考慮事項 AWS マネージド型Microsoft AD の MFA 認証を有効にするサポートされている Amazon エンタープライズアプリケーション

AWS マネージド Microsoft AD のマルチファクタ認証を有効にする

AWS 管理対象の Microsoft AD ディレクトリで多要素認証 (MFA) を有効にすると、ユーザーが AD 認証情報を指定してアクセスする際のセキュリティを強化できます。サポートされている Amazon エンタープライズアプリケーションMFA が有効化されている場合、ユーザーは、通常と同じくユーザーネームとパスワード (第 1 要素) を入力した後、仮想 MFA ソリューションまたはハードウェア MFA ソリューションから取得する認証コード (第 2 要素) も入力する必要があります。これらの要素によって、有効なユーザー認証情報に加えて MFA コードをユーザーが提供しない限り、Amazon エンタープライズアプリケーションへのアクセスが許可されないというセキュリティが追加されます。

MFA を有効にするには、MFA ソリューションとして Remote Authentication Dial-In User Service (RADIUS) サーバーを使用するか、オンプレミスインフラストラクチャに RADIUS サーバー用の MFA プラグインを実装しておく必要があります。MFA ソリューションでは、ワンタイムパスコード (OTP) を実装する必要があります。ユーザーは、ハードウェアデバイスから、または携帯電話などのデバイスで実行されるソフトウェアから、このコードを取得します、

RADIUS は、業界標準のクライアント/サーバープロトコルであり、ユーザーをネットワークサービスに接続するための認証、許可、アカウント管理の機能を提供します。 AWS マネージド Microsoft AD には、MFA ソリューションを実装した RADIUS サーバーに接続する RADIUS クライアントが含まれています。この RADIUS サーバーが、ユーザーネームと OTP コードを検証します。RADIUS サーバーがユーザーを正常に検証すると、 AWS 管理対象の Microsoft AD は次に Active Directory に対してユーザーを認証します。Active Directory に対する認証に成功したユーザーは、 AWS アプリケーションにアクセスできるようになります。 AWS 管理対象の Microsoft AD RADIUS クライアントと RADIUS サーバー間の通信では、ポート 1812 AWS を介した通信を有効にするセキュリティグループを構成する必要があります。

次の手順を実行して、 AWS 管理対象の Microsoft AD ディレクトリの多要素認証を有効にできます。RADIUS サーバーと AWS Directory Service および MFA を連携させるための設定方法については、「Multi-Factor·Authentication の前提条件」を参照してください。

考慮事項

AWS 管理対象の Microsoft AD の多要素認証に関する考慮事項は次のとおりです。

Multi-Factor·Authentication は、Simple AD では使用できません。ただし、AD Connector ディレクトリでは、MFA を有効にすることができます。詳細については、「AD Connector のMulti-Factor Authenticationを有効にする」を参照してください。
MFA AWS はマネージド Microsoft AD の地域機能です。マルチリージョンレプリケーションを使用している場合、次の手順を各リージョンで個別に適用する必要があります。詳細については、「グローバル機能とリージョン機能」を参照してください。
AWS Managed Microsoft AD を外部通信に使用する場合は、ネットワークアドレス変換 (NAT) インターネットゲートウェイまたはInternet Gateway AWS をネットワーク外の通信用に構成することをお勧めします。
- AWS 管理対象の Microsoft AD AWS とネットワーク上でホストされている RADIUS サーバー間の外部通信をサポートしたい場合は、お問い合わせくださいAWS Support。