为 Amazon Managed Microsoft AD 启用多重身份验证

要为 Amazon Managed Microsoft AD 启用多重身份验证

1. 确定您的 RADIUS MFA 服务器的 IP 地址和 Amazon Managed Microsoft AD 目录。

2. 编辑 Virtual Private Cloud（VPC）安全组以允许 Amazon Managed Microsoft AD IP 端点和 RADIUS MFA 服务器之间通过端口 1812 的通信。

3. 在 Amazon Directory Service 控制台导航窗格中，选择目录。

4. 选择 Amazon Managed Microsoft AD 目录的目录 ID 链接。

5. 在报告详细信息页面上，执行以下操作之一：

   • 如果多区域复制下显示多个区域，选择想要启用 MFA 的区域，然后选择网络与安全选项卡。有关更多信息，请参阅主区域与其他区域：

   • 如果多区域复制下未显示任何区域，选择网络与安全选项卡。

6. 在多重验证部分中，选择操作，然后选择启用。

7. 在启用多重身份验证（MFA）页面上，提供以下值：

   显示标签

   提供标签名称。

   RADIUS 服务器 DNS 名称或 IP 地址

   您的 RADIUS 服务器终端节点的 IP 地址或者您的 RADIUS 服务器负载均衡器的 IP 地址。可以输入多个 IP 地址，用逗号分隔开（例如 192.0.0.0,192.0.0.12）。

   注意

   RADIUS MFA 仅适用于对亚马逊企业应用程序和服务（例如 WorkSpaces亚马逊 QuickSight或 Amazon Chime）的访问进行身份验证。Amazon Web Services Management Console其不为在 EC2 实例上运行的 Windows 工作负载提供 MFA，也不会为登录 EC2 实例提供 MFA。Amazon Directory Service 不支持 RADIUS 质询/响应身份验证。

   用户在输入其用户名和密码时必须拥有 MFA 代码。或者，您必须使用执行 MFA 的解决方案， out-of-band 例如对用户进行 SMS 文本验证。在 out-of-band MFA 解决方案中，必须确保为您的解决方案正确设置 RADIUS 超时值。使用 out-of-band MFA 解决方案时，登录页面将提示用户输入 MFA 代码。在这种情况下，用户必须在密码字段和 MFA 字段中均输入密码。

   端口

   RADIUS 服务器用来通信的端口。您的本地网络必须允许通过默认的 RADIUS 服务器端口（UDP:1812）从 Amazon Directory Service 服务器传入入站流量。

   Shared secret code

   在创建 RADIUS 终端节点时指定的共享密码。

   Confirm shared secret code (确认共享密码)

   确认您的 RADIUS 终端节点的共享密码。

   协议

   选择在创建 RADIUS 终端节点时指定的协议。

   服务器超时（以秒为单位）

   等待 RADIUS 服务器响应的时间长度 (以秒为单位)。此值必须介于 1 和 50 之间。

   注意

   我们建议将 RADIUS 服务器超时配置为 20 秒或更短。如果超时超过 20 秒，则系统无法使用其他 RADIUS 服务器重试，并可能导致超时失败。

   RADIUS 请求最大重试次数

   将尝试与 RADIUS 服务器通信的次数。此值必须介于 0 和 10 之间。

   当 RADIUS Status 更改为 Enabled 时，多重验证将可用。

8. 请选择启用。