在 AWS IAM 中，如何为无法物理访问其智能手机的用户要求虚拟 MFA？答案

【问题标题】：In AWS IAM, how to require Virtual MFA for users without physical access to their smart phones?在 AWS IAM 中，如何为无法物理访问其智能手机的用户要求虚拟 MFA？
【发布时间】：2017-09-19 16:06:22
【问题描述】：

当使用 Web 控制台在 AWS IAM 中创建新用户时，对于远程的人（例如，在另一个国家/地区，管理员无法实际访问新用户的智能手机），如何创建用户帐户以便虚拟 MFA 是必需吗？

当智能手机在创建用户帐户的时间和地点时，要求虚拟 MFA 很容易（扫描虚拟 MFA 中的条形码，然后输入两个连续的代码），但不清楚当设备不存在时这是如何工作的靠近管理员。

MFA“密钥”是否与此用例有关？

在发布此问题之前提前后悔，我做了 RTM，但我无法找到明确的答案。

【问题讨论】：

标签： amazon-web-services amazon-iam multi-factor-authentication

【解决方案1】：

在创建 IAM 用户时，您可以让您的用户配置他们自己的凭证和 MFA 设置。

如需分步指导，请参阅 AWS 的 this tutorial。

【讨论】：

【解决方案2】：

我就是这样解决的，

将二维码作为图片发送给用户。要求用户从他们的智能手机发送两个连续的代码。

然后输入您的 IAM 配置。一切就绪，一切顺利。

【讨论】：

如果你这样做，你可以自己使用 QR 码来生成代码......这违背了 MFA 的大部分目的，因为此时密钥不是很秘密。密钥是嵌入在二维码中的，可用于初始化无限多的设备，以在完全相同的时间显示完全相同的代码。不是一个好模型。