AWS Identity and Access Management
用户指南
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

启用虚拟 Multi-Factor Authentication (MFA) 设备(控制台)

您可以将手机或其他设备作为虚拟 Multi-Factor Authentication (MFA) 设备。为此,请安装符合 RFC 6238 的移动应用程序,这是一种基于标准的 TOTP(基于时间的一次性密码)算法。这些应用程序生成六位数的身份验证代码。由于虚拟 MFA 可能在不安全的移动设备上运行,因此,它们可能无法提供与 U2F 设备或硬件 MFA 设备相同的安全级别。我们建议您在等待硬件购买批准或等待硬件到达时使用虚拟 MFA 设备。

大多数虚拟 MFA 应用程序支持创建多个虚拟设备,从而允许您在多个 AWS 账户或用户中使用相同的应用程序。但是,您只能为每个用户启用一个 MFA 设备。

有关您可以使用的虚拟 MFA 应用程序的列表,请参阅 Multi-Factor Authentication。请注意,AWS 需要可产生六位数 OTP 的虚拟 MFA 应用程序。

重要

在将虚拟 MFA 设备配置为使用 AWS 时,建议您将 QR 代码或密钥的副本保存在安全位置。这样,如果您丢失手机或出于任何原因必须重新安装 MFA 软件应用程序,您可以重新配置应用程序以使用相同的虚拟 MFA。这样便无需在 AWS 中为用户或 根用户 新建虚拟 MFA。

所需权限

要管理您的 IAM 用户的虚拟 MFA 设备,您必须具有以下策略中的权限:AWS:允许经过 MFA 身份验证的 IAM 用户在“My Security Credentials (我的安全凭证)”页面上管理自己的 MFA 设备。

为 IAM 用户启用虚拟 MFA 设备(控制台)

您可在 AWS 管理控制台中使用 IAM 为您账户中的 IAM 用户启用和管理虚拟 MFA 设备。要使用 AWS CLI 或 AWS API 启用和管理 MFA 设备,请参阅 启用和管理虚拟 MFA 设备(AWS CLI 或 AWS API)

注意

您必须拥有对将托管用户的虚拟 MFA 设备的硬件的物理访问权限以便配置 MFA。例如,您可能为使用在智能手机上运行的虚拟 MFA 设备的用户配置 MFA。在这种情况下,您必须具有智能手机才能完成该向导。因此,您可能想让用户配置和管理他们自己的虚拟 MFA 设备。在此情况下,您必须授予用户执行必要的 IAM 操作的权限。有关更多信息以及授予这些权限的 IAM 策略示例,请参阅AWS:允许经过 MFA 身份验证的 IAM 用户在“My Security Credentials (我的安全凭证)”页面上管理自己的 MFA 设备。

为 IAM 用户启用虚拟 MFA 设备(控制台)

  1. 登录 AWS 管理控制台 并通过以下网址打开 IAM 控制台 https://console.amazonaws.cn/iam/

  2. 在导航窗格中,选择 Users

  3. User Name 列表中,选择目标 MFA 用户的名称。

  4. 选择 Security Credentials 选项卡。在 Assigned MFA device (已分配 MFA 设备) 旁边,选择 Manage (管理)

  5. Manage MFA Device (管理 MFA 设备) 向导中,选择 Virtual MFA device (虚拟 MFA 设备),然后选择 Continue (继续)

    IAM 将生成并显示虚拟 MFA 设备的配置信息,包括 QR 代码图形。此图形是秘密配置密钥的表示形式,适用于不支持 QR 代码的设备上的手动输入。

  6. 打开您的虚拟 MFA 应用程序。有关可用于托管虚拟 MFA 设备的应用程序的列表,请参阅 Multi-Factor Authentication

    如果虚拟 MFA 应用程序支持多个虚拟 MFA 设备或账户,请选择相应的选项以创建新的虚拟 MFA 设备或账户。

  7. 确定 MFA 应用程序是否支持 QR 代码,然后执行以下操作之一:

    • 在向导中,选择 Show QR 代码 (显示 QR 代码),然后使用该应用程序扫描 QR 代码。例如,您可选择摄像头图标或选择类似于 Scan code 的选项,然后使用设备的摄像头扫描此代码。

    • Manage MFA Device (管理 MFA 设备) 向导中,选择 Show secret key (显示私有密钥),然后在您的 MFA 应用程序中键入私有密钥。

    完成操作后,虚拟 MFA 设备会开始生成一次性密码。

  8. Manage MFA Device (管理 MFA 设备) 向导的 MFA code 1 (MFA 代码 1) 框中,键入虚拟 MFA 设备上当前显示的一次性密码。请等候 30 秒,以便设备生成新的一次性密码。然后在 MFA code 2 (MFA 代码 2) 框中键入第二个一次性密码。选择 Assign MFA (分配 MFA)

