AWS の MFA 設定は、ルートユーザーには 2 台以上（パスキーかセキュリティキーを 1 台、認証アプリを 1 台など）、日常作業の ID にも 1 台以上を登録するのが基本です。AWS は 2026年11月現在、ルートユーザーの MFA を必須にしており、種類としてはフィッシングに強いパスキー・セキュリティキーを勧めています。
結論を先にまとめます。
- 使える MFA は 3 種類です。パスキー・セキュリティキー（FIDO）、認証アプリ（仮想 MFA。TOTP）、ハードウェア TOTP トークン。SMS による MFA は新規登録の受け付けが終わっています。
- ルートユーザーも IAM ユーザーも、1 つの ID に 最大 8 台まで登録できます。サインインに必要なのは 1 台だけなので、2 台以上登録しておくと紛失時に復旧手順を踏まずに入れます。
- IAM ユーザーが MFA をなくすと自分では戻せず、管理者に無効化してもらう必要があります。ルートユーザーは登録済みのメールと電話番号で代替認証ができます。
- 2 要素目があってもパスワードは強いものにし、紛失・盗難の後はパスワードも変えます。
3 種類の MFA の違い
| 種類 | 仕組み | 長所 | 注意 |
|---|---|---|---|
| パスキー・セキュリティキー（FIDO） | 公開鍵暗号。YubiKey などの物理キー（デバイス固定）か、Apple・Google・Microsoft・1Password などの資格情報マネージャーに同期されるパスキー | フィッシング・中間者攻撃・リプレイに強い。1 本の物理キーを複数のルートユーザー・IAM ユーザーで共用できる。電池不要、時刻ずれなし | 登録はマネジメントコンソールからだけ（CLI/API では不可）。STS に MFA 情報を渡す用途では使えず、CLI は aws login で資格情報を取る |
| 認証アプリ（仮想 MFA） | スマートフォンのアプリが TOTP（時刻ベースの 6 桁コード）を生成 | 費用がかからず、すぐ始められる | 端末の紛失・機種変更で失いやすい。時刻ずれで同期が必要になることがある。AWS は「ハードウェアが届くまでのつなぎ」と位置づけ |
| ハードウェア TOTP トークン | 専用機が 6 桁コードを表示 | ネットワーク不要 | AWS に種（シード）を共有済みの指定製品しか使えない。1 台を複数の ID で共用できない。AWS は代わりにセキュリティキーを推奨 |
AWS の推奨順は、パスキー・セキュリティキー → 認証アプリ → ハードウェア TOTP です。会社で使うなら、ルートユーザーに物理のセキュリティキーを 2 本（1 本は金庫に保管）、担当者の ID に同期型のパスキーか認証アプリ、という組み合わせが運用しやすいです。
手順 1: ルートユーザーに MFA を登録する
- ルートユーザーでマネジメントコンソールにサインインし、右上のアカウント名 → セキュリティ認証情報 を開きます。
- 多要素認証（MFA）→ MFA デバイスの割り当て を選びます。
- デバイス名を付け（同じ名前は使えません）、種類を選びます。
- パスキーまたはセキュリティキー: ブラウザーの案内に従い、物理キーを挿して触れるか、資格情報マネージャーで指紋・顔・PIN で作ります。 - 認証アプリ: 表示された QR コードをアプリで読み取り、続けて表示される 2 つのコードを入力します。 - ハードウェア TOTP トークン: トークンのシリアル番号と、続けて表示される 2 つのコードを入力します。
- 登録できたら、もう 1 台を同じ手順で追加します。種類は違っていてよく、合計 8 台まで登録できます。
MFA を未登録のまま初回サインインから 14 日を過ぎると、コンソールに入る前に登録を求められます。ルートユーザーの MFA はルートユーザーの資格情報にだけ効き、IAM ユーザーには影響しません。
手順 2: IAM ユーザーに MFA を登録する
IAM ユーザーは自分でも、管理者でも登録できます。
- そのユーザーでサインインし、右上のユーザー名 → セキュリティ認証情報 を開きます（管理者が代わりに行う場合は IAM → ユーザー → 対象ユーザー → セキュリティ認証情報）。
- MFA デバイスの割り当て から、ルートユーザーと同じ手順で登録します。
- 2 台目以降を追加するときは、既存の MFA で一度認証する必要があります。
IAM ユーザーに MFA を強制する
登録を任意にしておくと忘れられるので、「MFA でサインインしていない間はほとんどの操作を拒否する」ポリシーを付ける方法があります。AWS の公式ドキュメントに、aws:MultiFactorAuthPresent 条件キーを使った例があります。考え方は次のとおりです。
{
"Sid": "DenyAllExceptListedIfNoMFA",
"Effect": "Deny",
"NotAction": [
"iam:CreateVirtualMFADevice",
"iam:EnableMFADevice",
"iam:GetUser",
"iam:ListMFADevices",
"iam:ListVirtualMFADevices",
"iam:ResyncMFADevice",
"sts:GetSessionToken"
],
"Resource": "*",
"Condition": { "BoolIfExists": { "aws:MultiFactorAuthPresent": "false" } }
}MFA なしでサインインしたユーザーは「自分の MFA を登録する」操作しかできず、登録してサインインし直すと通常の権限が使えるようになります。実際に付けるときは公式ドキュメントの完全な例を使い、自分の管理者ユーザーを締め出さないように、まずテスト用ユーザーで試してください。
