AWSにはYubiKeyを何本まで登録できますか？

AWSでは、ルートユーザーとIAMユーザーごとに、種類を問わず最大8台のMFAデバイスを登録できます。サインインに使うのはそのうち1台だけなので、紛失に備えて2本以上登録しておくことが推奨されています。

1本のYubiKeyを複数のAWSアカウントで使えますか？

使えます。AWSによると、1本のセキュリティキーで複数のルートユーザーやIAMユーザーに対応できます。複数のアカウントを管理している場合も、持ち歩くキーを増やす必要はありません。

AWS CLIでもYubiKeyのMFAを使えますか？

セキュリティキーやパスキーは、AWSマネジメントコンソールからしか登録できません。また、一時的な認証情報を取得するAWS STSのAPIには、セキュリティキーやパスキーのMFA情報を渡せません。CLIでの使い方はAWSの公式ドキュメントで確認してください。

AWSマネジメントコンソールにYubiKey MFAを設定する手順【IAM・FIDO2対応】

AWSのアカウントには、サーバーやデータベース、顧客データ、そして利用料金の請求まで、事業の根幹に関わる資産がつながっています。管理者の認証情報が盗まれると、データの流出や削除だけでなく、不正なリソースの起動によって高額な請求が発生するおそれもあります。

AWSは、ルートユーザーとIAMユーザーの両方に多要素認証（MFA）を設定し、可能な限りパスキーやセキュリティキーなどのフィッシングに強い方法を使うことを推奨しています。この記事では、AWSマネジメントコンソールのサインインにYubiKeyをMFAデバイスとして登録する手順を説明します。

AWSで使えるMFAの種類

MFAの種類	フィッシング耐性	AWSの位置付け	特徴
パスキー・セキュリティキー（YubiKeyなど）	◎ 高い	最も推奨	FIDO規格に基づく方式で、フィッシングや中間者攻撃に強い
仮想認証アプリ（TOTP）	✕ 低い	暫定措置	スマートフォンのアプリで6桁のコードを生成する。セキュリティキーを用意するまでの暫定措置として勧められている
ハードウェアTOTPトークン	✕ 低い	非推奨寄り	専用の機器でコードを生成する。物理的なMFAを使うなら、セキュリティキーのほうが推奨されている

※スマートフォンでは表を横にスクロールしてご覧いただけます。

なお、AWSはSMSによるMFAの新規設定のサポートを終了しています。SMSを使っているIAMユーザーがいる場合は、ほかの方法への切り替えが推奨されています。

YubiKeyをAWSのMFAに使うメリット

フィッシングに強い：YubiKeyは正規のAWSのサインインページでしか応答しないため、偽のログイン画面にだまされても認証は成立しません。
コードの入力が不要：YubiKeyを挿してタッチするだけなので、6桁のコードを読み取って入力する手間がありません。
1本で複数のアカウントに使える：1本のYubiKeyで、複数のルートユーザーやIAMユーザーに対応できます。
電池が不要：ハードウェアTOTPトークンと違い、電池切れの心配がありません。

AWSのドキュメントでは、対応している構成の例としてYubico の YubiKey 5シリーズが挙げられています。お使いのパソコンに合うモデルはYubiKey製品一覧から確認できます。

設定の前に知っておきたいこと

セキュリティキーやパスキーは、AWS CLIやAPIからは登録できず、AWSマネジメントコンソールからのみ登録できます。
登録には、YubiKeyを実際に手元で操作する必要があります。
ルートユーザーとIAMユーザーごとに、最大8台のMFAデバイスを登録できます。紛失に備えて、2本以上登録しておきましょう。

