AWS中的IAM，MFA政策的问题

Question

来自 n，我为IAM用户实施了IAM策略。但是，将此策略附加到用户之后，他们无法通过AWS控制台访问S3存储桶。

“策略定义，除非用MFA登录用户，否则将拒绝所有操作，除非管理用户的个人IAM帐户和MFA设置。IAM用户没有分配MFA设备。”

地位： “分配的MFA设备=未分配|管理”

示例策略附加

{
            "Sid": "BlockMostAccessUnlessSignedInWithMFA",
            "Effect": "Deny",
            "NotAction": [
                "iam:CreateVirtualMFADevice",
                "iam:EnableMFADevice",
                "iam:ListMFADevices",
                "iam:ListUsers",
                "iam:ListVirtualMFADevices",
                "iam:ResyncMFADevice"
            ],
            "Resource": "*",
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "false"
                }
            }

iam用户正面临问题，当他们尝试设置MFA时，这给了他们有关权限的错误。

“实体已经存在该实体已经存在。了解更多 •同一路径和名称的MfadeVice实体已经存在。前 您可以添加新的虚拟MFA设备，请您的管理员删除 现有的设备使用CLI或API。”

和

“在您或您的AWS之后列出对象的权限不足 管理员已更新您的权限以允许S3：ListBucket 动作，刷新页面。了解有关身份和访问的更多信息 Amazon S3的管理“

我已经尝试了 MFA ）设备（控制台）， 但无法解决问题。

如果您知道什么，我很乐意让您知道。

谢谢你！

Answer 1

我能够通过此IAM政策实现所需的结果：
IAM策略允许IAM用户自我管理MFA设备。本政策提供了使用AWS控制台或AWS CLI完成此操作所需的权限。

mfaselfmanagedpolicy

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "iam:CreateVirtualMFADevice",
                "iam:EnableMFADevice",
                "iam:ResyncMFADevice",
                "iam:DeleteVirtualMFADevice"
            ],
            "Resource": [
                "arn:aws:iam::*:mfa/${aws:username}",
                "arn:aws:iam::*:user/${aws:username}"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "iam:DeactivateMFADevice"
            ],
            "Resource": [
                "arn:aws:iam::*:mfa/${aws:username}",
                "arn:aws:iam::*:user/${aws:username}"
            ],
            "Effect": "Allow",
            "Condition": {
                "Bool": {
                    "aws:MultiFactorAuthPresent": "true"
                }
            }
        },
        {
            "Action": [
                "iam:ListMFADevices",
                "iam:ListVirtualMFADevices",
                "iam:ListUsers"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}