Bảo vệ Tài khoản AWS của bạn thông qua tính năng Xác Thực Đa Nhân Tố MFA

Kích hoạt MFA cho tất cả người dùng IAM có mật khẩu điều khiển

Xác thực đa yếu tố (MFA) bổ sung thêm một lớp bảo vệ bên trên tên người dùng và mật khẩu. Khi bật MFA, khi người dùng đăng nhập vào trang web AWS, họ sẽ được nhắc nhập tên người dùng và mật khẩu. Ngoài ra, họ được nhắc nhập mã xác thực từ thiết bị AWS MFA của họ.

Chúng tôi khuyên bạn nên bật MFA cho tất cả các tài khoản có quyền điều khiển. MFA được thiết kế để tăng cường bảo mật cho việc truy cập quyền điều khiển. Người được xác thực phải sở hữu một thiết bị phát ra khóa theo thời gian thực và phải có kiến thức về thông tin xác thực.

Kích hoạt MFA phần cứng cho người dùng root

MFA ảo có thể không cung cấp được mức độ bảo mật tương đương như các thiết bị MFA phần cứng. MFA phần cứng có thể hạn chế nguy cơ bị  tấn công và không thể bị đánh cắp trừ khi người dùng cố tình giành quyền truy cập vật lý vào thiết bị phần cứng. Chúng tôi khuyên bạn chỉ nên sử dụng thiết bị MFA ảo trong khi chờ phê duyệt mua phần cứng hoặc chờ phần cứng của bạn được vận chuyển đến, đặc biệt đối với người dùng root.

>> Giới thiệu về IAM Identity trong Amazon Web Services

>> Migrate Server On-Primise lên AWS sử dụng Service CloudEndure Migration

Để tìm hiểu thêm, hãy xem Bật thiết bị xác thực đa yếu tố (MFA) ảo (bảng điều khiển) trong Hướng dẫn sử dụng IAM.

Đây là quy tắc Cloud Custodian để phát hiện thiếu MFA phần cứng gốc:

– name: root-hardware-mfa

   description: The root user account is the most privileged user in an AWS account. MFA adds an extra layer of protection on top of a username and password. With MFA enabled, when a user signs in to an AWS website, they will be prompted for their username and password as well as for an authentication code from their AWS MFA device. It is recommended that the root user account be protected with a hardware MFA.

   resource: account filters:

– or:

– type: iam-summary

       key: AccountMFAEnabled

       value: 1

       op: ne

– and:

– type: iam-summary

         key: AccountMFAEnabled

         value: 1

         op: eq

– type: has-virtual-mfa

         value: true