关于IAM信任策略中MultiFactorAuthPresent条件对外部IDP及AWS SSO的有效性问询

一、外部身份提供商（Azure AD、Google Workspace）的适配情况 #

• MultiFactorAuthPresent条件不会自动生效，因为默认外部IDP完成MFA后，不会将MFA验证状态传递到AWS IAM的上下文环境中。
• 要让该条件生效，必须在外部IDP与AWS的SAML集成流程中，配置将IDP侧的MFA完成断言（比如Azure AD的http://schemas.microsoft.com/claims/authnmethodsreferences属性）映射到AWS的aws:MultiFactorAuthPresent或aws:MultiFactorAuthAge变量。
• 未配置映射时，即便用户在外部IDP完成了MFA，IAM也无法识别该状态，此时信任策略中的MultiFactorAuthPresent: true条件会直接拦截用户的资源访问请求。

二、对接外部提供商的AWS SSO的逻辑 #

• AWS SSO与外部IDP集成时，默认会同步外部IDP的MFA验证状态到AWS访问上下文，无需额外手动配置SAML属性映射（前提是用户已在外部IDP完成MFA认证）。
• 用户通过外部IDP在AWS SSO完成验证后，SSO生成的临时访问凭证会携带MFA已验证标记，此时IAM信任策略中的MultiFactorAuthPresent条件可以正常触发。
• 此外，AWS SSO自身支持全局强制MFA配置，可在SSO层面统一管控MFA要求，也可与IAM信任策略的MFA条件结合使用，实现多层校验。

内容的提问来源于stack exchange，提问作者StarCub