AWS షేర్డ్ రెస్పాన్సిబిలిటీ మోడల్ ప్రకారం, AWS "క్లౌడ్ యొక్క భద్రత" (భౌతిక డేటా సెంటర్‌లు, హోస్ట్ హార్డ్‌వేర్, హైపర్‌వైజర్‌లు)ను నిర్వహిస్తుండగా, కస్టమర్ "క్లౌడ్‌లోని భద్రత"—ముఖ్యంగా గుర్తింపు పాలన, క్రెడెన్షియల్ పరిశుభ్రత మరియు యాక్సెస్ నియంత్రణకు పూర్తి బాధ్యత వహిస్తారు. అనియంత్రిత AWS Root ఖాతా లేదా ప్రివిలేజ్డ్ IAM ఆధారాలు రాజీ పడితే, దాడి చేసేవారు అక్రమ GPU క్రిప్టో-మైనింగ్ ఇన్‌స్టాన్స్‌ల కోసం వేలాది డాలర్లను ఖర్చు చేయడం, ప్రైవేట్ S3 డేటా లేక్‌లను ఎక్స్‌ఫిల్ట్రేట్ చేయడం లేదా వినాశకరమైన ర్యాన్సమ్‌వేర్ తొలగింపులను అమలు చేయడం వంటి ప్రమాదాలు సంభవిస్తాయి.
అన్ని అడ్మినిస్ట్రేటివ్ కన్సోల్ వినియోగదారులకు MFA తప్పనిసరి మరియు AWS Root ఖాతాకు ఇది ఎట్టి పరిస్థితుల్లోనూ రాజీలేనిది.
సింగిల్ పాయింట్ ఆఫ్ ఫెయిల్యూర్‌ను నివారించడానికి AWS ప్రతి ఖాతాకు 8 విభిన్న FIDO2 మరియు వర్చువల్ TOTP టోకెన్‌లను నమోదు చేయడానికి అనుమతిస్తుంది.
గ్లోబల్ IAM షరతులతో కూడిన డినై పాలసీ క్రియాశీల MFA ధృవీకరణ పూర్తయ్యే వరకు అన్ని అనధికారిక API కాల్‌లను అడ్డుకుంటుంది.
క్లౌడ్ సమ్మతి ఆధారాలు: CIS Benchmark & నియంత్రణ ఫ్రేమ్‌వర్క్‌లు
మీ ఇంజనీరింగ్ సంస్థ SOC 2 Type II అటెస్టేషన్, ISO 27001 సర్టిఫికేషన్, PCI DSS 4.0 ధృవీకరణను అనుసరిస్తున్నా లేదా AWS Well-Architected సెక్యూరిటీ పిల్లర్‌కు అనుగుణంగా ఉన్నా, IAM గుర్తింపుల అంతటా MFA అమలు అనేది ప్రాథమిక ముందస్తు అవసరం:
| ప్రమాణం / సమ్మతి ప్రమాణం | నియంత్రణ వివరణ | తీవ్రత / ఆదేశం | ఆడిట్ ధృవీకరణ విధానం |
|---|---|---|---|
| CIS AWS Foundations Benchmark v3.0 | 1.5 / 1.6 / 1.10 | లెవల్ 1 (తప్పనిసరి) | AWS Security Hub / Prowler ఆటోమేటెడ్ అసెస్‌మెంట్ |
| PCI DSS 4.0 | నిబంధన 8.4.2 | తప్పనిసరి | కార్డ్‌హోల్డర్ డేటా ఎన్విరాన్‌మెంట్ (CDE) కన్సోల్ & API ఆడిట్ |
| SOC 2 Type II (ట్రస్ట్ ప్రమాణాలు) | CC6.1 / CC6.2 | కీలక నియంత్రణ | IAM క్రెడెన్షియల్ రిపోర్ట్‌ల స్వతంత్ర CPA తనిఖీ |
| AWS తప్పనిసరి MFA విస్తరణ | AWS 2024–2026 పాలసీ | ప్లాట్‌ఫారమ్ అమలు | MFA నమోదు పూర్తయ్యే వరకు Root లాగిన్ గేట్‌వే నిరోధించబడుతుంది |
AWS Root ఖాతాను రక్షించడంలో సంపూర్ణ ఆవశ్యకత
AWS ఖాతా సరిహద్దులో, Root ఖాతా ప్రారంభంలో సృష్టించబడిన సర్వసమర్థమైన గుర్తింపును సూచిస్తుంది. IAM పాత్రలు లేదా వినియోగదారుల మాదిరిగా కాకుండా, Root ఖాతా చర్యలను స్టాండ్‌అలోన్ ఖాతాలలో IAM గుర్తింపు ఆధారిత విధానాలు లేదా సర్వీస్ కంట్రోల్ పాలసీల ద్వారా పరిమితం చేయలేము.
