Thực hành bảo mật AWS MFA: Bảo vệ Root Account và người dùng IAM với Virtual MFA

Tài khoản Root có toàn quyền không giới hạn đối với mọi tài nguyên trên đám mây AWS. AWS hiện cho phép kích hoạt tối đa nhiều thiết bị MFA đồng thời cho tài khoản Root (ví dụ: kết hợp khóa bảo mật phần cứng FIDO2 như YubiKey và ứng dụng TOTP ảo dự phòng).

Để ngăn chặn nhân viên thực hiện các thao tác nhạy cảm khi chưa xác thực MFA, quản trị viên nên gắn điều kiện bắt buộc trong chính sách IAM:

{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "BlockMostAccessUnlessSignedInWithMFA",
"Effect": "Deny",
"NotAction": [
"iam:CreateVirtualMFADevice",
"iam:EnableMFADevice",
"iam:GetUser",
"iam:ListMFADevices",
"iam:ResyncMFADevice"
],
"Resource": "*",
"Condition": {
"BoolIfExists": {
"aws:MultiFactorAuthPresent": "false"
}
}
}
]
}

Khi gọi các lệnh API yêu cầu MFA từ terminal, bạn cần dùng lệnh aws sts get-session-token kèm theo mã TOTP để lấy thông tin xác thực tạm thời (Access Key, Secret Key và Session Token).