AWS பகிர்ந்தளிக்கப்பட்ட பொறுப்பு மாதிரியின் (Shared Responsibility Model) கீழ், AWS "கிளவுடின் பாதுகாப்பை" (இயற்பியல் தரவு மையங்கள், ஹோஸ்ட் வன்பொருள், ஹைப்பர்வைசர்கள்) நிர்வகிக்கும் அதே வேளையில், வாடிக்கையாளர் "கிளவுடிற்குள் பாதுகாப்பிற்கு" — குறிப்பாக அடையாள ஆளுகை, நற்சான்றிதழ் சுகாதாரம் மற்றும் அணுகல் கட்டுப்பாடு — முழுமையான பொறுப்பைத் தக்க வைத்துக் கொள்கிறார். கட்டுப்பாடற்ற AWS Root கணக்கு அல்லது சலுகை பெற்ற IAM நற்சான்றிதழின் சமரசம், அச்சுறுத்தல் செய்பவர்கள் ஆயிரக்கணக்கான டாலர்கள் மதிப்பிலான சட்டவிரோத GPU கிரிப்டோ-மைனிங் நிகழ்வுகளை உருவாக்கவோ, தனிப்பட்ட S3 தரவு ஏரிகளைத் திருடவோ அல்லது பேரழிவு தரும் ரேன்சம்வேர் நீக்கங்களை இயக்கவோ அனுமதிக்கிறது.
அனைத்து நிர்வாக கன்சோல் பயனர்களுக்கும் MFA கட்டாயமாகும் மற்றும் AWS Root கணக்கிற்கு முற்றிலும் தவிர்க்க முடியாதது.
ஒற்றைப் புள்ளியில் ஏற்படும் தோல்விகளை நீக்கி, கணக்கிற்கு 8 தனித்துவமான FIDO2 மற்றும் மெய்நிகர் TOTP டோக்கன்கள் வரை பதிவு செய்ய AWS அனுமதிக்கிறது.
செயலில் உள்ள MFA சரிபார்ப்பு அடையப்படும் வரை அனைத்து அங்கீகரிக்கப்படாத API அழைப்புகளையும் உலகளாவிய IAM நிபந்தனை மறுப்புக் கொள்கை தடுக்கிறது.
கிளவுட் இணக்க அடிப்படைகள்: CIS பெஞ்ச்மார்க் & ஒழுங்குமுறை கட்டமைப்புகள்
உங்கள் பொறியியல் அமைப்பு SOC 2 Type II சான்றளிப்பு, ISO 27001 சான்றிதழ், PCI DSS 4.0 சரிபார்ப்பு ஆகியவற்றைத் தொடர்ந்தாலும் அல்லது AWS Well-Architected பாதுகாப்புக் கொள்கைகளுடன் இணைந்திருந்தாலும், IAM அடையாளங்கள் முழுவதும் MFA-வைச் செயல்படுத்துவது ஒரு அடிப்படைத் தேவையாகும்:
| தரநிலை / இணக்கத் தரநிலை | கட்டுப்பாட்டு விவரக்குறிப்பு | தீவிரம் / ஆணை | தணிக்கை சரிபார்ப்பு வழிமுறை |
|---|---|---|---|
| CIS AWS Foundations Benchmark v3.0 | 1.5 / 1.6 / 1.10 | நிலை 1 (கட்டாயம்) | AWS Security Hub / Prowler தானியங்கி மதிப்பீடு |
| PCI DSS 4.0 | தேவை 8.4.2 | கட்டாயம் | கார்டுதாரர் தரவு சூழல் (CDE) கன்சோல் & API தணிக்கை |
| SOC 2 Type II (Trust Criteria) | CC6.1 / CC6.2 | முக்கிய கட்டுப்பாடு | IAM நற்சான்றிதழ் அறிக்கைகளின் சுயாதீன CPA ஆய்வு |
| AWS கட்டாய MFA வெளியீடு | AWS 2024–2026 கொள்கை | இயங்குதள அமலாக்கம் | MFA பதிவு முடியும் வரை Root உள்நுழைவு கேட்வே முடக்கம் |
AWS Root கணக்கைப் பாதுகாப்பதன் அத்தியாவசியத் தேவை
ஒரு AWS கணக்கு எல்லைக்குள், தொடக்கத்தின் போது உருவாக்கப்பட்ட சர்வவல்லமை படைத்த அடையாளத்தை Root கணக்கு குறிக்கிறது. IAM பாத்திரங்கள் அல்லது பயனர்களைப் போலன்றி, Root கணக்கின் செயல்களை IAM அடையாளம் சார்ந்த கொள்கைகள் அல்லது தனித்தனி கணக்குகளுக்குள் உள்ள Service Control Policies (SCP) மூலம் கட்டுப்படுத்த முடியாது.
