View a markdown version of this page

在中管理多因素身份验证 (MFA) AWS 设置 - AWS 账户管理
关键点我们的新产品可用 MFA 类型 AWS 经历注册 MFA 设备将安全密钥注册为您的 MFA 设备重命名 MFA 设备删除 MFA 设备

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在中管理多因素身份验证 (MFA) AWS 设置

警告

我们目前正在向有限数量的客户发布我们的新体验。您可能还无法访问此体验。

Multi-factor 身份验证 (MFA) 是一种增强安全性的简单而有效的机制。第一个因素（密码）是您记住的秘密，也称为知识因素。其他因素可以是拥有因素（您拥有的东西，例如安全密钥）或固有因素（您与生俱来的东西，例如生物识别扫描）。我们强烈建议您配置 MFA，为您的账户添加额外的层。

您可以注册内置身份验证器，也可以注册保存在物理安全位置的安全密钥。如果您无法使用内置身份验证器，则可以使用已注册的安全密钥。对于身份验证器应用程序，您也在这些应用中启用云备份功能或同步功能。这可有助于避免在 MFA 设备丢失或损坏的情况下，失去对配置文件的访问权限。

关键点

  • 建议注册多个 MFA 设备。如果您无法访问所有注册的 MFA 设备，您将无法恢复您的账户。

  • 我们建议您定期检查已注册的 MFA 设备，确保它们处于最新状态且能正常运行。此外，不使用时，应将这些装置存放在物理安全位置。

  • 若您是通过继续使用 Google创建的账户，那么您可以通过您的 Google 账户启用多重身份验证。有关详细信息，请参阅开启两步验证。

  • 如果您使用 “继续使用 Apple” 创建帐户，则您的 Apple 帐户中可能已经启用了多因素身份验证。否则，有关如何启用它的详细信息，请参阅 Apple 帐户的Two-factor 身份验证。

  • 如果您使用 Continue with 创建了账户 GitHub，则可以通过您的 GitHub 账户启用多因素身份验证。有关详细信息，请参阅配置 (GitHub) 双因素身份验证。

  • 如果您使用 “继续使用亚马逊” 创建账户，则可以通过您的亚马逊账户启用多重身份验证。有关详细信息，请参阅什么是 Two-Step 验证？。

我们的新产品可用 MFA 类型 AWS 经历

我们的新 AWS 体验支持以下多因素身份验证 (MFA) 设备类型。

FIDO2 身份验证器

FIDO2 是一项包含 CTAP2 的标准，基于公钥加密。 WebAuthn FIDO 凭证具有防网络钓鱼功能，因为它们是创建凭证的网站所独有的，例如 AWS。

AWS 支持 FIDO 身份验证器的两种最常见的外形规格：内置身份验证器和安全密钥。有关最常见的 FIDO 身份验证器类型的更多信息，请参阅下文。

Built-in 身份验证者

有些设备有内置的身份验证器，例如开启的 TouchID MacBook 或 Windows Hello-compatible 摄像头。如果您的设备与 FIDO 协议（包括）兼容 WebAuthn，则可以使用指纹或面部作为第二要素。有关更多信息，请参见 FIDO 身份验证。

安全密钥

您可以购买 FIDO2-compatible 外部 USB、BLE 或 NFC-connected 安全密钥。当系统提示你输入 MFA 设备时，点击密钥的传感器。 YubiKey 或者飞天制造兼容的设备。有关所有兼容安全密钥的列表，请参阅 FIDO 认证产品。

密码管理器、密钥提供程序和其他 FIDO 身份验证器

多个第三方提供商支持移动应用程序中的 FIDO 身份验证，例如密码管理器中的功能、带有 FIDO 模式的智能卡以及其他外形规格。这些 FIDO-compatible 设备可以与 IAM 身份中心配合使用，但我们建议您在为 MFA 启用此选项之前亲自测试 FIDO 身份验证器。

注意

有些 FIDO 身份验证器可以创建可发现的 FIDO 凭证，称为密钥。密钥可以绑定到创建密钥的设备，也可以同步并备份到云端。例如，您可以在支持的 Macbook 上使用 Apple Touch ID 注册密钥，然后按照登录时屏幕上的提示使用 Google Chrome，在 iCloud 中使用密钥从 Windows 笔记本电脑登录网站。有关哪些装置支持可同步密钥以及当前密钥在操作系统和浏览器之间的互操作性的更多信息，请参阅 passkeys.dev 上的装置支持（此资源由 FIDO 联盟和万维网联盟 (W3C) 维护）。

身份验证器应用程序

身份验证器应用程序是基于一次性密码（OTP）的第三方身份验证器。您可将安装在移动装置或平板电脑上的身份验证器应用程序用作授权的 MFA 设备。第三方身份验证器应用程序必须符合 RFC 6238，这是一种标准的基于时间的一次性密码（TOTP）算法，且能够生成六位数身份验证码。

提示进行多重身份验证时，务必在显示的输入框中输入来自身份验证器应用程序的有效代码。分配给用户的每台 MFA 设备必须是唯一的。可为任意给定用户注册两个身份验证器应用程序。

