IDPrime) certifikované podľa FIPS 140-2 Level 3. Na rozdiel od aplikácií v smartfónoch tieto fyzické zariadenia nemajú bezdrôtové rozhrania ani Bluetooth a nemožno ich napadnúť mobilným spyvérom.
Fyzické riadenie s dvojitou kontrolou (Dual-Custody): V podnikových smerniciach vyžaduje prístup k účtu Root prítomnosť dvoch nezávislých osôb: jeden správca uchováva poverenia k hlavnému e-mailu, zatiaľ čo nezávislý bezpečnostný dôstojník drží fyzický kľúč od bezpečnostného trezoru, v ktorom je uložený hardvérový token Root. Ani jedna strana nemôže získať prístup k účtu AWS Root jednostranne.
Vynútenie MFA pomocou politík IAM (implementácia JSON)
Bezpečnostné štandardy sa nemôžu spoliehať na dobrovoľné konanie zamestnancov. Cloudové riadenie vyžaduje vynútenie na úrovni politík: používateľom bez aktívneho overenia cez MFA musia byť systematicky odopreté všetky akcie v rozhraní AWS API aj v konzole, s výnimkou možnosti samostatne si zaregistrovať vlastné zariadenie MFA.
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowViewAccountInfo",
"Effect": "Allow",
"Action": [
"iam:GetAccountPasswordPolicy",
"iam:ListVirtualMFADevices"
],
"Resource": "*"
},
{
"Sid": "AllowManageOwnVirtualMFADevice",
"Effect": "Allow",
"Action": [
"iam:CreateVirtualMFADevice",
"iam:DeleteVirtualMFADevice"
],
"Resource": "arn:aws:iam::*:mfa/${aws:username}"
},
{
"Sid": "AllowManageOwnUserMFA",
"Effect": "Allow",
"Action": [
"iam:DeactivateMFADevice",
"iam:EnableMFADevice",
"iam:ListMFADevices",
"iam:ResyncMFADevice"
],
"Resource": "arn:aws:iam::*:user/${aws:username}"
},
{
"Sid": "BlockAllAccessUnlessMFAAuthenticated",
"Effect": "Deny",
"NotAction": [
"iam:CreateVirtualMFADevice",
"iam:EnableMFADevice",
"iam:ListMFADevices",
"iam:ListVirtualMFADevices",
"iam:ResyncMFADevice",
"iam:GetUser"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
Príkaz 4 vyhodnocuje globálny kľúč podmienky "aws:MultiFactorAuthPresent": "false" pomocou explicitného príkazu Deny. Keďže explicitný zákaz (Deny) má vždy prednosť pred povolením (Allow), relácie bez overenia MFA sú okamžite zablokované vo všetkých rozhraniach AWS API, čo používateľa nasmeruje priamo na registračnú obrazovku vlastného zariadenia MFA.
Autentifikácia AWS CLI a SDK cez MFA: Dočasné relačné tokeny STS
Keď politiky IAM vynucujú MFA, vývojári spúšťajúci príkazy ako aws s3 ls alebo vykonávajúci kód v Terraform dostanú chybu AccessDenied. Dlhodobé prístupové kľúče nedokážu interaktívne vyzvať na zadanie jednorazového kódu (OTP).
Inžinieri musia použiť službu AWS STS (Security Token Service), aby vymenili dlhodobé kľúče + 6-ciferný kód TOTP za dočasné poverenia:
Automatizačný skript (aws-mfa-session.sh):
Umiestnite tento pomocný skript do svojho lokálneho prostredia (~/.aws/aws-mfa-session.sh) na automatizáciu získavania tokenu:
# Výmena dlhodobých kľúčov AWS + MFA kódu za relačný token STS
MFA_ARN="arn:aws:iam::123456789012:mfa/alex-dev"
echo -n "Zadajte 6-ciferný 2FA OTP kód: "
read -r TOKEN_CODE
SESSION_JSON=$(aws sts get-session-token \
--serial-number "$MFA_ARN" \
--token-code "$TOKEN_CODE" \
--duration-seconds 43200 \
--output json)
if [ $? -eq 0 ]; then
export AWS_ACCESS_KEY_ID=$(echo "$SESSION_JSON" | jq -r '.Credentials.AccessKeyId')
export AWS_SECRET_ACCESS_KEY=$(echo "$SESSION_JSON" | jq -r '.Credentials.SecretAccessKey')
export AWS_SESSION_TOKEN=$(echo "$SESSION_JSON" | jq -r '.Credentials.SessionToken')
echo "✅ Úspešne overené! Dočasná relácia bola exportovaná (platnosť 12 hodín)."