சமரசம் செய்யப்பட்ட Root கணக்கின் பேரழிவுத் தாக்கம்:
- மாற்ற முடியாத கணக்கு மூடல்: அச்சுறுத்தல் செய்பவர்கள் "Close Account" என்பதைக் கிளிக் செய்து நிரந்தர உள்கட்டமைப்பு அழிவைத் திட்டமிடலாம்.
- பில்லிங் & நிதி கடத்தல்: இன்வாய்ஸ்களை திருப்பிவிடுதல், பெருநிறுவன கட்டண அட்டைகளை மாற்றுதல் மற்றும் சட்டவிரோத கிரிப்டோகரன்சி சுரங்கத்திற்காக 30+ AWS பிராந்தியங்களில் நூற்றுக்கணக்கான GPU ஸ்பாட் நிகழ்வுகளை வரிசைப்படுத்துதல்.
- AWS Organizations கட்டமைப்பை துண்டித்தல்: நிர்வாக மரங்களிலிருந்து உறுப்பினர் கணக்குகளை நீக்கி, நிறுவன இணக்க கண்காணிப்பை சிதைத்தல்.
- முதன்மை பாதுகாப்பு தொடர்புகளை மாற்றுதல்: Root மின்னஞ்சல் மற்றும் தொலைபேசி பதிவுகளை மாற்றுவது அதிகாரப்பூர்வ AWS ஆதரவு தலையீட்டு வழிகளை நிரந்தரமாகத் துண்டிக்கிறது.
- பூஜ்ஜிய Root அணுகல் விசைகள்: Root கணக்கிற்கான அணுகல் விசைகள் இல்லை என்பதை உறுதிப்படுத்த IAM நற்சான்றிதழ் அறிக்கைகளைத் தணிக்கை செய்யுங்கள். இருந்தால் உடனடியாக அவற்றை நீக்குங்கள்.
- இரட்டைப் பாதுகாப்பில் கடவுச்சொல் சேமிப்பு: 32+ எழுத்துக்கள் கொண்ட சீரற்ற கடவுச்சொல்லை உருவாக்கி, கடவுச்சொற்றொடரை CISO மற்றும் பொது ஆலோசகருக்கு இடையே பிரித்து, தனித்தனி தீயணைப்பு பெட்டகங்களில் பூட்டி வைக்கவும்.
- பல சாதன பணிநீக்கம் (8 சாதனங்கள் வரை): குறைந்தபட்சம் இரண்டு இயற்பியல் FIDO2 வன்பொருள் விசைகளை (YubiKeys) மற்றும் ஆஃப்லைனில் சேமிக்கப்பட்ட மெய்நிகர் TOTP சாதனத்தை பதிவு செய்யவும்.
