Resynchronisieren von virtuellen und physischen MFA-Geräten

Sie können AWS es verwenden, um Ihre virtuellen und Hardware-Geräte mit Multi-Faktor-Authentifizierung (MFA) neu zu synchronisieren. Wenn das Gerät nicht synchronisiert ist, wenn Sie versuchen, es zu verwenden, schlägt der Anmeldeversuch fehl, und IAM fordert Sie auf, das Gerät erneut zu synchronisieren.

Anmerkung

FIDO-Sicherheitsschlüssel verlieren ihre Synchronisation nicht. Wenn ein FIDO-Sicherheitsschlüssel verloren geht oder beschädigt ist, können Sie ihn deaktivieren. Weitere Anweisungen zum Deaktivieren von MFA-Geräten finden Sie unter So deaktivieren Sie ein MFA-Gerät für einen anderen IAM-Benutzer (Konsole).

Als AWS Administrator können Sie die virtuellen und Hardware-MFA-Geräte Ihrer IAM-Benutzer erneut synchronisieren, wenn sie nicht mehr synchronisiert sind.

Wenn Ihr Root-Benutzer des AWS-Kontos MFA-Gerät nicht funktioniert, können Sie Ihr Gerät mithilfe der IAM-Konsole mit oder ohne Abschluss des Anmeldevorgangs neu synchronisieren. Wenn Sie Ihr Gerät nicht erfolgreich resynchronisieren können, müssen Sie es möglicherweise trennen und erneut verknüpfen. Weitere Information dazu finden Sie unter Deaktivieren von MFA-Geräten und Aktivierung von MFA-Geräten für Benutzer in AWS.

Erforderliche Berechtigungen

Um virtuelle oder Hardware-MFA-Geräte für Ihren IAM-Benutzer erneut zu synchronisieren, benötigen Sie die Berechtigungen von der folgenden Richtlinie. Diese Richtlinie erlaubt es Ihnen nicht, ein Gerät zu erstellen oder zu deaktivieren.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowListActions",
            "Effect": "Allow",
            "Action": [
                "iam:ListVirtualMFADevices"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowUserToViewAndManageTheirOwnUserMFA",
            "Effect": "Allow",
            "Action": [
                "iam:ListMFADevices",
                "iam:ResyncMFADevice"
            ],
            "Resource": "arn:aws:iam::*:user/${aws:username}"
        },
        {
            "Sid": "BlockAllExceptListedIfNoMFA",
            "Effect": "Deny",
            "NotAction": [
                "iam:ListMFADevices",
                "iam:ListVirtualMFADevices",
                "iam:ResyncMFADevice"
            ],
            "Resource": "*",
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "false"
                }
            }
        }
    ]
}

Erneutes Synchronisieren virtueller und physischer MFA-Geräte (IAM-Konsole)

Sie können die IAM Konsole verwenden, um eine Neusynchronisierung bei physischen und virtuellen MFA-Geräten durchzuführen.

So synchronisieren Sie ein virtuelles oder physisches MFA-Gerät für Ihren eigenen IAM-Benutzer (Konsole) neu

1. Verwenden Sie Ihre AWS Konto-ID oder Ihren Kontoalias, Ihren IAM-Benutzernamen und Ihr Passwort, um sich bei der IAM-Konsole anzumelden.

   Anmerkung

   Der Einfachheit halber verwendet die AWS Anmeldeseite ein Browser-Cookie, um sich Ihren IAM-Benutzernamen und Ihre Kontoinformationen zu merken. Wenn Sie sich zuvor als anderer Benutzer angemeldet haben, wählen Sie Melden Sie sich bei einem anderen Konto an Um zur Hauptanmeldeseite zurückzukehren. Von dort aus können Sie Ihre AWS Konto-ID oder Ihren Kontoalias eingeben, um zur IAM-Benutzer-Anmeldeseite für Ihr Konto weitergeleitet zu werden.

   Wenden Sie sich an Ihren Administrator, um Ihre AWS-Konto ID zu erhalten.