    重要

    生成代码之后立即提交您的请求。如果生成代码后等待很长时间才提交请求,MFA 设备会成功与用户关联,但 MFA 设备无法同步。这是因为基于时间的一次性密码 (TOTP) 很快会过期。这种情况下,您可以重新同步设备

虚拟 MFA 设备现在已准备好与 AWS 一起使用了。有关在 AWS 管理控制台上使用 MFA 的信息,请参阅 使用 MFA 设备访问您的 IAM 登录页面

为您的 AWS 账户根用户启用虚拟 MFA 设备(控制台)

您可以使用 AWS 管理控制台为 根用户 配置和启用虚拟 MFA 设备。要为 AWS 账户启用 MFA 设备,您必须使用 根用户 凭证登录 AWS。

如果您的 MFA 设备丢失、被盗或无法正常工作,您仍然可以使用替代身份验证方法作为根用户登录。如果您不能使用 MFA 设备登录,则可以使用和您的账户一起注册的电子邮件和电话验证您的身份来进行登录。为您的根用户启用 MFA 之前,请检查您的账户设置和联系信息,确保您可以访问电子邮件地址和电话号码。要了解如何使用替代的身份验证因素登录,请参阅若 MFA 设备遗失或停止工作,该怎么办?。要禁用此功能,请联系AWS Support

注意

您可能会看到不同的文本,例如使用 MFA 登录排除您的身份验证设备故障。不过,它们提供了相同的功能。在任一情况下,如果您无法使用替代身份验证因素验证您的账户电子邮件地址和电话号码,请与 AWS Support 联系以停用您的 MFA 设置。

配置和启用虚拟 MFA 设备以用于您的 根用户(控制台)

  1. 登录 AWS 管理控制台。

  2. 在导航栏右侧,选择您的账户名称,然后选择我的安全凭证。如有必要,选择 Continue to Security Credentials。然后展开页面上的 Multi-Factor Authentication (MFA) 部分。

    
                  导航菜单中的“My Security Credentials (我的安全凭证)”
  3. 选择 Activate MFA (激活 MFA)

  4. 在向导中,选择 Virtual MFA device (虚拟 MFA 设备),然后选择 Continue (继续)

    IAM 将生成并显示虚拟 MFA 设备的配置信息,包括 QR 代码图形。此图形是秘密配置密钥的表示形式,适用于不支持 QR 代码的设备上的手动输入。

  5. 在设备上打开虚拟 MFA 应用程序。

    如果虚拟 MFA 应用程序支持多个虚拟 MFA 设备或账户,请选择相应的选项以创建新的虚拟 MFA 设备或账户。

  6. 要配置应用程序,最简单的方法是使用应用程序扫描 QR 代码。如果您无法扫描代码,则可手动键入配置信息。IAM 生成的 QR 代码和私有配置密钥与您的 AWS 账户关联,不能用于其他账户。但是,如果您失去对原始 MFA 设备的访问权,可以重新使用它们为您的账户配置新的 MFA 设备。

    • 要使用 QR 代码配置虚拟 MFA 设备,请在向导中,选择 Show QR code (显示 QR 代码)。然后,按照应用程序说明扫描代码。例如,您可能需要选择摄像头图标或选择扫描账户条形码等命令,然后使用设备的摄像头扫描 QR 代码。

    • Manage MFA Device (管理 MFA 设备) 向导中,选择 Show secret key (显示私有密钥),然后在您的 MFA 应用程序中键入私有密钥。

    重要

    对 QR 代码或私有配置密钥进行安全备份,或确保启用为您的账户启用多个虚拟 MFA 设备。虚拟 MFA 设备可能变为不可用 (例如,如果丢失了承载虚拟 MFA 设备的智能手机)。这种情况下,您将无法登录该账户,必须与客户服务部门联系才能取消账户的 MFA 保护。

    设备开始生成六位数编码。

  7. 管理 MFA 设备向导的 MFA 代码 1 框中,输入 MFA 设备当前显示的六位数字。请等候 30 秒,以便设备生成新的编码,然后在 MFA Code 2 (MFA 代码 2) 框中输入新的六位数编码。

    重要

    生成代码之后立即提交您的请求。如果生成代码后等待很长时间才提交请求,MFA 设备会成功与用户关联,但 MFA 设备无法同步。这是因为基于时间的一次性密码 (TOTP) 很快会过期。这种情况下,您可以重新同步设备

  8. 选择 Assign MFA (分配 MFA),然后选择 Finish (完成)

设备已准备就绪,可在 AWS 上使用。有关在 AWS 管理控制台上使用 MFA 的信息,请参阅 使用 MFA 设备访问您的 IAM 登录页面

替换或“轮换”虚拟 MFA 设备

您一次只能将一台 MFA 设备分配给用户。如果用户丢失设备或出于任何原因需要替换它,您必须先停用旧设备。然后,您可以为用户添加新设备。