MFA தேர்வு மேட்ரிக்ஸ்: மெய்நிகர் TOTP vs வன்பொருள் FIDO2 (YubiKey)
AWS மூன்று முதன்மை MFA சாதன வகுப்புகளை ஆதரிக்கிறது. கிளவுட் ஆர்க்கிடெக்ட்கள் அச்சுறுத்தல் மாதிரிகள் மற்றும் நிர்வாக சிறப்புரிமை நிலைகளின் அடிப்படையில் தேர்வை சீரமைக்க வேண்டும்:
மெய்நிகர் TOTP பயன்பாடுகள்
நிலையான RFC 6238 டோக்கன்கள் (Google Authenticator, 1Password, 2FA-Tool). விரைவான பயன்பாடு, கொள்முதல் உராய்வு இல்லை. நிலையான டெவலப்பர்களுக்கு ஏற்றது.
YubiKey 5 சீரிஸ்
ஃபிஷிங் எதிர்ப்பு குறியாக்கவியல். தலைகீழ் ப்ராக்ஸி ஃபிஷிங் கருவிகளை முறியடிக்கிறது. Root மற்றும் நிர்வாகிகளுக்கு கட்டாயமானது.
Gemalto / Thales கார்டுகள்
LCD திரையுடன் கூடிய சுய இயங்கும், ஏர்-கேப் செய்யப்பட்ட TOTP அட்டை. ஸ்மார்ட்போன்கள் மற்றும் USB விசைகள் தடைசெய்யப்பட்ட உயர் பாதுகாப்பு வசதிகளுக்கு (SCIFs) அவசியமானது.
நிறுவன வன்பொருள் MFA FIPS 140-2 நிலை 3 & இரட்டைப் பாதுகாப்பு நெறிமுறைகள்:
Fortune 500 நிறுவனங்கள் மற்றும் பாதுகாப்பு ஒப்பந்தக்காரர்களுக்கு, Root கணக்கு பாதுகாப்பு என்பது FIPS 140-2 நிலை 3 இன் கீழ் சான்றளிக்கப்பட்ட பிரத்யேக வன்பொருள் விசை ஃபோப்களை (எ.கா., SafeNet/Gemalto IDPrime fobs) கட்டாயமாக்குகிறது. ஸ்மார்ட்போன் பயன்பாடுகளைப் போலன்றி, இந்த இயற்பியல் ஃபோப்களில் வயர்லெஸ் இடைமுகங்கள் அல்லது புளூடூத் இல்லை, மேலும் மொபைல் ஸ்பைவேர் மூலம் அவற்றைக் கைப்பற்ற முடியாது.
இயற்பியல் இரட்டைப் பாதுகாப்பு ஆளுகை: நிறுவன தரவு மைய நெறிமுறைகளில், Root அணுகலுக்கு இரண்டு தனிநபர்கள் தேவைப்படுகிறார்கள்: ஒரு பொறுப்பாளர் முதன்மை மின்னஞ்சல் நற்சான்றிதழ்களை வைத்திருக்கிறார், அதே நேரத்தில் ஒரு சுயாதீன பாதுகாப்பு அதிகாரி Root வன்பொருள் டோக்கனைக் கொண்ட பாதுகாப்பான பெட்டகத்திற்கான இயற்பியல் சாவியை வைத்திருக்கிறார். எந்தவொரு தரப்பும் AWS Root கணக்கை தன்னிச்சையாக அணுக முடியாது.
IAM கொள்கைகள் மூலம் MFA-வை அமல்படுத்துதல் (JSON செயல்படுத்தல்)
பாதுகாப்பு அடிப்படைகள் ஊழியர்களின் தன்னார்வ நடவடிக்கையை நம்பியிருக்க முடியாது. கிளவுட் ஆளுகைக்கு கொள்கை அளவிலான அமலாக்கம் தேவைப்படுகிறது: செயலில் உள்ள MFA அங்கீகாரம் இல்லாத பயனர்கள் தங்கள் சொந்த MFA சாதனத்தை சுய-பதிவு செய்யும் திறனைத் தவிர, அனைத்து AWS API மற்றும் கன்சோல் செயல்களையும் திட்டமிட்டு மறுக்கப்பட வேண்டும்.
