Grafana continua aberto sem login. O resto do host — inclusive o painel de billing — pede sessão.
A credencial é usada uma vez para o sts:GetSessionToken e não é gravada. Quem valida o MFA é a própria AWS.
sts:GetSessionToken