การเปิดใช้งาน pam.d/google authenticator/2-factor authentication ใน sshd ป้องกัน EC2 Instance Connect จากการเข้าถึงอินสแตนซ์

คำถาม: เป็นไปได้ไหมที่จะกำหนดค่า SSHD ให้บังคับใช้ 2 ปัจจัยสำหรับผู้ใช้ทั้งหมด แต่ยังอนุญาตให้ AWS EC2 Instance Connect ทำงานต่อไปได้ด้วย

AWS มีฟีเจอร์ "EC2 Instance Connect" ที่ให้วิธี ssh in ในฐานะผู้ใช้จาก AWS Console ใช้ AWS API เพื่อใส่คีย์สาธารณะชั่วคราวบนอินสแตนซ์ จากนั้นเชื่อมต่อผ่าน ssh (อย่างน้อยฉันคิดว่านั่นคือสิ่งที่ทำ)

ฉันทำตามแล้ว นี้ คำแนะนำในการเพิ่มหลายปัจจัยให้กับ ssh อย่างไรก็ตาม มันทำลายความสามารถในการเชื่อมต่อกับอินสแตนซ์นี้จาก EC2 Instance Connect

ฉันเชื่อว่าไม่สามารถเชื่อมต่อได้เนื่องจากบรรทัดนี้ใน /etc/ssh/sshd_config: AuthenticationMethods คีย์สาธารณะ แป้นพิมพ์แบบโต้ตอบ -- เนื่องจาก AWS เชื่อมต่อด้วยคีย์สาธารณะเท่านั้น

อย่างไรก็ตาม บทความดังกล่าวเสนอต่อไปว่า เป็นโมฆะ กำหนดค่าใน /etc/pam.d/sshd ควรอนุญาตให้ผู้ใช้ข้าม 2 ปัจจัยหากพวกเขาไม่ได้กำหนดค่า (หากไม่มี ~/.google_authenticator ในโฮมไดเร็กทอรีของผู้ใช้) ซึ่งรูทและผู้ใช้ ec2 ของฉันไม่มี อย่างไรก็ตาม ฉันยังไม่สามารถเชื่อมต่อจากคอนโซลในฐานะผู้ใช้รูทหรือผู้ใช้ ec2 ได้

ใช่แล้ว - มีวิธีใดที่จะทำให้สิ่งนี้ใช้ได้กับทั้งสองสถานการณ์? ขอขอบคุณ!