AWS MFA策略致CLI访问失效 如何兼容控制台与CLI双端MFA校验

• Web控制台登录流程原生集成MFA校验逻辑：用户完成密码+MFA验证码校验后，控制台会自动获取携带MFA认证标记的临时会话，所有控制台发起的请求上下文里aws:MultiFactorAuthPresent字段值为true，不会命中拒绝规则，因此访问正常。
• CLI场景下通过aws configure直接配置的是IAM用户的长期访问密钥（AK/SK），这类凭证发起的请求默认不携带MFA认证上下文，会直接命中策略中的DenyAllExceptListedIfNoMFA规则，因此出现权限异常。反复重新配置长期密钥无法解决问题，因为长期密钥本身就不包含MFA验证状态。

你当前使用的MFA强制策略主体逻辑没有问题，不需要做大幅调整，仅需要确认Deny规则的条件使用BoolIfExists判断即可（你当前的配置已经满足要求），该判断逻辑可以兼容两类请求场景：

• 携带aws:MultiFactorAuthPresent字段的请求：字段值为false时触发拒绝
• 不携带aws:MultiFactorAuthPresent字段的请求（比如首次调用STS获取会话令牌的请求）：不会触发误拦截

如果需要提升安全性，可以在Deny规则的Condition块中增加MFA会话有效期限制，强制用户每小时重新验证MFA，调整后的Deny语句条件块参考如下：

"Condition": {
    "BoolIfExists": {
        "aws:MultiFactorAuthPresent": "false"
    },
    "NumericGreaterThanIfExists": {
        "aws:MultiFactorAuthAge": "3600"
    }
}

策略生效后，CLI无法直接使用长期AK/SK访问受保护资源，必须先通过STS服务获取携带MFA认证标记的临时凭证，操作步骤如下：

1. 执行aws configure配置IAM用户的长期AK/SK、默认区域、输出格式，作为基础调用凭证。
2. 获取个人MFA设备的ARN：可在IAM控制台用户详情的「安全凭证」页面找到，格式为arn:aws:iam::<账号ID>:mfa/<IAM用户名>。
3. 执行以下命令获取临时会话凭证，替换占位符为实际的MFA ARN和当前MFA设备生成的6位验证码：

   aws sts get-session-token --serial-number <你的MFA设备ARN> --token-code <6位MFA验证码>
   

4. 命令返回结果中包含AccessKeyId、SecretAccessKey、SessionToken三个临时凭证字段，默认有效期12小时。将这三个字段配置到CLI中，替换原有的长期AK/SK，即可正常访问EC2、S3等资源。

优化提示：可以通过CLI的credential_process配置项，结合自定义脚本实现MFA自动校验、临时凭证自动刷新，避免每次凭证过期后手动执行命令获取。

内容的提问来源于stack exchange，提问作者Coffee Runner