¿Puede requerir MFA para cuentas AWS IAM?

¿Es posible requerir que se habilite la autenticación multifactor (MFA) para cuentas específicas / todas las cuentas IAM en Amazon Web Services?

Hay opciones para los requisitos de contraseña y está claro cómo se puede elegir agregarlo a la cuenta, pero no está claro si existe una opción para obligar a los usuarios a tener MFA.

La respuesta es sí, la hay. Mediante el uso de una condición. Por ejemplo, para cuentas de administrador:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "*",
      "Resource": "*", 
      "Condition":
      {
          "Null":{"aws:MultiFactorAuthAge":"false"}
      }
    }
  ]
}

Aplicará MFA tanto para la autenticación de contraseña como para la autenticación basada en token utilizando la API.

Después de mirar un poco, parece que la respuesta es "algo así". En IAM, un administrador puede configurar un MFA para otro usuario de IAM. Aunque esto puede ser un poco complicado si está configurando un MFA virtual, es posible. Luego, si al usuario no se le han otorgado permisos para actualizar / eliminar su MFA, se requiere efectivamente.

Si bien aún no he determinado la lista completa de acciones que deben denegarse (o simplemente no otorgarse), esta publicación parece tener la información, y actualizaré esta respuesta una vez que la haya probado.

[Actualizar]

Pude configurar a los usuarios como usuarios avanzados (por lo tanto, no les otorgé acceso a las funciones de un IAM, aunque estoy seguro de que podría ser más granular) e implementar su MFA con ellos. Con esta metodología, no podrán desactivarla.

Sí, puede requerir MFA para cuentas IAM tanto para la consola web como para la awsclilínea de comandos. De hecho, no es posible requerir de manera confiable MFA para la consola web mientras no se requiere para la awsclilínea de comando, ya que ambos golpean las mismas API. Digo 'confiablemente' porque con una política compleja de IAM es posible permitir algunas awsclioperaciones sin MFA mientras se aplica MFA para la consola web. Sin embargo, los resultados son algo impredecibles y, además, las claves IAM son igualmente desprotegidas, si no más peligrosas. Mi recomendación es requerirlo para ambos, y luego quizás crear claves desprotegidas para usos especiales donde MFA está absolutamente contraindicado. Para procesos automatizados, los roles serían una mejor opción en general.

Para facilitar las operaciones de MFA en la línea de comandos, he creado un conjunto de scripts de bash y un ejemplo de política de cumplimiento de MFA cuidadosamente diseñado que facilita la conexión / desconexión de vMFAd, y para iniciar y administrar sesiones de MFA. Funcionan en macOS y variantes de Linux, pero probablemente no en Windows (no probado).

Aparentemente no. Parece que MFA para cuentas IAM es opcional, aunque sería mejor publicar en los foros de soporte de AWS para obtener una respuesta autorizada.

Documentamos algunas consideraciones para el multifactor API de AWS en general (dónde agregar las condiciones, cuáles son las implicaciones, etc.) en la documentación de algunas herramientas personalizadas ( https://github.com/kreuzwerker/awsu ) que desarrollamos para usar Yubikeys como fuente de los tokens TOTP. Esto hace que trabajar con roles y credenciales a largo plazo + tokens de sesión sea bastante fácil.

La respuesta aceptada ya no es válida AFAICT. AWS ha documentado cómo puede hacer esto a través de su artículo tutorial aquí:

https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_users-self-manage-mfa-and-creds.html

Seguí eso para mi nueva cuenta y equipo de AWS y funcionó muy bien.