IAM の多要素認証 (MFA)

AWS 多要素認証 (MFA) は AWS Identity and Access Management (IAM) のベストプラクティスで、ユーザー名とパスワードのログイン認証情報に加えて 2 つ目の認証要素を必要とします。MFA は AWS アカウントレベルで、またアカウントで作成したルートユーザーと IAM ユーザーに対して有効にできます。
 
AWS は無料の MFA セキュリティキープログラムの対象者を拡大しています。資格を確認して、無料の MFA キーをリクエストしてください。
 
MFA を有効にすると、ユーザーが AWS マネジメントコンソールにサインインするときに、ユーザー名とパスワード ( 自分が知っているもの) と、MFA デバイスからの認証コード ( 自分が持っているもの) (または、生体認証対応の認証システムを使用している場合は、 自分の生体情報) の入力が求められます。これらの要因を組み合わせると、AWS アカウントとリソースのセキュリティが向上します。
 
AWS にアクセスする際には、人間のユーザーに一時的な認証情報の使用を義務付けることをお勧めします。ユーザーは ID プロバイダーを使用して AWS にフェデレーションし、企業認証情報と MFA 設定で認証できます。AWS とビジネスアプリケーションへのアクセスを管理するには、 AWS IAM アイデンティティセンターを使用することをお勧めします。詳細については、「 IAM アイデンティティセンターの前提条件」を参照してください。
 
次の MFA オプションは、IAM MFA の実装でご利用いただけます。提供されているリンクから仮想認証アプリケーションをダウンロードできます。あるいは、各メーカーからハードウェア MFA デバイスを入手することも可能です。サポート対象の仮想またはハードウエア MFA デバイスを取得した後、MFA の使用に対し追加料金は発生しません。

IAM で利用できる MFA メソッド

MFA デバイスは IAM コンソールで管理できます。以下のオプションは、IAM がサポートする MFA メソッドです。

FIDO セキュリティキー

FIDO 認定のハードウェアセキュリティキーは、Yubico などのサードパーティープロバイダーが提供するものです。FIDO アライアンスは、FIDO 規格に適合するすべての FIDO 認定製品のリストを管理しています。FIDO 認証標準はパブリックキー暗号に基づいているため、パスワードよりも安全な、強固でフィッシングに強い認証が可能になります。FIDO セキュリティキーは、1 つのセキュリティキーを使用して複数のルートアカウントと IAM ユーザーをサポートします。FIDO セキュリティキーのサポート対象は、AWS GovCloud (米国) リージョンおよびその他の AWS リージョンの IAM ユーザーです。FIDO セキュリティキーの有効化の詳細については、「FIDO セキュリティキーの有効化」を参照してください。

AWS は、対象となる米国の AWS アカウント所有者に、無料の MFA セキュリティキーを提供しています。資格を確認してキーをリクエストするには、Security Hub コンソールを参照してください。

セキュリティキーアイコン

仮想認証アプリケーション

仮想認証アプリケーションは、タイムベースドワンタイムパスワード (TOTP) アルゴリズムを実装し、1 つのデバイスで複数のトークンをサポートします。仮想認証システムのサポート対象は、AWS GovCloud (米国) リージョンおよびその他の AWS リージョンの IAM ユーザーです。仮想認証システムの有効化の詳細については、「仮想多要素認証 (MFA) デバイスの有効化」を参照してください。

スマートフォン用のアプリケーションは、お使いのスマートフォンのタイプに応じたアプリストアからインストールできます。一部のアプリケーションプロバイダーは、ウェブアプリケーションとデスクトップアプリケーションも提供しています。次の表を参照してください。

 Android Twilio Authy Authenticator、Duo Mobile、LastPass Authenticator、Microsoft Authenticator、Google Authenticator、Symantec VIP
 iOS Twilio Authy Authenticator、Duo Mobile、LastPass Authenticator、Microsoft Authenticator、Google Authenticator、Symantec VIP
仮想認証アプリケーションアイコン

ハードウェア TOTP トークン

ハードウェアトークンは TOTP アルゴリズムもサポートしており、サードパーティープロバイダーである Thales が提供しています。 このトークンは AWS アカウントでのみ使用できます。詳細については、「ハードウェア MFA デバイスの有効化」を参照してください。

このトークンは、キーフォブまたはディスプレイカードデバイスとしてメーカーから直接購入できます。

AWS GovCloud (米国) リージョンのハードウェア TOTP トークン

ハードウェア TOTP トークンは AWS GovCloud (米国) リージョンと互換性があり、サードパーティプロバイダーの Hypersecu によって提供されます。このトークンは、AWS GovCloud (米国) アカウントを持つ IAM ユーザーのみが使用できます。

このトークンは、キーフォブとしてメーカーから直接購入できます。

TOTP ハードウェアトークンアイコン

AWS IAM の使用の開始方法を確認する

開始方法のページにアクセスする
構築を始めましょう。
AWS IAM の使用を開始する
ご不明な点がおありですか?
お問い合わせ