启用虚拟 Multi-Factor Authentication (MFA) 设备（控制台） - Amazon Identity and Access Management
所需权限为 IAM 用户启用虚拟 MFA 设备（控制台）为您的 Amazon Web Services 账户根用户 启用虚拟 MFA 设备（控制台）替换或“轮换”虚拟 MFA 设备
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

启用虚拟 Multi-Factor Authentication (MFA) 设备（控制台）

您可以将手机或其他设备作为虚拟 Multi-Factor Authentication (MFA) 设备。为此，请安装符合 RFC 6238 的移动应用程序，这是一种基于标准的 TOTP（基于时间的一次性密码）算法。这些应用程序生成六位数的身份验证代码。由于虚拟 MFA 可能在不安全的移动设备上运行，因此，它们可能无法提供与 FIDO 安全密钥相同的安全级别。我们建议您在等待硬件购买批准或等待硬件到达时使用虚拟 MFA 设备。

大多数虚拟 MFA 应用程序支持创建多个虚拟设备，从而允许您在多个 Amazon Web Services 账户 或用户中使用相同的应用程序。您最多可以向 Amazon Web Services 账户根用户 和 IAM 用户注册 8 台当前支持的 MFA 类型任意组合的 MFA 设备。注册多台 MFA 设备后，只需一台 MFA 设备即可以该用户的身份登录 Amazon Web Services Management Console 或通过 Amazon CLI 创建会话。

有关您可以使用的虚拟 MFA 应用程序的列表，请参阅 Multi-Factor Authentication。请注意，Amazon 需要可产生六位数 OTP 的虚拟 MFA 应用程序。

所需权限

要管理您的 IAM 用户的虚拟 MFA 设备，您必须具有以下策略中的权限：Amazon：允许经过 MFA 身份验证的 IAM 用户在“My security credentials”（我的安全凭证）页面上管理自己的 MFA 设备。。

为 IAM 用户启用虚拟 MFA 设备（控制台）

您可在 Amazon Web Services Management Console 中使用 IAM 为您账户中的 IAM 用户启用和管理虚拟 MFA 设备。您可以将标签附加到 IAM 资源（包括虚拟 MFA 设备），以识别、组织和控制对这些资源的访问。只有在使用 Amazon CLI 或 Amazon API 时，才能标记虚拟 MFA 设备。要使用 Amazon CLI 或 Amazon API 启用和管理 MFA 设备，请参阅 启用和管理虚拟 MFA 设备（Amazon CLI 或 Amazon API）。有关标记 IAM 资源的更多信息，请参阅 标记 IAM 资源。

注意

您必须拥有对将托管用户的虚拟 MFA 设备的硬件的物理访问权限以便配置 MFA。例如，您可能为使用在智能手机上运行的虚拟 MFA 设备的用户配置 MFA。在这种情况下，您必须具有智能手机才能完成该向导。因此，您可能想让用户配置和管理他们自己的虚拟 MFA 设备。在此情况下，您必须授予用户执行必要的 IAM 操作所需的权限。有关更多信息以及授予这些权限的 IAM policy 示例，请参阅 Amazon：允许经过 MFA 身份验证的 IAM 用户在“My security credentials”（我的安全凭证）页面上管理自己的 MFA 设备。。

为 IAM 用户启用虚拟 MFA 设备（控制台）

  1. 登录 Amazon Web Services Management Console，单击 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

  2. 在导航窗格中，选择 Users（用户）。

  3. 在 Users（用户）列表中，选择 IAM 用户的名称。

  4. 选择 Security Credentials (安全证书) 选项卡。在 Multi-factor authentication (MFA) [多重身份验证（MFA）] 部分中，选择 Assign MFA device（分配 MFA 设备）。

  5. 在向导中，键入设备名称，选择身份验证器应用程序，然后选择下一步。

    IAM 将生成并显示虚拟 MFA 设备的配置信息，包括 QR 代码图形。此图形是秘密配置密钥的表示形式，适用于不支持 QR 代码的设备上的手动输入。

  6. 打开您的虚拟 MFA 应用程序。有关可用于托管虚拟 MFA 设备的应用程序的列表，请参阅多重身份验证。

    如果虚拟 MFA 应用程序支持多个虚拟 MFA 设备或账户，请选择相应的选项以创建新的虚拟 MFA 设备或账户。

  7. 确定 MFA 应用程序是否支持 QR 代码，然后执行以下操作之一：

    • 在向导中，选择 Show QR 代码 (显示 QR 代码)，然后使用该应用程序扫描 QR 代码。例如，您可选择摄像头图标或选择类似于 Scan code 的选项，然后使用设备的摄像头扫描此代码。

    • 在向导中，选择 Show secret key（显示私有密钥），然后在您的 MFA 应用程序中键入私有密钥。

    完成操作后，虚拟 MFA 设备会开始生成一次性密码。

  8. 在设置设备页面中的 MFA 代码 1 框中，键入虚拟 MFA 设备当前显示的一次性密码。请等候 30 秒，以便设备生成新的一次性密码。然后在 MFA code 2 (MFA 代码 2) 框中键入第二个一次性密码。选择 Add MFA（添加 MFA）。