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowViewAccountInfo",
"Effect": "Allow",
"Action": [
"iam:GetAccountPasswordPolicy",
"iam:ListVirtualMFADevices"
],
"Resource": "*"
},
{
"Sid": "AllowManageOwnVirtualMFADevice",
"Effect": "Allow",
"Action": [
"iam:CreateVirtualMFADevice",
"iam:DeleteVirtualMFADevice"
],
"Resource": "arn:aws:iam::*:mfa/${aws:username}"
},
{
"Sid": "AllowManageOwnUserMFA",
"Effect": "Allow",
"Action": [
"iam:DeactivateMFADevice",
"iam:EnableMFADevice",
"iam:ListMFADevices",
"iam:ResyncMFADevice"
],
"Resource": "arn:aws:iam::*:user/${aws:username}"
},
{
"Sid": "BlockAllAccessUnlessMFAAuthenticated",
"Effect": "Deny",
"NotAction": [
"iam:CreateVirtualMFADevice",
"iam:EnableMFADevice",
"iam:ListMFADevices",
"iam:ListVirtualMFADevices",
"iam:ResyncMFADevice",
"iam:GetUser"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
Statement 4 உலகளாவிய நிபந்தனை விசை "aws:MultiFactorAuthPresent": "false"-ஐ வெளிப்படையான Deny மூலம் மதிப்பீடு செய்கிறது. வெளிப்படையான Deny அனைத்து Allow அறிக்கைகளையும் மீறுவதால், அனைத்து AWS API-களிலும் MFA அல்லாத அமர்வுகள் உடனடியாகத் தடுக்கப்பட்டு, பயனர் நேரடியாக சுய-பதிவுத் திரைக்கு திருப்பிவிடப்படுகிறார்.
AWS CLI & SDK MFA அங்கீகாரம்: STS தற்காலிக அமர்வு டோக்கன்கள்
IAM கொள்கைகள் MFA-வை அமல்படுத்தும்போது, aws s3 ls போன்ற கட்டளைகளை இயக்கும் அல்லது Terraform குறியீட்டை இயக்கும் டெவலப்பர்கள் AccessDenied பிழைகளைப் பெறுவார்கள். நீண்ட கால அணுகல் விசைகள் ஊடாடும் வகையில் OTP-களைக் கேட்க முடியாது.
பொறியாளர்கள் தற்காலிக நற்சான்றிதழ்களுக்காக நீண்ட கால விசைகள் + 6-இலக்க TOTP-ஐ மாற்ற AWS STS (Security Token Service)-ஐப் பயன்படுத்த வேண்டும்:
தானியங்கு ஸ்கிரிப்ட் (aws-mfa-session.sh):
டோக்கன் பெறுவதை தானியங்குபடுத்த உங்கள் உள்ளூர் சூழலில் (~/.aws/aws-mfa-session.sh) இந்த உதவி ஸ்கிரிப்டை வைக்கவும்:
# Exchange AWS Long-Term Keys + MFA Code for STS Session Token
MFA_ARN="arn:aws:iam::123456789012:mfa/alex-dev"
echo -n "Enter 6-digit 2FA OTP Code: "
read -r TOKEN_CODE
SESSION_JSON=$(aws sts get-session-token \
--serial-number "$MFA_ARN" \
--token-code "$TOKEN_CODE" \
--duration-seconds 43200 \
--output json)
if [ $? -eq 0 ]; then
export AWS_ACCESS_KEY_ID=$(echo "$SESSION_JSON" | jq -r '.Credentials.AccessKeyId')
export AWS_SECRET_ACCESS_KEY=$(echo "$SESSION_JSON" | jq -r '.Credentials.SecretAccessKey')
export AWS_SESSION_TOKEN=$(echo "$SESSION_JSON" | jq -r '.Credentials.SessionToken')
echo "✅ Authenticated! Temporary session exported (Valid for 12 hours)."
echo "❌ Authentication failed. Check token code or device time drift."