您可从以下常见的第三方身份验证器应用程序中进行选择。但是，任何 TOTP-compliant 应用程序都可以使用 AWS 生成器 ID MFA。

操作系统 经过测试的身份验证器应用程序
Android 1Password、Authy、Duo Mobile、Microsoft 身份验证器、Google 身份验证器
iOS 1Password、Authy、Duo Mobile、Microsoft 身份验证器、Google 身份验证器

注册 MFA 设备

注意

注册 MFA 后，退出登录，然后在同一装置上重新登录，系统可能不会提示您在受信任的装置上进行 MFA。

使用身份验证器应用程序注册 MFA 设备

  1. 在处打开 AWS “设置” https://settings.aws.com 。

  2. 在主导航窗格中，选择管理安全和登录。

    您将被重定向到您的 AWS 建筑商 ID 个人资料。

  3. 在 Security（安全性）页面上，选择 Register device（注册装置）。

  4. 在 Register MFA device（注册 MFA 设备）页面上，选择 Authenticator app（身份验证器应用程序）。

  5. AWS Builder ID 运行并显示配置信息，包括二维码图形。此图形是秘密配置密钥的表示形式，适用于不支持 QR 代码的身份验证器应用程序上的手动输入。

  6. 打开身份验证器应用程序。如需了解应用程序列表，请参阅 身份验证器应用程序。

    如果身份验证器应用程序支持多个 MFA 设备或账户，请选择相应的选项以创建新的 MFA 设备或账户。

  7. 确定 MFA 应用程序是否支持 QR 代码，然后在 Set up your authenticator app（设置身份验证器应用程序）页面上执行以下操作之一：

    1. 选择 Show QR code（显示 QR 代码），然后使用该应用程序扫描 QR 代码。例如，您可选择摄像头图标或选择类似于 Scan code（扫描代码）的选项，然后使用装置的摄像头扫描此代码。

    2. 选择 Show secret key（显示密钥），然后将该密钥输入到 MFA 应用程序中。

    完成输入后，您的身份验证器应用程序将生成并显示一次性密码。

  8. 在 Authenticator code（身份验证器代码）框中，输入当前显示在身份验证器应用程序中的一次性密码。选择分配 MFA。

    重要

    生成代码之后立即提交您的请求。如果您生成代码，然后等待太长时间才提交请求，则 MFA 设备已成功关联到您的 AWS Builder ID，但是 MFA 设备不同步。这是因为基于时间的一次性密码（TOTP）很快会过期。这种情况下，您可以重新同步装置。有关更多信息，请参阅 I get the message 'An unexpected error has occurred' when I try to register or sign in with an authenticator app。

  9. 要在 AWS Builder ID 中为设备指定一个友好的名称，请选择 “重命名” 。此名称可帮助您区分此装置和您注册的其他装置。

MFA 设备现已准备就绪，可以与 AWS 设置、您的项目和 AWS 生成器 ID 一起使用。

将安全密钥注册为您的 MFA 设备

使用安全密钥注册 MFA 设备

  1. 在处打开 AWS “设置” https://settings.aws.com 。

  2. 在主导航窗格中，选择管理安全和登录。

    您将被重定向到您的 AWS 建筑商 ID 个人资料。

  3. 在 Security（安全性）页面上，选择 Register device（注册装置）。

  4. 在 Register MFA device（注册 MFA 设备）页面上，选择 Security key（安全密钥）。

  5. 确保已启用安全密钥。如果您使用单独的物理安全密钥，请将其连接到您的计算机。

  6. 按照屏幕上的说明进行操作。您的体验取决于您的操作系统和浏览器。

  7. 要在 AWS Builder ID 中为设备指定一个友好的名称，请选择 “重命名” 。此名称可帮助您区分此装置和您注册的其他装置。

MFA 设备现已准备就绪，可以与 AWS 设置、您的项目和 AWS 生成器 ID 一起使用。

重命名 MFA 设备

重命名 MFA 设备

  1. 在处打开 AWS “设置” https://settings.aws.com 。

  2. 在主导航窗格中，选择管理安全和登录。

    您将被重定向到您的 AWS 建筑商 ID 个人资料。

  3. 选择安全性。位于此页面后，可看到 Rename（重命名）显示为灰色。

  4. 选择要更改的 MFA 设备。这将允许您选择 Rename（重命名）。随即显示对话框。

  5. 在打开的提示中，在 MFA device name（MFA 设备名称）中输入新名称，然后选择 Rename（重命名）。重命名的设备显示在Multi-factor 身份验证 (MFA) 设备下方。

删除 MFA 设备

建议保留两个或多个活动 MFA 设备。要禁用多因素身份验证，请从您的个人资料中移除所有注册的 MFA 设备。

删除 MFA 设备

  1. 在处打开 AWS “设置” https://settings.aws.com 。

  2. 在主导航窗格中，选择管理安全和登录。

    您将被重定向到您的 AWS 建筑商 ID 个人资料。

  3. 在安全页面上，选择要更改的 MFA 设备，然后选择删除。

  4. 在 Delete MFA device?（要删除 MFA 设备吗？）模式窗口中，按照说明删除装置。

  5. 选择删除。

已删除的设备不再出现在Multi-factor 身份验证 (MFA) 设备下。