awsで安全に守るための二段階認証設定完全ガイド

2025 10/31

2025/10/31

はじめに

本記事の目的

この章では、AWSで安全にクラウドを利用するための二段階認証（MFA）に関するガイド全体の導入を行います。MFAの基本から設定手順、運用上の注意点までを体系的にまとめ、実務で役立つ情報を分かりやすくお届けします。

誰に向けた記事か

・AWSアカウントやIAMユーザーを管理する方
・セキュリティ対策を強化したい開発者や運用担当者
・これからMFAを導入したい個人ユーザー
初心者の方でも迷わないよう、具体的な手順や画面操作例を交えて解説します。

本ガイドの特徴

本ガイドは実践的で手順に沿った説明を重視します。専門用語は最小限にし、必要な場合は具体例で補足します。章ごとに目的を絞っているため、知りたい項目をすぐ参照できます。

二段階認証（MFA）とは何か

概要

二段階認証（MFA: Multi-Factor Authentication）は、パスワードに加えてもう一つ別の確認手段を求める仕組みです。これにより、パスワードだけでは防げない不正アクセスのリスクを下げられます。AWSでも「MFA」として提供されており、特に重要な操作を行うアカウントに推奨されます。

認証要素の種類（分かりやすく）

知識（知っているもの）: パスワードやPIN
所有（持っているもの）: スマートフォンの認証アプリ、ワンタイムトークン、セキュリティキー
生体（本人の体の特徴）: 指紋や顔認証

なぜ必要か

パスワードが漏れても、第二の要素がなければ不正ログインは難しくなります。例えば、メールでパスワードが盗まれても、スマホのワンタイムパスワードがなければログインできません。これでフィッシングやリスト型攻撃の被害を大幅に減らせます。

実務での使い方の一例

重要なAWSルートアカウントや権限の高いIAMユーザーにまず設定します。日常のアカウントには仮想MFAアプリを使い、より高い安全性が欲しい場合はハードウェアキーを検討します。

注意点（簡潔に）

MFA機器を紛失した場合の復旧手順を用意してください。バックアップ方法を設定しておくと安心です。

AWSでの二段階認証（MFA）の種類

仮想MFAデバイス（スマートフォンアプリ）

スマートフォンのワンタイムパスワード（TOTP）アプリを使う方式です。例としてGoogle AuthenticatorやAuthyがあります。導入が簡単でコストがかかりません。普段使いのAWSアカウントやIAMユーザーで最も一般的です。

ハードウェアMFAデバイス（物理トークン）

専用の物理トークンを利用します。電池式のトークンや表示器付きの小型デバイスです。仮想MFAより耐タンパ性が高く、厳重な管理を求める組織向けです。紛失時の対応手順をあらかじめ決めておく必要があります。

セキュリティキー（USB/NFCなど）

FIDOやU2Fに対応するセキュリティキーを使うタイプです。ボタン操作やタッチで認証を行い、フィッシングに強い特徴があります。一部のAWSサービスやブラウザで利用できます。

SMSベースMFA

携帯電話のSMSでコードを受け取る方式です。AWS全体では利用制限があり、主にAmazon Cognitoなど特定サービスで使われます。配達遅延や番号変更のリスクがあるため、重要アカウントには推奨しません。

選び方の目安

個人や小規模：仮想MFAアプリをまず導入してください。
企業や高セキュリティ：ハードウェアトークンやセキュリティキーを検討してください。
利便性重視でSMSは使えますが、重要度の高いアクセスには避けると安心です。

AWSにおけるMFA（二段階認証）の設定手順

前提（確認しておくこと）

管理者または該当ユーザーとしてコンソールにログインしていること。IAM操作の権限（MFA設定やユーザー管理）が必要です。ルートアカウントのMFAは「マイアカウント」から設定します。

設定手順（簡潔な流れ）

AWSコンソールにログイン
コンソール上部で「IAM」を検索して選択
左メニューから「ユーザー」を選び、対象ユーザー名をクリック
タブで「セキュリティ認証情報」を開く（表示名が若干異なる場合があります）
「MFAの割り当て」または「MFAを設定する」をクリック
デバイス種別を選択（仮想MFAアプリ／ハードウェア）
仮想MFAの場合は表示されるQRコードをスマートフォンの認証アプリ（例: Google Authenticator、Authy）でスキャンし、連続した2つのコードを入力して検証
登録が成功したら完了。次回からログイン時にMFAコードの入力が必要になります。

設定後の確認とちょっとした注意

登録後にログアウトして通常ログイン＋MFAで動作確認してください。CLIやAPIでMFAを使う場合は、MFAを用いた一時的な認証情報（STS）を発行して利用します。
スマートフォンを紛失した場合に備え、代替のMFA手段やハードウェアトークンの準備を検討してください。権限不足で設定できないときは、管理者に依頼してください。

スマートフォンアプリでのMFA設定（実例）

概要

スマートフォンの認証アプリ（Google Authenticator、Authyなど）を使うと、簡単に二段階認証（MFA）を有効にできます。ここでは、Amazonアプリでの手順例と、AWSコンソール（IAM）での代表的な手順をわかりやすく示します。

準備

スマートフォンに認証アプリをインストールしてください。
アカウントにログインできる状態で行ってください。

実際の手順（Amazonアプリの例）

Amazonアプリを開き、プロフィールアイコンから「アカウントサービス」→「ログインとセキュリティ」へ進みます。
「2段階認証（MFA）」の編集を選び、認証方法で「認証アプリ」を選択します。電話番号を使う選択も可能です。
表示されるQRコードを認証アプリでスキャン、または表示されたセットアップキーを手入力します。
認証アプリに表示される6桁のコードをAmazonに入力して有効化します。
「このブラウザーではワンタイムパスワードを必要としない」にチェックを入れて、信頼する端末を登録できます。

