透過 MFA 實現安全的 API 存取

管理員為每個使用者設定 AWS MFA 裝置，這些使用者必須發出需要 MFA 身分驗證的 API 請求。如需詳細資訊，請參閱IAM 中的 AWS 多重要素驗證。

管理員為使用者建立包含 Condition 元素的政策，檢查使用者是否已使用 AWS MFA 裝置進行身分驗證。

使用者呼叫支援以下 MFA 參數的其中一個 AWS STS API 操作：AssumeRole 或 GetSessionToken。作為呼叫的一部分，使用者包含與其關聯的裝置的裝置識別碼。使用者也包含裝置產生之以時間為基礎的單次密碼 (TOTP)。在任一情況下，使用者都會取回稍後用來向 AWS 發出其他請求的臨時安全憑證。

在信任帳戶 A 中，Anaya 建立一個名為 CrossAccountRole 的 IAM 角色，並將該角色信任政策中的主體設定為帳戶 B 的帳戶 ID。此信任政策授予 AWS STS AssumeRole 動作的許可。Anaya 也將 MFA 條件加入到信任政策中，如以下範例中所示。

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {"AWS": "ACCOUNT-B-ID"},
    "Action": "sts:AssumeRole",
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }
}

Anaya 在該角色新增一個許可政策，以指定允許該角色執行的操作。具有 MFA 防護的角色許可政策與任何其他角色許可政策沒有差別。以下範例顯示 Anaya 新增到角色的政策；它允許假定的使用者在帳戶 A 中的 Books 資料表上執行任何 Amazon DynamoDB 動作。此政策也允許 dynamodb:ListTables 動作，而這是在主控台中執行動作的必要項目。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "TableActions",
            "Effect": "Allow",
            "Action": "dynamodb:*",
            "Resource": "arn:aws:dynamodb:*:ACCOUNT-A-ID:table/Books"
        },
        {
            "Sid": "ListTables",
            "Effect": "Allow",
            "Action": "dynamodb:ListTables",
            "Resource": "*"
        }
    ]
}

在信任帳戶 B 中，管理員確定 IAM 使用者 Richard 已使用 AWS MFA 裝置進行設定，而且知道裝置的 ID。如果是硬體 MFA 裝置，則裝置 ID 是序號，或如果是虛擬 MFA 裝置，裝置是 ARN。

在帳戶 B 中，管理員將以下政策連接到使用者 Richard (或該使用者所在的群組)，該政策允許使用者呼叫 AssumeRole 動作。資源被設定到 Anaya 在第 1 步中所建立的角色 ARN。注意，該政策不包含 MFA 條件。

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": ["sts:AssumeRole"],
    "Resource": ["arn:aws:iam::ACCOUNT-A-ID:role/CrossAccountRole"]
  }]
}

在帳戶 B 中，Richard (或 Richard 正在執行的應用程式) 呼叫 AssumeRole。API 呼叫包含要擔任角色的 ARN (arn:aws:iam::ACCOUNT-A-ID:role/CrossAccountRole)、MFA 裝置的 ID 和 Richard 從其裝置中取得的目前 TOTP。

當 Richard 呼叫 AssumeRole 時，AWS 將確定他是否擁有有效的憑證，包括 MFA 要求。如果是這種情況，Richard 將成功取得角色，並且可在使用角色的臨時憑證時對帳戶 A 中名為 Books 的表格執行任何 DynamoDB 動作。

有關呼叫 AssumeRole 的程式之範例，請參閱 使用 MFA 身分驗證呼叫 AssumeRole。

Anaya 確定 Sofía 是以 AWS MFA 裝置設定，而且 Sofía 知道裝置的 ID。如果是硬體 MFA 裝置，則裝置 ID 是序號，或如果是虛擬 MFA 裝置，裝置是 ARN。

Anaya 建立一個名為 EC2-Admins 的群組並將使用者 Sofía 加入到該群組中。

Anaya 將以下政策連接到 EC2-Admins 群組。此政策授予使用者呼叫 Amazon EC2 StopInstances 與 TerminateInstances 動作的許可，但前提是該使用者已使用 MFA 進行身分驗證。

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "ec2:StopInstances",
      "ec2:TerminateInstances"
    ],
    "Resource": ["*"],
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }]
}

如果使用者 Sofía 需要停止或終止 Amazon EC2 執行個體，她 (或執行中的應用程式) 會呼叫 GetSessionToken。此 API 操作傳遞 MFA 裝置的 ID，以及 Sofía 從其裝置取得的目前 TOTP。

使用者 Sofía (或 Sofía 正在使用的應用程式) 使用由 GetSessionToken 提供的臨時憑證來呼叫 Amazon EC2 StopInstances 或者 TerminateInstances 動作。

有關呼叫 GetSessionToken 的程式之範例，請參閱本文件後述的 使用 MFA 身分驗證呼叫 GetSessionToken。

在帳戶 A 中，Anaya 建立一個名為 Account-A-bucket 的儲存貯體。

Anaya 將儲存貯體政策加入到儲存貯體。該政策允許帳戶 A、帳戶 B 或帳戶 C 中的所有使用者執行儲存貯體中的 Amazon S3 PutObject 和 DeleteObject 動作。該政策包含 MFA 條件。

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"AWS": [
      "ACCOUNT-A-ID",
      "ACCOUNT-B-ID",
      "ACCOUNT-C-ID"
    ]},
    "Action": [
      "s3:PutObject",
      "s3:DeleteObject"
    ],
    "Resource": ["arn:aws:s3:::ACCOUNT-A-BUCKET-NAME/*"],
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }]
}

在帳戶 C 中，管理員確定使用者 Nikhil 以 AWS MFA 裝置設定，而且知道裝置的 ID。如果是硬體 MFA 裝置，則裝置 ID 是序號，或如果是虛擬 MFA 裝置，裝置是 ARN。

在帳戶 C 中，Nikhil (或該使用者正在執行的應用程式) 呼叫 GetSessionToken。此呼叫包括 MFA 裝置的 ID 或 ARN 以及 Nikhil 從其裝置中取得的目前 TOTP。

Nikhil (或 Nikhil 正在使用的應用程式) 使用由 GetSessionToken 傳回的暫時憑證來呼叫 Amazon S3 PutObject 動作，上傳檔案到 Account-A-bucket。

有關呼叫 GetSessionToken 的程式之範例，請參閱本文件後述的 使用 MFA 身分驗證呼叫 GetSessionToken。