Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Weisen Sie ein Hardware-TOTP-Token in der AWS-Managementkonsole

Ein Hardware-TOTP-Token generiert auf der Grundlage des Algorithmus für ein zeitgesteuertes Einmalpasswort (TOTP) einen sechsstelligen numerischen Code. Der Benutzer muss einen gültigen Code vom Gerät eingeben, wenn er während des Anmeldevorgangs dazu aufgefordert wird. Ein MFA-Gerät muss einem Benutzer eindeutig zugewiesen werden. Ein Benutzer kann sich nicht mit dem Code eines anderen Geräts authentifizieren. MFA-Geräte können nicht über Konten oder Benutzer hinweg freigegeben werden.

Hardware-TOTP-Token und FIDO-Sicherheitsschlüssel sind physische Geräte, die Sie kaufen können. Hardware-MFA-Geräte generieren TOTP-Codes für die Authentifizierung, wenn Sie sich anmelden. AWS Sie sind auf Batterien angewiesen, die möglicherweise ausgetauscht und im Laufe der Zeit neu synchronisiert werden müssen. AWS FIDO-Sicherheitsschlüssel, die Kryptografie mit öffentlichen Schlüsseln verwenden, benötigen keine Batterien und bieten einen nahtlosen Authentifizierungsprozess. Wir empfehlen die Verwendung von FIDO-Sicherheitsschlüsseln aufgrund ihrer Phishing-Resistenz, die eine sicherere Alternative zu TOTP-Geräten darstellen. Darüber hinaus können FIDO-Sicherheitsschlüssel mehrere IAM- oder Root-Benutzer auf demselben Gerät unterstützen, was ihren Nutzen für die Kontosicherheit erhöht. Technische Daten und Kaufinformationen für beide Gerätetypen finden Sie unter Multi-Factor Authentifizierung.

Sie können ein Hardware-TOTP-Token für einen IAM-Benutzer über die AWS-Managementkonsole Befehlszeile oder die IAM-API aktivieren. Informationen zur Aktivierung eines MFA-Geräts für Ihr finden Sie unter. Root-Benutzer des AWS-KontosAktivieren eines physischen TOTP-Tokens für den Root-Benutzer eines s (Konsole)

Sie können bis zu acht MFA-Geräte einer beliebigen Kombination der derzeit unterstützten MFA-Typen bei Ihren Benutzern Root-Benutzer des AWS-Kontos und IAM-Benutzern registrieren. Bei mehreren MFA-Geräten benötigen Sie nur ein MFA-Gerät, um sich mit diesem Benutzer anzumelden AWS-Managementkonsole oder eine Sitzung über den zu erstellen. AWS CLI

Erforderliche Berechtigungen

Um ein Hardware-TOTP-Token für Ihren eigenen IAM-Benutzer zu verwalten und gleichzeitig vertrauliche MFA-related Aktionen zu schützen, benötigen Sie die Berechtigungen aus der folgenden Richtlinie:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowManageOwnUserMFA",
            "Effect": "Allow",
            "Action": [
                "iam:DeactivateMFADevice",
                "iam:EnableMFADevice",
                "iam:GetUser",
                "iam:ListMFADevices",
                "iam:ResyncMFADevice"
            ],
            "Resource": "arn:aws:iam::*:user/${aws:username}"
        },
        {
            "Sid": "DenyAllExceptListedIfNoMFA",
            "Effect": "Deny",
            "NotAction": [
                "iam:EnableMFADevice",
                "iam:GetUser",
                "iam:ListMFADevices",
                "iam:ResyncMFADevice"
            ],
            "Resource": "arn:aws:iam::*:user/${aws:username}",
            "Condition": {
                "BoolIfExists": {
                    "aws:MultiFactorAuthPresent": "false"
                }
            }
        }
    ]
}

Aktivieren eines physischen TOTP-Tokens für Ihren eigenen IAM-Benutzer (Konsole)

Sie können Ihr eigenes physisches TOTP-Token über die AWS-Managementkonsole aktivieren.

Das Gerät ist einsatzbereit mit. AWS Weitere Informationen zur Verwendung von MFA mit der AWS-Managementkonsole finden Sie unter Anmeldung mit MFA.

Aktivieren eines physischen TOTP-Tokens für einen anderen IAM-Benutzer (Konsole)

Sie können ein physisches TOTP-Token über die AWS-Managementkonsole für einen anderen IAM-Benutzer aktivieren.

Das Gerät ist einsatzbereit mit. AWS Weitere Informationen zur Verwendung von MFA mit der AWS-Managementkonsole finden Sie unter Anmeldung mit MFA.

Ersetzen eines physischen MFA-Geräts

Sie können einem Benutzer bis zu acht MFA-Geräte mit einer beliebigen Kombination der derzeit unterstützten MFA-Typen gleichzeitig mit Ihren Root-Benutzer des AWS-Kontos und IAM-Benutzern zuweisen. Wenn der Benutzer ein Gerät verliert oder aus anderweitigen Gründen das Gerät ersetzen möchte, müssen Sie zunächst das alte Gerät deaktivieren. Anschließend können Sie das neue Gerät für den Benutzer hinzufügen.