実際の手順（AWSコンソールの例）

AWSマネジメントコンソールでIAMのユーザー設定から「セキュリティ認証情報」へ進みます。
仮想MFAデバイスの割り当てを開始し、QRコードをスキャンします。
多くの場合、設定時に認証アプリの連続する2つのコードの入力を求められます。順に入力して完了してください。

運用上のポイント

セットアップキー（表示される英数字）は安全な場所に控えてください。端末紛失時の再設定に使えます。
可能なら別の認証アプリやハードウェアMFAを予備として登録してください。
まずは一台で試し、問題なければ信頼する端末登録を活用すると運用が楽になります。

MFA設定時の注意点・落とし穴

なぜ注意が必要か

MFAは不正アクセス対策の要です。設定が不十分だと、見かけ上は保護されていても突破される可能性があります。新規IAMユーザー作成時は必ずMFAの有無を確認してください。

新規IAMユーザー作成時の具体的注意点

初期MFAは必ず有効化する。管理者はユーザー作成後すぐにMFA登録を促してください。
IAMユーザーは基本的に一つのMFAデバイスしか紐付けられません。複数デバイスを想定せず、代替手段を用意しましょう。

バックアップと復旧対策

スマホ紛失に備え、QRコード（シード値）を安全な場所に保管するか、バックアップデバイスを登録します。
ルートアカウントのMFAを失うと復旧が面倒です。ルート用MFAは特に厳重に管理してください。
管理者がMFAを解除できる体制（社内の責任者、手順書）を整備します。

運用ポリシーと自動化

パスワードポリシーと合わせてMFAを必須化する社内ルールを定めます。
IAMポリシーやコンディションでMFA未使用のアクセスを制限する運用をおすすめします。

技術的な落とし穴

時刻のズレでワンタイムコードが無効になることがあります。端末の時刻同期を確認してください。
認証アプリの移行時、シードを正しく移さないと再登録が必要です。
予備の連絡先や緊急アクセス（ブレイクグラス）アカウントを用意しておくと復旧が速くなります。

日常運用での注意を怠らないことが、MFAの効果を高めるポイントです。

AWSサービス別の二段階認証事情

概要

AWSではサービスごとに二段階認証（MFA）を活かす方法が異なります。ここでは主要なサービスと運用のポイントを分かりやすく説明します。

Amazon Cognito（アプリ向け）

ユーザープールでTOTP（Google Authenticator等）、SMS、メールを組み合わせて使えます。
カスタムMFAをLambdaで実装し、独自の検証ロジックや外部サービスと連携できます。例：メールのワンタイムコード＋SMS。

AWSアカウント（ルートユーザー）

ルートユーザーは最も強い権限を持つため、必ずMFAを設定してください。仮想MFA（TOTP）やハードウェア鍵（U2F）を推奨します。
ルートは通常使わず、緊急時のみ利用する運用を徹底してください。

IAMユーザー・ロール

コンソール操作や重要操作に対して、IAMポリシーでMFAを必須にできます（条件キー例：aws:MultiFactorAuthPresent）。
プログラム的アクセスは、MFAを使って短期のセッショントークンを発行（STS）し、運用すると安全です。

サービスごとの注意点（例）

S3のMFA Delete：バージョニングされたバケットでオブジェクト削除にMFAを要求できます。
CLI/API：MFAを要求する操作では、aws sts get-session-tokenでMFAコードを使って一時資格情報を取得します。

最後に

各サービスの仕組みを理解し、適切なMFA方式を選んでください。バックアップコードやデバイスの管理も忘れずに行うと安心です。

二段階認証の解除・再設定方法

はじめに

紛失や機種変更でMFAを解除・再設定する必要が出ます。ここでは本人での解除、管理者によるリセット、仮想アプリの再登録手順と注意点をやさしく説明します。

本人によるコンソール上の解除手順（概略）

AWSコンソールにサインインします。
「My Security Credentials」またはIAMコンソールの対象ユーザーの「Security credentials」タブを開きます。
割り当てられたMFAデバイスの項目から「削除」「Deactivate」などを選びます。

管理者（IAM）のリセット手順

管理者はIAMコンソールで対象ユーザーを選びます。
「Security credentials」→「Manage MFA device」→既存デバイスを削除します。
ユーザーは新しいデバイスで再登録します。管理者は必要に応じて一時的なパスワードを発行してください。

仮想MFAアプリでの再登録（例：スマホのAuthenticator）

コンソールで「Assign MFA device」を選びQRコードを表示します。
スマホのアプリでQRをスキャンします。手入力も可能です。
生成されるワンタイムコードを連続で2回入力し登録を完了します。

紛失・トラブル時の対応と注意点

端末を失くしたら速やかに管理者に連絡しデバイスを無効化してください。
AWSは標準でバックアップコードを発行しません。事前に代替手段（管理者のサポート、物理トークンの保管）を用意してください。
ルートアカウントのMFAを失った場合は、必要に応じてAWSサポートへ連絡する手順が発生します。

二段階認証導入のメリットと総括

導入で得られる主なメリット

不正アクセスの大幅な抑止: パスワードが漏れても、追加の認証要素がないとログインできません。簡単な例として、第三者がパスワードを知っても、スマートフォンのワンタイムコードがなければ侵入できません。
被害範囲の縮小: ルートアカウントや重要なIAMユーザーにMFAを設定すると、誤った認証情報からの被害を局所化できます。
コンプライアンス対応の補助: 多くのセキュリティ基準で多要素認証が推奨されます。導入は監査時の評価にプラスになります。