將 MFA 新增到使用者集區

您可以在使用者集區中具有必要的 MFA 或無密碼登入因素。您無法在支援一次性密碼或通行金鑰的使用者集區中將 MFA 設定為必要。您無法在需要 MFA 的使用者集區中使用USER_AUTH流程啟用以選擇為基礎的登入。

使用者偏好的 MFA 方法會影響他們可以用來復原密碼的方法。偏好的 MFA 是透過電子郵件傳送訊息的使用者無法透過電子郵件接收密碼重設碼。偏好的 MFA 是 SMS 訊息的使用者無法透過 SMS 接收密碼重設碼。

當使用者不符合您偏好的密碼重設方法時，您的密碼復原設定必須提供替代選項。例如，您的復原機制可能將電子郵件視為第一優先，而電子郵件 MFA 可能是使用者集區中的選項。在此情況下，新增簡訊帳戶復原做為第二個選項，或使用管理 API 操作來重設這些使用者的密碼。

使用者無法在相同的電子郵件地址或電話號碼接收 MFA 和密碼重設代碼。如果他們從 MFA 的電子郵件訊息中使用一次性密碼 (OTPs)，則必須使用 SMS 訊息進行帳戶復原。如果他們使用來自 MFA 簡訊的 OTPs，則必須使用電子郵件訊息進行帳戶復原。在具有 MFA 的使用者集區中，如果使用者擁有電子郵件地址的屬性，但沒有電話號碼，或是電話號碼，但沒有電子郵件地址，則可能無法完成自助式密碼復原。

若要防止使用者無法使用此組態在使用者集區中重設密碼的狀態，請視需要設定 email和 phone_number 屬性。 使用使用者屬性或者，您可以設定程序，在使用者註冊或管理員建立使用者設定檔時，一律收集和設定這些屬性。當使用者同時擁有兩個屬性時，Amazon Cognito 會自動將密碼重設碼傳送至不是使用者 MFA 因素的目的地。

當您在使用者集區中啟用 MFA 並選擇簡訊或電子郵件訊息作為第二個因素時，您可以將訊息傳送到尚未在 Amazon Cognito 中驗證的電話號碼或電子郵件屬性。使用者完成 MFA 後，Amazon Cognito 會將其 phone_number_verified 或 email_verified 屬性設定為 true。

嘗試提供 MFA 代碼失敗五次之後，Amazon Cognito 會啟動指數遞增封鎖持續時間程序，如 失敗登入嘗試的鎖定行為 中所述。

如果您的帳戶位於 中的 SMS 沙盒中 AWS 區域 ，其中包含使用者集區的 Amazon Simple Notification Service (Amazon SNS) 資源，您必須先在 Amazon SNS 中驗證電話號碼，才能傳送簡訊。如需詳細資訊，請參閱Amazon Cognito 使用者集區的簡訊設定。

若要變更使用者的 MFA 狀態，以回應具有威脅防護的偵測到事件，請在 Amazon Cognito 使用者集區主控台中啟用 MFA，並將其設定為選用。如需詳細資訊，請參閱具有威脅防護的進階安全性。

電子郵件和簡訊需要您的使用者分別擁有電子郵件地址和電話號碼屬性。您可以在使用者集區中將 email或 phone_number 設定為必要屬性。在此情況下，除非使用者提供電話號碼，否則無法完成註冊。如果您不將這些屬性設定為必要，但想要執行電子郵件或簡訊 MFA，請在使用者註冊時提示他們輸入電子郵件地址或電話號碼。最佳實務是，設定您的使用者集區以自動傳送訊息給使用者，以驗證這些屬性。

如果使用者透過簡訊或電子郵件訊息成功收到臨時碼，並在 VerifyUserAttribute API 請求中傳回該碼，Amazon Cognito 會將電話號碼或電子郵件地址視為已驗證。或者，您的團隊可以設定電話號碼，並使用執行 AdminUpdateUserAttributes API 請求的管理應用程式將其標記為已驗證。

