启用虚拟 Multi-Factor Authentication (MFA) 设备(控制台) - Amazon Identity and Access Management
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

启用虚拟 Multi-Factor Authentication (MFA) 设备(控制台)

您可以将手机或其他设备作为虚拟 Multi-Factor Authentication (MFA) 设备。为此,请安装符合 RFC 6238 的移动应用程序,这是一种基于标准的 TOTP(基于时间的一次性密码)算法。这些应用程序生成六位数的身份验证代码。由于虚拟 MFA 可能在不安全的移动设备上运行,因此,它们可能无法提供与 FIDO 安全密钥相同的安全级别。我们建议您在等待硬件购买批准或等待硬件到达时使用虚拟 MFA 设备。

大多数虚拟 MFA 应用程序支持创建多个虚拟设备,从而允许您在多个 Amazon Web Services 账户 或用户中使用相同的应用程序。您最多可以向 Amazon Web Services 账户根用户 和 IAM 用户注册 8当前支持的 MFA 类型任意组合的 MFA 设备。注册多台 MFA 设备后,只需一台 MFA 设备即可以该用户的身份登录 Amazon Web Services Management Console 或通过 Amazon CLI 创建会话。建议注册多个 MFA 设备。对于身份验证器应用程序,我们还建议您在这些应用程序中启用云备份或同步功能,以避免在设备丢失或损坏身份验证器应用程序时失去对账户的访问权限。

有关您可以使用的虚拟 MFA 应用程序的列表,请参阅多重身份验证。Amazon 需要可产生六位数 OTP 的虚拟 MFA 应用程序。

所需权限

要管理您的 IAM 用户的虚拟 MFA 设备,您必须具有以下策略中的权限:Amazon:允许使用 MFA 完成身份验证的 IAM 用户在“安全凭证”页面上管理自己的 MFA 设备。

为 IAM 用户启用虚拟 MFA 设备(控制台)

您可在 Amazon Web Services Management Console 中使用 IAM 为您账户中的 IAM 用户启用和管理虚拟 MFA 设备。您可以将标签附加到 IAM 资源(包括虚拟 MFA 设备),以识别、组织和控制对这些资源的访问。只有在使用 Amazon CLI 或 Amazon API 时,才能标记虚拟 MFA 设备。要使用 Amazon CLI 或 Amazon API 启用和管理 MFA 设备,请参阅 启用和管理虚拟 MFA 设备(Amazon CLI 或 Amazon API)。有关标记 IAM 资源的更多信息,请参阅 标记 IAM 资源

注意

您必须拥有对将托管用户的虚拟 MFA 设备的硬件的物理访问权限以便配置 MFA。例如,您可能为使用在智能手机上运行的虚拟 MFA 设备的用户配置 MFA。在这种情况下,您必须具有智能手机才能完成该向导。因此,您可能想让用户配置和管理他们自己的虚拟 MFA 设备。在此情况下,您必须授予用户执行必要的 IAM 操作所需的权限。有关更多信息以及授予这些权限的 IAM policy 示例,请参阅 IAM 教程:允许用户管理其凭证和 MFA 设置 和示例策略 Amazon:允许使用 MFA 完成身份验证的 IAM 用户在“安全凭证”页面上管理自己的 MFA 设备。

为 IAM 用户启用虚拟 MFA 设备(控制台)
  1. 登录 Amazon Web Services Management Console,单击 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

  2. 在导航窗格中,选择 Users(用户)。

  3. Users(用户)列表中,选择 IAM 用户的名称。

  4. 选择 Security Credentials (安全证书) 选项卡。在 Multi-factor authentication (MFA) [多重身份验证(MFA)] 部分中,选择 Assign MFA device(分配 MFA 设备)。

  5. 在向导中,键入设备名称,选择身份验证器应用程序,然后选择下一步

    IAM 将生成并显示虚拟 MFA 设备的配置信息,包括 QR 代码图形。此图形是秘密配置密钥的表示形式,适用于不支持 QR 代码的设备上的手动输入。

  6. 打开您的虚拟 MFA 应用程序。有关可用于托管虚拟 MFA 设备的应用程序的列表,请参阅多重身份验证

    如果虚拟 MFA 应用程序支持多个虚拟 MFA 设备或账户,请选择相应的选项以创建新的虚拟 MFA 设备或账户。

  7. 确定 MFA 应用程序是否支持 QR 代码,然后执行以下操作之一:

    • 在向导中,选择 Show QR 代码 (显示 QR 代码),然后使用该应用程序扫描 QR 代码。例如,您可选择摄像头图标或选择类似于 Scan code 的选项,然后使用设备的摄像头扫描此代码。

    • 在向导中,选择 Show secret key(显示私有密钥),然后在您的 MFA 应用程序中键入私有密钥。

    完成操作后,虚拟 MFA 设备会开始生成一次性密码。

  8. 设置设备页面中的 MFA 代码 1 框中,键入虚拟 MFA 设备当前显示的一次性密码。请等候 30 秒,以便设备生成新的一次性密码。然后在 MFA code 2 (MFA 代码 2) 框中键入第二个一次性密码。选择 Add MFA(添加 MFA)。

    重要

    生成代码之后立即提交您的请求。如果生成代码后等待很长时间才提交请求,MFA 设备会成功与用户关联,但 MFA 设备无法同步。这是因为基于时间的一次性密码 (TOTP) 很快会过期。这种情况下,您可以重新同步设备

虚拟 MFA 设备现在已准备好与 Amazon 一起使用了。有关在 Amazon Web Services Management Console上使用 MFA 的信息,请参阅 使用 MFA 设备访问您的 IAM 登录页面

替换虚拟 MFA 设备

您最多可以向 Amazon Web Services 账户根用户 和 IAM 用户注册 8当前支持的 MFA 类型任意组合的 MFA 设备。如果用户丢失设备或出于任何原因需要替换它,您必须先停用旧设备。然后,您可以为用户添加新设备。