Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

正在启用硬件 TOTP 令牌（控制台）

硬件 TOTP 令牌以基于时间的一次性密码（TOTP）算法为基础生成一个六位数字代码。在登录过程中，用户必须在出现提示时从该设备键入有效代码。分配给用户的每个 MFA 设备都必须是唯一的；进行身份验证时，某个用户无法从另一个用户的设备键入代码。

硬件 TOTP 令牌和 FIDO 安全密钥都是您购买的物理设备。不同之处在于：硬件 MFA 设备生成 TOTP 代码 ，您可以进行查看，然后在登录 Amazon 期间出现提示时输入代码。FIDO 安全密钥是一种强大的防网络钓鱼 MFA 选项，使用时您不会看到或键入身份验证代码。相反，FIDO 安全密钥会生成响应而不将其呈现给用户，随后服务会对响应进行验证。有关这两种设备类型的规格和购买信息，请参阅多重身份验证。

您可以从 Amazon Web Services Management Console、命令行或 IAM API 为 IAM 用户启用硬件 TOTP 令牌。要为 Amazon Web Services 账户根用户 启用 MFA 设备，请参阅为 Amazon Web Services 账户 根用户启用硬件 TOTP 令牌（控制台）。

您最多可以向 Amazon Web Services 账户根用户 和 IAM 用户注册 8 台当前支持的 MFA 类型任意组合的 MFA 设备。注册多台 MFA 设备后，只需一台 MFA 设备即可以该用户的身份登录 Amazon Web Services Management Console 或通过 Amazon CLI 创建会话。

所需权限

要为您自己的 IAM 用户管理硬件 TOTP 令牌，同时保护与 MFA 相关的敏感操作，您必须具有以下策略中的权限：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowManageOwnUserMFA",
            "Effect": "Allow",
            "Action": [
                "iam:DeactivateMFADevice",
                "iam:EnableMFADevice",
                "iam:GetUser",
                "iam:ListMFADevices",
                "iam:ResyncMFADevice"
            ],
            "Resource": "arn:aws:iam::*:user/${aws:username}"
        },
        {
            "Sid": "DenyAllExceptListedIfNoMFA",
            "Effect": "Deny",
            "NotAction": [
                "iam:EnableMFADevice",
                "iam:GetUser",
                "iam:ListMFADevices",
                "iam:ResyncMFADevice"
            ],
            "Resource": "arn:aws:iam::*:user/${aws:username}",
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "false"
                }
            }
        }
    ]
}

为您自己的 IAM 用户启用硬件 TOTP 令牌（控制台）

您可以从 Amazon Web Services Management Console 启用您自己的硬件 TOTP 令牌。

设备已准备就绪，可在 Amazon 上使用。有关在 Amazon Web Services Management Console上使用 MFA 的信息，请参阅 使用 MFA 设备访问您的 IAM 登录页面。

为其他 IAM 用户启用硬件 TOTP 令牌（控制台）

您可以从 Amazon Web Services Management Console 为其他 IAM 用户启用硬件 TOTP 令牌。

设备已准备就绪，可在 Amazon 上使用。有关在 Amazon Web Services Management Console上使用 MFA 的信息，请参阅 使用 MFA 设备访问您的 IAM 登录页面。

为 Amazon Web Services 账户 根用户启用硬件 TOTP 令牌（控制台）

您只能从 Amazon Web Services Management Console 为根用户配置和启用虚拟 MFA 设备，而不能从 Amazon CLI 或 Amazon API 配置和启用。

如果您的 MFA 设备丢失、被盗或无法正常运行，您仍然可以使用替代的身份验证因素登录。如果您不能使用 MFA 设备登录，则可以使用和您的账户一起注册的电子邮件和电话验证您的身份来进行登录。为您的根用户启用 MFA 之前，请检查您的账户设置和联系信息，以确保您可以访问电子邮件地址和电话号码。要了解如何使用替代的身份验证因素登录，请参阅若 MFA 设备遗失或停止工作，该怎么办？。要禁用此功能，请联系Amazon Web Services Support。

替换或“轮换”物理 MFA 设备

您一次最多可以向您的 Amazon Web Services 账户根用户 和 IAM 用户分配 8 台当前支持的 MFA 类型任意组合的 MFA 设备。如果用户丢失设备或出于任何原因需要替换它，您必须先停用旧设备。然后，您可以为用户添加新设备。