存取和驗證概觀

登入。IAM 主控台作為帳戶擁有者，請選擇根使用者並輸入您的 AWS 帳戶電子郵件地址。在下一頁中，輸入您的密碼。

在導覽窗格中，選擇 Users (使用者)，然後選擇 Add user (新增使用者)。

在 User name (使用者名稱) 中輸入 Administrator。

選取 AWS Management Console access (AWS 管理主控台存取) 旁的核取方塊。然後選取 Custom password (自訂密碼)，接著在文字方塊中輸入您的新密碼。

(選用) 根據預設，AWS 會要求新使用者在第一次登入時建立新密碼。您可以清除 User must create a new password at next sign-in (使用者下次登入必須建立新的密碼) 旁的核取方塊，讓新使用者登入時可以重設密碼。

選擇下一頁: 許可。

在 Set permissions (設定許可) 下，選擇 Add user to group (將使用者新增至群組)。

選擇 Create group (建立群組)。

在 Create group (建立群組) 對話方塊中，請於 Group name (群組名稱) 輸入 Administrators。

選擇篩選政策，然後選取AWS 託管-工作功能來篩選表格內容。

在政策清單中，選取 AdministratorAccess 的核取方塊。接著選擇 Create group (建立群組)。

回到群組清單，選取新群組的核取方塊。必要時，選擇 Refresh (重新整理) 以顯示清單中的群組。

選擇下一頁: Tags (標籤)。

(選用) 藉由附加標籤做為索引鍵/值組，將中繼資料新增至使用者。如需有關在 IAM 中使用標籤的詳細資訊，請參閱標記 IAM 實體中的IAM 使用者指南。

選擇下一頁: 檢閱以查看要新增至新使用者的群組成員資格清單。準備好繼續時，請選擇 Create user (建立使用者)。

登入 AWS 管理主控台，然後前往 https://console.aws.amazon.com/iam/ 開啟 IAM 主控台。

在導覽窗格中，選擇 使用者，然後選擇 新增使用者。

在 User name (使用者名稱) 中輸入 arnav。

選擇 Add another user (新增其他使用者) 並為第二個使用者輸入 carlos。然後選擇 Add another user (新增其他使用者) 並為第三個使用者輸入 martha。

選取AWS 管理主控台存取，然後選取自動產生密碼。

清除 User must create a new password at next sign-in (使用者下次登入必須建立新的密碼) 旁的核取方塊，讓新使用者登入時可以重設密碼。

選擇下一頁: 許可。

選擇 Attach existing policies directly (直接連接現有政策)。您將為使用者建立新的受管政策。

選擇 Create policy (建立政策)。

Create policy (建立政策) 精靈會在新索引標籤或瀏覽器視窗中開啟。

在 Visual editor (視覺化編輯器) 標籤上，選擇 Choose a service (選擇一項服務)。然後選擇 Global Accelerator。您可用上方的搜尋框來限制服務清單中的結果。

所以此Service (服務)區段會關閉，並且動作區段會自動開啟。

選擇您要允許的全域加速器動作。例如，若要授予建立加速器的許可，請輸入globalaccelerator:CreateAccelerator中的篩選動作文字方塊。當全域加速器動作清單已篩選，請選取globalaccelerator:CreateAccelerator。

全域加速器動作依存取層級分類分組，讓您能夠輕鬆快速地判斷每個動作提供的存取層級。如需詳細資訊，請參閱 原則存取層級分類。

如果在前面步驟中選擇的動作不支援選擇特定資源，則所有資源已為您選取。在該情況下，您不能編輯此區塊。

如果選擇一個或多個支援資源等級許可的動作，視覺化編輯器將在 Resources (資源) 區段列出這些資源類型。選擇您選擇了需要加速器資源類型，選擇是否要為政策輸入特定加速器。

如果您想要針對所有資源允許 globalaccelerator:CreateAccelerator 動作，請選擇 All resources (所有資源)。

如果您想要指定資源，請選擇 Add ARN (新增 ARN)。指定區域和帳戶 ID (或帳戶 ID) (或選擇任何)，然後輸入my-example-accelerator資源。接著選擇 Add (新增)。