fi
MFA கட்டுப்பாடுகளுடன் கணக்குகளுக்கிடையேயான AssumeRole
நிறுவன பல கணக்கு கட்டமைப்புகளில், சலுகை பெற்ற பொறியாளர்கள் பொதுவாக ஒரு மையப்படுத்தப்பட்ட அடையாளக் கணக்கில் (Identity account) அங்கீகரித்து sts:AssumeRole வழியாக இலக்குக் கணக்குகளுக்கு (Production, Staging) மாறுகிறார்கள். கசிந்த நற்சான்றிதழ்கள் மூலம் உயர்ந்த உற்பத்தி அனுமதிகளைக் கடத்த முடியாது என்பதை உறுதிப்படுத்த, உற்பத்தி பாத்திரத்தின் நம்பிக்கை உறவு (trust policy) ஒரு MFA நிபந்தனையை அமல்படுத்த வேண்டும்:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::111122223333:root"
},
"Action": "sts:AssumeRole",
"Condition": {
"Bool": {
"aws:MultiFactorAuthPresent": "true"
}
}
}
]
}
இந்த கட்டடக்கலை மாதிரி, ஒரு தாக்குபவர் மத்திய அடையாளக் கணக்கில் நற்சான்றிதழ்களை சமரசம் செய்தாலும் கூட, MFA-வை பூர்த்தி செய்யாமல் இலக்கு பாத்திரத்தை ஏற்க முயற்சிப்பது பாதுகாப்பு டோக்கன் எல்லையில் உடனடி AccessDenied பிழையைத் தூண்டுகிறது.
CloudTrail தணிக்கை & EventBridge நிகழ்நேர எச்சரிக்கைகள்
எந்தவொரு பயனரும் பல காரணி அங்கீகாரம் இல்லாமல் AWS மேலாண்மை கன்சோலை அணுகும்போது உடனடி கண்டறிதல் தானியங்கி இணக்க சரிபார்ப்பிற்கு அவசியமாகும். AWS CloudTrail நிகழ்வுகளைப் படம்பிடித்து Amazon EventBridge வழியாக அனுப்புவதன் மூலம், SecOps குழுக்கள் நிகழ்நேர எச்சரிக்கையைப் பெறுகின்றன:
{
"source": ["aws.signin"],
"detail-type": ["AWS Console Sign In via CloudTrail"],
"detail": {
"eventName": ["ConsoleLogin"],
"additionalEventData": {
"MFAUsed": ["No"]
}
}
}
நிகழ்வு கிடைத்தவுடன், EventBridge ஆனது பாதுகாப்பு செயல்பாட்டு மையத்தின் (SOC) அழைப்பு பேஜருக்கு Amazon SNS அறிவிப்பைத் தூண்டுகிறது அல்லது செயலில் உள்ள IAM பயனர் அமர்வை உடனடியாக ரத்து செய்யும் AWS Lambda செயல்பாட்டை செயல்படுத்துகிறது.
பல கணக்கு ஆளுகை: AWS Organizations & IAM Identity Center
Landing Zones முழுவதும் டஜன் கணக்கான அல்லது நூற்றுக்கணக்கான AWS கணக்குகளை நிர்வகிக்கும் நிறுவன சூழல்களில், ஒவ்வொரு கணக்கிலும் தனிப்பட்ட IAM பயனர்களை வழங்குவது ஒரு தவறான நடைமுறையாகும்.
