Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Attribuez un mot de passe ou une clé de sécurité dans le Console de gestion AWS

Les clés d'accès sont un type de dispositif d'authentification multifacteur (MFA) que vous pouvez utiliser pour protéger vos ressources. AWS AWS prend en charge les clés d'accès synchronisées et les clés d'accès liées à l'appareil, également appelées clés de sécurité.

Les clés d’accès synchronisées permettent aux utilisateurs d’IAM d’accéder à leurs informations d’identification de connexion FIDO sur bon nombre de leurs appareils, même les plus récents, sans avoir à réinscrire chaque appareil sur chaque compte. Les clés d’accès synchronisées incluent des gestionnaires d’identifiants internes tels que Google, Apple et Microsoft et des gestionnaires d’identifiants tiers tels que 1Password, Dashlane et Bitwarden comme deuxième facteur. Vous pouvez également utiliser la biométrie intégrée à l’appareil (par exemple, TouchID, FaceID) pour déverrouiller le gestionnaire d’informations d’identification de votre choix afin qu’il utilise des clés d’accès.

D’autre part, les clés d’accès liées à l’appareil sont liées à une clé de sécurité FIDO que vous branchez sur un port USB de votre ordinateur, puis que vous touchez lorsque vous y êtes invité pour terminer le processus de connexion en toute sécurité. Si vous utilisez déjà une clé de sécurité FIDO avec d'autres services et que sa configuration est AWS prise en charge (par exemple, la série YubiKey 5 de Yubico), vous pouvez également l'utiliser avec. AWS Sinon, vous devez acheter une clé de sécurité FIDO si vous souhaitez l'utiliser WebAuthn pour le MFA. AWS De plus, les clés de sécurité FIDO peuvent prendre en charge plusieurs utilisateurs IAM ou utilisateurs racine sur le même appareil, ce qui améliore leur utilité pour la sécurité des comptes. Pour les spécifications et les informations d'achat pour les deux types d'appareils, voir Multi-Factor Authentification.

Vous pouvez enregistrer jusqu'à huit appareils MFA de n'importe quelle combinaison des types MFA actuellement pris en charge auprès de vos utilisateurs Utilisateur racine d'un compte AWS et de ceux d'IAM. Avec plusieurs appareils MFA, vous n'avez besoin que d'un seul appareil MFA pour vous connecter Console de gestion AWS ou créer une session en AWS CLI tant qu'utilisateur. Nous vous recommandons d'enregistrer plusieurs appareils MFA. Par exemple, vous pouvez enregistrer un authentificateur intégré ainsi qu'une clé de sécurité que vous conservez dans un endroit physiquement sûr. Si vous ne pouvez pas à utiliser votre authentificateur intégré, vous pouvez utiliser votre clé de sécurité enregistrée. Pour les applications d'authentification, nous recommandons également d'activer la fonctionnalité de sauvegarde ou de synchronisation dans le cloud dans ces applications afin d'éviter de perdre l'accès à votre compte si vous perdez ou cassez votre appareil avec les applications d'authentification.

Autorisations nécessaires

Pour gérer une clé d'accès FIDO pour votre propre utilisateur IAM tout en protégeant les MFA-related actions sensibles, vous devez disposer des autorisations prévues par la politique suivante :

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowManageOwnUserMFA",
            "Effect": "Allow",
            "Action": [
                "iam:DeactivateMFADevice",
                "iam:EnableMFADevice",
                "iam:GetUser",
                "iam:ListMFADevices",
                "iam:ResyncMFADevice"
            ],
            "Resource": "arn:aws:iam::*:user/${aws:username}"
        },
        {
            "Sid": "DenyAllExceptListedIfNoMFA",
            "Effect": "Deny",
            "NotAction": [
                "iam:EnableMFADevice",
                "iam:GetUser",
                "iam:ListMFADevices",
                "iam:ResyncMFADevice"
            ],
            "Resource": "*",
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "false"
                }
            }
        }
    ]
}

Activation d’une clé d’accès ou d’une clé de sécurité pour votre propre utilisateur IAM (console)

Vous pouvez activer une clé d'accès ou une clé de sécurité pour votre propre utilisateur IAM à partir de la Console de gestion AWS seule API, et non de l'API AWS CLI ou AWS . Avant d’activer une clé de sécurité, vous devez avoir un accès physique au dispositif.

Vous avez maintenant enregistré votre clé d'accès ou votre clé de sécurité à utiliser avec AWS. Pour plus d'informations sur l'utilisation de l'authentification multifacteur avec le Console de gestion AWS, consultezConnexion compatible avec la MFA.

Activation d’une clé d’accès ou d’une clé de sécurité pour un autre utilisateur IAM (console)

Vous pouvez activer une clé d'accès ou une clé de sécurité pour un autre utilisateur IAM à partir de la Console de gestion AWS seule API, et non de l'API AWS CLI ou AWS .

Vous avez maintenant enregistré une clé d’accès ou une clé de sécurité utilisable avec AWS pour un autre utilisateur IAM. Pour plus d'informations sur l'utilisation de l'authentification multifacteur avec le Console de gestion AWS, consultezConnexion compatible avec la MFA.

Remplacement d’une clé d’accès ou d’une clé de sécurité

Jusqu'à huit appareils MFA, quelle que soit la combinaison des types MFA actuellement pris en charge, peuvent être attribués à un utilisateur à la fois avec vous Utilisateur racine d'un compte AWS et vos utilisateurs IAM. Si l'utilisateur perd un authentificateur FIDO ou a besoin de le remplacer pour une raison quelconque, vous devez tout d'abord désactiver l'ancien authentificateur FIDO. Vous pouvez alors ajouter un nouveau dispositif MFA pour l'utilisateur.

Si vous n’avez pas accès à une nouvelle clé d’accès ou une nouvelle clé de sécurité, vous pouvez activer un nouveau dispositif MFA virtuel ou jeton TOTP matériel. Pour plus d'informations, consultez l'un des liens suivants :