はじめに
「AWSの2段階認証（MFA）はどこから設定すればいいの？」
「ルートユーザーとIAMユーザーでは設定方法が違うの？」と迷っていませんか。
AWSの管理画面を開いても設定項目が複数あり、初めてMFAを有効にするときは、どの画面から操作すればよいのか分かりにくいですよね。
この記事では、ルートユーザーとIAMユーザーそれぞれでMFAを設定する方法から、認証アプリを登録して設定を完了するまでの流れを順を追って説明していきます。
AWSの2段階認証（MFA）とは？
AWSの2段階認証（MFA）は、パスワードに加えて別の認証要素を使い、AWSアカウントへのサインインを確認する仕組みです。
ここでは、MFAでサインイン時のセキュリティを強化する仕組みと、AWSで利用できるMFA方式の選び方を説明します。
AWSではMFAを使ってサインイン時のセキュリティを強化する
AWSのMFAでは、パスワードに加えて、登録したMFAデバイスによる認証を行います。
パスワードが第三者に知られた場合でも追加の認証が必要になるため、不正なサインインを防ぎやすくなります。
AWSで利用できるMFA方式と選び方
AWSでは、パスキーやセキュリティキー、認証アプリを使う仮想MFAデバイス、ハードウェアTOTPトークンなどを利用できます。
スマートフォンを使うなら認証アプリ、物理デバイスを使うならセキュリティキーなど、継続して管理しやすい方法を選びましょう。
AWSの2段階認証（MFA）を設定する前の準備
AWSでMFAを設定する前に、どのアカウントへ設定するのかと、認証に使用するデバイスを確認しておきます。
ここでは、MFAを設定するアカウント・IAMユーザーの確認方法と、使用するMFAデバイスの準備について説明します。
MFAを設定するAWSアカウント・IAMユーザーを確認する
MFAを設定する前に、対象がAWSアカウントのルートユーザーなのかIAMユーザーなのかを確認します。
IAMユーザーの場合は、AWSアカウントIDまたはアカウントエイリアスとユーザー名を確認し、対象を間違えないようにしてから設定を進めましょう。
使用するMFAデバイスを準備する
MFA方式を決めたら、設定に使用するデバイスを準備します。
認証アプリを使う場合はスマートフォンなどへアプリをインストールし、パスキーやセキュリティキーを使う場合は対応するデバイスを手元に用意してから登録を始めましょう。
ルートユーザーに2段階認証（MFA）を設定する手順
ルートユーザーにMFAを設定する場合は、AWSマネジメントコンソールへルートユーザーとしてサインインし、セキュリティ認証情報から設定を進めます。
ここでは、ルートユーザーへのサインインからMFAデバイスの登録、設定後の認証確認まで順に説明します。
ルートユーザーでAWSマネジメントコンソールにサインインする
AWSマネジメントコンソールのサインイン画面を開き、「ルートユーザー」を選択します。
AWSアカウントに登録しているルートユーザーのメールアドレスを入力し、続いてパスワードを入力してサインインします。
IAMユーザーではMFAを設定する場所が異なるため、ルートユーザーとしてサインインしていることを確認します。
ルートユーザーでAWSマネジメントコンソールにサインインする
AWSマネジメントコンソールのサインイン画面で「ルートユーザー」を選択し、登録しているメールアドレスとパスワードを入力します。
IAMユーザーとはMFAの設定場所が異なるため、ルートユーザーでサインインしていることを確認しましょう。
セキュリティ認証情報からMFA設定を開く
サインインしたら、画面右上のアカウント名から「セキュリティ認証情報」を開きます。
「多要素認証（MFA）」の項目からMFAデバイスを割り当てる操作を選び、設定画面へ進みましょう。
MFAデバイスを選択して登録する
デバイス名を入力し、使用するMFA方式を選択します。
認証アプリの場合はQRコードを読み取り、連続して表示される2つのMFAコードを入力して、MFAデバイスを登録します。
再度サインインしてMFA認証を確認する
登録後は一度サインアウトし、ルートユーザーとして再度サインインします。
MFAの認証画面で登録したデバイスを使い、問題なくAWSマネジメントコンソールが表示されるか確認しましょう。
IAMユーザーに2段階認証（MFA）を設定する手順
IAMユーザーにMFAを設定する場合は、対象のIAMユーザーでAWSマネジメントコンソールにサインインし、セキュリティ認証情報から設定を進めます。
ここでは、IAMユーザーへのサインインからMFAデバイスの登録、設定後の認証確認まで順に説明します。
IAMユーザーでAWSマネジメントコンソールにサインインする
AWSマネジメントコンソールのIAMユーザー用サインイン画面を開き、AWSアカウントIDまたはアカウントエイリアス、IAMユーザー名、パスワードを入力します。
MFAを設定するIAMユーザーでサインインしていることを確認してから進みましょう。
セキュリティ認証情報からMFA設定を開く
サインインしたら、画面右上のユーザー名から「セキュリティ認証情報」を開きます。
「多要素認証（MFA）」の項目からMFAデバイスを割り当てる操作を選び、設定画面へ進みましょう。
MFAデバイスを選択して登録する
デバイス名を入力し、使用するMFA方式を選択します。
認証アプリの場合はQRコードを読み取り、連続して表示される2つのMFAコードを入力して、MFAデバイスを登録します。
再度サインインしてMFA認証を確認する
登録後は一度サインアウトし、同じIAMユーザーで再度サインインします。
MFAの認証画面で登録したデバイスを使い、問題なくAWSマネジメントコンソールが表示されるか確認しましょう。
AWSの2段階認証（MFA）を設定するときの注意点
AWSでMFAを設定するときは、設定するユーザーの種類とMFAデバイスを利用できなくなった場合の対応を確認しておく必要があります。
ここでは、ルートユーザーとIAMユーザーの設定場所の違いと、MFAデバイスを利用できなくなった場合に備えた復旧方法について説明します。
ルートユーザーとIAMユーザーでは設定場所が異なる
ルートユーザーのMFAは、ルートユーザーでサインインし、「セキュリティ認証情報」から設定します。
IAMユーザーは対象ユーザーの「セキュリティ認証情報」から設定するため、どちらにMFAを設定するのか確認してから進めましょう。
MFAデバイスの紛失・故障に備えて復旧方法を確認しておく
MFAデバイスを紛失・故障すると、AWSへサインインできなくなる場合があります。
ルートユーザーは本人確認による復旧手順を確認し、IAMユーザーはMFAの無効化や再設定を依頼できる管理者への連絡方法を確認しておくと安心です。
MFAデバイスが使えなくなり、AWSへサインインできない場合の具体的な復旧手順も確認しておくと安心です。
▶AWSにログインできない原因は？確認ポイントと対処法
まとめ
AWSのMFAを設定しておくと、パスワードだけでサインインする場合よりもアカウントの安全性を高められます。
まずはルートユーザーとIAMユーザーのどちらに設定するのかを確認し、自分が管理しやすいMFAデバイスを登録しましょう。
設定後は一度サインアウトして、MFAを使って問題なくサインインできるか確認しておくと安心です。
あわせて紛失や故障に備えた復旧方法も確認し、安全にAWSを利用できる環境を整えておきましょう。
