AWS是否可以在组级别上强制执行MFA（例如，对于拥有管理员权限的所有人）？

Question

是否可以创建IAM规则或SCP（组织规则）以对特定组中的所有用户或具有某些权限（例如管理员或超级用户）强制执行MFA？

Answer 1

据我所知，您可以将拒绝部分附加到任何策略或创建拒绝策略并将其附加到任何组。

例如，你有＆＃34;管理员＆＃34;添加了许多角色的组以及＆＃34; MultifactorAuthForce＆＃34;策略：

＆＃34; MultifactorAuthForce＆＃34;的示例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyAllWithoutMFA",
            "Effect": "Deny",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "false"
                }
            }
        }
    ]
}

<强>更新 只是在我的帐户上测试它并且策略有效。创建了一个没有MFA的帐户，添加了密码并分配给上面的组。当以该用户身份登录时，我被拒绝了所有资源的所有操作。之后，我将MFA添加到用户并再次登录。我能够看到资源。