else
echo "❌ Autentifikácia zlyhala. Skontrolujte kód tokenu alebo časový posun zariadenia."
fi
Preberanie rolí medzi účtami (AssumeRole) s podmienkami MFA
V podnikových viacúčtových architektúrach sa privilegovaní inžinieri zvyčajne prihlasujú do centrálneho účtu identít (Identity Account) a následne preberajú role v cieľových účtoch (produkcia, staging) prostredníctvom príkazu sts:AssumeRole. Aby sa zabezpečilo, že zvýšené produkčné oprávnenia nemožno zneužiť cez uniknuté poverenia, politika dôvery (Trust Policy) cieľovej role musí vynútiť podmienku MFA:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::111122223333:root"
},
"Action": "sts:AssumeRole",
"Condition": {
"Bool": {
"aws:MultiFactorAuthPresent": "true"
}
}
}
]
}
Tento architektonický vzor zaručuje, že aj keď útočník skompromituje prihlasovacie údaje v centrálnom účte identít, pokus o prevzatie cieľovej role bez splnenia MFA vyvolá okamžitú chybu AccessDenied priamo na hranici bezpečnostného tokenu.
Audit cez CloudTrail a upozornenia EventBridge v reálnom čase
Automatizované overovanie súladu vyžaduje okamžitú detekciu, keď ktorýkoľvek používateľ pristúpi k AWS Management Console bez viacfaktorového overenia. Zachytávaním udalostí AWS CloudTrail a ich smerovaním cez Amazon EventBridge dosahujú tímy SecOps varovania v reálnom čase:
{
"source": ["aws.signin"],
"detail-type": ["AWS Console Sign In via CloudTrail"],
"detail": {
"eventName": ["ConsoleLogin"],
"additionalEventData": {
"MFAUsed": ["No"]
}
}
}
Po prijatí udalosti spustí EventBridge notifikáciu cez Amazon SNS služobnému tímu Security Operations Center (SOC) alebo vyvolá funkciu AWS Lambda, ktorá okamžite zruší aktívnu reláciu používateľa IAM.
Riadenie viacerých účtov: AWS Organizations a IAM Identity Center
V podnikových prostrediach spravujúcich desiatky či stovky účtov AWS v rámci tzv. Landing Zones je manuálne vytváranie individuálnych IAM používateľov v každom účte nežiaducim vzorom (anti-pattern).
Centralizovaná federácia identít:
Nasaďte AWS IAM Identity Center (predtým AWS SSO) vo svojom vyhradenom správcovskom účte (Management Account). Federujte identity voči firemným poskytovateľom identít IdP (Okta, Microsoft Entra ID, PingFederate). Vynucujte firemné MFA na úrovni IdP a súčasne pripojte politiky riadenia služieb (SCP) na koreň organizácie na zákaz akcií účtu Root v členských účtoch:
"Condition": { "StringLike": { "aws:PrincipalArn": ["arn:aws:iam::*:root"] } }
Produkčná politika SCP: Vynútenie obmedzení MFA naprieč všetkými členskými účtami
Vo veľkých organizáciách môžu správcovia jednotlivých účtov nechtiac udeliť nadmerné oprávnenia. Pripojením politiky Service Control Policy (SCP) na úrovni koreňa organizácie alebo organizačnej jednotky (OU) stanoví cloudový tím nemenné bezpečnostné mantinely: operácie s vysokým dopadom na API sú bezpodmienečne odmietnuté, pokiaľ nie sú autorizované aktívnou reláciou MFA:
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "DenyCriticalActionsWithoutMFA",
"Effect": "Deny",
"Action": [
"iam:CreateAccessKey",
"iam:CreateLoginProfile",
"s3:DeleteBucket",
"kms:ScheduleKeyDeletion",
"ec2:TerminateInstances"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
Reťazenie rolí (Role Chaining) a obmedzenia životnosti tokenu STS:
Keď identity IAM preberajú sprostredkujúce roly, ktoré následne preberajú ďalšie roly („reťazenie rolí“), služba AWS STS odstráni pôvodný kontext aws:MultiFactorAuthPresent z nadväzujúceho relačného tokenu! Na udržanie prísneho súladu v rámci viacúčtových pipelines navrhujte grafy preberania rolí priamo z autentifikovanej relácie IAM Identity Center, namiesto postupného reťazenia viacerých IAM rolí.