రాజీపడిన Root ఖాతా వల్ల కలిగే వినాశకరమైన నష్టాలు:
- శాశ్వత ఖాతా మూసివేత: దాడి చేసేవారు "Close Account" పై క్లిక్ చేసి, శాశ్వత ఇన్‌ఫ్రాస్ట్రక్చర్ నాశనాన్ని షెడ్యూల్ చేయవచ్చు.
- బిల్లింగ్ & ఆర్థిక హైజాకింగ్: ఇన్‌వాయిస్‌లను దారి మళ్లించడం, కార్పొరేట్ చెల్లింపు కార్డులను భర్తీ చేయడం మరియు చట్టవిరుద్ధమైన క్రిప్టోకరెన్సీ మైనింగ్ కోసం 30 కంటే ఎక్కువ AWS ప్రాంతాలలో వందలాది GPU స్పాట్ ఇన్‌స్టాన్స్‌లను అమలు చేయడం.
- AWS Organizations నిర్మాణాన్ని విచ్ఛిన్నం చేయడం: నిర్వహణ ట్రీల నుండి సభ్య ఖాతాలను తొలగించడం, సంస్థాగత సమ్మతి పర్యవేక్షణను నిర్వీర్యం చేయడం.
- ప్రాథమిక భద్రతా పరిచయాలను సవరించడం: Root ఇమెయిల్ మరియు టెలిఫోన్ రికార్డులను మార్చడం వల్ల అధికారిక AWS మద్దతు జోక్య మార్గాలు శాశ్వతంగా నిలిచిపోతాయి.
- జీరో Root Access Keys: Root ఖాతా కోసం యాక్సెస్ కీలు లేవని నిర్ధారించడానికి IAM Credential Reportsని ఆడిట్ చేయండి. ఒకవేళ ఉంటే, వాటిని వెంటనే తొలగించండి.
- డ్యూయల్-కస్టడీ పాస్‌వర్డ్ వాల్టింగ్: 32+ అక్షరాల రాండమ్ పాస్‌వర్డ్‌ను రూపొందించండి, పాస్‌ఫ్రేజ్‌ను CISO మరియు జనరల్ కౌన్సెల్ మధ్య విభజించండి మరియు ముక్కలను భౌతిక అగ్నినిరోధక సేఫ్‌లలో భద్రపరచండి.
- మల్టీ-డివైస్ రిడెండెన్సీ (గరిష్టంగా 8 పరికరాలు): కనీసం రెండు భౌతిక FIDO2 హార్డ్‌వేర్ కీలు (YubiKeys) మరియు ఆఫ్‌లైన్, కోల్డ్-స్టోర్డ్ వర్చువల్ TOTP ఫాల్‌బ్యాక్ పరికరాన్ని నమోదు చేయండి.
MFA ఎంపిక మ్యాట్రిక్స్: Virtual TOTP వర్సెస్ హార్డ్‌వేర్ FIDO2 (YubiKey)
AWS మూడు ప్రాథమిక MFA పరికర తరగతులకు మద్దతు ఇస్తుంది. క్లౌడ్ ఆర్కిటెక్ట్‌లు ముప్పు నమూనాలు మరియు అడ్మినిస్ట్రేటివ్ అధికార స్థాయిల ఆధారంగా సరైన పరికరాన్ని ఎంచుకోవాలి:
వర్చువల్ TOTP అప్లికేషన్‌లు
ప్రామాణిక RFC 6238 టోకెన్‌లు (Google Authenticator, 1Password, 2FA-Tool). వేగవంతమైన ఆన్‌బోర్డింగ్, సేకరణ ఇబ్బందులు లేవు. సాధారణ డెవలపర్‌లకు అనువైనది.
