こんにちは、インフラエンジニアのryuです。
スマートフォンを機種変更したときに、忘れてはいけないのがAWSのMFAです。
古いスマートフォンを手放してから、AWSへログインできないことに気づくと困ってしまいますよね。
現在のAWSでは、1人のユーザーに複数のMFAデバイスを登録できます。
そのため、古いスマートフォンが使える場合は、先に新しいスマートフォンをMFAへ追加し、ログインできることを確認してから古い端末を削除する方法がおすすめです。
この記事では、IAMユーザーとルートユーザーに分けて、AWSのMFAを機種変更する手順を解説します。
AWSのMFAとは？¶
MFAは、パスワードに加えて、認証アプリなどで本人確認を行う仕組みです。
パスワードが第三者に知られても、MFAコードがなければログインしにくくなるため、AWSアカウントのセキュリティを高められます。
スマートフォンの認証アプリを使う方法は、仮想MFAデバイスやAuthenticatorアプリと呼ばれます。
認証アプリには、以下のようなものがあります。
- Google Authenticator
- Microsoft Authenticator
- 1Passwordなどの認証機能
AWSでは、認証アプリのほかに、パスキーやセキュリティキーもMFAとして利用できます。
機種変更前に確認すること¶
まず、古いスマートフォンでAWSのMFAコードを表示できるか確認してください。
古い端末をまだ使えるかどうかで、作業方法が変わります。
| 状況 | 対応方法 |
|---|---|
| 古い端末を使える | 新しいMFAを追加してから古いMFAを削除する |
| 古い端末を使えない | 別のMFAでログインするか、管理者やAWSの復旧手順を利用する |
| 認証アプリの移行機能を使える | 移行後もAWSでログインできるか必ず確認する |
認証アプリのバックアップや移行機能だけに頼るのではなく、AWS側で新しい端末を登録しておくと安心です。
また、作業中にログアウトすると戻れなくなる可能性があります。
新しいMFAでログインできることを確認するまで、現在開いているAWSの画面は閉じないようにしましょう。
IAMユーザーのMFAを新しいスマホへ変更する¶
まずは、IAMユーザーの手順を解説します。
IAMユーザーとは、AWSアカウントの中に作成する作業用のユーザーです。
IAMのユーザー画面を開く¶
AWSマネジメントコンソールへログインし、IAMを開きます。
左側のメニューからユーザーを選択し、MFAを変更したいユーザー名をクリックします。
続いて、セキュリティ認証情報のタブを開きます。
多要素認証（MFA）の項目にある、MFAデバイスの割り当てをクリックしてください。
画像は元記事作成時のAWS画面です。現在の画面では、ボタン名や配置が異なる場合があります。
自分のIAMユーザーがMFAを管理できない場合は、権限が不足している可能性があります。その場合はAWSの管理者へ依頼します。
新しいMFAデバイスを追加する¶
MFAデバイスの名前を入力し、認証アプリを選択します。
例えば、次のような名前にすると、どの端末なのか分かりやすくなります。
ryu-iphone-mfa
次へ進むと、QRコードが表示されます。
新しいスマートフォンで認証アプリを開き、アカウントの追加やQRコードの読み取りを選択してください。
AWSの画面に表示されているQRコードを読み取ると、6桁のMFAコードが表示されます。
AWSの画面には、連続した2つのMFAコードを入力します。
1つ目のコードを入力したあと、約30秒待ちます。数字が切り替わったら、新しいコードを2つ目の欄へ入力してください。
最後にMFAを追加すると、新しいスマートフォンの登録は完了です。
新しいMFAでログインを確認する¶
登録が完了しても、すぐに古いMFAを削除しないでください。
一度、別のブラウザやシークレットウィンドウからAWSへログインします。
新しいスマートフォンに表示されるMFAコードでログインできることを確認しましょう。
複数のMFAが登録されている場合は、ログイン時に使用するMFAの種類を選択できます。
