Как включить 2FA в AWS
Взлом аккаунта AWS — это не только утечка данных, но и реальные счета за чужие ресурсы. AWS требует MFA для root-пользователей управляющих аккаунтов, а «виртуальное MFA-устройство» — это обычный TOTP: подойдёт любой аутентификатор, включая 2FAA.
Быстрый путь: Консоль AWS → меню аккаунта (справа вверху) → Security credentials → Assign MFA device
Пошаговая настройка 2FA в AWS
- 1
Откройте Security credentials
Войдите в консоль AWS, нажмите имя аккаунта в правом верхнем углу, затем «Security credentials». (Для IAM-пользователя: IAM → Users → выберите пользователя → вкладка «Security credentials».)
- 2
Назначьте MFA-устройство
В разделе «Multi-factor authentication (MFA)» нажмите «Assign MFA device». Задайте имя и выберите «Authenticator app».
- 3
Отсканируйте QR-код в 2FAA
AWS покажет QR-код («Show QR code») и секретный ключ. Откройте 2FAA и отсканируйте — начнёт обновляться 6-значный код AWS.
- 4
Введите два последовательных кода
AWS просит два последовательных кода MFA для проверки синхронизации: введите текущий код из 2FAA в первое поле, подождите ~30 секунд до смены кода и введите следующий во второе поле.
- 5
Повторите для root и каждого IAM-пользователя
MFA настраивается на каждую учётную запись отдельно. Сначала защитите root (требование AWS), затем назначьте устройства IAM-пользователям — у каждого свой QR-код и своя запись в 2FAA.
Генерируйте коды 2FA для AWS в 2FAA
Отдельное приложение-аутентификатор не нужно. 2FAA — бесплатный TOTP-генератор в браузере: секретный ключ не покидает ваше устройство, а как PWA он работает офлайн. Тот же ключ можно параллельно добавить в Google Authenticator или Authy для резервирования.
Частые вопросы
Зачем AWS требует два последовательных кода?
Чтобы убедиться, что часы вашего аутентификатора синхронизированы с AWS. Два кода подряд доказывают, что устройство генерирует правильную последовательность, а не один случайно совпавший код.
MFA для root теперь правда обязательно?
Да — с 2024 года AWS поэтапно принуждает root-пользователей к MFA: сначала управляющие аккаунты AWS Organizations, затем автономные аккаунты. Не ждите письма с уведомлением о принудительном включении.
Как использовать MFA с AWS CLI?
Выполните «aws sts get-session-token --serial-number <arn-устройства> --token-code <код из 2FAA>» для получения временных учётных данных, либо пропишите mfa_serial в профиле. Для AI-автоматизации MCP-сервер 2FAA может выдавать код программно.
Сколько MFA-устройств можно привязать к одному пользователю AWS?
До 8 на пользователя (включая root). Второе устройство — например, 2FAA в браузере плюс аппаратный ключ — страхует от потери любого из них.