மையப்படுத்தப்பட்ட அடையாள கூட்டமைப்பு:
உங்கள் நியமிக்கப்பட்ட மேலாண்மைக் கணக்கில் (Management Account) AWS IAM Identity Center (முன்னர் AWS SSO) ஐ வரிசைப்படுத்தவும். பெருநிறுவன IdP-களுக்கு (Okta, Microsoft Entra ID, PingFederate) எதிராக அடையாளங்களை இணைக்கவும். IdP அடுக்கில் பெருநிறுவன MFA-வை அமல்படுத்துங்கள், அதே சமயம் உறுப்பினர் Root செயல்களை மறுக்க நிறுவனத்தின் Root-ல் Service Control Policies (SCPs)-ஐ இணைக்கவும்:
"Condition": { "StringLike": { "aws:PrincipalArn": ["arn:aws:iam::*:root"] } }
உற்பத்தி-தர SCP: அனைத்து உறுப்பினர் கணக்குகளிலும் MFA கட்டுப்பாடுகளை அமல்படுத்துதல்
பெரிய நிறுவனங்களில், தனிப்பட்ட கணக்கு நிர்வாகிகள் கவனக்குறைவாக அதிகப்படியான சலுகைகளை வழங்கலாம். நிறுவனத்தின் Root அல்லது நிறுவனப் பிரிவு (OU) மட்டத்தில் ஒரு Service Control Policy (SCP) ஐ இணைப்பதன் மூலம், கிளவுட் ஆளுகைக் குழு ஒரு மாற்ற முடியாத பாதுகாப்புத் தடையை நிறுவுகிறது: செயலில் உள்ள MFA அமர்வால் அங்கீகரிக்கப்படாவிட்டால் அழிவுகரமான முக்கியமான API அழைப்புகள் நிபந்தனையின்றி மறுக்கப்படும்:
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "DenyCriticalActionsWithoutMFA",
"Effect": "Deny",
"Action": [
"iam:CreateAccessKey",
"iam:CreateLoginProfile",
"s3:DeleteBucket",
"kms:ScheduleKeyDeletion",
"ec2:TerminateInstances"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
பாத்திரச் சங்கிலி & STS டோக்கன் வாழ்நாள் கட்டுப்பாடுகள்:
IAM அடையாளங்கள் இடைநிலை பாத்திரங்களை ஏற்று, பின்னர் இரண்டாம் நிலை பாத்திரங்களை ஏற்கும் போது ('பாத்திரச் சங்கிலி' அல்லது role chaining), கீழ்நிலை அமர்வு டோக்கனிலிருந்து அசல் aws:MultiFactorAuthPresent சூழலை AWS STS நீக்குகிறது! குறுக்கு-கணக்கு குழாய்களில் கடுமையான இறுதி முதல் இறுதி வரையிலான இணக்கத்தைப் பராமரிக்க, பல இடைநிலை IAM பாத்திரங்களை இணைப்பதை விட, அங்கீகரிக்கப்பட்ட IAM Identity Center அமர்விலிருந்து நேரடியாக பாத்திர ஏற்பு வரைபடங்களை வடிவமைக்கவும்.
பேரிடர் மீட்பு: இழந்த Root MFA சாதன நெறிமுறை
பதிவுசெய்யப்பட்ட அனைத்து Root MFA வன்பொருள் டோக்கன்களும் மெய்நிகர் சாதனங்களும் ஒரு பேரழிவில் அழிக்கப்பட்டால் என்ன நடக்கும்?
அதிகாரப்பூர்வ அவுட்-ஆஃப்-பேண்ட் மீட்பு வரிசை:
- Root உள்நுழைவைத் தொடங்குங்கள்: AWS கன்சோலில் Root கணக்கு மின்னஞ்சல் மற்றும் முதன்மை கடவுச்சொல்லை உள்ளிடவும்.
- MFA பிழைகாணல்: MFA வரியில் "Troubleshoot MFA" என்பதைக் கிளிக் செய்யவும்.
- முதன்மை மின்னஞ்சல் சரிபார்ப்பு: முதன்மை Root மின்னஞ்சல் முகவரிக்கு கால வரம்புக்குட்பட்ட சரிபார்ப்பு இணைப்பை AWS அனுப்புகிறது. மின்னஞ்சல் சவாலை சரிபார்க்கவும்.
- தானியங்கு குரல் அழைப்பு: "Call me now" என்பதைக் கிளிக் செய்யவும். தானியங்கி AWS சரிபார்ப்பு அமைப்பு பதிவுசெய்யப்பட்ட முதன்மை கணக்கு தொலைபேசி எண்ணை அழைத்து 6-இலக்க உறுதிப்படுத்தல் PIN-ஐக் கூறுகிறது.
