Configuração de acesso à API protegido por MFA

O administrador configura um dispositivo MFA da AWS para cada usuário que precisa fazer solicitações de API que exigem autenticação de MFA. Esse processo é descrito em Habilitar dispositivos com MFA para usuários na AWS.

O administrador cria políticas para os usuários que incluem um elemento Condition que verifica se o usuário autenticou com um dispositivo MFA da AWS.

O usuário chama uma das operações de API do AWS STS que suporte os parâmetros de MFA AssumeRole ou GetSessionToken, dependendo do cenário de proteção de MFA, conforme explicado adiante. Como parte da chamada, o usuário inclui o identificador do dispositivo que está associado a ele. O usuário também inclui a time-based one-time password (TOTP – Senha de uso único baseada em tempo) que o dispositivo gera. Em qualquer um dos casos, o usuário recebe novamente credenciais de segurança temporárias que ele pode então usar para fazer solicitações adicionais para a AWS.

Na conta de confiança A, Anaya cria uma função do IAM chamada CrossAccountRole e define a entidade de segurança na política de confiança da função para o ID de conta da conta B. A política de confiança concede permissão para a ação AssumeRole do AWS STS. Anaya também adiciona uma condição de MFA à política de confiança, como no exemplo a seguir.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {"AWS": "ACCOUNT-B-ID"},
    "Action": "sts:AssumeRole",
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }
}

Anaya adiciona uma política de permissões à função que especifica o que a função tem permissão para fazer. A política de permissões para uma função com proteção por MFA não é diferente de qualquer outra política de permissões para funções. O exemplo a seguir mostra a política que Anaya adiciona à função; ela permite que um usuário que a esteja assumindo execute qualquer ação do Amazon DynamoDB na tabela Books na conta A. Essa política também permite a ação dynamodb:ListTables, que é necessária para executar ações no console.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "TableActions",
            "Effect": "Allow",
            "Action": "dynamodb:*",
            "Resource": "arn:aws:dynamodb:*:ACCOUNT-A-ID:table/Books"
        },
        {
            "Sid": "ListTables",
            "Effect": "Allow",
            "Action": "dynamodb:ListTables",
            "Resource": "*"
        }
    ]
}

Na conta confiável B, o administrador se certifica de que o usuário do IAM, Richard, esteja configurado com um dispositivo com MFA da AWS e de que ele saiba o ID do dispositivo. O ID do dispositivo será o número de série, se ele for um dispositivo MFA de hardware, ou o ARN do dispositivo, se ele for um dispositivo MFA virtual.

Na conta B, o administrador anexa a seguinte política ao usuário Richard (ou a um grupo do qual ele seja membro) que permite que ele invoque a ação AssumeRole. O recurso é definido como o ARN da função que Anaya criou na etapa 1. Observe que esta política não contém uma condição de MFA.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": ["sts:AssumeRole"],
    "Resource": ["arn:aws:iam::ACCOUNT-A-ID:role/CrossAccountRole"]
  }]
}

Na conta B, Richard (ou um aplicativo que Richard está executando) chama AssumeRole. A chamada de API inclui o ARN da função a assumir (arn:aws:iam::ACCOUNT-A-ID:role/CrossAccountRole), o ID do dispositivo MFA e a TOTP atual que Richard recebe de seu dispositivo.

Quando Richard chama AssumeRole, a AWS determina se ele tem credenciais válidas, incluindo a exigência de MFA. Dessa forma, Richard assume a função com êxito e pode executar qualquer ação do DynamoDB na tabela chamada Books na conta A usando as credenciais temporárias da função.

Para obter um exemplo de um programa que executa chamadas AssumeRole, consulte Chamar AssumeRole com autenticação MFA (Python).

Anaya se certifica de que Sofía esteja configurada com um dispositivo com MFA da AWS e de que ela saiba o ID do dispositivo. O ID do dispositivo será o número de série, se ele for um dispositivo MFA de hardware, ou o ARN do dispositivo, se ele for um dispositivo MFA virtual.

Anaya cria um grupo chamado EC2-Admins e adiciona o usuário Sofía ao grupo.

Anaya anexa a seguinte política ao grupo EC2-Admins. Essa política concede aos usuários permissão para chamar as ações StopInstances e TerminateInstances do Amazon EC2 apenas se o usuário tiver se autenticado usando a MFA.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "ec2:StopInstances",
      "ec2:TerminateInstances"
    ],
    "Resource": ["*"],
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }]
}

Se a usuária Sofía precisar interromper ou encerrar uma instância do Amazon EC2, ela (ou uma aplicação que ela esteja executando) chamará GetSessionToken. Essa operação de API transmite o ID do dispositivo MFA e a TOTP atual que Sofía recebeu de seu dispositivo.

A usuária Sofía (ou uma aplicação que Sofía esteja usando) usa as credenciais temporárias fornecidas por GetSessionToken para chamar a ação StopInstances ou TerminateInstances do Amazon EC2.

Para obter um exemplo de um programa que executa chamadas GetSessionToken, consulte Chamar GetSessionToken com autenticação MFA adiante neste documento.

Na conta A, Anaya cria um bucket chamado Account-A-bucket.

Anaya adiciona a política de bucket ao bucket. A política permite que qualquer usuário na conta A, B ou C execute as ações PutObject e DeleteObject do Amazon S3 no bucket. A política inclui uma condição de MFA.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"AWS": [
      "ACCOUNT-A-ID",
      "ACCOUNT-B-ID",
      "ACCOUNT-C-ID"
    ]},
    "Action": [
      "s3:PutObject",
      "s3:DeleteObject"
    ],
    "Resource": ["arn:aws:s3:::ACCOUNT-A-BUCKET-NAME/*"],
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }]
}

Na conta C, um administrador se certifica de que o usuário Nikhil esteja configurado com um dispositivo com MFA da AWS e que ele saiba o ID do dispositivo. O ID do dispositivo será o número de série, se ele for um dispositivo MFA de hardware, ou o ARN do dispositivo, se ele for um dispositivo MFA virtual.

Na conta C, Nikhil (ou um aplicativo que ele está executando) chama GetSessionToken. A chamada inclui o ID ou ARN do dispositivo de MFA e a TOTP atual que Nikhil recebe de seu dispositivo.

Nikhil (ou uma aplicação que ele esteja usando) usa as credenciais temporárias retornadas por GetSessionToken para chamar a ação PutObject do Amazon S3 para carregar um arquivo para Account-A-bucket.

Para obter um exemplo de um programa que executa chamadas GetSessionToken, consulte Chamar GetSessionToken com autenticação MFA adiante neste documento.