Você pode exigir o MFA para contas do AWS IAM?

É possível exigir que a autenticação multifatorial (MFA) esteja habilitada para contas específicas / todas as IAM no Amazon Web Services?

Existem opções para requisitos de senha e está claro como é possível optar por adicioná-lo à sua conta, mas não está claro se existe uma opção para forçar os usuários a ter o MFA.

A resposta é sim, existe. Usando uma condição. Por exemplo, para contas de administrador:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "*",
      "Resource": "*", 
      "Condition":
      {
          "Null":{"aws:MultiFactorAuthAge":"false"}
      }
    }
  ]
}

Ele aplicará o MFA para autenticação de senha e autenticação baseada em token usando a API.

Depois de olhar um pouco, parece que a resposta é "meio que". No IAM, um administrador pode configurar um MFA para outro usuário do IAM. Embora isso possa ser um pouco complicado se você estiver configurando um MFA virtual, é possível. Em seguida, se o usuário não tiver recebido permissões para atualizar / remover seu MFA, ele será efetivamente necessário.

Embora ainda não tenha determinado a lista completa de ações que devem ser negadas (ou simplesmente não concedidas), esta postagem parece ter as informações e atualizarei essa resposta assim que a tiver testado.

[Atualizar]

Consegui configurar usuários como usuários avançados (não concedendo a eles acesso a funções do IAM, embora eu tenha certeza de que você poderia ser mais granular) e implementar o MFA com eles. Usando essa metodologia, eles não poderão desativá-la.

Sim, você pode exigir contas MFA para IAM no console da web e na awsclilinha de comando. De fato, não é possível exigir MFA de maneira confiável para o console da Web, nem para a awsclilinha de comando, porque ambos atingem as mesmas APIs. Digo 'confiavelmente' porque, com a política complexa do IAM, é possível permitir algumas awsclioperações sem o MFA enquanto impõe o MFA para o console da web. No entanto, os resultados são um tanto imprevisíveis e, além disso, as chaves do IAM são igualmente desprotegidas, senão mais perigosas. Minha recomendação é exigir isso para ambos e, talvez, criar chaves não protegidas para usos especiais, onde o MFA é absolutamente contra-indicado. Para processos automatizados, as funções seriam uma escolha melhor em geral.

Para facilitar as operações do MFA na linha de comando, eu criei um conjunto de scripts bash e um exemplo de política de imposição do MFA cuidadosamente criado que facilita a conexão / desanexação do vMFAd e o início e o gerenciamento de sessões do MFA. Eles funcionam nas variantes do macOS e Linux, mas provavelmente não no Windows (não testado).

Aparentemente não. Parece que o MFA para contas IAM é opcional, embora você faça o melhor para postar nos Fóruns de suporte da AWS para obter uma resposta autorizada.

Documentamos algumas considerações para o multifator de API da AWS em geral (onde adicionar as condições, quais são as implicações etc.) na documentação de algumas ferramentas personalizadas ( https://github.com/kreuzwerker/awsu ) que desenvolvemos para usar Yubikeys como fonte para os tokens TOTP. Isso facilita bastante o trabalho com funções e credenciais de longo prazo + tokens de sessão.

A resposta aceita não é mais válida AFAICT. A AWS documentou como você pode fazer isso através do artigo do tutorial aqui:

https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_users-self-manage-mfa-and-creds.html

Segui isso para minha nova conta e equipe da AWS e funcionou muito bem.