# 将多重身份验证用于身份验证
<a name="gs-identities-mfa"></a>

将多重身份验证（MFA）用于身份验证是另一项 IAM 最佳实践建议。MFA 是一个额外的安全层，它要求用户在提供用户名和密码以验证其身份后提供额外的身份验证因素。该功能显著增强了安全性，使攻击者更难获得未经授权的访问，即使用户的密码遭到泄露也是如此。MFA 被广泛用作保护在线账户、云服务和其他敏感资源访问的最佳实践。Amazon 支持根用户、IAM 用户、IAM Identity Center 的用户、Builder ID 和联合用户的 MFA。为提高安全性，您可以创建策略，要求在允许用户访问资源或采取特定操作之前配置 MFA，并将这些策略附加到您的 IAM 角色。IAM Identity Center 已预先配置为默认开启 MFA，因此 IAM Identity Center 中的所有用户除了使用用户名和密码外，还必须使用 MFA 登录。

**注意**  
所有 Amazon Web Services 账户 账户类型（独立账户、管理账户和成员账户）都需要为其根用户配置 MFA。如果尚未启用 MFA，则用户必须在首次登录尝试访问 Amazon Web Services 管理控制台后 35 天内注册 MFA。

有关更多信息，请参阅 [Configure MFA in IAM Identity Center](https://docs.amazonaws.cn/singlesignon/latest/userguide/mfa-getting-started.html) 和 [IAM 中的 Amazon 多重身份验证](id_credentials_mfa.md)。