AWS Managed Microsoft AD の多要素認証を有効にする

AWS Managed Microsoft AD ディレクトリの多要素認証 (MFA) を有効にすることで、ユーザーがサポートされている Amazon Enterprise アプリケーションにアクセスするための AD 認証情報を指定する際のセキュリティを強化できます。MFA が有効化されている場合、ユーザーは、通常と同じくユーザーネームとパスワード (第 1 要素) を入力した後、仮想 MFA ソリューションまたはハードウェア MFA ソリューションから取得する認証コード (第 2 要素) も入力する必要があります。これらの要素によって、有効なユーザー認証情報に加えて MFA コードをユーザーが提供しない限り、Amazon エンタープライズアプリケーションへのアクセスが許可されないというセキュリティが追加されます。

MFA を有効にするには、MFA ソリューションとして Remote Authentication Dial-In User Service (RADIUS) サーバーを使用するか、オンプレミスインフラストラクチャに RADIUS サーバー用の MFA プラグインを実装しておく必要があります。MFA ソリューションでは、ワンタイムパスコード (OTP) を実装する必要があります。ユーザーは、ハードウェアデバイスから、または携帯電話などのデバイスで実行されるソフトウェアから、このコードを取得します、

RADIUS は、業界標準のクライアント/サーバープロトコルであり、ユーザーをネットワークサービスに接続するための認証、認可、アカウント管理の機能を提供します。AWSManaged Microsoft AD には、MFA ソリューションを実装した RADIUS サーバーに接続する RADIUS クライアントが付属しています。この RADIUS サーバーが、ユーザーネームと OTP コードを検証します。RADIUS サーバーがユーザーの検証に成功すると、AWS Managed Microsoft AD は Active Directory に対して、そのユーザーを認証します。Active Directory に対する認証に成功したユーザーは、AWS アプリケーションにアクセスできるようになります。AWS Managed Microsoft AD RADIUS クライアントと RADIUS サーバーとの間の通信では、ポート 1812 を介した通信を有効にするための AWS セキュリティグループを設定する必要があります。

AWS Managed Microsoft AD ディレクトリの Multi-Factor·Authentication を有効にするには、以下の手順を実行します。RADIUS サーバーと AWS Directory Service および MFA を連携させるための設定方法については、「Multi-Factor·Authentication の前提条件」を参照してください。

考慮事項

AWS Managed Microsoft AD の多要素認証に関する考慮事項を次に示します:

AWS Managed Microsoft AD の Multi-Factor·Authentication を有効にする

次の手順では、AWS Managed Microsoft AD の多要素認証を有効にする方法を示します。