2. Wählen Sie auf der Navigationsleiste rechts oben Ihren Benutzernamen und dann Security Credentials (Sicherheitsanmeldeinformationen) aus.

   

3. Wählen Sie auf der Registerkarte AWS -IAM-Anmeldeinformationen im Abschnitt Multi-Faktor-Authentifizierung (MFA) das Optionsfeld neben dem MFA-Gerät und dann Erneut synchronisieren.

4. Geben Sie unter MFA code 1 (MFA-Code 1) und MFA code 2 (MFA-Code 2) die nächsten zwei sequenziell generierten Codes des Geräts ein. Wählen Sie dann Resync (Erneut synchronisieren).

   Wichtig

   Senden Sie die Anforderung direkt nach der Erzeugung der Codes. Wenn Sie die Codes erzeugen und zu lange mit der Anforderung warten, scheint die Anforderung zu funktionieren, aber das Gerät ist weiterhin nicht synchronisiert. Dies liegt daran, weil die zeitgesteuerten Einmalpasswörter (TOTP) nach einer kurzen Zeit ungültig werden.

So synchronisieren Sie ein virtuelles oder physisches MFA-Gerät für einen anderen IAM-Benutzer (Konsole) neu

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

2. Wählen Sie im Navigationsbereich Users (Benutzer) den Namen des Benutzers aus, dessen MFA-Gerät erneut synchronisiert werden muss.

3. Wechseln Sie zur Registerkarte Sicherheitsanmeldeinformationen. Wählen Sie im Abschnitt Multi-factor authentication (MFA) (Multi-Faktor-Authentifizierung (MFA)) das Optionsfeld neben dem MFA-Gerät und dann Resync (Erneut synchronisieren).

4. Geben Sie unter MFA code 1 (MFA-Code 1) und MFA code 2 (MFA-Code 2) die nächsten zwei sequenziell generierten Codes des Geräts ein. Wählen Sie dann Resync (Erneut synchronisieren).

   Wichtig

   Senden Sie die Anforderung direkt nach der Erzeugung der Codes. Wenn Sie die Codes erzeugen und zu lange mit der Anforderung warten, scheint die Anforderung zu funktionieren, aber das Gerät ist weiterhin nicht synchronisiert. Dies liegt daran, weil die zeitgesteuerten Einmalpasswörter (TOTP) nach einer kurzen Zeit ungültig werden.

So synchronisieren Sie Ihr Stammbenutzer-MFA vor der Anmeldung erneut (Konsole)

1. Wählen Sie auf der Seite Amazon Web Services Sign In With Authentication Device (Amazon Web Services Anmeldung mit Authentifizierungsgerät) die Option Having problems with your authentication device? (Haben Sie Probleme mit Ihrem Authentifizierungsgerät?) Click here.

   Anmerkung

   Möglicherweise wird Ihnen unterschiedlicher Text angezeigt, z. B. Sign in using MFA (Melden Sie sich mit MFA an) und Troubleshoot your authentication device (Fehlerbehebung bei Ihrem Authentifizierungsgerät). Es stehen jedoch die gleichen Features zur Verfügung.

2. Geben Sie im Abschnitt Re-Sync With Our Servers (Re-Synchronisation mit unseren Servern) unter MFA code 1 (MFA-Code 1) und MFA code 2 (MFA-Code 2) die beiden nächsten in der Folge generierten Codes von dem Gerät ein. Wählen Sie dann Re-sync authentication device (Authentifizierungsgerät neu synchronisieren).

3. Geben Sie, falls erforderlich, das Passwort erneut ein, und wählen Sie Sign in (Anmelden). Schließen Sie dann mit Ihrem MFA-Gerät den Anmeldevorgang ab.

So synchronisieren Sie Ihr Stammbenutzer-MFA-Gerät nach der Anmeldung erneut (Konsole)

1. Melden Sie sich als Kontoinhaber bei der IAM-Konsole an, indem Sie Root-Benutzer auswählen und Ihre AWS-Konto E-Mail-Adresse eingeben. Geben Sie auf der nächsten Seite Ihr Passwort ein.

