为 Amazon 托管的 Microsoft AD 启用多因素身份验证 - Amazon Directory Service
注意事项为托管 Amazon 微软 AD 启用 MFA 身份验证支持的 Amazon Enterprise 应用程序
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

为 Amazon 托管的 Microsoft AD 启用多因素身份验证

您可以为 Amazon 托管 Microsoft AD 目录启用多重身份验证 (MFA)，以便在用户指定要访问的 AD 凭据时提高安全性。支持的 Amazon Enterprise 应用程序启用 MFA 后，您的用户如常输入其用户名和密码 (第一安全要素)，它们还必须输入通过您的虚拟或硬件 MFA 解决方案获取的身份验证代码 (第二安全要素)。除非用户提供有效的用户凭证和 MFA 代码，否则这些安全要素将通过阻止对您的 Amazon 企业应用程序的访问来提高安全性。

要启用 MFA，您必须具有属于远程身份验证拨入用户服务（RADIUS）服务器的 MFA 解决方案，或已在本地基础设施中实现的 RADIUS 服务器必须具有 MFA 插件。您的 MFA 解决方案应实施一次性密码 (OTP)，用户可从硬件设备或在设备（如手机）上运行的软件来获取此密码。

RADIUS 是一种行业标准客户端/服务器协议，提供身份验证、授权和账户管理，以使用户能够连接到网络服务。 Amazon 托管 Microsoft AD 包括一个 RADIUS 客户端，该客户端可连接到你实施了 MFA 解决方案的 RADIUS 服务器。您的 RADIUS 服务器将验证用户名和 OTP 代码。如果你的 RADIUS 服务器成功验证了用户，Microsoft AD 就会 Amazon 根据 Active Directory 对用户进行身份验证。成功进行 Active Directory 身份验证后，用户就可以访问该 Amazon 应用程序了。 Amazon 托管的 Microsoft AD RADIUS 客户端与你的 RADIUS 服务器之间的通信需要你配置允许通过端口 1812 进行通信 Amazon 的安全组。

您可以通过执行以下步骤为 Amazon 托管 Microsoft AD 目录启用多因素身份验证。有关如何配置 RADIUS 服务器以使用 Amazon Directory Service 和 MFA 的更多信息，请参阅多重身份验证先决条件。

注意事项

以下是 Amazon 托管 Microsoft AD 的多因素身份验证的一些注意事项：

  • 多重身份验证对 Simple AD 不可用。但是，可为 AD Connector 目录启用 MFA。有关更多信息，请参阅 为 AD Connector 启用多重身份验证。

  • MFA 是 M Amazon icrosoft AD 托管的一项区域性功能。如果您使用的是 多区域复制，则必须分别在每个区域中应用以下过程。有关更多信息，请参阅 全局与区域特色。

  • 如果您打算使用 Amazon 托管 Microsoft AD 进行外部通信，我们建议您在网络外部为这些通信配置网络地址转换 (NAT) Internet Gateway 或 Internet Gateway。 Amazon

    • 如果您希望支持托管的 Microsoft AD 与 Amazon 网络上 Amazon 托管的 RADIUS 服务器之间的外部通信，请联系Amazon Web Services Support。

为 Amazon 托管的 Microsoft AD 启用多因素身份验证

以下过程向您展示如何为 Amazon 托管 Microsoft AD 启用多因素身份验证。

  1. 识别你的 RADIUS MFA 服务器的 IP 地址和你的托管 M Amazon icrosoft AD 目录。

  2. 编辑您的虚拟私有云 (VPC) 安全组，以启用 Amazon 托管的微软 AD IP 端点和 RADIUS MFA 服务器之间通过端口 1812 进行通信。

  3. 在 Amazon Directory Service 控制台导航窗格中，选择目录。

  4. 为你的 Amazon 托管 Microsoft AD 目录选择目录 ID 链接。

  5. 在报告详细信息页面上，执行以下操作之一：

    • 如果多区域复制下显示多个区域，选择想要启用 MFA 的区域，然后选择网络与安全选项卡。有关更多信息，请参阅 主区域与其他区域。

    • 如果多区域复制下未显示任何区域，选择网络与安全选项卡。

  6. 在多重验证部分中，选择操作，然后选择启用。

  7. 在启用多重身份验证（MFA）页面上，提供以下值：

    显示标签

    提供标签名称。

    RADIUS 服务器 DNS 名称或 IP 地址

    您的 RADIUS 服务器终端节点的 IP 地址或者您的 RADIUS 服务器负载均衡器的 IP 地址。可以输入多个 IP 地址，用逗号分隔开（例如 192.0.0.0,192.0.0.12）。

    注意

    RADIUS MFA 仅适用于对亚马逊企业应用程序和服务（例如 WorkSpaces亚马逊 QuickSight或 Amazon Chime）的访问进行身份验证。 Amazon Web Services Management Console它不为在 EC2 实例上运行的 Windows 工作负载提供 MFA，也不会为登录 EC2 实例提供 MFA。 Amazon Directory Service 不支持 RADIUS 质询/响应身份验证。

    用户在输入其用户名和密码时必须拥有 MFA 代码。或者，您必须使用执行 MFA 的解决方案， out-of-band 例如对用户进行 SMS 文本验证。在 out-of-band MFA 解决方案中，必须确保为您的解决方案正确设置 RADIUS 超时值。使用 out-of-band MFA 解决方案时，登录页面将提示用户输入 MFA 代码。在这种情况下，用户必须在密码字段和 MFA 字段中均输入密码。

    端口

    RADIUS 服务器用来通信的端口。您的本地网络必须允许服务器通过默认 RADIUS 服务器端口 (UDP: 1812) 的入站流量。 Amazon Directory Service

    Shared secret code

    在创建 RADIUS 终端节点时指定的共享密码。

    Confirm shared secret code (确认共享密码)

    确认您的 RADIUS 终端节点的共享密码。

    协议

    选择在创建 RADIUS 终端节点时指定的协议。

    服务器超时（以秒为单位）

    等待 RADIUS 服务器响应的时间长度 (以秒为单位)。此值必须介于 1 和 50 之间。

    注意

    我们建议将 RADIUS 服务器超时配置为 20 秒或更短。如果超时超过 20 秒，则系统无法使用其他 RADIUS 服务器重试，并可能导致超时失败。

    RADIUS 请求最大重试次数

    将尝试与 RADIUS 服务器通信的次数。此值必须介于 0 和 10 之间。

    当 RADIUS Status 更改为 Enabled 时，多重验证将可用。

  8. 请选择 启用。

支持的 Amazon Enterprise 应用程序

所有亚马逊企业 IT 应用程序 WorkSpaces，包括亚马逊、亚马逊 WorkDocs WorkMail QuickSight、亚马逊，以及使用带 Amazon Web Services Management Console 有 MFA 的 Microsoft AD Amazon IAM Identity Center 和 AD Connector Amazon 托管时均支持访问和支持。

有关如何配置用户对 Amazon Enterprise 应用程序的基本访问权限、 Amazon 单点登录和 Amazon Web Services Management Console 使用的信息 Amazon Directory Service，请参阅允许访问 Amazon 应用程序和服务和允许使用 AD 凭证访问 Amazon Web Services Management Console。

相关 Amazon 安全博客文章