はじめに
「AWSの二段階認証（MFA）はどの認証方式を選べばいいの？」
「設定したあと、本当にMFAが有効になっているかはどう確認するの？」と迷っていませんか。
AWSのアカウントを安全に使うためにMFAを設定しようとしても、認証アプリやセキュリティキーなど複数の方式が表示されると、どれを選んで設定を進めればよいのか分かりにくいですよね。
この記事では、AWSで利用できるMFAの認証方式の選び方から、MFAを有効化する手順、設定後の確認方法まで順を追って説明していきます。
AWSの二段階認証とは？
AWSでは、パスワードだけでなく追加の認証要素を使うMFA（多要素認証）を設定できます。
ここでは、AWSで利用するMFAの仕組みと、ルートユーザー・IAMユーザーのどちらに設定するのかを説明します。
AWSでは二段階認証としてMFAを利用する
AWSでは、パスワードに加えて別の認証要素を確認するMFAを利用できます。
MFAを設定すると、登録したデバイスでの認証も必要になるため、パスワードが第三者に知られた場合でも不正なサインインを防ぎやすくなります。
ルートユーザーとIAMユーザーのどちらに設定する？
MFAは、ルートユーザーとIAMユーザーのそれぞれに設定できます。
ルートユーザーでサインインする場合はルートユーザーに、IAMユーザーを利用する場合は対象のIAMユーザーに設定するため、普段どのユーザーでサインインしているか確認してから進めましょう。
AWSで利用できるMFA方式と選び方
AWSでは、MFAにパスキー、セキュリティキー、認証アプリ、ハードウェアTOTPなどの方式を利用できます。
ここでは、各MFA方式の違いとAWSの推奨内容を説明します。
パスキー・セキュリティキー・認証アプリ・ハードウェアTOTPの違い
パスキーは端末の生体認証やPINなど、セキュリティキーはFIDO2対応の物理デバイスを使って認証する方式です。
認証アプリはスマートフォンなどに表示されるワンタイムパスワードを入力し、ハードウェアTOTPでは専用デバイスに表示されるコードを使って認証します。
AWSが推奨するMFA方式を確認する
AWSでは、フィッシング耐性のあるFIDO2認証に対応したパスキーやセキュリティキーを推奨しています。
利用できる環境であればこれらを優先し、難しい場合は認証アプリなど、無理なく利用できるMFA方式を選びましょう。
パスキーやセキュリティキーを使える環境か分からず、どの方式を選ぶか迷う場合は、それぞれの違いを確認してから決めると安心です。
▶パスキーとセキュリティキーの違いとは？認証方式や選び方を解説
AWSで二段階認証を設定する方法
AWSのMFAを設定するときは、対象のAWSアカウントへサインインしたあと、セキュリティ認証情報からMFAの設定画面を開きます。
ここでは、AWSの管理画面でMFAを有効にするまでの手順を順に説明します。
MFAを設定するAWSアカウントへサインインする
AWSマネジメントコンソールへ、MFAを設定したいユーザーでサインインします。
ルートユーザーとIAMユーザーでは設定先が異なるため、対象のユーザーでサインインしていることを確認してから進めましょう。
セキュリティ認証情報からMFAデバイスの割り当てを開く
AWSマネジメントコンソールから「セキュリティ認証情報」を開き、MFAの設定項目からMFAデバイスの割り当てへ進みます。
設定画面が表示されたら、登録するMFAデバイスを選択します。
使用するMFA方式を選択してデバイスを登録する
利用するMFA方式を選び、画面の案内に沿ってデバイスを登録します。
認証アプリの場合は表示されたQRコードを読み取り、パスキーやセキュリティキーの場合は案内に従って端末やキーを登録しましょう。
認証を完了してMFAを有効化する
デバイスを登録したら、AWSの画面に従って認証を行います。
認証アプリの場合は表示された認証コードを入力し、正常に認証されればMFAの設定は完了です。
AWSの二段階認証が設定できたか確認する方法
AWSでMFAを設定したあとは、実際のサインイン時にMFA認証が求められるかを確認しておく必要があります。
ここでは、一度AWSからサインアウトして再度サインインし、MFA認証が正常に求められるかを確認する方法を説明します。
AWSから一度サインアウトする
MFAの設定が完了したら、AWSマネジメントコンソールから一度サインアウトします。
再度サインインすることで、設定したMFAが正しく機能しているか確認できます。
再度サインインしてMFA認証を確認する
AWSへ再度サインインし、登録したMFAデバイスで認証できるか確認します。
問題なくサインインできれば設定は完了ですが、MFA認証が求められない場合は、設定したユーザーでサインインしているか確認してみましょう。
MFAを設定したのに認証を求められない場合は、設定したユーザーやMFAデバイスが正しく登録されているか確認してみましょう。
▶AWSのMFAが表示されない・認証できない原因と対処法
まとめ
AWSのMFAを設定しておくと、パスワードだけに頼らずサインインを確認できるため、アカウントの安全性を高められます。
設定する際は、ルートユーザーとIAMユーザーのどちらが対象なのかを確認し、利用環境に合ったMFA方式を選びましょう。
設定後は一度サインアウトして再度認証を行い、登録したMFAで問題なくサインインできるところまで確認しておくと安心です。