YubiKey 5 సిరీస్
ఫిషింగ్-రెసిస్టెంట్ క్రిప్టోగ్రఫీ. ఆరిజిన్-బౌండ్ పబ్లిక్-కీ అసెర్షన్‌లు రివర్స్-ప్రాక్సీ ఫిషింగ్ కిట్‌లను అడ్డుకుంటాయి. Root మరియు నిర్వాహకులకు తప్పనిసరి.
Gemalto / Thales కార్డులు
LCD స్క్రీన్‌తో కూడిన స్వీయ-శక్తి గల, ఎయిర్-గ్యాప్డ్ TOTP కార్డ్. స్మార్ట్‌ఫోన్‌లు మరియు USB కీలను నిషేధించే సురక్షిత సౌకర్యాలకు (SCIFలు) అవసరం.
ఎంటర్‌ప్రైజ్ హార్డ్‌వేర్ MFA FIPS 140-2 Level 3 & డ్యూయల్-కస్టడీ సేఫ్ ప్రోటోకాల్స్:
Fortune 500 సంస్థలు మరియు రక్షణ కాంట్రాక్టర్‌ల కోసం, Root ఖాతా భద్రత FIPS 140-2 Level 3 కింద ధృవీకరించబడిన ప్రత్యేక హార్డ్‌వేర్ కీ ఫోబ్‌లను (ఉదా., SafeNet/Gemalto IDPrime fobs) తప్పనిసరి చేస్తుంది. స్మార్ట్‌ఫోన్ యాప్‌ల మాదిరిగా కాకుండా, ఈ భౌతిక ఫోబ్‌లకు ఎటువంటి వైర్‌లెస్ ఇంటర్‌ఫేస్‌లు, బ్లూటూత్ రేడియోలు ఉండవు మరియు మొబైల్ స్పైవేర్ ద్వారా వీటిని సంగ్రహించలేరు.
భౌతిక డ్యూయల్-కస్టడీ పాలన: ఎంటర్‌ప్రైజ్ డేటా సెంటర్ ప్రోటోకాల్‌లలో, Root యాక్సెస్‌కు ఇద్దరు వేర్వేరు వ్యక్తులు అవసరం: ఒక సంరక్షకుడు మాస్టర్ ఇమెయిల్ ఆధారాలను కలిగి ఉండగా, ఒక స్వతంత్ర భద్రతా అధికారి Root హార్డ్‌వేర్ టోకెన్‌ను కలిగి ఉన్న సురక్షితమైన సేఫ్ యొక్క భౌతిక కీని కలిగి ఉంటారు. ఏ ఒక్కరూ ఏకపక్షంగా AWS Root ఖాతాను యాక్సెస్ చేయలేరు.
IAM పాలసీల ద్వారా MFA అమలు (JSON అమలు)
భద్రతా బేస్‌లైన్‌లు ఉద్యోగుల స్వచ్ఛంద చర్యలపై ఆధారపడలేవు. క్లౌడ్ పాలనకు విధాన-స్థాయి అమలు అవసరం: క్రియాశీల MFA ప్రమాణీకరణ లేని వినియోగదారులకు, వారి స్వంత MFA పరికరాన్ని స్వీయ-నమోదు చేసుకునే సామర్థ్యం మినహా, అన్ని AWS API మరియు కన్సోల్ చర్యలు క్రమపద్ధతిలో తిరస్కరించబడాలి.
