Как удалить / деактивировать мошенническое устройство MFA в AWS?

Question

Я ввел политику, которая требует от пользователей в группе включения MFA. После включения политики я вошел в учетную запись пользователя (user-foo), чтобы попробовать ее, и, очевидно, создал своего рода мошенническое устройство MFA, когда прервал настройку виртуального устройства MFA.

Это привело к следующей ошибке, когда пользователь попытался подключить свое устройство MFA:

Вот список устройств MFA. Для сравнения я добавил вывод панели пользователя с правильно инициализированным устройством MFA.

$ aws iam list-virtual-mfa-devices
{
    "VirtualMFADevices": [
        {
            "SerialNumber": "arn:aws:iam::123456789010:mfa/user-foo"
        },
        {
            "SerialNumber": "arn:aws:iam::123456789010:mfa/user-bar",
            "User": {
                "Path": "/",
                "UserName": "user-bar",
                "UserId": "ABCDEFGHIJKLMNOPQRSTU",
                "Arn": "arn:aws:iam::123456789010:user/user-bar",
                "CreateDate": "2020-07-02T09:45:21Z",
                "PasswordLastUsed": "2020-07-03T08:56:47Z"
            },
            "EnableDate": "2020-07-02T11:07:07Z"
        }
    ]
}

Как видите, отображается только серийный номер устройства MFA для user-foo. Для удаления записи в CLI также требуется имя пользователя. Поэтому я вошел в систему как администратор и назначил свой телефон устройством MFA. Теперь устройство появилось правильно, но после его удаления с помощью:

$ deactivate-mfa-device --user-name user-foo --serial-number arn:aws:iam::123456789010:mfa/user-foo

Он снова появляется со своим серийным номером без пользователя:

$ aws iam list-virtual-mfa-devices
{
    "VirtualMFADevices": [
        {
            "SerialNumber": "arn:aws:iam::123456789010:mfa/user-foo"
        },
        [...]
    ]
}

Есть у кого-нибудь идеи, как это исправить?

Answer 1

Хорошо, довольно простое решение: оно работает, если в консоли удалить устройство MFA. По какой-то причине это невозможно из командной строки.

Answer 2

Когда вы запускаете процесс и завершаете его, он создает эту ошибку и создает отключенное неназначенное устройство MFA. Несмотря на то, что у него есть имя пользователя в арне, оно все равно назначено. Устройство MFA можно удалить из командной строки.

aws iam delete-virtual-mfa-device --serial-number arn:aws:iam::123456789010:mfa/user-foo

Если бы устройство было включено, вам пришлось бы отключить его, прежде чем вы сможете его удалить. Завершение настройки устройства MFA должно быть выполнено за один проход, иначе возникнет эта ошибка.