IAM의 다중 인증(MFA)

MFA란 무엇입니까?

AWS 다중 인증(MFA)은 사용자 이름 및 암호 로그인 자격 증명 외에 두 번째 인증 요소가 필요한 AWS Identity and Access Management(IAM) 모범 사례입니다. 계정에서 생성한 IAM 사용자 및 루트의 AWS 계정 수준에서 MFA를 활성화할 수 있습니다.  
 
AWS는 무료 MFA 보안 키 프로그램의 참여 자격을 확대하고 있습니다. 자격을 확인하고 무료 MFA 키를 주문하세요.
 
MFA를 활성화하면 사용자가 AWS Management Console에 로그인할 때 사용자 이름과 암호( 알고 있는 정보)와 MFA 디바이스의 인증 코드( 가지고 있는 정보 또는 생체 인식 지원 인증 방식을 사용하는 경우 타고난 정보)를 입력하라는 메시지가 나타납니다. 이러한 요소를 함께 사용하면 AWS 계정 및 리소스의 보안이 강화됩니다.
 
AWS에 액세스할 때 인간 사용자가 임시 보안 인증 정보를 사용하도록 요구하는 것이 좋습니다. 사용자는 ID 공급자를 사용하여 AWS로 페더레이션할 수 있으며, AWS에서는 회사 보안 인증 정보와 MFA 구성으로 인증할 수 있습니다. AWS 및 비즈니스 애플리케이션에 대한 액세스를 관리하려면 AWS IAM Identity Center를 사용하는 것이 좋습니다. 자세한 내용은 IAM Identity Center 사용 설명서를 참조하세요.
 
IAM MFA 구현에 사용할 수 있는 다음 MFA 옵션을 참조하세요. 제공된 링크를 통해 가상 인증 앱을 다운로드하거나 해당 제조업체로부터 하드웨어 MFA 디바이스를 구매할 수 있습니다. 지원되는 가상 MFA 디바이스 또는 하드웨어 MFA 디바이스가 있는 경우 MFA 사용 요금이 추가로 청구되지 않습니다.

IAM에 사용 가능한 MFA 방식

IAM 콘솔에서 MFA 디바이스를 관리할 수 있습니다. 다음 옵션은 IAM이 지원하는 MFA 방식입니다.

패스키 및 보안 키

패스키와 보안 키는 FIDO 표준을 기반으로 하므로 사용자의 디바이스 전체에서 더 쉽고 안전하게 로그인할 수 있습니다. FIDO 인증 표준은 퍼블릭 키 암호화를 기반으로 하며, 이를 통해 암호보다 더 안전하고 강력한 피싱 방지 인증을 지원합니다. 패스키는 사용자의 지문, 얼굴 또는 디바이스 PIN을 사용하여 iCloud 키체인, Google 비밀번번호 관리자, 1Password 또는 Dashlane과 같은 선택한 패스키 공급자로 생성되며, 디바이스 간에 동기화되어 AWS에 로그인합니다. 또한 고객은 Yubico와 같은 타사 공급자가 제공하는 디바이스 전용 패스키(보안 키라고도 함)를 사용할 수 있습니다. FIDO Alliance는 FIDO 사양과 호환되는 모든 FIDO 인증 제품 목록을 유지 관리합니다. FIDO 보안 키는 단일 보안 키를 사용하여 여러 루트 계정 및 IAM 사용자를 지원할 수 있습니다. 패스키 및 보안 키는 Sinnet에서 운영하는 AWS 중국(베이징) 리전과 NWCD에서 운영하는 AWS 중국(닝샤) 리전을 제외한 모든 AWS 리전의 루트 및 IAM 사용자에게 지원됩니다. FIDO 보안 키를 활성화하는 방법에 대한 자세한 내용은 패스키 또는 보안 키 활성화를 참조하세요.

AWS는 미국의 적격 AWS 계정 소유자에게 무료 MFA 보안 키를 제공합니다. 자격 여부를 확인하고 키를 주문하려면 Security Hub 콘솔을 참조하세요.

가상 인증 앱

가상 인증 앱은 시간 기반 일회용 암호(TOTP) 알고리즘을 구현하고 단일 디바이스에서 여러 토큰을 지원합니다. 가상 인증은 AWS GovCloud(미국) 리전 및 기타 AWS 리전의 IAM 사용자에게 지원됩니다. 가상 인증을 활성화하는 방법에 대한 자세한 내용은 가상 다중 인증(MFA) 디바이스 활성화를 참조하세요.

스마트폰 유형에 맞는 앱 스토어에서 스마트폰용 앱을 설치할 수 있습니다. 일부 앱 제공업체는 웹 및 데스크톱 애플리케이션도 제공합니다. 다음 표에서 예를 참조하세요.

Android Twilio Authy Authenticator, Duo Mobile, Microsoft Authenticator, Google Authenticator, Symantec VIP
iOS Twilio Authy Authenticator, Duo Mobile, Microsoft Authenticator, Google Authenticator, Symantec VIP

하드웨어 TOTP 토큰

하드웨어 토큰은 TOTP 알고리즘도 지원하며 서드 파티 제공업체인 Thales에서 제공합니다. 이러한 토큰은 AWS 계정에만 사용할 수 있습니다. 자세한 내용은 하드웨어 MFA 디바이스 활성화를 참조하세요.

AWS와의 호환성을 보장하려면 이 페이지의 링크를 통해 MFA 토큰을 구매해야 합니다. AWS에는 토큰을 만들 때 생성되는 비밀 키인 고유한 ‘토큰 시드’가 필요하기 때문에 다른 소스에서 구매한 토큰은 IAM에서 작동하지 않을 수 있습니다. 이 페이지의 링크를 통해 구매한 토큰만 토큰 시드를 AWS와 안전하게 공유할 수 있습니다. MFA 토큰은 OTP 토큰 및 OTP 디스플레이 카드의 두 가지 형태로 제공됩니다.

AWS GovCloud(미국) 리전용 하드웨어 TOTP 토큰

하드웨어 TOTP 토큰은 AWS GovCloud(미국) 리전에서 사용할 수 있으며 서드 파티 제공업체인 Hypersecu에서 제공합니다. 이 토큰은 AWS GovCloud(미국) 계정을 소유한 IAM 사용자만 사용할 수 있습니다.

AWS와의 호환성을 보장하려면 이 페이지의 링크를 통해 MFA 토큰을 구매해야 합니다. AWS에는 토큰을 만들 때 생성되는 비밀 키인 고유한 ‘토큰 시드’가 필요하기 때문에 다른 소스에서 구매한 토큰은 IAM에서 작동하지 않을 수 있습니다. 이 페이지의 링크를 통해 구매한 토큰만 토큰 시드를 AWS와 안전하게 공유할 수 있습니다. MFA 토큰은 OTP 토큰 형식으로 제공됩니다.