Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Weisen Sie ein TOTP Hardware-Token zu in AWS Management Console

Ein TOTP Hardware-Token generiert einen sechsstelligen numerischen Code, der auf einem zeitbasierten Einmalpasswort () TOTP -Algorithmus basiert. Der Benutzer muss einen gültigen Code vom Gerät eingeben, wenn er während des Anmeldevorgangs dazu aufgefordert wird. Jedes einem Benutzer zugewiesene MFA Gerät muss einzigartig sein. Ein Benutzer kann zur Authentifizierung keinen Code vom Gerät eines anderen Benutzers eingeben. MFAGeräte können nicht von Konten oder Benutzern gemeinsam genutzt werden.

TOTPHardware-Token und FIDOSicherheitsschlüssel sind beide physische Geräte, die Sie kaufen. MFAHardwaregeräte generieren TOTP Codes für die Authentifizierung, wenn Sie sich anmelden AWS. Sie sind auf Batterien angewiesen, die im AWS Laufe der Zeit möglicherweise ausgetauscht und neu synchronisiert werden müssen. FIDOSicherheitsschlüssel, die Kryptografie mit öffentlichen Schlüsseln verwenden, benötigen keine Batterien und bieten einen nahtlosen Authentifizierungsprozess. Wir empfehlen die Verwendung von FIDO Sicherheitsschlüsseln aufgrund ihrer Phishing-Resistenz, die eine sicherere Alternative zu TOTP Geräten darstellt. Darüber hinaus können FIDO Sicherheitsschlüssel mehrere Benutzer IAM oder Root-Benutzer auf demselben Gerät unterstützen, wodurch ihr Nutzen für die Kontosicherheit verbessert wird. Spezifikationen und Kaufinformationen für beide Gerätetypen finden Sie unter Multifaktor-Authentifizierung.

Sie können ein TOTP Hardware-Token für einen IAM Benutzer über die AWS Management Console, die Befehlszeile oder den aktivieren IAMAPI. Informationen zum Aktivieren eines MFA Geräts für Sie Root-Benutzer des AWS-Kontos finden Sie unterAktivieren Sie ein TOTP Hardware-Token für den Root-Benutzer (Konsole).

Sie können bis zu acht MFA Geräte mit einer beliebigen Kombination der derzeit unterstützten MFA Typen bei Ihnen Root-Benutzer des AWS-Kontos und Ihren IAM Benutzern registrieren. Bei mehreren MFA Geräten benötigen Sie nur ein MFA Gerät, um sich AWS CLI als dieser Benutzer anzumelden AWS Management Console oder eine Sitzung über den zu erstellen.

Erforderliche Berechtigungen

Um ein TOTP Hardware-Token für Ihren eigenen IAM Benutzer zu verwalten und gleichzeitig sensible MFA Aktionen zu schützen, benötigen Sie die Berechtigungen gemäß der folgenden Richtlinie:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowManageOwnUserMFA",
            "Effect": "Allow",
            "Action": [
                "iam:DeactivateMFADevice",
                "iam:EnableMFADevice",
                "iam:GetUser",
                "iam:ListMFADevices",
                "iam:ResyncMFADevice"
            ],
            "Resource": "arn:aws:iam::*:user/${aws:username}"
        },
        {
            "Sid": "DenyAllExceptListedIfNoMFA",
            "Effect": "Deny",
            "NotAction": [
                "iam:EnableMFADevice",
                "iam:GetUser",
                "iam:ListMFADevices",
                "iam:ResyncMFADevice"
            ],
            "Resource": "arn:aws:iam::*:user/${aws:username}",
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "false"
                }
            }
        }
    ]
}

Aktivieren Sie ein TOTP Hardware-Token für Ihren eigenen IAM Benutzer (Konsole)

Sie können Ihr eigenes TOTP Hardware-Token über den aktivieren AWS Management Console.

Das Gerät ist bereit für die Verwendung mit AWS. Informationen zur Verwendung MFA mit dem AWS Management Console finden Sie unterMFAAnmeldung aktiviert.

Aktivieren Sie ein TOTP Hardware-Token für einen anderen IAM Benutzer (Konsole)

Sie können ein TOTP Hardware-Token für einen anderen IAM Benutzer über den aktivieren AWS Management Console.

Das Gerät ist bereit für die Verwendung mit AWS. Informationen zur Verwendung MFA mit dem AWS Management Console finden Sie unterMFAAnmeldung aktiviert.

Tauschen Sie ein physisches MFA Gerät aus

Sie können einem Benutzer bis zu acht MFA Geräte mit einer beliebigen Kombination der derzeit unterstützten MFA Typen gleichzeitig zuweisen, zusammen mit Ihren IAM Benutzern Root-Benutzer des AWS-Kontos und Benutzern. Wenn der Benutzer ein Gerät verliert oder aus anderweitigen Gründen das Gerät ersetzen möchte, müssen Sie zunächst das alte Gerät deaktivieren. Anschließend können Sie das neue Gerät für den Benutzer hinzufügen.