MFAデバイスを無くした時の対応方法

2021/12/27 JAWS-UG 初心者支部#40 年忘れLT大会!! 資料

Transcript

1. MFAデバイスを無くした時の対応方法
   2021/12/27
   JAWS-UG 初心者支部#40 年忘れLT大会!!
   

   View Slide

2. 自己紹介
   名前 ：藤田 直幸
   Twitter/Qiita/Zenn：@amarelo_n24 コーヒー焙煎人兼エンジニア
   Facebook：https://www.facebook.com/naoyuki.fujita.37
   Hatena ：https://amarelo24.hatenablog.com/
   取得済AWS認定 ：CLF、SAA、DVA
   今後の受験予定 ：SOA、SCS
   好きなAWSサービス：AWS CLI、AWS CloudShell、Cloud9
   

   View Slide

3. 先日、ルートアカウントのMFAデバイスを
   無くしてログインできなくなりそうになって
   困ったことと解決方法をお話します！！
   

   View Slide

4. １．AWSでの多要素認証（MFA）の使用について
   ２．ルートアカウントでMFAできなくなった話
   ３．ルートアカウントMFAデバイス再設定
   ４．つまずきポイント
   ５．まとめ
   話すこと
   

   View Slide

5. １．AWSでの多要素認証（MFA）の使用について
   

   View Slide

6. 認証の3要素である「知識情報」「所持情報」「生体情報」の
   うち、2つ以上を組み合わせて認証すること。
   （例）
   知識情報：パスワード、PINコード、秘密の質問
   所持情報：携帯電話、ハードウェアトークン、ICカード
   生体情報：指紋、静脈、声紋
   ※参考
   https://www.nri-secure.co.jp/blog/multi-factor-authentication
   多要素認証（MFA）とは？
   

   View Slide

7. セキュリティを向上させるには、MFAを設定してAWSリソース
   を保護することが推奨されています。
   https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_credential
   s_mfa.html
   AWSでの多要素認証（MFA）
   

   View Slide

8. ①仮想MFAデバイス（Google Authenticatorなど）
   ②U2Fセキュリティキー
   ③ハードウェアMFAデバイス
   主に①を使って設定する方が多い？
   MFAデバイスに設定できるもの
   

   View Slide

9. ・パスワードクラックによる不正ログイン
   ・不正なAWSリソースの使用
   全アカウントにMFAを設定しましょう！
   ルートアカウントのMFA設定は必須！！
   MFAを設定しないと起こりうるリスク
   

   View Slide

10. ２．ルートアカウントでMFAできなくなった話
    

    View Slide

11. 先日、ルートアカウントでログインしようとしたところ、
    Google Authenticator にルートアカウントの認証コードが
    表示されていないことが分かりました。
    

    View Slide

12. ・すべてのアカウント（ルートアカウント、IAMユーザ）には
    MFAを設定済。
    ・ルートアカウントのMFAのみ表示されていない。。。
    ・IAMユーザのMFA認証コードはGoogle Authenticator
    アプリに表示されている。
    当時の状況整理
    

    View Slide

13. 普段はIAMユーザを使ってログインしており、
    ルートアカウントには１年近くログインしていない。
    何もしていないのに。。。
    

    View Slide

14. なぜだ！？
    

    View Slide

15. １年前にiPhone7をiPhone12に機種変していた！
    ・iPhone7の時にルートアカウントのMFAを設定していた。
    ・iPhone12への機種変の際に、MFAデバイス再設定をせずに、
    iPhone7を処分してしまった！（もちろん初期化済）
    ※他のIAMユーザのMFAデバイス登録は、iPhone12にして
    から設定したため、気づくのが遅くなった。
    厳密にいうとMFAデバイスの紛失！！
    原因
    

    View Slide

16. ルートアカウントのMFAデバイスの
    再設定をしなければ！！
    

    View Slide

17. ３．ルートアカウントMFAデバイス再設定
    

    View Slide

18. （１）別方法でのルートユーザログイン
    

    View Slide

19. ルートアカウントとパスワードを入力し、MFAコード入力画面
    を表示したら、「MFAのトラブルシューティング」をクリック。
    ①MFAのトラブルシューティング
    

    View Slide

20. ②別の認証要素を使用したサインイン
    

    View Slide

21. ルートアカウントに登録されているメールアドレスに
    確認メールを送信。
    ③登録メールアドレスに確認メール送信
    

    View Slide

22. 「Verify your email address」をクリック
    ④受信メールのリンクをクリック
    

    View Slide

23. ⑤登録した電話で６ケタコードを聞いて入力
    電話番号の登録状況に問題があり、一度ここ
    で躓いた（後述）。
    

    View Slide

24. ⑥コンソールにサインイン
    

    View Slide

25. （２）MFA再設定
    

    View Slide

26. ①対象ユーザの認証情報からMFA設定を削除
    

    View Slide

27. ②MFAデバイスを再設定
    Google Authenticatorで設定する場合
    

    View Slide

28. ③新デバイスにて設定
    事前にGoogle Authenticator
    をインストール
    クリックしてQRコードを表示。
    Google Authenticatorアプリでスキャン。
    Google Authenticatorに表示されるMFAコ
    ードを2つ入力。入力したら、「MFAの割り
    当て」をクリックできるようになる。
    

    View Slide

29. ④登録完了
    以下のように表示されればOK！！
    

    View Slide

30. ４．つまずきポイント
    

    View Slide

31. そもそもルートアカウント登録時に正しく入れたはず。。。
    電話の確認を完了できない（汗）
    

    View Slide

32. アカウントの連絡先情報に登録している電話番号を
    国際電話向けに、(+81)で登録しなければならない。
    070、 080、090で登録していると、電話が来ない（汗）
    電話番号を国際電話向けで登録していなかった
    変更して再実行したところ、電話番号の確認
    ができて、ログイン完了！
    

    View Slide

33. AWSサポートへの連絡が必要。
    平日9:00-18:00に折り返しが来るため、休日に気付いた場合は、
    平日まで待つしかない…
    https://support.aws.amazon.com/#/contacts/aws-mfa-support
    もし電話番号変更ができなかったら・・・
    

    View Slide

34. ５．まとめ
    

    View Slide

35. ・二要素認証はすべてのアカウントに必ず設定しよう！！
    ・スマホの機種変をしたら、旧端末処分前にMFAデバイスの
    登録変更を必ず実施すること！！
    ・MFAデバイス設定変更している端末を処分したり、紛失したり
    すると、MFAデバイスの再登録手続きが面倒になることもある。
    まとめ
    

    View Slide

36. View Slide