【クラウド初心者向け】AWSアカウント作成後にやった方が良い初期設定（ルートユーザー設定）

# MFA(Multi-Factor Authentication：多要素認証)の設定
- ログイン時に多要素認証を強制するための設定します。
- この設定によりパスワード漏洩のリスクを低減する事ができます。

## 使用ユーザー
-  ルートユーザー

## 手順
1. AWSにサインインします。
    1. Eメールアドレスとパスワードを入力してサインインします。  
     [ルートユーザーを使用してコンソールにサインインする](https://qiita.com/echolimitless/items/129495c920217916a14f#%E3%83%AB%E3%83%BC%E3%83%88%E3%83%A6%E3%83%BC%E3%82%B6%E3%83%BC%E3%82%92%E4%BD%BF%E7%94%A8%E3%81%97%E3%81%A6%E3%82%B3%E3%83%B3%E3%82%BD%E3%83%BC%E3%83%AB%E3%81%AB%E3%82%B5%E3%82%A4%E3%83%B3%E3%82%A4%E3%83%B3%E3%81%99%E3%82%8B)

1. 『AWSマネジメントコンソール』画面の右上にある《アカウント名》をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/3c3635be-6654-1b38-be7a-3cbba6df5a03.png)

1. ドロップダウンリストが出ますので、その中から《マイセキュリティ資格情報》をクリックする。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/de17f6bc-5f17-b55b-582f-7e3f91ef460d.png)

1. 『セキュリティ認証情報』画面の《多要素認証(MFA)》をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/d91c0ef8-4227-b9c4-c3ee-c92f40f47f3d.png)

1. 《MFAの有効化》をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/8fea6512-ff3e-2309-2911-d5ac7b427b2b.png)

1. 『MFAデバイスの管理』画面がでますので、《仮想MFAデバイス》が選択されている状態で《続行》をクリックします。
<img width="500" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/33799bd7-f5b8-75c7-27f8-aa027a37cd1b.png">

1. 『仮想MFAデバイスの設定』画面がでますので、画面の指示に従って操作をしていきます。
<img width="400" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/175aa023-ea97-f480-5c9f-6a8bccbd34eb.png">
    1. スマホにアプリをダウンロードします。  
       一般的にはAndroid、iOSともにGoogle Authenticator(Google 認証システム) アプリを利用しますが、  
       今回は、クラウドにバックアップができるのでMicrosoftのMicrosoft Authenticator アプリを利用したいと思います。  
       Microsoft Authenticator アプリも時間ベースのワンタイムパスワード(TOTP)を標準サポートしているので利用可能です。  
       以下のリンクよりアプリをダウンロードしてインストールします。 [^1]  
      [Android版 Microsoft Authenticator アプリ](https://play.google.com/store/apps/details?id=com.azure.authenticator)    
      [iOS版 Microsoft Authenticator アプリ](https://apps.apple.com/jp/app/microsoft-authenticator/id983156458)  
<img width="400" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/ec01bd73-ac9d-ada7-e089-f287802d2018.png">  

    1. 《QRコードの表示》をクリックします。  
<img width="400" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/afc379a3-b5f1-d1d6-1ed9-7f47e90d4496.png">

    1. QRコードが表示されますのでそのままにします。[^1]  
<img width="400" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/cd518cf9-4047-cc74-11ae-63895e103b92.png">

    1. Microsoft Authenticator アプリを起動し、『アカウント』画面を表示します。[^1]  
<img width="400" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/cbdc7af0-eaf3-f564-5aeb-69474971ba59.png">

    1. Android版は、『アカウント』画面の右上の《 ⁝ 》を、iOS版は右上の《＋》タップします。[^1]  
<img width="400" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/33b02300-5c05-4e7c-e5c6-c081c844a69c.png"> 

    1. Android版のみ、ドロップダウンの中から《アカウントの追加》をタップします。[^1]  
<img width="400" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/8c367e6a-df89-6480-a6c9-c69033a226cd.png">

    1. 『アカウント追加』画面の《他のアカウント(Google、Facebook など)》をタップします。[^1]  
<img width="400" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/8fbb2a1e-4394-05c0-04cd-71e8c9ad436f.png">