如果您已將 MFA 設定為必要，且啟用多個身分驗證因素，Amazon Cognito 會提示新使用者選取他們要使用的 MFA 因素。使用者必須擁有設定簡訊 MFA 的電話號碼，以及設定電子郵件訊息 MFA 的電子郵件地址。如果使用者未為任何可用訊息型 MFA 定義 屬性，Amazon Cognito 會提示他們設定 TOTP MFA。選擇 MFA 因數 (SELECT_MFA_TYPE) 和設定所選因數 (MFA_SETUP) 的提示會做為 InitiateAuth 和 AdminInitiateAuth API 操作的挑戰回應出現。

在 Amazon Cognito 主控台的登入功能表中的多重要素驗證組態中，您可以將 MFA 設定為選用或必要，或將其關閉。此設定的 API 對等項目是 CreateUserPool、 UpdateUserPool和 的 MfaConfiguration 參數SetUserPoolMfaConfig。

此外，在多重要素驗證組態中，MFA 方法設定會決定使用者可以設定的 MFA 要素。此設定的 API 對等項目是 SetUserPoolMfaConfig 操作。

在登入選單的使用者帳戶復原下，您可以設定使用者集區傳送訊息給忘記密碼的使用者的方式。使用者的 MFA 方法不能具有與忘記密碼代碼的使用者集區交付方法相同的 MFA 交付方法。忘記密碼交付方法的 API 參數是 CreateUserPool和 的 AccountRecoverySetting 參數UpdateUserPool。

例如，當您的復原選項是僅限電子郵件時，使用者無法設定電子郵件 MFA。這是因為您無法啟用電子郵件 MFA，且只能在相同的使用者集區中將復原選項設定為電子郵件。當您將此選項設定為電子郵件時，否則 SMS 會是優先順序復原選項，但當使用者不符合電子郵件訊息復原的資格時，您的使用者集區可能會回到 SMS 訊息。在這種情況下，使用者可以將電子郵件 MFA 設為偏好，而且只有在他們嘗試重設密碼時才會收到簡訊。

如果您只將一個 MFA 方法設為可用，則不需要管理使用者 MFA 偏好設定。

作用中 SMS 組態會自動將 SMS 訊息設為使用者集區中的可用 MFA 方法。

在使用者集區中具有您自己的 Amazon SES 資源的作用中電子郵件組態，以及 Essentials 或 Plus 功能計劃，會自動將電子郵件訊息設定為使用者集區中的可用 MFA 方法。

當您將 MFA 設定為使用者集區中的必要時，使用者無法啟用或停用任何 MFA 方法。您只能設定偏好的方法。

當您在使用者集區中將 MFA 設定為選用時，受管登入不會提示使用者設定 MFA，但會在使用者有偏好的 MFA 方法時提示他們輸入 MFA 代碼。

當您啟用威脅防護並在全功能模式下設定自我調整驗證回應時，MFA 必須是使用者集區中的選用項目。具有適應性身分驗證的回應選項之一，是要求 MFA 適用於其登入嘗試評估為包含風險層級的使用者。

主控台的註冊功能表中的必要屬性設定，會決定使用者是否必須提供電子郵件地址或電話號碼，才能在應用程式中註冊。當使用者具有對應的屬性時，電子郵件和簡訊會變成合格的 MFA 因素。的結構描述參數會視需要CreateUserPool設定屬性。

當您在使用者集區中將 MFA 設定為必要，且使用者使用受管登入登入登入時，Amazon Cognito 會提示他們從使用者集區可用的方法中選取 MFA 方法。受管登入會處理電子郵件地址或電話號碼的集合，以及 TOTP 的設定。

在使用者自助式模型或公有應用程式中，使用登入使用者的存取字符授權的 SetUserMfaPreference 會設定 MFA 組態。

在管理員管理或機密應用程式中，使用管理 AWS 登入資料授權的 AdminSetUserPreference 會設定 MFA 組態。