Obnova po havárii: Protokol straty MFA zariadenia účtu Root
Čo sa stane, ak dôjde k zničeniu všetkých registrovaných hardvérových kľúčov aj virtuálnych zariadení MFA pre účet Root?
Oficiálny postup obnovy mimo pásma (Out-of-Band):
- Iniciujte prihlásenie Root: Zadajte e-mail účtu Root a hlavné heslo na konzole AWS.
- Riešenie problémov s MFA: Na výzve na zadanie MFA kódu kliknite na „Riešenie problémov s MFA“ (Troubleshoot MFA).
- Overenie primárneho e-mailu: AWS odošle časovo obmedzený overovací odkaz na primárnu e-mailovú adresu účtu Root. Potvrďte túto výzvu.
- Automatizovaný hlasový hovor: Kliknite na „Zavolajte mi teraz“ (Call me now). Automatizovaný overovací systém AWS zavolá na zaregistrované primárne telefónne číslo účtu a nadiktuje 6-ciferný potvrdzovací PIN.
Ak vaša organizácia zmenila telefónne čísla alebo kontaktná osoba odišla bez aktualizácie nastavení účtu AWS, automatická obnova zlyhá. Manuálne riešenie si vyžaduje predloženie notársky overených firemných dokumentov tímu AWS Trust & Safety, pričom posúdenie trvá 3 až 7 pracovných dní.
Často kladené otázky architektov podnikového cloudu (FAQ)
Môžu byť MFA tokeny účtu AWS Root zdieľané v tíme DevOps? ▼
Prísne zakázané. Zdieľanie MFA poverení účtu Root vedie k okamžitému zlyhaniu všetkých auditov súladu (SOC 2, ISO 27001). Bežná správa musí prebiehať výlučne prostredníctvom rolí IAM Identity Center s individuálnou zodpovednosťou. Poverenia Root musia zostať uzamknuté vo fyzických trezoroch s dvojitou kontrolou a slúžiť iba na núdzové riešenie katastrofických situácií (break-glass).
Ako kľúč podmienky aws:MultiFactorAuthAge zvyšuje bezpečnosť? ▼
Tento kľúč vynucuje čerstvosť relácie. Konfigurácia "NumericLessThan": {"aws:MultiFactorAuthAge": "3600"} vyžaduje, aby bol token MFA predložený počas posledných 3 600 sekúnd (1 hodina). Rizikové akcie (napr. ukončenie clusterov RDS) budú zablokované, ak je relácia staršia, čo chráni pred únosom dlhotrvajúcich relácií.
Môžem použiť online autentifikátor 2FA-Tool na nastavenie AWS Virtual MFA? ▼
Áno. Služba AWS Virtual MFA striktne dodržiava špecifikácie RFC 6238 TOTP (HMAC-SHA1, 30-sekundový interval, 6 číslic). Môžete zadať tajný reťazec Base32 do nástroja 2FA-Tool.com a vygenerovať dva po sebe idúce overovacie kódy potrebné na registráciu, a to 100% lokálne vo vašom prehliadači.
Testujte podnikové TOTP tokeny bezpečne
Generujte štandardné overovacie kódy RFC 6238 TOTP okamžite pomocou rozhrania W3C Web Crypto API. Žiadne volania serverov, absolútna izolácia v pamäti, nulové riziko úniku.