    1. QRコードのスキャンモードに切り替わるので表示してあるQRコードをスキャンし、アカウントを追加します。

    1. Microsoft Authenticator アプリにアカウントが追加されており、数字が表示されているのを確認します。  
    
    1. 『仮想MFAデバイスの設定』画面の下部のMFAコード1にその数字を入力し、最大30秒待つと数字が切り替わるので、切り替わった数字をMFAコード2に入力します。  
<img width="400" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/c83012ff-175f-3bb3-9061-7a63052a2076.png">
    
    1. 《MFAの割り当て》をクリックします。  

    1. 登録完了の画面が表示されたら《閉じる》をクリックします。  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/fe5e3bb6-f719-e882-7047-eac74df709f0.png)

    1. 『セキュリティ認証情報』画面に戻ると登録内容が表示されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/54a8ea23-c776-1a40-85c0-3e242e66445e.png)

# アクセスキーの削除
アクセスキーは、AWS コマンドラインツール、AWS SDK等を利用する場合に必要になります。
このキーが悪意のある第三者に漏洩した場合に、ルートユーザーの強い権限でAWS コマンドラインツールが利用できてしまいます。
全てのリソースにアクセスできますので漏洩リスクはとても怖いものです。

ですのでAmazonでも**ルートユーザーは通常使用しない事が推奨**されています。

ルートユーザーのアクセスキーを使用する場面もありませんので、リスクとなるキーは事前に削除しましょう。

## 使用ユーザー
1. ルートユーザー

## 手順
1. AWSにサインインします。
    1. Eメールアドレスとパスワードを入力してサインインします。  
     [ルートユーザーを使用してコンソールにサインインする](https://qiita.com/echolimitless/items/129495c920217916a14f#%E3%83%AB%E3%83%BC%E3%83%88%E3%83%A6%E3%83%BC%E3%82%B6%E3%83%BC%E3%82%92%E4%BD%BF%E7%94%A8%E3%81%97%E3%81%A6%E3%82%B3%E3%83%B3%E3%82%BD%E3%83%BC%E3%83%AB%E3%81%AB%E3%82%B5%E3%82%A4%E3%83%B3%E3%82%A4%E3%83%B3%E3%81%99%E3%82%8B)

1. 『AWSマネジメントコンソール』画面の右上にある《アカウント名》をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/3c3635be-6654-1b38-be7a-3cbba6df5a03.png)

1. ドロップダウンリストが出ますので、その中から《マイセキュリティ資格情報》をクリックする。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/de17f6bc-5f17-b55b-582f-7e3f91ef460d.png)

1. 『セキュリティ認証情報』画面の《アクセスキー (アクセスキー ID とシークレットアクセスキー)》をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/cdf83297-f46f-ce70-1413-22751e69e2af.png)

1. アクセスキーが作成されていない事を確認します。（アカウントを作成時にはアクセスキーは作成されていないはずです）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/520689/b64c0c84-cca3-99dd-1a26-b17893044a61.png)
作成されていた場合は、[AWS アカウントのルートユーザー のアクセスキーの作成、無効化、削除](https://docs.aws.amazon.com/ja_jp/general/latest/gr/managing-aws-access-keys.html#create-aws-access-key)を参照して削除してください。

# 参考サイト
- [AWS を安全に使うために（IAM のベストプラクティス）](https://dev.classmethod.jp/cloud/sugano-042-iam-best-practices/)
- [お使いの AWS アカウントのルートユーザーの仮想 MFA デバイスを有効にする (Console)](https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_credentials_mfa_enable_virtual.html#enable-virt-mfa-for-root)
- [Microsoft Authenticator アプリのヘルプ（Amazon アカウントを追加する）](https://docs.microsoft.com/ja-jp/azure/active-directory/user-help/user-help-auth-app-add-non-ms-account#add-your-amazon-account)
- [AWS アカウントのルートユーザー のアクセスキー管理](https://docs.aws.amazon.com/ja_jp/general/latest/gr/managing-aws-access-keys.html)
- [AWS アカウントのルートユーザー のアクセスキーの作成、無効化、削除](https://docs.aws.amazon.com/ja_jp/general/latest/gr/managing-aws-access-keys.html#create-aws-access-key)

# 目次に戻る
- [【クラウド初心者向け】Amazon Connectでコールセンターを作る](https://qiita.com/echolimitless/items/e5044c73656f8ae29f93#%E7%9B%AE%E6%AC%A1)

[^1]: ※ 画面はAndroid版です。