本記事では、AWSのルートユーザーに対してMFA（多要素認証）の設定を行います。
AWSに新規登録した際に作成されるルートユーザーは、あらゆるサービスの作成・変更・削除が可能です。乗っ取られてしまうとリソースの悪用、データの消失、高額な利用料の請求などが発生する恐れがあるので絶対に奪われてはいけません。そのため本記事のようにMFA設定を行い、乗っ取りのリスクを低減させましょう。
MFAにはいくつかの方法がありますが、今回はスマートフォンにMicrosoftが提供する「Microsoft Authenticator」という認証アプリを利用します。
また上記の通りルートユーザーはあらゆる操作が可能なため、別途操作可能な範囲・権限を絞ったIAMユーザーというユーザーを作成して操作を行うことが推奨されています。こちらは後日記事を作成する想定（未定）です。
◆ AWSルートユーザーへのMFA設定手順 (2023年1月時点)
１．
AWSマネジメントコンソールにログインし、右上のアカウント名をクリックし、表示されるメニューないの「セキュリティ認証情報」をクリックします。
２．
開いた『セキュリティ認証情報（ルートユーザー）』画面の「MFAを割り当てる」ボタンをクリックします。
３．
開いた『デバイスを選択』画面で「デバイス名」欄に任意のデバイス名を入力します。その後画面を下にスクロールします。
「MFAデバイスを選択」にて利用したいMFAデバイスを選択します。冒頭で記載した通り、今回はスマートフォンにMicrosoftが提供する「Microsoft Authenticator」という認証アプリを利用しますので、「認証アプリケーション」を選択して「次へ」ボタンをクリックします。
４．
『デバイスの設定』画面に遷移します。「互換性のあるアプリケーションのリストを表示」をクリックすると、利用可能な認証アプリケーションを確認できます。
開いた画面を下にスクロールすると、利用可能な認証アプリケーションの一覧が表示されています。Googleが提供する「Google Authenticator」も利用可能です。
５．
先程の『デバイスの設定』画面にて、「QRコードの表示」をクリックします。
QRコードが表示されますので、スマートフォン側で認証アプリケーションをダウンロードし、認証アプリケーションにてQRコードを読み取りましょう。
６．
スマートフォンで「Microsoft Authenticator」をダウンロードします。iPhoneの場合は『App Store』を開き、検索メニューで「authenticator」で検索して出てきた「Microsoft Authenticator」をタップします。
７．
「Microsoft Authenticator」のダウンロードボタンをタップします。
８．
ダウンロードした「Microsoft Authenticator」をタップして開始します。
９．
「Microsoft Authenticator」起動時は都度、iPhoneのパスコードを入力します。
10．
「アカウントを追加」ボタンをタップします。
11．
「その他（Google、Facebookなど）」をタップします。
12．
カメラへのアクセスを求められるので「OK」をタップします。カメラが起動したら手順５で表示させたQRコードを読み取ります。
13．
『Amazon Web Services』の設定が追加されれば成功です。表示される6桁の数字をログイン時に利用します。
14．
手順５の画面を下にスクロールし、「MFAコード1」の欄に手順13で表示される6桁の数字を入力します。続いて「MFAコード2」の欄に、再度手順13の画面で「MFAコード1」の欄に入力した数字の次に表示された数字を入力します。その後「MFAを追加」ボタンをクリックします。
15．
画面に緑色背景で「割り当て済みのMFAデバイス」とメッセージが表示されれば成功です。画面右上のアカウント名をクリックして表示されるメニューから「サインアウト」をクリックします。
16．
「もう一度ログインする」ボタンをクリックします。
17．
『サインイン』画面で「ルートユーザー」を選択し、ルートユーザーのメールアドレスを入力し、「次へ」ボタンをクリックします。
18．
「パスワード」欄にルートユーザーのパスワードを入力し、「サインイン」をクリックします。
19．
「Microsoft Authenticator」上で表示されるMFAコードを「MFAコード」欄に入力し「送信」ボタンをクリックします。ログインが成功すれば確認は完了です。
お疲れ様でした！