古いMFAデバイスを削除する¶
新しいMFAでログインできたら、古いMFAデバイスを削除します。
もう一度、以下の画面を開きます。
IAM
→ ユーザー
→ 対象ユーザー
→ セキュリティ認証情報
→ 多要素認証（MFA）
古いMFAデバイスを選択し、削除をクリックします。
これで、IAMユーザーのMFAの機種変更は完了です。
ルートユーザーのMFAを変更する¶
ルートユーザーは、AWSアカウントを作成したメールアドレスでログインするユーザーです。
強い権限を持っているため、普段の作業ではIAMユーザーを使い、ルートユーザーは必要なときだけ使用しましょう。
ルートユーザーでログインしたら、画面右上のアカウント名をクリックします。
セキュリティ認証情報を開き、多要素認証（MFA）の項目からMFAデバイスを追加します。
登録方法はIAMユーザーと同じです。
- デバイス名を入力する
- 認証アプリを選択する
- QRコードを読み取る
- 連続する2つのMFAコードを入力する
- 新しいMFAでログインを確認する
- 古いMFAを削除する
ルートユーザーには、できればMFAを2つ以上登録しておくと安心です。
例えば、スマートフォンの認証アプリに加えて、別の端末やセキュリティキーを登録しておけば、スマートフォンを紛失したときにも対応しやすくなります。
古いスマホが使えない場合¶
すでに古いスマートフォンを初期化した、故障した、紛失したという場合もあります。
この場合は、IAMユーザーとルートユーザーで対応が異なります。
IAMユーザーの場合¶
IAMユーザーは、自分だけでMFAを解除できない場合があります。
AWSの管理者へ連絡し、古いMFAデバイスを削除してもらってください。
管理者がMFAを削除したあとにログインし、新しいMFAデバイスを登録します。
管理者自身のMFAが使えない場合に備えて、管理権限を持つユーザーを適切に管理しておくことも大切です。
ルートユーザーの場合¶
ルートユーザーでは、ログイン画面にあるMFAのトラブルシューティングから復旧を進めます。
AWSアカウントに登録しているメールアドレスと電話番号を使って、本人確認を行います。
メールアドレスや電話番号を利用できない場合は、AWS Supportへの問い合わせが必要です。
復旧できたら、古いMFAを削除し、新しいMFAを登録してください。
スマートフォンを紛失した場合は、念のためルートユーザーのパスワードも変更しておきましょう。
MFAコードがエラーになる場合¶
QRコードを読み取っても、MFAコードが認証されないことがあります。
その場合は、スマートフォンの時刻設定を確認してください。
MFAコードは、現在時刻をもとに一定時間ごとに作成されます。端末の時刻がずれていると、正しいコードとして認識されません。
スマートフォンの日付と時刻を自動設定にして、もう一度試してみましょう。
また、入力中にコードが切り替わるとエラーになることがあります。
残り時間が少ない場合は、次のコードへ切り替わってから入力すると失敗しにくくなります。
AWSのMFAを機種変更する手順まとめ¶
AWSのMFAを機種変更するときは、古いMFAを最初に削除しないことが大切です。
古いスマートフォンが使える場合は、以下の順番で作業します。
- 新しいMFAデバイスを追加する
- 新しい端末でQRコードを読み取る
- 連続する2つのMFAコードを入力する
- 新しいMFAでログインできるか確認する
- 古いMFAデバイスを削除する
私も認証や権限の設定を変更するときは、現在のログイン方法を残したまま、新しい方法で接続できることを先に確認します。
先に古い設定を削除すると、少しの操作ミスでもログインできなくなるからです。
MFAの機種変更でも、新しい端末でログインできることを確認してから、古い端末を削除すると覚えておきましょう。
AWSを実際に操作しながら学びたい方へ¶
AWSでは、MFAだけでなく、IAMユーザーやアクセス権限を正しく設定することが大切です。
用語だけを覚えるのではなく、実際にAWSの構成を作りながら学ぶと理解しやすくなります。
AWSを基礎から学びたい方は、AWS入門講座を確認してみてください。
