Cách bật 2FA trên AWS
Tài khoản AWS bị chiếm không chỉ lộ dữ liệu — nó sinh hóa đơn thật. AWS bắt buộc MFA với người dùng root của tài khoản quản lý, và «thiết bị MFA ảo» thực chất là TOTP chuẩn: app xác thực nào cũng dùng được, kể cả 2FAA.
Đường dẫn nhanh: Console AWS → menu tài khoản (góc trên phải) → Security credentials → Assign MFA device
Các bước bật 2FA trên AWS
- 1
Mở Security credentials
Đăng nhập console AWS, nhấp tên tài khoản góc trên phải rồi chọn «Security credentials». (Với người dùng IAM: IAM → Users → chọn user → thẻ «Security credentials».)
- 2
Gán thiết bị MFA
Trong phần «Multi-factor authentication (MFA)», nhấp «Assign MFA device». Đặt tên và chọn «Authenticator app».
- 3
Quét mã QR bằng 2FAA
AWS hiển thị mã QR («Show QR code») và khóa bí mật. Mở 2FAA và quét — mã AWS 6 chữ số bắt đầu chạy.
- 4
Nhập hai mã liên tiếp
AWS yêu cầu hai mã MFA liên tiếp để xác nhận đồng bộ: nhập mã hiện tại của 2FAA vào ô đầu, đợi ~30 giây cho mã đổi, rồi nhập mã kế tiếp vào ô thứ hai.
- 5
Lặp lại cho root và từng người dùng IAM
MFA tính theo từng danh tính. Bảo vệ tài khoản root trước (AWS bắt buộc), rồi gán thiết bị cho các người dùng IAM — mỗi người có mã QR riêng và mục riêng trong 2FAA.
Tạo mã 2FA cho AWS bằng 2FAA
Bạn không cần cài thêm ứng dụng xác thực. 2FAA là trình tạo mã TOTP miễn phí chạy ngay trong trình duyệt — khóa bí mật không bao giờ rời khỏi thiết bị, và hoạt động offline như một PWA. Bạn cũng có thể dùng song song cùng Google Authenticator hoặc Authy để dự phòng.
Câu hỏi thường gặp
Vì sao AWS đòi hai mã liên tiếp?
Để xác nhận đồng hồ trình xác thực của bạn đồng bộ với AWS. Nhập đúng hai mã liền nhau chứng minh thiết bị sinh đúng chuỗi, chứ không phải trùng may mắn một lần.
MFA cho root giờ bắt buộc thật à?
Thật — từ 2024, AWS cưỡng chế MFA với người dùng root theo từng giai đoạn: bắt đầu từ tài khoản quản lý trong AWS Organizations rồi mở rộng sang tài khoản độc lập. Đừng đợi email nhắc nhở.
Dùng MFA với AWS CLI thế nào?
Chạy «aws sts get-session-token --serial-number <arn-mfa> --token-code <mã từ 2FAA>» để lấy thông tin xác thực tạm thời, hoặc cấu hình mfa_serial trong profile. Với tự động hóa bằng AI, MCP server của 2FAA có thể cấp mã theo chương trình.
Một người dùng AWS gắn được mấy thiết bị MFA?
Tối đa 8 mỗi người dùng (kể cả root). Đăng ký thiết bị thứ hai — ví dụ 2FAA trên trình duyệt cộng một khóa cứng — giúp bạn không sợ mất bất kỳ chiếc nào.