必要なアクセス許可自身の IAM ユーザーでハードウェア TOTP トークンを有効にする (コンソール)別の IAM ユーザーのハードウェア TOTP トークンを有効にする (コンソール)物理的な MFA デバイスの交換

ハードウェア TOTP トークンの有効化 (コンソール)

ハードウェア TOTP トークンは、タイムベースドワンタイムパスワード (TOTP) アルゴリズムに基づいて、6 桁の数値コードを生成します。ユーザーは、サインインプロセス中に求められたら、デバイスから有効なコードを入力する必要があります。ユーザーに割り当てられる各 MFA デバイスは一意であり、他のユーザーのデバイス向けのコードでは認証されません。MFA デバイスをアカウント間またはユーザー間で共有することはできません。

ハードウェア TOTP トークンと FIDO セキュリティキーは、いずれもお客様が購入する物理デバイスです。ハードウェア MFA デバイスは、ユーザーが AWS にサインインすると認証用の TOTP コードを生成します。バッテリーに依存しているため、時間の経過とともにバッテリーの交換と AWS との再同期が必要になる場合があります。パブリックキー暗号化を利用した FIDO セキュリティキーは、バッテリーを必要とせず、シームレスな認証プロセスを提供します。フィッシング耐性を高めるためには、FIDO セキュリティキーを使用することをお勧めします。FIDO セキュリティキーは、TOTP デバイスの代わりに使用できる、よりセキュアな手段です。さらに、FIDO セキュリティキーは、同じデバイスで複数の IAM ユーザーまたはルートユーザーをサポートできるため、アカウントセキュリティのユーティリティが強化されます。両方のデバイスタイプの仕様と購入情報については、「多要素認証」を参照してください。

IAM ユーザーのハードウェア TOTP デバイスは、AWS Management Console、コマンドライン、または IAM API を使用して有効にすることができます。AWS アカウントのルートユーザーの MFA デバイス設定を有効にするには、「AWS アカウントのルートユーザー (コンソール) 用にハードウェア TOTP トークンを有効にします」を参照してください。

AWS アカウントのルートユーザーおよび IAM ユーザーに対し、「現在サポートされている MFA タイプ」の任意の組み合わせで、最大 8 台の MFA デバイスを登録できます。MFA デバイスが複数ある場合でも、そのユーザとして AWS Management Console にログインしたり、AWS CLI を使用してセッションを作成したりするのに必要なのは、1 台の MFA デバイスだけです。

重要

MFA デバイスを紛失したりアクセスできなくなったりした場合に、ユーザーが引き続きアカウントにアクセスできるようにするため、複数の MFA デバイスを利用可能にしておくことをお勧めします。

注記

コマンドラインから MFA デバイスを有効化する場合には、aws iam enable-mfa-device を使用します。IAM API で MFA デバイスを有効化する場合には、EnableMFADevice オペレーションを使用します。

トピック

必要なアクセス許可
自身の IAM ユーザーでハードウェア TOTP トークンを有効にする (コンソール)
別の IAM ユーザーのハードウェア TOTP トークンを有効にする (コンソール)
物理的な MFA デバイスの交換

必要なアクセス許可

重要な MFA 関連のアクションを保護しながら、IAM ユーザー用にハードウェア TOTP トークンを管理するには、以下のポリシーによるアクセス許可が必要です。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowManageOwnUserMFA",
            "Effect": "Allow",
            "Action": [
                "iam:DeactivateMFADevice",
                "iam:EnableMFADevice",
                "iam:GetUser",
                "iam:ListMFADevices",
                "iam:ResyncMFADevice"
            ],
            "Resource": "arn:aws:iam::*:user/${aws:username}"
        },
        {
            "Sid": "DenyAllExceptListedIfNoMFA",
            "Effect": "Deny",
            "NotAction": [
                "iam:EnableMFADevice",
                "iam:GetUser",
                "iam:ListMFADevices",
                "iam:ResyncMFADevice"
            ],
            "Resource": "arn:aws:iam::*:user/${aws:username}",
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "false"
                }
            }
        }
    ]
}

自身の IAM ユーザーでハードウェア TOTP トークンを有効にする (コンソール)

自分のハードウェア TOTP トークンは、AWS Management Console から有効化できます。

注記

ハードウェア TOTP トークンを有効にする前に、そのデバイスに対し物理的なアクセス権限を持つ必要があります。

自身の IAM ユーザーのハードウェア TOTP トークンを有効にするには (コンソール)

AWS アカウント ID またはアカウントエイリアス、IAM ユーザー名、およびパスワードを使用して IAM コンソールにサインインします。

注記
利便性のため、AWS サインインページは、ブラウザ cookie を使用して IAM ユーザー名とアカウント情報を記憶します。以前に別のユーザーとしてサインインしたことがある場合は、ページの下部にある[別のアカウントにサインイン]を選択し、メインのサインインページに戻ります。そこから、AWS アカウント ID またはアカウントエイリアスを入力して、アカウントの IAM ユーザーサインインページにリダイレクトされるようにすることができます。

