IAM 사용자 생성을 감지하고, MFA 설정 여부를 통지하는 구성을 만들어 봤습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:ListMFADevices"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:Publish"
            ],
            "Resource": "arn:aws:sns:us-east-1:xxxxxxxxxx"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:*:*:*"
        }
    ]
}

import json
import boto3

iam = boto3.client('iam')
sns = boto3.client('sns')

SNS_TOPIC_ARN = 'arn:aws:sns:us-east-1:xxxxxxxxxx'  # 실제 ARN으로 교체

def lambda_handler(event, context):
    print("Received event:", json.dumps(event))

    try:
        user_name = event['detail']['requestParameters']['userName']
    except KeyError:
        print("userName not found in event")
        return {
            'statusCode': 400,
            'body': 'No userName found in event'
        }

    # MFA 장치 확인
    response = iam.list_mfa_devices(UserName=user_name)
    mfa_devices = response['MFADevices']
    has_mfa = len(mfa_devices) > 0

    # 알림 메시지 포맷
    if not has_mfa:
        subject = f"[ALERT] IAM 사용자 '{user_name}' MFA 미설정!"
        message = (
            f"🔐 보안 경고: IAM 사용자 '{user_name}'이(가) 생성되었으나 MFA가 설정되지 않았습니다.\n\n"
            "⚠️ 즉시 MFA 설정을 확인하고 적용해 주세요.\n"
            f"- 사용자명: {user_name}\n"
            f"- 이벤트 출처: {event['detail']['eventSource']}\n"
            f"- 생성자: {event['detail'].get('userIdentity', {}).get('arn', 'N/A')}\n"
            f"- 이벤트 시간: {event['detail'].get('eventTime', 'N/A')}\n"
        )

        sns.publish(
            TopicArn=SNS_TOPIC_ARN,
            Subject=subject,
            Message=message
        )
        print(f"SNS 알림 전송 완료: {subject}")
    else:
        print(f"사용자 {user_name} 은(는) MFA가 설정되어 있음.")

    return {
        'statusCode': 200,
        'body': f'User {user_name} processed. MFA set: {has_mfa}'
    }

{
  "source": ["aws.iam"],
  "detail-type": ["AWS API Call via CloudTrail"],
  "detail": {
    "eventSource": ["iam.amazonaws.com"],
    "eventName": ["CreateUser"]
  }
}