    重要

    生成代码之后立即提交您的请求。如果生成代码后等待很长时间才提交请求，MFA 设备会成功与用户关联，但 MFA 设备无法同步。这是因为基于时间的一次性密码 (TOTP) 很快会过期。这种情况下，您可以重新同步设备。

虚拟 MFA 设备现在已准备好与 Amazon 一起使用了。有关在 Amazon Web Services Management Console上使用 MFA 的信息，请参阅 使用 MFA 设备访问您的 IAM 登录页面。

为您的 Amazon Web Services 账户根用户 启用虚拟 MFA 设备（控制台）

您可以使用 Amazon Web Services Management Console 为根用户配置和启用虚拟 MFA 设备。要为 Amazon Web Services 账户 启用 MFA 设备，您必须使用根用户凭证登录 Amazon。

为您的根用户启用 MFA 之前，请检查您的账户设置和联系信息，以确保您可以访问电子邮件地址和电话号码。如果您的 MFA 设备丢失、被盗或无法工作，您仍可以通过使用相应的电子邮件和电话号码验证您的身份，以作为根用户登录。要了解如何使用这些替代的身份验证因素登录，请参阅 若 MFA 设备遗失或停止工作，该怎么办？。

配置和启用虚拟 MFA 设备以用于您的根用户（控制台）

  1. 登录到 Amazon Web Services Management Console。

  2. 在导航栏右侧，选择您的账户名称，然后选择 Security Credentials（安全凭证）。如有必要，选择 Continue to Security Credentials（继续使用安全凭证）。

    导航菜单中的安全凭证

  3. 在 Multi-Factor Authentication (MFA) [多重身份验证（MFA）] 部分中，选择 Assign MFA device（分配 MFA 设备）。

  4. 在向导中，键入设备名称，选择身份验证器应用程序，然后选择下一步。

    IAM 将生成并显示虚拟 MFA 设备的配置信息，包括 QR 代码图形。此图形是秘密配置密钥的表示形式，适用于不支持 QR 代码的设备上的手动输入。

  5. 在设备上打开虚拟 MFA 应用程序。

    如果虚拟 MFA 应用程序支持多个虚拟 MFA 设备或账户，请选择相应的选项以创建新的虚拟 MFA 设备或账户。

  6. 要配置应用程序，最简单的方法是使用应用程序扫描 QR 代码。如果您无法扫描代码，则可手动键入配置信息。IAM 生成的二维码和私有配置密钥与您的 Amazon Web Services 账户 关联，不能用于其他账户。但是，如果您失去对原始 MFA 设备的访问权，可以重新使用它们为您的账户配置新的 MFA 设备。

    • 要使用 QR 代码配置虚拟 MFA 设备，请在向导中，选择 Show QR code (显示 QR 代码)。然后，按照应用程序说明扫描代码。例如，您可能需要选择摄像头图标或选择扫描账户条形码等命令，然后使用设备的摄像头扫描 QR 代码。

    • 在 Set up device（设置设备）向导中，选择 Show secret key（显示私有密钥），然后在您的 MFA 应用程序中键入私有密钥。

    重要

    对二维码或私有配置密钥进行安全备份，或确保为您的账户启用多台 MFA 设备。您最多可以向 Amazon Web Services 账户根用户 和 IAM 用户注册 8 台当前支持的 MFA 类型任意组合的 MFA 设备。虚拟 MFA 设备可能变为不可用（例如，如果丢失了承载虚拟 MFA 设备的智能手机）。如果发生这种情况并且由于没有其他添加到用户的 MFA 设备或甚至通过 恢复根用户用户 MFA 设备 也无法登录您的账户，您将无法登录该账户，必须与客户服务部门联系才能取消账户的 MFA 保护。

    设备开始生成六位数编码。

  7. 在向导的 MFA code 1（MFA 代码 1）框中，键入虚拟 MFA 设备上当前显示的一次性密码。请等候 30 秒，以便设备生成新的一次性密码。然后在 MFA code 2 (MFA 代码 2) 框中键入第二个一次性密码。选择 Add MFA（添加 MFA）。

    重要

    生成代码之后立即提交您的请求。如果生成代码后等待很长时间才提交请求，MFA 设备会成功与用户关联，但 MFA 设备无法同步。这是因为基于时间的一次性密码 (TOTP) 很快会过期。这种情况下，您可以重新同步设备。

设备已准备就绪，可在 Amazon 上使用。有关在 Amazon Web Services Management Console上使用 MFA 的信息，请参阅 使用 MFA 设备访问您的 IAM 登录页面。

替换或“轮换”虚拟 MFA 设备

您最多可以向 Amazon Web Services 账户根用户 和 IAM 用户注册 8 台当前支持的 MFA 类型任意组合的 MFA 设备。如果用户丢失设备或出于任何原因需要替换它，您必须先停用旧设备。然后，您可以为用户添加新设备。