Tetapkan MFA perangkat virtual di AWS Management Console

Anda dapat menggunakan telepon atau perangkat lain sebagai perangkat otentikasi multi-faktor virtual (MFA). Untuk melakukan ini, instal aplikasi seluler yang sesuai dengan RFC6238, algoritma berbasis standar TOTP (kata sandi satu kali berbasis waktu). Aplikasi ini menghasilkan kode otentikasi enam digit. Karena mereka dapat berjalan di perangkat seluler yang tidak aman, virtual MFA mungkin tidak memberikan tingkat keamanan yang sama dengan opsi tahan phishing seperti kunci FIDO2keamanan dan kunci sandi.

Jika Anda mempertimbangkan untuk pindah ke kunci FIDO2 keamananMFA, kami sangat menyarankan agar Anda terus menggunakan MFA perangkat virtual sambil menunggu persetujuan pembelian perangkat keras atau perangkat keras Anda tiba.

Sebagian besar MFA aplikasi virtual mendukung pembuatan beberapa perangkat virtual, memungkinkan Anda menggunakan aplikasi yang sama untuk beberapa Akun AWS atau pengguna. Anda dapat mendaftarkan hingga delapan MFA perangkat dari kombinasi MFAjenis apa pun dengan Anda Pengguna root akun AWS dan IAM pengguna. Anda hanya perlu satu MFA perangkat untuk masuk ke AWS Management Console atau membuat sesi melalui AWS CLI. Kami menyarankan Anda mendaftarkan beberapa MFA perangkat. Untuk aplikasi autentikator, kami juga menyarankan untuk mengaktifkan fitur pencadangan atau sinkronisasi cloud untuk membantu Anda menghindari kehilangan akses ke akun jika perangkat Anda hilang atau rusak.

AWS membutuhkan MFA aplikasi virtual yang menghasilkan enam digitOTP. Untuk daftar MFA aplikasi virtual yang dapat Anda gunakan, lihat Otentikasi Multi-Faktor.

Izin diperlukan

Untuk mengelola MFA perangkat virtual bagi IAM pengguna Anda, Anda harus memiliki izin dari kebijakan berikut: AWS: Memungkinkan pengguna IAM yang diautentikasi MFA untuk mengelola perangkat MFA mereka sendiri di halaman kredensi Keamanan

Aktifkan MFA perangkat virtual untuk IAM pengguna (konsol)

Anda dapat menggunakan IAM dalam AWS Management Console untuk mengaktifkan dan mengelola MFA perangkat virtual untuk IAM pengguna di akun Anda. Anda dapat melampirkan tag ke IAM sumber daya Anda, termasuk MFA perangkat virtual, untuk mengidentifikasi, mengatur, dan mengontrol akses ke mereka. Anda dapat menandai MFA perangkat virtual hanya ketika Anda menggunakan AWS CLI atau AWS API. Untuk mengaktifkan dan mengelola MFA perangkat menggunakan AWS CLI atau AWS API, lihatTetapkan MFA perangkat di atau AWS CLIAWS API. Untuk informasi selengkapnya tentang penandaan sumber daya IAM, lihat Tag untuk AWS Identity and Access Management sumber daya.

catatan

Anda harus memiliki akses fisik ke perangkat keras yang akan meng-host MFA perangkat virtual pengguna untuk mengkonfigurasiMFA. Misalnya, Anda dapat mengonfigurasi MFA untuk pengguna yang akan menggunakan MFA perangkat virtual yang berjalan di ponsel cerdas. Dalam hal ini, Anda harus memiliki smartphone yang tersedia untuk menyelesaikan wizard. Karena itu, Anda mungkin ingin membiarkan pengguna mengonfigurasi dan mengelola MFA perangkat virtual mereka sendiri. Dalam kasus tersebut, Anda harus memberikan izin kepada pengguna untuk melakukan tindakan IAM yang diperlukan. Untuk informasi selengkapnya dan contoh IAM kebijakan yang memberikan izin ini, lihat kebijakan IAMtutorial: Izinkan pengguna untuk mengelola kredensi dan pengaturan mereka MFA dan contoh. AWS: Memungkinkan pengguna IAM yang diautentikasi MFA untuk mengelola perangkat MFA mereka sendiri di halaman kredensi Keamanan

Untuk mengaktifkan MFA perangkat virtual untuk IAM pengguna (konsol)

1. Masuk ke AWS Management Console dan buka IAM konsol di https://console.aws.amazon.com/iam/.

2. Di panel navigasi, pilih Pengguna.

3. Dalam daftar Pengguna, pilih nama IAM pengguna.

4. Pilih tab Kredensial Keamanan. Di bawah Autentikasi multi-faktor (MFA), pilih MFATetapkan perangkat.

5. Di wizard, ketikkan nama Perangkat, pilih Aplikasi Authenticator, lalu pilih Berikutnya.

   IAMmenghasilkan dan menampilkan informasi konfigurasi untuk MFA perangkat virtual, termasuk grafik kode QR. Grafik adalah representasi “kunci konfigurasi rahasia” yang tersedia untuk entri manual pada perangkat yang tidak mendukung kode QR.

