如何强制 AWS IAM 用户使用 MFA，但允许他们在首次登录时更改密码？
如果您遵循AWS 文档并强制执行 MFA，新用户在首次获得账户时将无法更改密码。
我知道您可以强制执行 MFA，也可以不强制执行 MFA ，并允许用户管理自己的密码和凭据。此外，AWS 有一种方法可以解决该问题，但不建议这样做：
此示例策略不允许用户在登录时重置密码。新用户和密码过期的用户可能会尝试这样做。您可以通过将 iam:ChangePassword 添加到语句 DenyAllExceptListedIfNoMFA 来允许此操作。但是，IAM 不建议这样做。允许用户在没有 MFA 的情况下更改密码可能会存在安全风险。
那么“推荐”的方式是什么呢？
这个问题也在AWS论坛上被问到，但没有真正的答案。