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowViewAccountInfo",
"Effect": "Allow",
"Action": [
"iam:GetAccountPasswordPolicy",
"iam:ListVirtualMFADevices"
],
"Resource": "*"
},
{
"Sid": "AllowManageOwnVirtualMFADevice",
"Effect": "Allow",
"Action": [
"iam:CreateVirtualMFADevice",
"iam:DeleteVirtualMFADevice"
],
"Resource": "arn:aws:iam::*:mfa/${aws:username}"
},
{
"Sid": "AllowManageOwnUserMFA",
"Effect": "Allow",
"Action": [
"iam:DeactivateMFADevice",
"iam:EnableMFADevice",
"iam:ListMFADevices",
"iam:ResyncMFADevice"
],
"Resource": "arn:aws:iam::*:user/${aws:username}"
},
{
"Sid": "BlockAllAccessUnlessMFAAuthenticated",
"Effect": "Deny",
"NotAction": [
"iam:CreateVirtualMFADevice",
"iam:EnableMFADevice",
"iam:ListMFADevices",
"iam:ListVirtualMFADevices",
"iam:ResyncMFADevice",
"iam:GetUser"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
స్టేట్‌మెంట్ 4 గ్లోబల్ కండిషన్ కీ "aws:MultiFactorAuthPresent": "false"ని స్పష్టమైన Denyతో మూల్యాంకనం చేస్తుంది. ఎక్స్‌ప్లిసిట్ డినై అన్ని అలో స్టేట్‌మెంట్‌లను ఓవర్‌రైడ్ చేస్తుంది కాబట్టి, నాన్-MFA సెషన్‌లు అన్ని AWS APIలలో వెంటనే నిరోధించబడతాయి మరియు వినియోగదారుని నేరుగా స్వీయ-నమోదు స్క్రీన్‌కు మళ్లిస్తాయి.
AWS CLI & SDK MFA ప్రమాణీకరణ: STS తాత్కాలిక సెషన్ టోకెన్‌లు
IAM విధానాలు MFAని అమలు చేసినప్పుడు, డెవలపర్‌లు aws s3 ls వంటి ఆదేశాలను రన్ చేసినప్పుడు లేదా Terraform కోడ్‌ను అమలు చేసినప్పుడు AccessDenied ఎర్రర్‌లను ఎదుర్కొంటారు. దీర్ఘకాలిక యాక్సెస్ కీలు ఇంటరాక్టివ్‌గా OTPల కోసం ప్రాంప్ట్ చేయలేవు.
ఇంజనీర్లు దీర్ఘకాలిక కీలు + 6-అంకెల TOTPని తాత్కాలిక ఆధారాలుగా మార్చుకోవడానికి AWS STS (Security Token Service)ని ఉపయోగించాలి:
ఆటోమేషన్ స్క్రిప్ట్ (aws-mfa-session.sh):
టోకెన్ పొందడాన్ని ఆటోమేట్ చేయడానికి ఈ సహాయక స్క్రిప్ట్‌ను మీ స్థానిక వాతావరణంలో (~/.aws/aws-mfa-session.sh) ఉంచండి:
# Exchange AWS Long-Term Keys + MFA Code for STS Session Token
MFA_ARN="arn:aws:iam::123456789012:mfa/alex-dev"
echo -n "Enter 6-digit 2FA OTP Code: "
read -r TOKEN_CODE
SESSION_JSON=$(aws sts get-session-token \
--serial-number "$MFA_ARN" \
--token-code "$TOKEN_CODE" \
--duration-seconds 43200 \
--output json)
if [ $? -eq 0 ]; then
export AWS_ACCESS_KEY_ID=$(echo "$SESSION_JSON" | jq -r '.Credentials.AccessKeyId')
export AWS_SECRET_ACCESS_KEY=$(echo "$SESSION_JSON" | jq -r '.Credentials.SecretAccessKey')
export AWS_SESSION_TOKEN=$(echo "$SESSION_JSON" | jq -r '.Credentials.SessionToken')
echo "✅ Authenticated! Temporary session exported (Valid for 12 hours)."
else
echo "❌ Authentication failed. Check token code or device time drift."