   Anmerkung

   Als Root-Benutzer können Sie sich nicht auf der Seite Sign in as IAM user (Als IAM-Benutzer anmelden) anmelden. Wenn Ihnen die Seite Sign in as IAM user (Als IAM-Benutzer anmelden) angezeigt wird, wählen Sie die Option Sign in using root user email (Mit Root-Benutzer-E-Mail anmelden) unten auf der Seite. Hilfe bei der Anmeldung als Root-Benutzer finden Sie im Benutzerhandbuch unter AWS Management Console Als AWS-Anmeldung Root-Benutzer anmelden.

2. Klicken Sie rechts in der Navigationsleiste auf den Kontonamen und wählen Sie dann Security Credentials (Sicherheitsanmeldeinformationen). Sofern erforderlich, wählen Sie Continue to Security Credentials (Weiter zu Sicherheitsanmeldeinformationen).

   

3. Erweitern Sie den Bereich Multi-Factor Authentication (MFA) auf der Seite.

4. Aktivieren Sie das Optionsfeld neben dem Gerät und wählen Sie Resync (Erneut synchronisieren).

5. Geben Sie im Dialogfeld Resync MFA device (MFA-Gerät erneut synchronisieren) die beiden nächsten in der Folge generierten Codes vom Gerät unter MFA code 1 (MFA-Code 1) und MFA code 2 (MFA-Code 2) ein. Wählen Sie dann Resync (Erneut synchronisieren).

   Wichtig

   Senden Sie die Anforderung direkt nach der Erzeugung der Codes. Wenn Sie die Codes generieren und zu lange mit der Anforderung warten, wird das MFA-Gerät erfolgreich mit dem Benutzer verbunden, aber das Gerät ist nicht synchronisiert. Dies liegt daran, weil die zeitgesteuerten Einmalpasswörter (TOTP) nach einer kurzen Zeit ungültig werden.

Resynchronisieren von virtuellen und physischen MFA-Geräten (AWS CLI)

Sie können die AWS CLI verwenden, um eine Neusynchronisierung bei physischen und virtuellen MFA-Geräten durchzuführen.

So synchronisieren Sie ein virtuelles oder Hardware-MFA-Gerät für einen IAM-Benutzer neu (AWS CLI)

Geben Sie an der Befehlszeile den Befehl aws iam resync-mfa-device ein:

• Virtuelles MFA-Gerät: Geben Sie den Amazon Resource Name (ARN) des Geräts als Seriennummer ein.

  aws iam resync-mfa-device --user-name Richard --serial-number arn:aws:iam::123456789012:mfa/RichardsMFA --authentication-code1 123456 --authentication-code2 987654

• Physisches MFA-Gerät: Geben Sie die Seriennummer des physischen Geräts als Seriennummer an. Das Format ist herstellerspezifisch. Sie können beispielsweise ein Gemalto-Token von Amazon erwerben. Die Seriennummer besteht in der Regel aus vier Buchstaben, gefolgt von vier Ziffern.

  aws iam resync-mfa-device --user-name Richard --serial-number ABCD12345678 --authentication-code1 123456 --authentication-code2 987654

Wichtig

Senden Sie die Anforderung direkt nach der Erzeugung der Codes. Wenn Sie die Codes generieren und zu lange mit dem Senden der Anforderung warten, schlägt die Anforderung fehl, weil die Gültigkeit der Codes nach kurzer Zeit verfällt.

Resynchronisierung von virtuellen und Hardware-MFA-Geräten (API)AWS

IAM bietet einen API-Aufruf zur Durchführung der Synchronisierung. In diesem Fall empfehlen wir, dass Sie Ihren Benutzern für virtuelle und Hardware-MFA-Geräte die Berechtigung erteilen, auf diesen API-Aufruf zuzugreifen. Erstellen Sie dann ein Tool basierend auf diesem API-Aufruf, damit Ihre Benutzer ihre Geräte jederzeit neu synchronisieren können.

So synchronisieren Sie ein virtuelles oder Hardware-MFA-Gerät für einen IAM-Benutzer (API) neu AWS

• Senden Sie die ResyncMFADevice-Anfrage.