amazon-web-services - 如何在 CloudFormation 中启用 VirtualMFADevice？

Question

我有一个 CloudFormation 脚本，可以创建新用户(具有角色、策略等)。

我希望确保新用户启用 MFA。 docs提到您必须“在创建 MFA 后将 MFA 设备附加到 IAM 用户”(即使有一个 Users 属性，如下所示？)，但它们仅指出如何在控制台中执行此操作，并且CLI。

  Type: AWS::IAM::VirtualMFADevice
    Properties:
      Users:
          - !Ref user1
          - !Ref user2
      VirtualMfaDeviceName: Something

CloudFormation 可能不支持此操作吗？

Answer 1

MFA 设备是用户自己管理的设备。为了确保用户启用了 MFA，您可以使用 IAM Policy 。 Amazon 的此示例策略明确拒绝用户的所有权限(即使有其他策略允许)，除非他们启用了 MFA。唯一允许的就是管理自己的 MFA 设备，以便他们可以为自己添加设备。这些是details供用户管理其 MFA 设备。