当前位置：首页 > news >正文

【AWS入门】IAM多重身份验证（MFA）简介

news 2025/6/13 7:37:11

【AWS入门】IAM多重身份验证（MFA）简介

A Brief Introduction to IAM Multi-factor Authentication on AWS

By Jackson@ML

1. IAM多重身份验证（MFA）

AWS多重身份验证（Multi-factor Authentication,即MFA）是一种AWS IAM（Identity and Access Management, 即IAM） 的最佳实践。

因此，用户可以在AWS账户级别为该账户下创建的Root User（根用户）和IAM用户启用MFA（多重身份验证）。

当用户需要使用AWS亚马逊云科技任何产品和服务时，需要先行注册AWS账户。而注册完毕后，除了用户名和密码登录凭证外，还需要第二种身份验证因素 - MFA。

2. 注册Amazon Web Service（AWS）账户

打开Chrome浏览器，访问AWS官网：https://aws.amazon.com，重定向到AWS控制台登录Web页面，如下图。

在这里插入图片描述
在Sign up for AWS(注册AWS) 页面（如上图），填写注册根用户的Email，赋予该账户的 AWS account name(AWS账户名)，点击Verify email address(验证Email地址) 进行下一步。

填写必要信息后，注册邮箱会收到验证码；经过验证即可登录AWS账户。

注册账户后，以Root user用户名和密码登录即可。（当然，如果已经将IAM账户设置完毕，用它登录更符合安全策略。）

3. 登录AWS账户

经过注册和账户验证，就可以登录AWS注册账户的Root User(根用户)了，如下图。

在这里插入图片描述
进入到IAM控制台页面，可以看到在“我的安全凭证”部分，提示“您没有分配MFA”，因此，在此需要为账户分配MFA。

4. 分配MFA

Multi-factor Authentication(MFA，多重身份验证) 用来加强AWS账户安全。用户可将手机或其它设备用作虚拟MFA设备。

因此，需要安装符合RFC 6238标准的移动应用程序。这些应用程序会生成一个6位数身份验证代码。

创建了Root账户后，强烈建议立刻分配MFA。

点击“分配MFA设备”，进入到“选择MFA设备”页面。

在这里插入图片描述
对MFA简单命名（例如，命名为“Jackson_mfa“）后，即可选择图中MFA三个选项之一：

1）通行密钥或安全密钥

2）身份验证应用程序

3）硬件TOTP令牌

由于笔者没有硬件密钥/安全密钥和硬件TOTP令牌支持，所以选择第二项：身份验证器应用程序，点击下一步继续。

选择MFA设备后，手机/iPad/计算机需要安装必要的验证软件（包括Google Authenticator等）。

*注意： 可以从应用商店(App Store)将符合特定智能手机的应用程序安装到该手机上，有些提供商还提供Web和桌面应用程序，有关应用程序分以下两大类：Android和IOS应用程序。

在这里插入图片描述
笔者在手机应用市场搜索完毕，且已经安装完毕虚拟身份验证器应用程序（例如：Microsoft Authenticator）。如下图。

在这里插入图片描述
在添加MFA时，AWS控制台会要求扫描二维码添加，添加后输入两次设备验证码：

第一次MFA设备验证码（6位数字）；
再过30秒，终端应用程序会分配第二次MFA设备验证码（也是6位数字），两个数字都输入后，方能确认验证。

经过MFA设备验证后，AWS控制台页面也会立刻更新，显示“已分配MFA设备”，如下图。
在这里插入图片描述
同样，在多重身份验证区域，看到虚拟MFA标识符已成功分配，提示“已分配MFA设备”，如下图。

在这里插入图片描述
在多重身份验证（MFA）选项卡部分，选中虚拟按钮。根据页面提示，每位用户最多可分配8台MFA设备。

至此，MFA多重身份验证就完成了。

AWS技术好文陆续推出，敬请关注、收藏和点赞👍。
您的认可，我的动力！😃

【AWS入门】IAM多重身份验证（MFA）简介