6. Buka MFA aplikasi virtual Anda. Untuk daftar aplikasi yang dapat Anda gunakan untuk hosting MFA perangkat virtual, lihat Otentikasi Multi-Faktor.

   Jika MFA aplikasi virtual mendukung beberapa MFA perangkat atau akun virtual, pilih opsi untuk membuat MFA perangkat atau akun virtual baru.

7. Tentukan apakah MFA aplikasi mendukung kode QR, lalu lakukan salah satu hal berikut:

   • Dari wizard, pilih Tampilkan kode QR, lalu gunakan aplikasi untuk memindai kode QR. Ini mungkin ikon kamera atau opsi Pindai kode yang menggunakan kamera perangkat untuk memindai kode.

   • Dari wizard, pilih Tampilkan kunci rahasia, lalu ketik kunci rahasia ke dalam MFA aplikasi Anda.

   Setelah selesai, MFA perangkat virtual mulai menghasilkan kata sandi satu kali.

8. Pada halaman Siapkan perangkat, di kotak MFAkode 1, ketik kata sandi satu kali yang saat ini muncul di MFA perangkat virtual. Tunggu hingga 30 detik untuk membuat kata sandi sekali pakai yang baru. Kemudian ketik kata sandi satu kali kedua ke dalam kotak MFAkode 2. Pilih TambahkanMFA.

   penting

   Kirimkan permintaan Anda segera setelah membuat kode. Jika Anda membuat kode dan kemudian menunggu terlalu lama untuk mengirimkan permintaan, MFA perangkat berhasil dikaitkan dengan pengguna tetapi MFA perangkat tidak sinkron. Ini terjadi karena kata sandi satu kali berbasis waktu (TOTP) kedaluwarsa setelah periode waktu yang singkat. Jika ini terjadi, Anda dapat menyinkronisasi ulang perangkat.

MFAPerangkat virtual sekarang siap digunakan AWS. Untuk informasi tentang menggunakan MFA dengan AWS Management Console, lihatMFA mengaktifkan login.

catatan

MFAPerangkat virtual yang tidak ditetapkan di dalam Anda Akun AWS akan dihapus saat Anda menambahkan MFA perangkat virtual baru baik melalui AWS Management Console atau selama proses login. MFAPerangkat virtual yang tidak ditetapkan adalah perangkat di akun Anda tetapi tidak digunakan oleh pengguna root akun atau IAM pengguna untuk proses masuk. Mereka dihapus sehingga MFA perangkat virtual baru dapat ditambahkan ke akun Anda. Ini juga memungkinkan Anda untuk menggunakan kembali nama perangkat.

• Untuk melihat MFA perangkat virtual yang tidak ditetapkan di akun Anda, Anda dapat menggunakan list-virtual-mfa-devices AWS CLI perintah atau APIpanggilan.

• Untuk menonaktifkan MFA perangkat virtual, Anda dapat menggunakan deactivate-mfa-device AWS CLI perintah atau APIpanggilan. Perangkat akan menjadi tidak ditugaskan.

• Untuk melampirkan MFA perangkat virtual yang tidak ditetapkan ke pengguna Akun AWS root atau IAM pengguna Anda, Anda memerlukan kode otentikasi yang dihasilkan oleh perangkat bersama dengan enable-mfa-device AWS CLI perintah atau APIpanggilan.

Ganti MFA perangkat virtual

Anda Pengguna root akun AWS dan IAM pengguna dapat mendaftarkan hingga delapan MFA perangkat dari kombinasi MFA jenis apa pun. Jika pengguna kehilangan perangkat atau perlu menggantinya karena alasan apa pun, nonaktifkan perangkat lama. Kemudian Anda dapat menambahkan perangkat baru untuk pengguna.

• Untuk menonaktifkan perangkat yang saat ini terkait dengan pengguna IAM lain, lihat Nonaktifkan perangkat MFA.

• Untuk menambahkan MFA perangkat virtual pengganti untuk IAM pengguna lain, ikuti langkah-langkah dalam prosedur di Aktifkan MFA perangkat virtual untuk IAM pengguna (konsol) atas.

• Untuk menambahkan MFA perangkat virtual pengganti untuk Pengguna root akun AWS, ikuti langkah-langkah dalam prosedurAktifkan MFA perangkat virtual untuk pengguna root (konsol).