配置 MFA 删除 - Amazon Simple Storage Service
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

配置 MFA 删除

在 Amazon S3 存储桶中使用 S3 版本控制时,您可以选择通过将存储桶配置为启用 MFA(多重身份验证)删除来添加另一层安全保护。执行此操作时,存储桶拥有者必须在任何请求中包含两种形式的身份验证,以删除版本或更改存储桶的版本控制状态。

MFA 删除要求对以下任一操作进行额外身份验证:

  • 更改存储桶的版本控制状态

  • 永久删除对象版本

MFA 删除需要结合使用两种形式的身份验证:

  • 您的安全凭证

  • 在已批准的身份验证设备上显示的有效序列号、空格和 6 位代码的组合

MFA 删除因此可在某些情况下(例如在安全凭证被泄露时)提供更高的安全性。MFA 删除要求启动删除操作的用户证明其实际拥有具有 MFA 代码的 MFA 设备,并为删除操作增加额外的摩擦和安全性,从而帮助防止存储桶被意外删除。

存储桶拥有者、创建存储桶的 Amazon Web Services 账户 (根账户)以及所有授权的 IAM 用户都可以启用版本控制。但是,只有存储桶拥有者(根账户)才能启用 MFA 删除。有关更多信息,请参阅 Amazon 安全博客中的使用 MFA 保护对 Amazon 的访问

注意

要将 MFA 删除与版本控制结合使用,请启用 MFA Delete。但是,您无法使用 Amazon Web Services Management Console 启用 MFA Delete。您必须使用 Amazon Command Line Interface (Amazon CLI) 或 API。

有关将 MFA 删除与版本控制结合使用的示例,请参阅主题 在存储桶上启用版本控制 中的示例部分。

不能将 MFA 删除与生命周期配置一起使用。有关生命周期配置以及如何与其他配置交互的详细信息,请参阅 生命周期和其他存储桶配置

要启用或禁用 MFA 删除,请使用对存储桶配置版本控制时所用的相同 API。Amazon S3 将 MFA 删除配置存储在用于存储存储桶版本控制状态的相同 versioning 子资源中。

<VersioningConfiguration xmlns="http://s3.amazonaws.com/doc/2006-03-01/"> <Status>VersioningState</Status> <MfaDelete>MfaDeleteState</MfaDelete> </VersioningConfiguration>

要使用 MFA 删除,您可以使用硬件或虚拟 MFA 设备来生成身份验证代码。以下示例显示了在硬件设备上显示的生成的身份验证代码。

MFA 删除和受 MFA 保护的 API 访问的功能旨在提供对不同方案的保护。您可以在存储桶上配置 MFA 删除,以帮助确保存储桶中的数据不会被意外删除。受 MFA 保护的 API 访问用于在访问敏感的 Amazon S3 资源时,强制执行其他身份验证因素(MFA 代码)。您可以要求使用 MFA 创建的临时证书来完成针对这些 Amazon S3 资源的任何操作。有关示例,请参阅添加存储桶策略以请求 MFA

有关如何购买和激活身份验证设备的更多信息,请参阅多重身份验证