ルートユーザーにYubiKeyを登録する手順

ルートユーザーはアカウントのすべての権限を持つため、最初にMFAを設定すべきユーザーです。

AWSマネジメントコンソールを開き、ルートユーザーの認証情報でサインインします。
画面右上のナビゲーションバーでアカウント名を選び、「セキュリティ認証情報」を開きます。
「多要素認証（MFA）」の項目で、「MFAデバイスの割り当て」を選びます。
「YubiKey-main」など、わかりやすいデバイス名を入力し、「パスキーまたはセキュリティキー」を選んで「次へ」を選びます。
案内が表示されたら、YubiKeyをUSBポートに挿して金色の部分にタッチします。PINを設定している場合は、PINを入力します。
ブラウザの案内に従って保存先などを選び、「続行」を選んで登録を完了します。
同じ手順で、バックアップ用の2本目のYubiKeyも登録します。

次回からルートユーザーでサインインするときは、パスワードの入力後にYubiKeyでの認証を求められます。

自分のIAMユーザーにYubiKeyを登録する手順

AWSアカウントIDまたはアカウントエイリアス、IAMユーザー名、パスワードを使ってサインインします。
画面右上の自分のユーザー名を選び、「セキュリティ認証情報」を開きます。
「多要素認証（MFA）」の項目で、「MFAデバイスの割り当て」を選びます。
デバイス名を入力し、「パスキーまたはセキュリティキー」を選んで「次へ」を選びます。
YubiKeyを挿してタッチし（PINを設定している場合はPINも入力）、ブラウザの案内に従って「続行」を選びます。

アカウントIDがわからない場合は、AWSアカウントの管理者に確認してください。

管理者がほかのIAMユーザーに登録する場合

管理者は、IAMコンソールからほかのユーザーのYubiKeyを登録することもできます。ただし、YubiKeyへのタッチが必要なため、キーを手元に用意して作業します。

IAMコンソールを開き、ナビゲーションペインで「ユーザー」を選びます。
MFAを設定するユーザーの名前を選び、「セキュリティ認証情報」タブを開きます。
「MFAデバイスの割り当て」を選び、以降は上の手順と同じように登録します。

※画面の名前や配置は、AWS側の更新によって変わる場合があります。

YubiKeyをなくしたとき・交換するとき

YubiKeyを紛失した場合は、登録済みのもう1本のYubiKeyなど、ほかのMFAデバイスでサインインしたうえで、なくしたキーをユーザーから外します。その後、新しいYubiKeyを同じ手順で登録します。2本以上登録しておけば、アカウントの回復手続きを行わずにアクセスを続けられます。

組織で運用するときのポイント

ルートユーザーを最優先に：ルートユーザーには必ずYubiKeyを登録し、バックアップのキーは金庫など安全な場所に保管します。
日常の作業はルートユーザーで行わない：普段の作業には、権限を絞ったIAMユーザーやロールを使います。
人が使うアクセスはIAM Identity Centerで一元管理する：AWSは、人がAWSにアクセスする場合、IAM Identity Centerやお使いのIDプロバイダーを通じた一時的な認証情報の利用を推奨しています。複数のAWSアカウントを使っている組織では、IDプロバイダー側でYubiKeyによるMFAを必須にすると管理しやすくなります。
認証アプリは暫定措置と考える：YubiKeyが届くまでは認証アプリを使い、届いたらセキュリティキーに切り替えます。

よくある質問

AWSにはYubiKeyを何本まで登録できますか？: AWSでは、ルートユーザーとIAMユーザーごとに、種類を問わず最大8台のMFAデバイスを登録できます。サインインに使うのはそのうち1台だけなので、紛失に備えて2本以上登録しておくことが推奨されています。
1本のYubiKeyを複数のAWSアカウントで使えますか？: 使えます。AWSによると、1本のセキュリティキーで複数のルートユーザーやIAMユーザーに対応できます。複数のアカウントを管理している場合も、持ち歩くキーを増やす必要はありません。
AWS CLIでもYubiKeyのMFAを使えますか？: セキュリティキーやパスキーは、AWSマネジメントコンソールからしか登録できません。また、一時的な認証情報を取得するAWS STSのAPIには、セキュリティキーやパスキーのMFA情報を渡せません。CLIでの使い方はAWSの公式ドキュメントで確認してください。

AWSにYubiKeyでMFAを設定する手順