fi
MFA పరిమితులతో క్రాస్-అకౌంట్ AssumeRole
ఎంటర్‌ప్రైజ్ మల్టీ-అకౌంట్ ఆర్కిటెక్చర్‌లలో, ప్రివిలేజ్డ్ ఇంజనీర్లు సాధారణంగా కేంద్రీకృత ఐడెంటిటీ ఖాతాకు ప్రామాణీకరిస్తారు మరియు sts:AssumeRole ద్వారా లక్ష్య ఖాతాలకు (ప్రొడక్షన్, స్టేజింగ్) చేరుకుంటారు. లీకైన ఆధారాల ద్వారా ఎలివేటెడ్ ప్రొడక్షన్ అనుమతులు హైజాక్ చేయబడకుండా చూసుకోవడానికి, ప్రొడక్షన్ రోల్ యొక్క ట్రస్ట్ రిలేషన్ తప్పనిసరిగా MFA షరతును అమలు చేయాలి:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::111122223333:root"
},
"Action": "sts:AssumeRole",
"Condition": {
"Bool": {
"aws:MultiFactorAuthPresent": "true"
}
}
}
]
}
ఈ ఆర్కిటెక్చరల్ పద్ధతి సెంట్రల్ ఐడెంటిటీ ఖాతాలో ఆధారాలను దాడి చేసేవారు చేజిక్కించుకున్నప్పటికీ, MFA లేకుండా లక్ష్య పాత్రను ఊహించడానికి ప్రయత్నించినప్పుడు సెక్యూరిటీ టోకెన్ బౌండరీ వద్ద తక్షణ AccessDenied ఎర్రర్ వచ్చేలా చేస్తుంది.
CloudTrail ఆడిటింగ్ & EventBridge రియల్-టైమ్ హెచ్చరికలు
ఏదైనా వినియోగదారు మల్టీ-ఫ్యాక్టర్ ప్రామాణీకరణ లేకుండా AWS మేనేజ్‌మెంట్ కన్సోల్‌ను యాక్సెస్ చేసినప్పుడు ఆటోమేటెడ్ సమ్మతి ధృవీకరణకు తక్షణ గుర్తింపు అవసరం. AWS CloudTrail ఈవెంట్‌లను క్యాప్చర్ చేయడం మరియు Amazon EventBridge ద్వారా వాటిని రూట్ చేయడం ద్వారా, SecOps బృందాలు రియల్-టైమ్ హెచ్చరికలను సాధిస్తాయి:
{
"source": ["aws.signin"],
"detail-type": ["AWS Console Sign In via CloudTrail"],
"detail": {
"eventName": ["ConsoleLogin"],
"additionalEventData": {
"MFAUsed": ["No"]
}
}
}
ఈవెంట్ అందిన వెంటనే, EventBridge సెక్యూరిటీ ఆపరేషన్స్ సెంటర్ (SOC) ఆన్-కాల్ పేజర్‌కు Amazon SNS నోటిఫికేషన్‌ను ట్రిగ్గర్ చేస్తుంది లేదా యాక్టివ్ IAM యూజర్ సెషన్‌ను వెంటనే రద్దు చేసే AWS Lambda ఫంక్షన్‌ను పిలుస్తుంది.
మల్టీ-అకౌంట్ గవర్నెన్స్: AWS Organizations & IAM Identity Center
ల్యాండింగ్ జోన్‌లలో డజన్ల కొద్దీ లేదా వందలాది AWS ఖాతాలను నిర్వహించే ఎంటర్‌ప్రైజ్ వాతావరణాలలో, ప్రతి ఖాతాలో వ్యక్తిగత IAM వినియోగదారులను అందించడం సరైన విధానం కాదు (యాంటీ-ప్యాటర్న్).