உங்கள் நிறுவனம் தொலைபேசி எண்களை மாற்றியிருந்தாலோ அல்லது தொடர்பு நபர் AWS கணக்கு அமைப்புகளைப் புதுப்பிக்காமல் வெளியேறியிருந்தாலோ, தானியங்கி மீட்பு தோல்வியடையும். கைமுறை தீர்வுக்கு AWS Trust & Safety-க்கு நிறுவனத்தின் நோட்டரி செய்யப்பட்ட பதிவுப் பத்திரங்களைச் சமர்ப்பிக்க வேண்டும், மதிப்பாய்வு செய்ய 3–7 வணிக நாட்கள் ஆகும்.
நிறுவன கிளவுட் ஆர்க்கிடெக்ட் FAQ
DevOps குழுவில் AWS Root MFA டோக்கன்களைப் பகிர முடியுமா? ▼
கண்டிப்பாக தடைசெய்யப்பட்டுள்ளது. Root MFA நற்சான்றிதழ்களைப் பகிர்வது அனைத்து இணக்கத் தணிக்கைகளிலும் (SOC 2, ISO 27001) தோல்வியடைகிறது. வழக்கமான நிர்வாகம் தனிப்பட்ட பொறுப்புடன் IAM Identity Center பாத்திரங்கள் வழியாகப் பாய வேண்டும். Root நற்சான்றிதழ்கள் பேரழிவு அவசர காலங்களுக்காக மட்டுமே உடல் ரீதியான இரட்டைப் பாதுகாப்பு பெட்டகங்களில் பூட்டப்பட்டிருக்க வேண்டும்.
aws:MultiFactorAuthAge என்ற நிபந்தனை விசை பாதுகாப்பை எவ்வாறு மேம்படுத்துகிறது? ▼
இந்த விசை அமர்வின் புதிய தன்மையை உறுதி செய்கிறது. "NumericLessThan": {"aws:MultiFactorAuthAge": "3600"} என கட்டமைப்பது, முந்தைய 3,600 வினாடிகளுக்குள் (1 மணிநேரம்) MFA டோக்கன் சமர்ப்பிக்கப்பட்டிருக்க வேண்டும் என்பதை அவசியமாக்குகிறது. அமர்வு பழையதாக இருந்தால் அதிக ஆபத்துள்ள செயல்கள் (எ.கா. RDS கிளஸ்டர்களை முடித்தல்) தடுக்கப்படும், இது நீண்டகால அமர்வு கடத்தலில் இருந்து பாதுகாக்கிறது.
AWS மெய்நிகர் MFA-வை வழங்க 2FA-Tool ஆன்லைன் அங்கீகாரியைப் பயன்படுத்தலாமா? ▼
ஆம். AWS மெய்நிகர் MFA ஆனது RFC 6238 TOTP விவரக்குறிப்புகளை (HMAC-SHA1, 30-வினாடி இடைவெளி, 6 இலக்கங்கள்) கண்டிப்பாகப் பின்பற்றுகிறது. பதிவுக்குத் தேவையான இரண்டு தொடர்ச்சியான அங்கீகாரக் குறியீடுகளை உருவாக்க, உங்கள் உலாவியில் 100% உள்நாட்டில் Base32 ரகசிய சரத்தை 2FA-Tool.com இல் உள்ளிடலாம்.
நிறுவன TOTP டோக்கன்களைப் பாதுகாப்பாக சோதிக்கவும்
W3C Web Crypto API உடன் நிலையான RFC 6238 TOTP சரிபார்ப்புக் குறியீடுகளை உடனடியாக உருவாக்கவும். சர்வர் அழைப்புகள் இல்லை, முழுமையான நினைவக கட்டுப்பாடு, பூஜ்ஜிய கசிவு.