AWS アカウントアカウント ID の取得については、管理者にお問い合わせください。
右上のナビゲーションバーで自分のユーザー名を選択し、続いて [Security credentials] (セキュリティ認証情報) を選択します。
[AWS IAM 認証情報] タブの [多要素認証 (MFA)] セクションで、[MFA デバイスの割り当て] を選択します。
ウィザード内で [Device name] (デバイス名) に入力した後、[Hardware TOTP token] (ハードウェア TOTP トークン)、[Next] (次へ) の順に選択します。
対象デバイスのシリアルナンバーを入力します。シリアルナンバーは、通常、デバイスの背面にあります。
MFA デバイスに表示されている 6 桁の数字を [MFA code 1 (MFA コード 1)] に入力します。デバイス前面のボタンを押して数字を表示する場合があります。
デバイスがコードを更新するまで 30 秒ほど待ち、更新後に表示された 6 桁の数字を [MFA code 2 (MFA コード 2)] に入力します。デバイス前面のボタンを再度押して新しい数字を表示する場合があります。
[Add MFA] (MFA を追加) を選択します。

重要
認証コードを生成した後すぐに、リクエストを送信します。コードを生成した後にリクエストを送信するまで時間がかかりすぎる場合、MFA デバイスはユーザーとは正常に関連付けられますが、その MFA デバイスは同期されなくなります。これは、タイムベースドワンタイムパスワード (TOTP) の有効期間が短いために起こります。その場合は、デバイスの再同期ができます。

デバイスを AWS で使用する準備が整いました。AWS Management Consoleでの MFA 利用の詳細については、「IAM のサインインページでの MFA デバイスの使用」を参照してください。

別の IAM ユーザーのハードウェア TOTP トークンを有効にする (コンソール)

AWS Management Console から別の IAM ユーザーのハードウェア TOTP トークンを有効にできます。

別の IAM ユーザーのハードウェア TOTP トークンを有効にするには (コンソール)

AWS Management Console にサインインして、IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。
ナビゲーションペインで [Users (ユーザー)] を選択します。
MFA を有効化するユーザーの名前を選択します。
[Security Credentials] タブを選択します。[Multi-factor authentication (MFA) (多要素認証 (MFA)) で、[Assign MFA device] (MFA デバイスの割り当て) を選択します。
ウィザード内で [Device name] (デバイス名) に入力した後、[Hardware TOTP token] (ハードウェア TOTP トークン)、[Next] (次へ) の順に選択します。
対象デバイスのシリアルナンバーを入力します。シリアルナンバーは、通常、デバイスの背面にあります。
MFA デバイスに表示されている 6 桁の数字を [MFA code 1 (MFA コード 1)] に入力します。デバイス前面のボタンを押して数字を表示する場合があります。
デバイスがコードを更新するまで 30 秒ほど待ち、更新後に表示された 6 桁の数字を [MFA code 2 (MFA コード 2)] に入力します。デバイス前面のボタンを再度押して新しい数字を表示する場合があります。
[Add MFA] (MFA を追加) を選択します。

重要
認証コードを生成した後すぐに、リクエストを送信します。コードを生成した後にリクエストを送信するまで時間がかかりすぎる場合、MFA デバイスはユーザーとは正常に関連付けられますが、その MFA デバイスは同期されなくなります。これは、タイムベースドワンタイムパスワード (TOTP) の有効期間が短いために起こります。その場合は、デバイスの再同期ができます。

物理的な MFA デバイスの交換

「現在サポートされている MFA タイプ」の任意の組み合わせで、一度に最大 8 台の MFA デバイスを、AWS アカウントのルートユーザーおよび IAM ユーザーに割り当てることができます。ユーザーがデバイスを紛失したか、何らかの理由で交換する必要がある場合、最初に古いデバイスを非アクティブ化する必要があります。その後、新しいデバイスをユーザーに追加できます。

現在ユーザーに関連付けられているデバイスを非アクティブ化するには、「MFA デバイスの無効化」を参照してください。
IAM ユーザーに対し、交換用ハードウェア TOTP トークンを追加するには、このトピックの前半にある手順「別の IAM ユーザーのハードウェア TOTP トークンを有効にする (コンソール)」の各ステップに従います。
AWS アカウントのルートユーザーに対し、交換用ハードウェア TOTP トークンを追加するには、このトピックの上記手順「AWS アカウントのルートユーザー (コンソール) 用にハードウェア TOTP トークンを有効にします」の各ステップに従います。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

FIDO セキュリティキーを使用するためのサポートされる設定

仮想 MFA デバイスの有効化と管理 (AWS CLI または AWS API)