Asignación de dispositivos de MFA en la AWS CLI o API de AWS - AWS Identity and Access Management

Asignación de dispositivos de MFA en la AWS CLI o API de AWS

Puede utilizar comandos de la AWS CLI u operaciones de la API de AWS para habilitar un dispositivo MFA virtual para un usuario de IAM. No es posible habilitar un dispositivo MFA para el Usuario raíz de la cuenta de AWS con la AWS CLI, la API de AWS, las herramientas para Windows PowerShell ni con ninguna otra herramienta de línea de comandos. Sin embargo, puede utilizar la AWS Management Console para habilitar un dispositivo MFA para el usuario raíz.

Al habilitar un dispositivo MFA desde la AWS Management Console, esta ejecuta varias operaciones automáticamente. En cambio, si crea un dispositivo virtual utilizando la AWS CLI, las Tools for Windows PowerShell o la API de AWS, entonces deberá realizar los pasos manualmente y en el orden correcto. Por ejemplo, para crear un dispositivo MFA virtual, debe crear el objeto de IAM y extraer el código como una cadena o un código QR gráfico. A continuación, debe sincronizar el dispositivo y asociarlo con un usuario de IAM. Consulte la sección Examples de New-IAMVirtualMFADevice para obtener más detalles. Para un dispositivo físico, puede omitir el paso de creación e ir directamente a sincronizar el dispositivo y asociarlo con el usuario.

Puede asociar etiquetas a los recursos de IAM, incluidos los dispositivos MFA virtuales, a fin de identificar, organizar y controlar el acceso a ellos. Puede etiquetar dispositivos MFA virtuales solo cuando utiliza la AWS CLI o la API de AWS.

Un usuario de IAM que utilice el SDK o la CLI puede habilitar un dispositivo MFA adicional llamando a EnableMFADevice o desactivar un dispositivo MFA existente mediante una llamada a DeactivateMFADevice. Para hacerlo correctamente, primero deben llamar a GetSessionToken y enviar los códigos MFA con un dispositivo MFA existente. Esta llamada devuelve credenciales de seguridad temporales que luego se pueden usar para firmar las operaciones de API que requieren la autenticación MFA. Para ver un ejemplo de solicitud y respuesta, consulte GetSessionToken: credenciales temporales para usuarios de entornos que no son de confianza.

Para crear la entidad del dispositivo virtual en IAM para representar un dispositivo de MFA virtual

Estos comandos proporcionan un ARN para el dispositivo que se utiliza en lugar de un número de serie en muchos de los siguientes comandos.

Para habilitar un dispositivo MFA para su uso con AWS

Estos comandos sincronizan el dispositivo con AWS y lo asocian con un usuario. Si el dispositivo es virtual, utilice el ARN del dispositivo virtual como número de serie.

importante

Envíe su solicitud inmediatamente después de generar los códigos de autenticación. Si genera los códigos y después espera demasiado tiempo a enviar la solicitud, el dispositivo MFA se asociará correctamente al usuario, pero no estará sincronizado. Esto ocurre porque las contraseñas temporales de un solo uso (TOTP) caducan tras un corto periodo de tiempo. Si esto ocurre, puede resincronizar el dispositivo utilizando los comandos que se describen a continuación.

Para desactivar un dispositivo

Utilice estos comandos para desvincular el dispositivo del usuario y desactivarlo. Si el dispositivo es virtual, utilice el ARN del dispositivo virtual como número de serie. Asimismo, debe eliminar la entidad de dispositivo virtual por separado.

Para crear una lista de entidades de dispositivo de MFA virtual

Utilice estos comandos para una lista de entidades de dispositivo de MFA virtual.

Cómo etiquetar un dispositivo MFA virtual

Utilice estos comandos para etiquetar un dispositivo MFA virtual.

Enumerar etiquetas para un dispositivo MFA virtual

Utilice estos comandos para enumerar las etiquetas asociadas a un dispositivo MFA virtual.

Quitar etiquetas de un dispositivo MFA virtual

Utilice estos comandos para quitar las etiquetas asociadas a un dispositivo MFA virtual.

Para resincronizar un dispositivo de MFA

Utilice estos comandos si el dispositivo genera códigos que AWS no acepta. Si el dispositivo es virtual, utilice el ARN del dispositivo virtual como número de serie.

Para eliminar una entidad de dispositivo MFA virtual en IAM

En cuanto el dispositivo se desvincule del usuario, puede eliminar la entidad de dispositivo.

Para recuperar un dispositivo MFA virtual perdido o que no funciona

A veces, el dispositivo de un usuario que aloja la aplicación de MFA virtual se pierde, se reemplaza o no funciona. Cuando esto sucede, el usuario no puede recuperarlo por sí mismo. Los usuarios deben ponerse en contacto con un administrador para desactivar el dispositivo. Para obtener más información, consulte Recuperación de una identidad protegida por MFA en IAM.