選擇 Specify request conditions (optional) (指定請求條件 (選用))。

選擇加入條件，授與建立加速器的許可在未來 7 天內。假設今天日期為 2019 年 1 月 1 日。

對於 Condition Key (條件金鑰)，請選擇 aws:CurrentTime。這個條件金鑰會檢查使用者提出請求的日期和時間。它會傳回 true，因此只有日期和時間在指定範圍內，才允許 globalaccelerator:CreateAccelerator 動作。

適用於限定詞，請保留預設值。

若要指定何時開始允許的日期和時間範圍，對於 Operator (運算子)，請選擇 DateGreaterThan。對於 Value (價值)，輸入 2019-01-01T00:00:00Z。

選擇 Add (新增) 以儲存條件。

選擇 Add another condition (新增其他條件) 來指定結束日期。

按照類似的步驟，指定何時結束允許的日期和時間範圍。對於 Condition Key (條件金鑰)，請選擇 aws:CurrentTime。對於 Operator (運算子)，選擇 DateLessThan。對於 Value (值)，輸入 2019-01-06T23:59:59Z (第一個日期後 7 天)。然後選擇 Add (新增) 以儲存條件。

(選用) 若要查看您正在建立的政策之 JSON 政策文件，請選擇JSON索引標籤。您可以隨時切換 Visual editor (視覺化編輯器) 與 JSON 標籤。但是，如果您進行變更或選擇檢閱政策中的Visual editor (視覺化編輯器)索引標籤上，IAM 可能會調整您的政策結構以針對視覺編輯工具進行最佳化。如需詳細資訊，請參閱「」調整政策結構中的IAM 使用者指南。

完成時，選擇 Review policy (檢閱政策)。

在檢閱政策(用於) 頁面上的名稱，輸入globalaccelerator:CreateAcceleratorPolicy。對於 Description (說明)，輸入 Policy to grants permission to create an accelerator。檢閱政策摘要以確認您已授予所需的許可，然後選擇 Create policy (建立政策) 來儲存您的新政策。

返回原始索引標籤或視窗，並重新整理您的政策清單。

在搜尋方塊中，輸入 globalaccelerator:CreateAcceleratorPolicy。選取新政策旁邊的核取方塊。然後選擇 Next Step (下一步)。

選擇下一頁: 檢閱預覽您的新使用者。準備好繼續時，請選擇 Create user (建立使用者)。

下載或複製新使用者的密碼，並安全地將其傳送給使用者。另外，為使用者提供連結至您的 IAM 使用者主控台頁面和您剛建立的使用者名稱。

登入 AWS 管理主控台，然後前往 https://console.aws.amazon.com/iam/ 開啟 IAM 主控台。

在導覽窗格中，選擇 Policies (政策)，然後選擇 Create policy (建立政策)。

選擇 JSON 標籤並從下列 JSON 政策文件複製文字。將此文字貼上至 JSON 文字方框中。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAllUsersToListAccounts",
            "Effect": "Allow",
            "Action": [
                "iam:ListAccountAliases",
                "iam:ListUsers",
                "iam:ListVirtualMFADevices",
                "iam:GetAccountPasswordPolicy",
                "iam:GetAccountSummary"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowIndividualUserToSeeAndManageOnlyTheirOwnAccountInformation",
            "Effect": "Allow",
            "Action": [
                "iam:ChangePassword",
                "iam:CreateAccessKey",
                "iam:CreateLoginProfile",
                "iam:DeleteAccessKey",
                "iam:DeleteLoginProfile",
                "iam:GetLoginProfile",
                "iam:ListAccessKeys",
                "iam:UpdateAccessKey",
                "iam:UpdateLoginProfile",
                "iam:ListSigningCertificates",
                "iam:DeleteSigningCertificate",
                "iam:UpdateSigningCertificate",
                "iam:UploadSigningCertificate",
                "iam:ListSSHPublicKeys",
                "iam:GetSSHPublicKey",
                "iam:DeleteSSHPublicKey",
                "iam:UpdateSSHPublicKey",
                "iam:UploadSSHPublicKey"
            ],
            "Resource": "arn:aws:iam::*:user/${aws:username}"
        },
        {
            "Sid": "AllowIndividualUserToViewAndManageTheirOwnMFA",
            "Effect": "Allow",
            "Action": [
                "iam:CreateVirtualMFADevice",
                "iam:DeleteVirtualMFADevice",
                "iam:EnableMFADevice",
                "iam:ListMFADevices",
                "iam:ResyncMFADevice"
            ],
            "Resource": [
                "arn:aws:iam::*:mfa/${aws:username}",
                "arn:aws:iam::*:user/${aws:username}"
            ]
        },
        {
            "Sid": "AllowIndividualUserToDeactivateOnlyTheirOwnMFAOnlyWhenUsingMFA",
            "Effect": "Allow",
            "Action": [
                "iam:DeactivateMFADevice"
            ],
            "Resource": [
                "arn:aws:iam::*:mfa/${aws:username}",
                "arn:aws:iam::*:user/${aws:username}"
            ],
            "Condition": {
                "Bool": {
                    "aws:MultiFactorAuthPresent": "true"
                }
            }
        },
        {
            "Sid": "BlockMostAccessUnlessSignedInWithMFA",
            "Effect": "Deny",
            "NotAction": [
                "iam:CreateVirtualMFADevice",
                "iam:DeleteVirtualMFADevice",
                "iam:ListVirtualMFADevices",
                "iam:EnableMFADevice",
                "iam:ResyncMFADevice",
                "iam:ListAccountAliases",
                "iam:ListUsers",
                "iam:ListSSHPublicKeys",
                "iam:ListAccessKeys",
                "iam:ListServiceSpecificCredentials",
                "iam:ListMFADevices",
                "iam:GetAccountSummary",
                "sts:GetSessionToken"
            ],
            "Resource": "*",
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "false"
                }
            }
        }
    ]
}

