amazon-web-services - 用于阻止非 MFA 用户的 SCP 正在阻止其他 AWS 操作

Question

我的根账户附加了一个 SCP，它应该禁止没有 MFA 的用户执行大多数操作，但此 SCP 会阻止服务之间的其他 AWS 操作，例如，我无法创建 AWS 备份，我已确认它此策略确实阻止备份创建备份。以下是我正在使用的策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "BlockMostAccessUnlessSignedInWithMFA",
      "Effect": "Deny",
      "NotAction": [
        "iam:CreateVirtualMFADevice",
        "iam:DeleteVirtualMFADevice",
        "iam:ListVirtualMFADevices",
        "iam:EnableMFADevice",
        "iam:ResyncMFADevice",
        "iam:ListAccountAliases",
        "iam:ListUsers",
        "iam:ListSSHPublicKeys",
        "iam:ListAccessKeys",
        "iam:ListServiceSpecificCredentials",
        "iam:ListMFADevices",
        "iam:GetAccountSummary",
        "sts:GetSessionToken"
      ],
      "Resource": "*",
      "Condition": {
        "Bool": {
          "aws:MultiFactorAuthPresent": "false"
        }
      }
    }
  ]
}

我还尝试将 "aws:ViaAWSService": "false"添加到策略中，正如一些 AWS 文档提到的那样，但这也没有解决问题。感谢您的帮助。

Answer 1

此 SCP 策略拒绝访问所有服务(包含的 API 除外)，除非通过 MFA 身份验证 session 。现在，当我们将此策略应用为 SCP 时，IAM 用户和根用户可以创建 MFA 身份验证 session ，但服务承担的 IAM 角色则不能。同样，EC2 实例在承担 IAM 角色时无法创建 MFA 身份验证 session 。

我们可以拒绝某些 API 操作，除非使用 MFA 身份验证 session ( https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps_examples_general.html#example-scp-mfa )，但如果您希望为控制台和 CLI 的 IAM 用户强制执行 MFA，最好创建一个 IAM 组，并将 MFA 策略附加到该组分组，然后将所有 IAM 用户添加到该组。必须对组织中的每个粗略帐户执行此操作。

建议的策略是:

{
    "Sid": "BlockMostAccessUnlessSignedInWithMFA",
    "Effect": "Deny",
    "NotAction":
    [
        "iam:CreateVirtualMFADevice",
        "iam:DeleteVirtualMFADevice",
        "iam:ListVirtualMFADevices",
        "iam:EnableMFADevice",
        "iam:ResyncMFADevice",
        "iam:ListAccountAliases",
        "iam:ListUsers",
        "iam:ListSSHPublicKeys",
        "iam:ListAccessKeys",
        "iam:ListServiceSpecificCredentials",
        "iam:ListMFADevices",
        "iam:GetAccountSummary",
        "sts:GetSessionToken"
    ],
    "Resource": "*",
    "Condition":
    {
        "BoolIfExists":
        {
            "aws:MultiFactorAuthPresent": "false",
            "aws:ViaAWSService": "false"
        }
    }
}

仅使用“Bool ”可能会导致奇怪的行为。