IAM Identity Center を使っている場合は、Identity Center 側の設定で MFA を「サインインごとに必須」にできます。IAM ユーザー個別のポリシーは不要です。
手順 3: デバイスをなくしたときの復旧
| 状況 | できること |
|---|---|
| 2 台以上登録している | サインイン画面で「別の MFA 方法を試す」を選び、残った 1 台で入る。入った後に、なくした方を無効化・削除し、新しいデバイスを追加する |
| ルートユーザーで、登録が 1 台だけ | サインイン画面の「MFA のトラブルシューティング」→「代替要素でサインイン」から、登録済みのメールアドレスへの確認メールと、登録済みの電話番号への自動音声通話で本人確認してサインインする。両方にアクセスできないときは AWS サポートに連絡する |
| IAM ユーザーで、登録が 1 台だけ | 自分では戻せない。管理者に MFA デバイスを無効化してもらってから、新しいデバイスを登録する |
| 認証アプリのコードが通らない | 時刻ずれの可能性がある。アプリ側の時刻同期を行い、IAM の画面で「再同期」を試す。FIDO のキーは同期ずれが起きない |
紛失や盗難の場合は、新しいデバイスを登録した後にパスワードも変更します。デバイスを盗った相手がパスワードも知っている可能性を考えるためです。ルートユーザーの復旧に使うメールアドレスと電話番号は、担当者の異動で使えなくならないよう、会社管理のものにして最新に保ちます。
WordPress の観点: サーバーより先にアカウントを守る
WordPress を EC2 や Lightsail に置いていると、守る対象は WordPress の管理画面とサーバーの SSH だけではありません。AWS アカウントそのものに入られると、インスタンスの削除、スナップショットの持ち出し、別リージョンでの大量起動（請求の急増）が起きます。WordPress 側の対策（Wordfence の初期設定、WordPress がハッキングされたときの復旧手順）と同じかそれ以上に、アカウントの MFA が優先です。
サーバーの乗っ取りが疑われるときは、AWS アカウントのサインイン履歴（CloudTrail のイベント履歴で ConsoleLogin）も確かめてください。手順は サーバーが乗っ取られたときの初動対応 にまとめています。アカウント作成直後の設定全体は AWS アカウント作成後にまず行う初期設定 を参照してください。
よくある質問
SMS で MFA はできますか
AWS は SMS による MFA の新規有効化の受け付けを終えています。既に SMS を使っている IAM ユーザーがいる場合は、パスキー・認証アプリ・ハードウェアトークンのいずれかに切り替えるよう案内されています。IAM のユーザー一覧で MFA 列に「SMS」と出るユーザーが対象です。
1 本のセキュリティキーを複数の AWS アカウントで使えますか
使えます。FIDO のセキュリティキーは 1 本で複数のルートユーザー・IAM ユーザーに登録できます。ただし「同じ ID に同じキーを 2 回登録する」ことはできないので、予備は別のキーにします。
CLI で MFA を使うにはどうしますか
認証アプリやハードウェアトークンの場合は aws sts get-session-token --serial-number <MFA の ARN> --token-code <6 桁> で一時的な資格情報を取ります。パスキー・セキュリティキーは STS に渡せないので、aws login コマンドでブラウザーを通して認証します。長期のアクセスキーに MFA を付ける、という使い方は避け、一時的な資格情報に寄せます。
機種変更で認証アプリを引き継ぎ忘れました
ほかに登録したデバイスがあればそれで入り、古いアプリの登録を削除して新しい端末で登録し直します。1 台だけだった場合は、ルートユーザーならメールと電話での代替認証、IAM ユーザーなら管理者による無効化、の手順になります。これが「2 台以上登録しておく」理由です。
まとめ
- AWS の MFA はパスキー・セキュリティキー、認証アプリ、ハードウェア TOTP の 3 種類で、AWS はフィッシングに強い FIDO 方式を推奨しています。
- ルートユーザー・IAM ユーザーともに最大 8 台まで登録でき、2 台以上にしておけば紛失時に復旧手順なしで入れます。
- IAM ユーザーには条件キー
aws:MultiFactorAuthPresentで MFA を強制でき、Identity Center なら設定でサインインごとに必須にできます。紛失・盗難後はパスワードも変えます。
関連記事
- AWS アカウント作成後にまず行う初期設定｜ルートユーザーの保護・IAM Identity Center・請求アラート・CloudTrail
- サーバーが乗っ取られたときの初動対応
- Wordfence の初期設定
参考: AWS Multi-factor authentication in IAM、Root user best practices for your AWS account、Recover an MFA protected identity in IAM、IAM: Allows MFA-authenticated IAM users to manage their own MFA device
更新履歴: 2026-11-09 全面改訂（定型文の記事を、3 種類の MFA の比較、ルートユーザーと IAM ユーザーの登録手順、MFA 強制ポリシー、紛失時の復旧手順に置き換え）。この記事はワードプレス博士（ライトセンド株式会社）が運営しています。