此政策的功能為何？

完成時，選擇 Review policy (檢閱政策)。

在 Review (檢閱) 頁面上，針對政策名稱輸入 Force_MFA。如需政策描述，請輸入This policy allows users to manage their own passwords and MFA devices but nothing else unless they authenticate with MFA.檢閱政策摘要以查看您的政策授予的許可，然後選擇建立政策儲存您的工作。

新的政策會出現在受管政策清單中，並且已準備好連接。

在導覽窗格中，選擇 Users (使用者)。

選擇您要編輯的使用者的名稱 (而非核取方塊)。

在 Permissions (許可) 標籤上，選擇 Add permissions (新增許可)。

選擇 Attach existing policies directly (直接連接現有政策)。

在搜尋方塊中，輸入 Force，然後在清單中選擇 Force_MFA 旁的核取方塊。然後選擇 Next (下一步)：檢閱。

檢閱您的變更，然後選擇 Add permissions (新增許可)。

登入 AWS 管理主控台，然後前往 https://console.aws.amazon.com/iam/ 開啟 IAM 主控台。

在導覽窗格中，選擇 Users (使用者)。

在 User Name (使用者名稱) 清單中，選擇適用的 MFA 使用者名稱。

選擇 Security credentials (安全登入資料) 標籤。在 Assigned MFA device (指派的 MFA 裝置) 旁，選擇 Manage (管理)。

在 Manage MFA Device (管理 MFA 裝置) 精靈中，選擇 Virtual MFA device (虛擬 MFA 裝置)，然後選擇 Continue (繼續)。

IAM 會產生並顯示虛擬 MFA 裝置的配置資訊，包括 QR 代碼圖形。此圖形代表「私密組態金鑰」，可用來在不支援 QR 碼的裝置上手動輸入。

開啟您的虛擬 MFA 應用程式。

如需可以用於託管虛擬 MFA 裝置的應用程式清單，請參閱 Multi-Factor Authentication。如果虛擬 MFA 應用程式支援多個帳戶 (多個虛擬 MFA 裝置)，請選擇對應的選項以建立新帳戶 (新的虛擬 MFA 裝置)。

判定 MFA 應用程式是否支援 QR 碼，然後執行以下操作之一：

完成操作後，虛擬 MFA 裝置會開始產生一次性密碼。

在 Manage MFA Device (管理 MFA 裝置) 精靈中的 MFA code 1 (MFA 代碼 1) 方塊內，輸入虛擬 MFA 裝置上目前顯示的一次性密碼。請等待 30 秒，裝置將產生新的一次性密碼。然後將第二個一次性密碼輸入 MFA code 2 (MFA 代碼 2) 方塊中。選擇 Assign MFA (指派 MFA)。

虛擬 MFA 裝置現已準備好與 AWS 一起使用。