北京2025年2月11日 /美通社/ -- 亞馬遜云科技從一開始就將安全為本的原則融入進其服務的構建中，包括為客戶設置高標準的默認安全功能。在賬戶安全的眾多要素中，強大的身份驗證是賬戶安全的基礎組成部分。多因素驗證（MFA）是防止未經(jīng)授權人員訪問系統(tǒng)或數(shù)據(jù)的最簡單且有效的方法之一。我們發(fā)現(xiàn)，啟用MFA可以防止超過99%的密碼相關攻擊。亞馬遜云科技自首次倡導客戶在Amazon Management Console為根用戶設置MFA以來，在增強客戶賬戶安全性方面已經(jīng)取得顯著的進展。

近年來，典型的工作場所已經(jīng)發(fā)生了顯著變化。隨著混合工作模式和自帶設備（BYOD）政策的普及，安全界限的界定變得更加錯綜復雜。眾多企業(yè)已經(jīng)調整了安全邊界——強化基于身份的訪問控制。然而，這一變化也導致用戶密碼成為了新的安全短板。用戶有時會為了使用方便而選擇低復雜度的密碼，或者在多個網(wǎng)站上重復使用復雜的密碼，這在網(wǎng)站發(fā)生數(shù)據(jù)泄露時會大幅增加風險。

亞馬遜云科技致力于不斷提升客戶的安全防護能力，以抵御日益復雜的網(wǎng)絡威脅。為此，亞馬遜云科技實施了一系列措施，包括監(jiān)控網(wǎng)絡資源，一旦發(fā)現(xiàn)憑據(jù)泄露，立即阻止客戶在亞馬遜云科技上使用這些憑據(jù)；杜絕使用易被破解的弱安全性密碼，并始終倡導避免使用默認密碼。此外，對于尚未啟用MFA的客戶，若檢測到異常登錄行為，亞馬遜云科技將通過其首選電子郵件地址發(fā)送一次性PIN碼，以增強登錄驗證的安全性。盡管采取了這些措施，我們還必須認識到密碼本身仍然存在風險。

我們識別了兩個關鍵機會來改善這種情況。首先，加速推動客戶采用MFA，特別是針對擁有高權限的用戶，通過MFA提升他們在亞馬遜云科技上的默認安全防護。自2024年5月起，亞馬遜云科技要求Amazon Organizations的管理賬戶的根用戶必須使用MFA，并從處于較大規(guī)模環(huán)境的用戶開始。同年6月份，亞馬遜云科技推出了對FIDO2 passkeys的支持，這一全新的MFA方法為客戶提供了一個既安全又易用的選擇來滿足他們的安全需求。此外，亞馬遜云科技還進一步將MFA的使用要求擴展至所有獨立賬戶的根用戶。隨著Amazon Identity and Access Management (IAM) 在2024年6月對FIDO2 passkeys的支持，防釣魚MFA的客戶注冊率增長了一倍之多。從2024年4月至10月，已有超過75萬名亞馬遜云科技的根用戶啟用了MFA。 

第二項措施在于摒棄對非必要密碼的依賴。密碼不僅存在安全隱患，維護基于密碼的身份驗證體系亦給客戶帶來了額外的運營負擔，這一點對于大規(guī)模運營的企業(yè)以及那些需定期更換密碼以滿足監(jiān)管要求的企業(yè)尤為明顯。亞馬遜云科技近期又推出了一項創(chuàng)新功能，旨在集中管理Amazon Organizations中管理賬戶的根訪問權限。此功能將極大減少客戶所需管理的密碼數(shù)量，同時確保對根用戶權限的嚴格控制。通過IAM控制臺或Amazon CLI進行簡單的配置調整，客戶便可輕松啟用這一集中化的根訪問權限管理（具體流程請訪問文章《使用Amazon Organizations集中管理客戶根訪問權限》）。該功能一經(jīng)啟用，客戶即可從其組織內(nèi)部成員賬戶中移除根用戶的長期憑據(jù)，包括密碼和長期訪問密鑰。這不僅顯著提升了客戶的安全防護能力，也有效減輕了他們的運營負擔。

亞馬遜云科技強烈推薦Amazon Organizations中的客戶盡快啟用集中根訪問功能，即刻享受該功能帶來的顯著優(yōu)勢。如果客戶選擇繼續(xù)保留根用戶，則必須對這些高權限憑據(jù)實施嚴格的安全保護措施。為了進一步強化對大規(guī)模運營客戶的支持，并隨著諸如passkeys等附加功能的推出，亞馬遜云科技正將MFA需求擴展至Amazon Organizations的成員賬戶。從2025年春季開始，未啟用根訪問集中管理的客戶將需要為其Amazon Organizations成員賬戶的根用戶注冊MFA，以便訪問其亞馬遜云科技的管理控制臺。亞馬遜云科技將分階段實施此變更，并提前通知相關客戶，協(xié)助他們采取必要措施以符合新規(guī)，盡量減少對日常運營的影響。

用戶可以在IAM用戶指南中了解更多關于集中管理根訪問的新功能，以及在Amazon MFA in IAM用戶指南中了解更多關于在亞馬遜云科技中使用MFA的信息。