MFAデバイスを無くした時の対応方法

MFAデバイスを無くした時の対応方法 2021/12/27 JAWS-UG 初心者支部#40 年忘れLT大会!!

自己紹介名前：藤田直幸 Twitter/Qiita/Zenn：@amarelo_n24 コーヒー焙煎人兼エンジニア Facebook：https://www.facebook.com/naoyuki.fujita.37 Hatena ：https://amarelo24.hatenablog.com/ 取得済AWS認定
：CLF、SAA、DVA 今後の受験予定：SOA、SCS 好きなAWSサービス：AWS CLI、AWS CloudShell、Cloud9

先日、ルートアカウントのMFAデバイスを無くしてログインできなくなりそうになって困ったことと解決方法をお話します！！

１．AWSでの多要素認証（MFA）の使用について２．ルートアカウントでMFAできなくなった話３．ルートアカウントMFAデバイス再設定４．つまずきポイント５．まとめ話すこと

１．AWSでの多要素認証（MFA）の使用について

認証の3要素である「知識情報」「所持情報」「生体情報」のうち、2つ以上を組み合わせて認証すること。（例）知識情報：パスワード、PINコード、秘密の質問所持情報：携帯電話、ハードウェアトークン、ICカード生体情報：指紋、静脈、声紋 ※参考 https://www.nri-secure.co.jp/blog/multi-factor-authentication 多要素認証（MFA）とは？

セキュリティを向上させるには、MFAを設定してAWSリソースを保護することが推奨されています。 https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_credential s_mfa.html AWSでの多要素認証（MFA）

①仮想MFAデバイス（Google Authenticatorなど） ②U2Fセキュリティキー ③ハードウェアMFAデバイス主に①を使って設定する方が多い？ MFAデバイスに設定できるもの

・パスワードクラックによる不正ログイン・不正なAWSリソースの使用全アカウントにMFAを設定しましょう！ルートアカウントのMFA設定は必須！！ MFAを設定しないと起こりうるリスク

２．ルートアカウントでMFAできなくなった話

先日、ルートアカウントでログインしようとしたところ、 Google Authenticator にルートアカウントの認証コードが表示されていないことが分かりました。

・すべてのアカウント（ルートアカウント、IAMユーザ）には MFAを設定済。・ルートアカウントのMFAのみ表示されていない。。。・IAMユーザのMFA認証コードはGoogle Authenticator アプリに表示されている。当時の状況整理

普段はIAMユーザを使ってログインしており、ルートアカウントには１年近くログインしていない。何もしていないのに。。。

なぜだ！？

１年前にiPhone7をiPhone12に機種変していた！・iPhone7の時にルートアカウントのMFAを設定していた。・iPhone12への機種変の際に、MFAデバイス再設定をせずに、 iPhone7を処分してしまった！（もちろん初期化済） ※他のIAMユーザのMFAデバイス登録は、iPhone12にしてから設定したため、気づくのが遅くなった。厳密にいうとMFAデバイスの紛失！！原因

ルートアカウントのMFAデバイスの再設定をしなければ！！

３．ルートアカウントMFAデバイス再設定

（１）別方法でのルートユーザログイン

ルートアカウントとパスワードを入力し、MFAコード入力画面を表示したら、「MFAのトラブルシューティング」をクリック。 ①MFAのトラブルシューティング

②別の認証要素を使用したサインイン

ルートアカウントに登録されているメールアドレスに確認メールを送信。 ③登録メールアドレスに確認メール送信

「Verify your email address」をクリック ④受信メールのリンクをクリック

⑤登録した電話で６ケタコードを聞いて入力電話番号の登録状況に問題があり、一度ここで躓いた（後述）。

⑥コンソールにサインイン

（２）MFA再設定

①対象ユーザの認証情報からMFA設定を削除

②MFAデバイスを再設定 Google Authenticatorで設定する場合

③新デバイスにて設定事前にGoogle Authenticator をインストールクリックしてQRコードを表示。 Google Authenticatorアプリでスキャン。 Google Authenticatorに表示されるMFAコードを2つ入力。入力したら、「MFAの割り
当て」をクリックできるようになる。

④登録完了以下のように表示されればOK！！

４．つまずきポイント

そもそもルートアカウント登録時に正しく入れたはず。。。電話の確認を完了できない（汗）

アカウントの連絡先情報に登録している電話番号を国際電話向けに、(+81)で登録しなければならない。 070、 080、090で登録していると、電話が来ない（汗）電話番号を国際電話向けで登録していなかった変更して再実行したところ、電話番号の確認ができて、ログイン完了！

AWSサポートへの連絡が必要。平日9:00-18:00に折り返しが来るため、休日に気付いた場合は、平日まで待つしかない… https://support.aws.amazon.com/#/contacts/aws-mfa-support もし電話番号変更ができなかったら・・・

５．まとめ

・二要素認証はすべてのアカウントに必ず設定しよう！！・スマホの機種変をしたら、旧端末処分前にMFAデバイスの登録変更を必ず実施すること！！・MFAデバイス設定変更している端末を処分したり、紛失したりすると、MFAデバイスの再登録手続きが面倒になることもある。まとめ

MFAデバイスを無くした時の対応方法

MFAデバイスを無くした時の対応方法

amarelo_n24

More Decks by amarelo_n24

Other Decks in Technology

Featured

Transcript