కేంద్రీకృత ఐడెంటిటీ ఫెడరేషన్:
మీ నియమించబడిన మేనేజ్‌మెంట్ ఖాతాలో AWS IAM Identity Center (గతంలో AWS SSO)ని అమలు చేయండి. కార్పొరేట్ IdPల (Okta, Microsoft Entra ID, PingFederate)కు వ్యతిరేకంగా గుర్తింపులను ఫెడరేట్ చేయండి. IdP శ్రేణిలో కార్పొరేట్ MFAని అమలు చేయండి, అలాగే సభ్య ఖాతా రూట్ చర్యలను తిరస్కరించడానికి ఆర్గనైజేషన్ రూట్ వద్ద సర్వీస్ కంట్రోల్ పాలసీలను (SCPs) జత చేయండి:
"Condition": { "StringLike": { "aws:PrincipalArn": ["arn:aws:iam::*:root"] } }
ప్రొడక్షన్-గ్రేడ్ SCP: అన్ని సభ్య ఖాతాల అంతటా MFA పరిమితులను అమలు చేయడం
పెద్ద సంస్థలలో, వ్యక్తిగత ఖాతా నిర్వాహకులు అనుకోకుండా అధిక అధికారాలను మంజూరు చేయవచ్చు. ఆర్గనైజేషన్ రూట్ లేదా ఆర్గనైజేషనల్ యూనిట్ (OU) స్థాయిలో సర్వీస్ కంట్రోల్ పాలసీ (SCP)ని జోడించడం ద్వారా, క్లౌడ్ గవర్నెన్స్ బృందం తిరుగులేని రక్షణను ఏర్పరుస్తుంది: క్రియాశీల MFA సెషన్ ద్వారా ప్రామాణీకరించబడితే తప్ప అధిక-ప్రభావం చూపే API కాల్‌లు బేషరతుగా తిరస్కరించబడతాయి:
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "DenyCriticalActionsWithoutMFA",
"Effect": "Deny",
"Action": [
"iam:CreateAccessKey",
"iam:CreateLoginProfile",
"s3:DeleteBucket",
"kms:ScheduleKeyDeletion",
"ec2:TerminateInstances"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}
రోల్ చైనింగ్ & STS టోకెన్ లైఫ్‌టైమ్ పరిమితులు:
IAM గుర్తింపులు ఇంటర్మీడియట్ రోల్స్‌ను ఊహించి, ఆపై సెకండరీ రోల్స్‌ను ఊహించినప్పుడు ("రోల్ చైనింగ్"), AWS STS డౌన్‌స్ట్రీమ్ సెషన్ టోకెన్ నుండి అసలు aws:MultiFactorAuthPresent కాంటెక్స్ట్‌ను తొలగిస్తుంది! క్రాస్-అకౌంట్ పైప్‌లైన్‌లలో కఠినమైన ఎండ్-టు-ఎండ్ సమ్మతిని కొనసాగించడానికి, బహుళ ఇంటర్మీడియట్ IAM పాత్రలను చైన్ చేయడానికి బదులుగా ప్రామాణీకరించబడిన IAM Identity Center సెషన్ నుండి నేరుగా రోల్-అజంప్షన్ గ్రాఫ్‌లను నిర్మించండి.
విపత్తు రికవరీ: పోయిన Root MFA పరికర ప్రోటోకాల్
నమోదు చేయబడిన అన్ని Root MFA హార్డ్‌వేర్ టోకెన్‌లు మరియు వర్చువల్ పరికరాలు ఏదైనా విపత్తులో నాశనమైతే ఏమి జరుగుతుంది?
అధికారిక అవుట్-ఆఫ్-బ్యాండ్ రికవరీ క్రమం:
- Root సైన్-ఇన్‌ను ప్రారంభించండి: AWS కన్సోల్‌లో Root ఖాతా ఇమెయిల్ మరియు మాస్టర్ పాస్‌వర్డ్‌ను నమోదు చేయండి.
- MFA ట్రబుల్షూట్ చేయండి: MFA ప్రాంప్ట్‌లో, "Troubleshoot MFA" పై క్లిక్ చేయండి.
- ప్రాథమిక ఇమెయిల్ ధృవీకరణ: AWS ప్రాథమిక Root ఇమెయిల్ చిరునామాకు సమయ-పరిమిత ధృవీకరణ లింక్‌ను పంపుతుంది. ఇమెయిల్ ఛాలెంజ్‌ను ధృవీకరించండి.
