Akses API aman dengan MFA

Administrator mengonfigurasi perangkat AWS MFA untuk setiap pengguna yang harus membuat permintaan API yang memerlukan otentikasi MFA. Untuk informasi selengkapnya, lihat AWS Otentikasi multi-faktor di IAM.

Administrator membuat kebijakan untuk pengguna yang menyertakan Condition elemen yang memeriksa apakah pengguna diautentikasi dengan perangkat AWS MFA.

Pengguna memanggil salah satu operasi AWS STS API yang mendukung parameter MFA: AssumeRoleatau. GetSessionToken Sebagai bagian dari panggilan, pengguna mencakup pengidentifikasi perangkat untuk perangkat yang terhubung dengan pengguna. Pengguna juga menyertakan kata sandi satu kali berbasis waktu (TOTP) yang dihasilkan perangkat. Dalam kasus lain, pengguna mendapatkan kembali kredensial keamanan sementara yang dapat digunakan pengguna untuk membuat permintaan tambahan ke AWS.

Di akun kepercayaan A, Anaya membuat peran IAM bernama CrossAccountRole dan menetapkan prinsipal dalam kebijakan kepercayaan peran ke ID akun B. Kebijakan kepercayaan memberikan izin untuk tindakan tersebut. AWS STS AssumeRole Anaya juga menambahkan ketentuan MFA ke kebijakan kepercayaan, seperti dalam contoh berikut.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {"AWS": "ACCOUNT-B-ID"},
    "Action": "sts:AssumeRole",
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }
}

Anaya menambahkan kebijakan izin untuk peran yang menentukan apa yang dapat dilakukan peran tersebut. Kebijakan izin untuk peran dengan perlindungan MFA tidak berbeda dengan kebijakan izin peran lainnya. Contoh berikut menunjukkan kebijakan yang ditambahkan Anaya ke peran; ini memungkinkan pengguna yang berasumsi untuk melakukan tindakan Amazon DynamoDB apa pun pada Books tabel di akun A. Kebijakan ini juga mengizinkan dynamodb:ListTables tindakan, yang diperlukan untuk melakukan tindakan di konsol.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "TableActions",
            "Effect": "Allow",
            "Action": "dynamodb:*",
            "Resource": "arn:aws:dynamodb:*:ACCOUNT-A-ID:table/Books"
        },
        {
            "Sid": "ListTables",
            "Effect": "Allow",
            "Action": "dynamodb:ListTables",
            "Resource": "*"
        }
    ]
}

Di akun B tepercaya, administrator memastikan bahwa pengguna IAM Richard dikonfigurasi dengan perangkat AWS MFA dan bahwa ia mengetahui ID perangkat. ID perangkat adalah nomor seri jika MFA perangkat keras, atau ARN perangkat jika itu adalah perangkat MFA virtual.

Di akun B, administrator melampirkan kebijakan berikut kepada pengguna Richard (atau grup yang ia anggota) yang memungkinkannya untuk menghubungi tindakan AssumeRole. Sumber daya diatur ke ARN dari peran yang dibuat Anaya pada langkah 1. Perhatikan bahwa kebijakan ini tidak mengandung ketentuan MFA.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": ["sts:AssumeRole"],
    "Resource": ["arn:aws:iam::ACCOUNT-A-ID:role/CrossAccountRole"]
  }]
}

Di akun B, Richard (atau aplikasi yang dijalankan Richard) akan memanggil AssumeRole. Panggilan API mencakup ARN peran yang akan diasumsikan (arn:aws:iam::ACCOUNT-A-ID:role/CrossAccountRole), ID perangkat MFA, dan TOTP saat ini yang Richard dapatkan dari perangkatnya.

Ketika Richard meneleponAssumeRole, AWS menentukan apakah ia memiliki kredensi yang valid, termasuk persyaratan untuk MFA. Jika demikian, Richard berhasil mengasumsikan peran tersebut dan dapat melakukan tindakan DynamoDB apa pun pada tabel yang Books disebutkan di akun A saat menggunakan kredenal sementara peran tersebut.

Sebagai contoh program yang memanggil AssumeRole, lihat Memanggil AssumeRole dengan otentikasi MFA.

Anaya memastikan bahwa Sofía dikonfigurasi dengan perangkat AWS MFA dan Sofía mengetahui ID perangkat tersebut. ID perangkat adalah nomor seri jika MFA perangkat keras, atau ARN perangkat jika itu adalah perangkat MFA virtual.

Anaya membuat kelompok bernama EC2-Admins dan menambahkan Sofía ke grup.

Anaya melampirkan kebijakan berikut ke kelompok EC2-Admins. Kebijakan ini memberi pengguna izin untuk memanggil Amazon EC2 StopInstances dan TerminateInstances tindakan hanya jika pengguna telah mengautentikasi menggunakan MFA.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "ec2:StopInstances",
      "ec2:TerminateInstances"
    ],
    "Resource": ["*"],
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }]
}

Jika pengguna Sofía perlu menghentikan atau menghentikan EC2 instance Amazon, dia (atau aplikasi yang sedang dia jalankan) memanggil. GetSessionToken Operasi API ini meneruskan ID perangkat MFA dan TOTP saat ini yang diperoleh Sofía dari perangkatnya.

Pengguna Sofía (atau aplikasi yang digunakan Sofía) menggunakan kredenal sementara yang disediakan oleh untuk GetSessionToken memanggil Amazon atau tindakan. EC2 StopInstances TerminateInstances

Sebagai contoh program yang memanggil GetSessionToken, lihat Memanggil GetSessionToken dengan otentikasi MFA nanti di dokumen ini.

Pada akun A, Anaya membuat bucket dengan nama Account-A-bucket.

Anaya menambahkan kebijakan bucket ke bucket. Kebijakan ini memungkinkan pengguna di akun A, akun B, atau akun C untuk melakukan tindakan Amazon S3 PutObject dan DeleteObject di dalam bucket. Kebijakan ini mencakup ketentuan MFA.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"AWS": [
      "ACCOUNT-A-ID",
      "ACCOUNT-B-ID",
      "ACCOUNT-C-ID"
    ]},
    "Action": [
      "s3:PutObject",
      "s3:DeleteObject"
    ],
    "Resource": ["arn:aws:s3:::ACCOUNT-A-BUCKET-NAME/*"],
    "Condition": {"Bool": {"aws:MultiFactorAuthPresent": "true"}}
  }]
}

Di akun C, administrator memastikan bahwa pengguna Nikhil dikonfigurasi dengan perangkat MFA AWS dan bahwa dia mengetahui ID perangkat. ID perangkat adalah nomor seri jika MFA perangkat keras, atau ARN perangkat jika itu adalah perangkat MFA virtual.

Dalam akun C, Nikhil (atau aplikasi yang dia jalankan) akan memanggil GetSessionToken. Panggilan mencakup ID atau ARN perangkat MFA dan TOTP saat ini yang diperoleh Nikhil dari perangkatnya.

Nikhil (atau aplikasi yang dia gunakan) menggunakan kredensial sementara yang dikembalikan oleh GetSessionToken untuk menghubungi tindakan Amazon S3 PutObject untuk mengunggah file ke Account-A-bucket.

Sebagai contoh program yang memanggil GetSessionToken, lihat Memanggil GetSessionToken dengan otentikasi MFA nanti di dokumen ini.