c1.4 多要素認証を必須にする
あらゆる場所で第 2 の認証要素を必須にします。AWS は現在、すべてのアカウントの root ユーザーに MFA を強制しており、すべての人間のアクセスに MFA を拡大すべきです。理想的にはフィッシング耐性のあるパスキーや FIDO2 セキュリティキーを使用します。
実装ガイダンス
root には MFA が必須になりました
AWS は すべてのアカウントタイプ(スタンドアロン、管理、メンバー)の root ユーザーに MFA を強制します。まだ有効化していない場合、ユーザーは最初のコンソールサインインから 35 日以内に MFA を登録する必要があります。AWS がプロンプトを強制する前に設定し、複数のデバイスを登録してください。root ユーザーや IAM ユーザーは最大 8 個の MFA デバイスを登録でき、1 つ紛失してもロックアウトされません。
フィッシング耐性のある要素を優先する
サポートされる MFA タイプには、パスキーと FIDO2 セキュリティキー(フィッシング耐性、推奨)、仮想オーセンティケーターアプリ(TOTP)、ハードウェア TOTP トークンがあります。可能な限りパスキー/FIDO2 を優先してください。TOTP コードを破る資格情報フィッシングに耐性があります。
すべての人に、あらゆる場所で MFA を
MFA を root 以外にも拡大します。ID プロバイダー / IAM Identity Center のすべての人間の ID に、そして Amazon Cognito 経由でアプリのエンドユーザーに適用します。常時 MFA が体験を損なう場合、アダプティブ(コンテキスト認識)認証は異常時(新しいデバイス、新しい国、異常な挙動)にのみ MFA を求めます。IAM Identity Center と Cognito の両方でサポートされます。
アクセスキーを持つ長期の IAM ユーザーは避け、フェデレーションによる一時的な認証情報を優先して、盗まれる耐久性のあるシークレットをなくします。
How to validate
- すべての root ユーザーで MFA が有効ですか(または root を一元化し、メンバーアカウントの root を SCP で無効化していますか)?
- 特権アクセスにフィッシング耐性のある要素(パスキー / FIDO2)を使っていますか?
- ID プロバイダー / IAM Identity Center は全従業員に MFA を要求していますか?
- フェデレーションの一時認証情報ではなく、アクセスキーを持つ IAM ユーザーがまだ残っていませんか?
- アプリのエンドユーザー (CIAM) に重要な操作で MFA を提供していますか?
Threats addressed
- ATT&CK Credential Access 攻撃者は推測、フィッシング、キーロガー、ブルートフォース、辞書攻撃でパスワードを取得します。第 2 の要素(「所持しているもの」)はパスワードが知られていても進行を阻みます。フィッシング耐性のあるパスキー/FIDO2 は、第 2 要素のリアルタイムなフィッシングも無効化します。
AWS サービス
AWS IAM 
AWS IAM Identity Center 料金
AWS ユーザーや Amazon Cognito で MFA を有効化するための追加料金はありません。パスキーは既にお持ちのデバイスを使い、FIDO2 ハードウェアセキュリティキーはサードパーティベンダーからの 1 回限りの購入です。