- ఆటోమేటెడ్ వాయిస్ కాల్ ఛాలెంజ్: "Call me now" పై క్లిక్ చేయండి. ఆటోమేటెడ్ AWS ధృవీకరణ వ్యవస్థ నమోదిత ప్రాథమిక ఖాతా ఫోన్ నంబర్‌కు కాల్ చేసి 6-అంకెల నిర్ధారణ పిన్‌ను తెలియజేస్తుంది.
మీ సంస్థ ఫోన్ నంబర్‌లను మార్చినట్లయితే లేదా సంప్రదింపు వ్యక్తి AWS ఖాతా సెట్టింగ్‌లను నవీకరించకుండా సంస్థను విడిచిపెట్టినట్లయితే, ఆటోమేటెడ్ రికవరీ విఫలమవుతుంది. మాన్యువల్ పరిష్కారం కోసం AWS Trust & Safety బృందానికి కార్పొరేట్ నోటరీ చేయబడిన రిజిస్ట్రేషన్ పత్రాలను సమర్పించాల్సి ఉంటుంది, దీని సమీక్షకు 3–7 పనిదినాలు పడుతుంది.
ఎంటర్‌ప్రైజ్ క్లౌడ్ ఆర్కిటెక్ట్ తరచుగా అడిగే ప్రశ్నలు (FAQ)
DevOps బృందం అంతటా AWS Root MFA టోకెన్‌లను పంచుకోవచ్చా? ▼
ఖచ్చితంగా నిషేధించబడింది. Root MFA ఆధారాలను పంచుకోవడం అన్ని సమ్మతి ఆడిట్‌లలో (SOC 2, ISO 27001) విఫలమవుతుంది. సాధారణ పరిపాలన వ్యక్తిగత జవాబుదారీతనంతో కూడిన IAM Identity Center పాత్రల ద్వారా జరగాలి. విపత్తు బ్రేక్-గ్లాస్ ఈవెంట్‌ల కోసం మాత్రమే Root ఆధారాలు భౌతిక డ్యూయల్-కస్టడీ సేఫ్‌లలో లాక్ చేయబడి ఉండాలి.
aws:MultiFactorAuthAge కండిషన్ కీ భద్రతను ఎలా మెరుగుపరుస్తుంది? ▼
ఈ కీ సెషన్ తాజాదనాన్ని అమలు చేస్తుంది. "NumericLessThan": {"aws:MultiFactorAuthAge": "3600"}ని కాన్ఫిగర్ చేయడం వలన గత 3,600 సెకన్లలో (1 గంట) MFA టోకెన్ సమర్పించబడి ఉండాలి. సెషన్ పాతది అయితే అధిక-ప్రమాదకర చర్యలు (ఉదా., RDS క్లస్టర్‌లను రద్దు చేయడం) నిరోధించబడతాయి, తద్వారా దీర్ఘకాలిక సెషన్ హైజాకింగ్ నుండి రక్షణ లభిస్తుంది.
AWS Virtual MFAని అందించడానికి నేను 2FA-Tool ఆన్‌లైన్ అథెంటికేటర్‌ని ఉపయోగించవచ్చా? ▼
అవును. AWS Virtual MFA ఖచ్చితంగా RFC 6238 TOTP స్పెసిఫికేషన్‌లకు (HMAC-SHA1, 30-సెకన్ల విరామం, 6 అంకెలు) కట్టుబడి ఉంటుంది. నమోదుకు అవసరమైన రెండు వరుస ప్రామాణీకరణ కోడ్‌లను మీ బ్రౌజర్‌లో 100% స్థానికంగా రూపొందించడానికి మీరు Base32 రహస్య స్ట్రింగ్‌ను 2FA-Tool.com లో నమోదు చేయవచ్చు.
ఎంటర్‌ప్రైజ్ TOTP టోకెన్‌లను సురక్షితంగా పరీక్షించండి
W3C Web Crypto APIతో ప్రామాణిక RFC 6238 TOTP ధృవీకరణ కోడ్‌లను తక్షణమే రూపొందించండి. సర్వర్ కాల్‌లు లేవు, సంపూర్ణ మెమరీ కంటైన్‌మెంట్, సున్నా లీకేజ్.