APIAccesso sicuro con MFA

L'amministratore configura un AWS MFA dispositivo per ogni utente che deve effettuare API richieste che richiedono MFA l'autenticazione. Per ulteriori informazioni, consulta AWS Autenticazione a più fattori in IAM.

L'amministratore crea politiche per gli utenti che includono un Condition elemento che verifica se l'utente si è autenticato con un AWS MFA dispositivo.

L'utente chiama una delle AWS STS API operazioni che supportano i MFA parametri: AssumeRoleo GetSessionToken. Durante la chiamata, l'utente include l'ID dispositivo per il dispositivo associato all'utente. L'utente include anche la password monouso basata sull'ora (TOTP) generata dal dispositivo. In entrambi i casi, l'utente ottiene le credenziali di sicurezza temporanee che può quindi usare per effettuare richieste aggiuntive in AWS.

Nell'account di fiducia A, Anaya crea un IAM ruolo denominato CrossAccountRole e imposta come principale nella politica di fiducia del ruolo l'ID dell'account B. La politica di fiducia concede l'autorizzazione all'azione. AWS STS AssumeRole Anaya aggiunge anche una MFA condizione alla politica di fiducia, come nell'esempio seguente.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {"AWS": "ACCOUNT-B-ID"},
    "Action": "sts:AssumeRole",
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }
}

Anaya aggiunge una policy di autorizzazione al ruolo che specifica le attività consentite per il ruolo. La politica di autorizzazione per un ruolo con MFA protezione non è diversa da qualsiasi altra politica di autorizzazione dei ruoli. L'esempio seguente mostra la policy aggiunta al ruolo da Anaya, che consente a un utente ipotetico di eseguire qualsiasi operazione Amazon DynamoDB sulla tabella Books nell'account A. Questa policy consente anche l'operazione dynamodb:ListTables, necessaria per eseguire operazioni nella console.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "TableActions",
            "Effect": "Allow",
            "Action": "dynamodb:*",
            "Resource": "arn:aws:dynamodb:*:ACCOUNT-A-ID:table/Books"
        },
        {
            "Sid": "ListTables",
            "Effect": "Allow",
            "Action": "dynamodb:ListTables",
            "Resource": "*"
        }
    ]
}

Nell'account attendibile B, l'amministratore si assicura che IAM l'utente Richard sia configurato con un AWS MFA dispositivo e che conosca l'ID del dispositivo. L'ID del dispositivo è il numero di serie se si tratta di un MFA dispositivo hardware o il numero del dispositivo ARN se si tratta di un MFA dispositivo virtuale.

Nell'account B, l'amministratore collega all'utente Richard (o un gruppo di cui è membro) la policy seguente, che gli permette di chiamare l'operazione AssumeRole. La risorsa è impostata sul ARN ruolo creato da Anaya nel passaggio 1. Nota che questa politica non contiene alcuna MFA condizione.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": ["sts:AssumeRole"],
    "Resource": ["arn:aws:iam::ACCOUNT-A-ID:role/CrossAccountRole"]
  }]
}

Nell'account B, Richard (o un'applicazione che Richard sta eseguendo) chiama AssumeRole. La API chiamata include il ARN ruolo da assumere (arn:aws:iam::ACCOUNT-A-ID:role/CrossAccountRole), l'ID del MFA dispositivo e la corrente TOTP che Richard riceve dal suo dispositivo.

Quando Richard chiamaAssumeRole, AWS determina se dispone di credenziali valide, incluso il requisito perMFA. In caso affermativo, Richard assume correttamente il ruolo e può eseguire qualsiasi operazione DynamoDB sulla tabella denominata Books nell'account A usando le credenziali temporanee del ruolo.

Per un esempio di programma che chiama AssumeRole, consulta Chiamata con autenticazione AssumeRole MFA.

Anaya si assicura che Sofía sia configurata con un AWS MFA dispositivo e che Sofía conosca l'ID del dispositivo. L'ID del dispositivo è il numero di serie se si tratta di un MFA dispositivo hardware o il numero del dispositivo ARN se è un dispositivo virtuale. MFA

Anaya crea un gruppo denominato EC2-Admins e aggiunge l'utente Sofía al gruppo.

Anaya collega la policy seguente al gruppo EC2-Admins. Questa politica concede agli utenti l'autorizzazione a chiamare Amazon EC2 StopInstances e ad TerminateInstances agire solo se l'utente si è autenticato tramite. MFA

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "ec2:StopInstances",
      "ec2:TerminateInstances"
    ],
    "Resource": ["*"],
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }]
}

Se l'utente Sofía deve interrompere o terminare un'EC2istanza Amazon, lei (o un'applicazione che sta eseguendo) chiama. GetSessionToken Questa API operazione trasmette l'ID del MFA dispositivo e la corrente TOTP che Sofía riceve dal suo dispositivo.

L'utente Sofía (o un'applicazione utilizzata da Sofía) utilizza le credenziali temporanee fornite da GetSessionToken per chiamare Amazon EC2 StopInstances or action. TerminateInstances

Per un esempio di programma che chiama GetSessionToken, consulta Chiamata GetSessionToken con MFA autenticazione più avanti in questo documento.

Nell'account A, Anaya crea un bucket denominato Account-A-bucket.

Anaya aggiunge la policy del bucket al bucket. La policy permette a qualsiasi utente in un account A, un account B o un account C di eseguire le operazioni PutObject e DeleteObject di Amazon S3 nel bucket. La politica include una condizione. MFA

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"AWS": [
      "ACCOUNT-A-ID",
      "ACCOUNT-B-ID",
      "ACCOUNT-C-ID"
    ]},
    "Action": [
      "s3:PutObject",
      "s3:DeleteObject"
    ],
    "Resource": ["arn:aws:s3:::ACCOUNT-A-BUCKET-NAME/*"],
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }]
}

Nell'account C, un amministratore si assicura che l'utente Nikhil sia configurato con un AWS MFA dispositivo e che conosca l'ID del dispositivo. L'ID del dispositivo è il numero di serie se si tratta di un MFA dispositivo hardware o il numero del dispositivo ARN se si tratta di un dispositivo virtualeMFA.

Nell'account C, Nikhil (o un'applicazione che lui sta eseguendo) chiama GetSessionToken. La chiamata include l'ID o ARN del MFA dispositivo e la corrente TOTP che Nikhil riceve dal suo dispositivo.

Nikhil (o un'applicazione che lui sta usando) usa le credenziali temporanee restituite da GetSessionToken per chiamare l'operazione PutObject di Amazon S3 per caricare un file in Account-A-bucket.

Per un esempio di programma che chiama GetSessionToken, consulta Chiamata GetSessionToken con MFA autenticazione più avanti in questo documento.