Насчёт пермишшенов посмотрю, спасибо. Я что-то думал mfa просто включается, но не тюнится
Нет, там полиси для юзера нужна ещё. Сейчас в документации есть правильная полиси, раньше была такая что не давала юзеру менять пароль и привязывать самому мфа девайс. Возможно даже пермишшны на мфа девайс новые, потому что с год назад в прошлой компании мфа девайс мне привязывали через тикет ребята из соседней команды которые заведовали юзерами и iam