AWS CLIでIAMユーザーにMFA（多要素認証）を設定する

#AWS IAM

#AWS

若槻龍太

2021.08.29

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、CX事業本部 IoT事業部の若槻です。

今回は、AWS CLIでIAMユーザーにMFA（多要素認証）を設定してみました。

想定しているケース

MFAが設定されたIAMユーザーを管理者が作成して、ユーザーに使用させたい

管理者による操作

MFA有効対象のIAMユーザーの作成

IAMユーザーを作成します。

$ userName=sampleUser
$ aws iam create-user \
  --user-name ${userName}

必要に応じて、IAMユーザーにポリシーをアタッチします。（今回はログインの動作だけ確認したいので省きます。）

IAMユーザーのログインプロファイルを作成します。

$ password=${password}
$ aws iam create-login-profile \
  --user-name ${userName} \
  --password ${password} \
  --password-reset-required

仮想デバイスの作成

$ deviceName=sampleDevice
$ outfile=qrcode.png
$ bootstrapMethod=QRCodePNG
$ aws iam create-virtual-mfa-device \
  --virtual-mfa-device-name ${deviceName} \
  --outfile ${outfile} \
  --bootstrap-method ${bootstrapMethod}

作成した仮想デバイスのワンタイムパスワードコードのQRコードがPNGファイルで作成されます。

$ ls -l qrcode.png
-rw-r--r--  1 wakatsuki.ryuta  staff  1651 Aug 29 21:04 qrcode.png

ワンタイムパスワードコードの2要素認証アプリへの登録

作成した仮想デバイスのワンタイムパスワードコードを2要素認証アプリへ登録します。

2要素認証アプリにはAuthyやGoogle Authenticatorなどが使えます。今回は1Passwordのデスクトップアプリケーションを使用してみます。

ログイン情報を作成してセクション欄でワンタイムパスワード形式を選択し、QRコードマークをクリックします。

コードスキャナーが起動するので、先程作成したPNGファイルのQRコード画像をスキャンします。

下記の形式のワンタイムパスワードコードが取得できます。

otpauth://totp/Amazon%20Web%20Services:sampleDevice@{AccountId}?secret={Secret}&issuer=Amazon%20Web%20Services

ログイン情報を保存するとワンタイムパスワード（認証コード）が取得できています。

MFAデバイスの有効化（IAMユーザーへの割当て）

--authentication-code1と--authentication-code2には、先程2要素認証アプリに登録したワンタイムパスワードコードの2回連続する認証コードを指定します。

$ serialNumber=arn:aws:iam::${accountId}:mfa/${deviceName}
$ authenticationCode1=123456
$ authenticationCode2=789012
$ aws iam enable-mfa-device \
  --user-name ${userName} \
  --serial-number ${serialNumber} \
  --authentication-code1 ${authenticationCode1} \
  --authentication-code2 ${authenticationCode2}