c1.4 Exija autenticação multifator
Exija um segundo fator de autenticação em todos os lugares. A AWS agora exige MFA para o usuário root de cada conta, e você deve estender o MFA a todo acesso humano — idealmente com passkeys ou chaves de segurança FIDO2 resistentes a phishing.
Guia de implementação
O MFA agora é obrigatório para o root
A AWS exige MFA para o usuário root em todos os tipos de conta (independente, de gerenciamento e membro). Os usuários devem registrar MFA em até 35 dias após o primeiro login no console, se ainda não estiver habilitado. Configure antes que a AWS force o aviso e registre mais de um dispositivo — um usuário root ou IAM pode registrar até oito dispositivos MFA, então perder um não bloqueia seu acesso.
Prefira fatores resistentes a phishing
Os tipos de MFA suportados incluem passkeys e chaves de segurança FIDO2 (resistentes a phishing, recomendadas), apps de autenticação virtual (TOTP) e tokens de hardware TOTP. Prefira passkeys/FIDO2 quando possível; eles resistem ao phishing de credenciais que derrota os códigos TOTP.
MFA para todos, em todos os lugares
Estenda o MFA além do root: a cada identidade humana no seu provedor de identidade / IAM Identity Center, e aos usuários finais das suas aplicações via Amazon Cognito. Onde o MFA sempre ativo prejudicar a experiência, a autenticação adaptativa (contextual) solicita MFA apenas em anomalias (novo dispositivo, novo país, comportamento incomum) — suportada pelo IAM Identity Center e pelo Cognito.
Evite usuários IAM de longa duração com access keys; prefira credenciais temporárias federadas para que não haja um segredo durável a ser roubado.
Como validar
- O MFA está habilitado em TODOS os usuários root (ou root centralizado com o root das contas membro desabilitado via SCP)?
- Você usa fatores resistentes a phishing (passkeys / FIDO2) para acesso privilegiado?
- Seu provedor de identidade / IAM Identity Center exige MFA de todos os funcionários?
- Você ainda tem usuários IAM com access keys em vez de credenciais temporárias federadas?
- O MFA é oferecido aos usuários finais das suas aplicações (CIAM) em ações críticas?
Ameaças atendidas
- ATT&CK Credential Access os atacantes obtêm senhas por adivinhação, phishing, keyloggers, força bruta e ataques de dicionário. Um segundo fator ("algo que você tem") barra o avanço mesmo que a senha seja conhecida; passkeys/FIDO2 resistentes a phishing também derrotam o phishing em tempo real do segundo fator.
Serviços AWS
AWS IAM 
AWS IAM Identity Center Preços
Não há cobrança adicional para habilitar MFA para usuários da AWS nem no Amazon Cognito. As passkeys usam dispositivos que você já tem; as chaves de hardware FIDO2 são uma compra única de fornecedores externos.